Konserwacja Apigee mTLS

Na tej stronie opisano zadania konserwacyjne Apigee mTLS, które należy wykonywać regularnie.

Rotacja certyfikatów lokalnych

Certyfikaty lokalne, które są zainstalowane na każdym hoście Apigee, muszą być co roku zastępowane nowymi. Nazywa się to rotacją certyfikatów. Certyfikaty można rotować na 2 sposoby, w zależności od tego, czy używasz niestandardowego urzędu certyfikacji, czy certyfikatu zainstalowanego przez Consul.

Rotacja certyfikatów lokalnych bez niestandardowego urzędu certyfikacji (CA)

Najprostszym sposobem na wymianę certyfikatów bez niestandardowego urzędu certyfikacji jest odinstalowanie i ponowne zainstalowanie apigee-mtls. Spowoduje to usunięcie wszystkich starych certyfikatów i wygenerowanie nowych certyfikatów lokalnie. Możesz to zrobić przy minimalnym przestoju, wykonując te polecenia na każdym hoście, po jednym na raz:

Uwaga: zakładamy, że ten sam plik silent.conf, który został użyty do początkowej instalacji, jest obecny.

  1. Zatrzymaj wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Zobacz Uruchamianie, zatrzymywanie i sprawdzanie wszystkich komponentów.
  2. Zatrzymaj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Odinstaluj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Ponowna instalacja apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Uruchom apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Uruchom ponownie apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Uruchom ponownie wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Zobacz Uruchamianie, zatrzymywanie i sprawdzanie wszystkich komponentów.

Rotacja certyfikatów lokalnych za pomocą niestandardowego urzędu certyfikacji

Aby wykonać rotację certyfikatów lokalnych za pomocą niestandardowego urzędu certyfikacji, wykonaj te czynności:

  1. Aby wygenerować nowe certyfikaty, wykonaj czynności opisane w artykule Używanie certyfikatu niestandardowego.
  2. Zatrzymaj wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     Zobacz Uruchamianie, zatrzymywanie i sprawdzanie wszystkich komponentów.
  3. Zatrzymaj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Usuń stare lokalne pliki certyfikatów: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Skopiuj nową parę kluczy/certyfikat wygenerowaną w pierwszym kroku do tych lokalizacji i zaktualizuj uprawnienia: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Uruchom ponownie apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Uruchom ponownie wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     Zobacz Uruchamianie, zatrzymywanie i sprawdzanie wszystkich komponentów.