Apigee mTLS 维护

本页面介绍了需要定期执行的 Apigee mTLS 维护任务。

轮替本地证书

安装在每个 Apigee 主机上的本地证书需要每年更换一次。这称为证书轮替。轮替证书的方法有两种，具体取决于您使用的是自定义证书授权机构还是 Consul 安装的证书。

在没有自定义证书授权机构 (CA) 的情况下轮替本地证书

在没有自定义 CA 的情况下，轮替证书的最简单方法是卸载并重新安装 apigee-mtls。此操作会移除所有现有的旧证书，并在本地生成新证书。 您可以通过在每个主机上逐个执行以下命令，以最短的停机时间完成此操作：

注意：这假定初始安装所用的 silent.conf 文件仍然存在。

  1. 停止所有核心 Apigee 组件： 
    /opt/apigee/apigee-service/bin/apigee-all stop
     请参阅 启动/停止/检查所有组件。
  2. 停止 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. 卸载 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. 重新安装 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. 运行 apigee-mtls setup： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. 重启 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. 重启所有核心 Apigee 组件： 
    /opt/apigee/apigee-service/bin/apigee-all start
     请参阅 启动/停止/检查所有组件。

使用自定义证书授权机构 (CA) 轮替本地证书

如需使用自定义 CA 轮替本地证书，请执行以下步骤：

  1. 按照使用自定义证书中的步骤生成您将使用的新证书。
  2. 停止所有核心 Apigee 组件： 
    /opt/apigee/apigee-service/bin/apigee-all stop
     请参阅 启动/停止/检查所有组件。
  3. 停止 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. 移除旧的本地证书文件： 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. 将第一步中生成的新证书/密钥对复制到以下位置，并更新权限： 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. 重启 apigee-mtls： 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. 重启所有核心 Apigee 组件： 
    /opt/apigee/apigee-service/bin/apigee-all start
     请参阅 启动/停止/检查所有组件。