Pemeliharaan Apigee mTLS

Halaman ini menjelaskan tugas pemeliharaan mTLS Apigee yang perlu dilakukan secara rutin.

Merotasi sertifikat lokal

Sertifikat lokal, yang diinstal di setiap host Apigee, perlu diganti dengan yang baru setiap tahun. Hal ini disebut rotasi sertifikat. Ada dua cara untuk merotasi sertifikat, tergantung apakah Anda menggunakan certificate authority kustom, atau sertifikat yang diinstal oleh Consul.

Merotasi sertifikat lokal tanpa certificate authority (CA) kustom

Cara termudah untuk merotasi sertifikat tanpa CA kustom adalah dengan meng-uninstal dan menginstal ulang apigee-mtls. Tindakan ini akan menghapus semua sertifikat lama yang ada, dan membuat sertifikat baru secara lokal. Anda dapat melakukannya dengan periode nonaktif minimal dengan menjalankan perintah berikut di setiap host, satu per satu:

Catatan: Hal ini mengasumsikan bahwa file silent.conf yang sama dengan yang digunakan untuk penginstalan awal sudah ada.

  1. Hentikan semua komponen inti Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Lihat Memulai/menghentikan/memeriksa semua komponen.
  2. Hentikan apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Meng-uninstal apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Instal ulang apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Jalankan apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Mulai ulang apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Mulai ulang semua komponen inti Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Lihat Memulai/menghentikan/memeriksa semua komponen.

Merotasi sertifikat lokal dengan certificate authority (CA) kustom

Untuk merotasi sertifikat lokal dengan CA kustom, lakukan langkah-langkah berikut:

  1. Ikuti langkah-langkah di Menggunakan sertifikat kustom untuk membuat sertifikat baru yang akan Anda gunakan.
  2. Hentikan semua komponen inti Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Lihat Memulai/menghentikan/memeriksa semua komponen.
  3. Hentikan apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Hapus file sertifikat lokal yang lama: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Salin pasangan kunci/sertifikat baru yang dibuat pada langkah pertama ke lokasi berikut, dan perbarui izin: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Mulai ulang apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Mulai ulang semua komponen inti Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Lihat Memulai/menghentikan/memeriksa semua komponen.