インストールが完了したら、次のパスワードを再設定できます。
以降のセクションで、これらのパスワードを再設定する手順を説明します。
OpenLDAP のパスワードを再設定する
OpenLDAP のパスワードを再設定する方法は、構成によって異なります。Edge の構成に応じて、OpenLDAP は次のようにインストールできます。
- Management Server ノードにインストールされた OpenLDAP の単一インスタンス。たとえば、2 ノード、5 ノード、9 ノードの Edge 構成の場合です。
- OpenLDAP レプリケーションが構成された複数の OpenLDAP インスタンスを Management Server ノードにインストール。たとえば、12 ノードの Edge 構成です。
- OpenLDAP レプリケーションが構成された複数の OpenLDAP インスタンスを独自のノードにインストール。たとえば、13 ノードの Edge 構成です。
Management Server に OpenLDAP のインスタンスを 1 つインストールする場合は、次の操作を行います。
- Management Server ノードで、次のコマンドを実行して新しい OpenLDAP パスワードを作成します。
/opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD
- 次のコマンドを実行して、Management Server からアクセスできるように新しいパスワードを保存します。
/opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ store_ldap_credentials ‑p NEW_PASSWORD
このコマンドは、Management Server を再起動します。
Management Server ノードに OpenLDAP がインストールされている状態での OpenLDAP レプリケーション設定では、上記の手順を両方の Management Server ノードで行ってパスワードを更新します。
OpenLDAP が Management Server 以外のノードにある OpenLDAP レプリケーション設定では、まず両方の OpenLDAP ノードでパスワードを変更し、次に両方の Management Server ノードでパスワードを変更します。
システム管理者パスワードを再設定する
システム管理者パスワードを再設定するには、次の 2 か所でパスワードを再設定する必要があります。
- 管理サーバー
- UI
システム管理者パスワードを再設定するには:
- Edge UI のインストールに使用したサイレント構成ファイルを編集して、次のプロパティを設定します。
APIGEE_ADMINPW=NEW_PASSWORD SMTPHOST=smtp.gmail.com SMTPPORT=465 SMTPUSER=foo@gmail.com SMTPPASSWORD=bar SMTPSSL=y SMTPMAILFROM="My Company <myco@company.com>"
UI のすべてのプロパティがリセットされるため、新しいパスワードを渡すときに SMTP のプロパティも含める必要があります。
- UI ノードで Edge UI を停止します。
/opt/apigee/apigee-service/bin/apigee-service edge-ui stop
apigee-setup
ユーティリティを使用して、構成ファイルから Edge UI のパスワードを再設定します。/opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
- (UI で TLS が有効になっている場合のみ)管理 UI の TLS の構成の説明に従って、Edge UI で TLS を再度有効にします。
- Management Server で新しい XML ファイルを作成します。このファイルで、ユーザー ID を「admin」に設定し、パスワード、姓、名、メールアドレスを
<User id="admin"> <Password><![CDATA[password]]></Password> <FirstName>first_name</FirstName> <LastName>last_name</LastName> <EmailId>email_address</EmailId> </User>
の形式で定義します。 - Management Server で次のコマンドを実行します。
curl -u "admin_email_address:admin_password" -H \ "Content-Type: application/xml" -H "Accept: application/json" -X POST \ "http://localhost:8080/v1/users/admin_email_address" -d @your_data_file
ここで、your_data_file は前の手順で作成したファイルです。
Edge によって、Management Server の管理者パスワードが更新されます。
- 作成した XML ファイルを削除します。パスワードを平文で永続的に保存しないでください。
複数の Management Server がある OpenLDAP レプリケーション環境では、1 つの Management Server でパスワードをリセットすると、他の Management Server も自動的に更新されます。ただし、すべての Edge UI ノードを個別に更新する必要があります。
組織ユーザーのパスワードを再設定する
組織ユーザーのパスワードを再設定するには、次の例のように apigee-servce
ユーティリティを使用して apigee-setup
を呼び出します。
/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password [-h] [-u USER_EMAIL] [-p USER_PWD] [-a ADMIN_EMAIL] [-P APIGEE_ADMINPW] [-f configFile]
次に例を示します。
/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword
cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md ~/Documents/utilities/README.md
以下は、「-f」オプションで使用できる構成ファイルの例です。
USER_NAME=user@myCo.com USER_PWD="Foo12345" APIGEE_ADMINPW=ADMIN_PASSWORD
ユーザー更新 API を使用して、ユーザー パスワードを変更することもできます。
SysAdmin と組織ユーザーのパスワード ルール
このセクションでは、API 管理ユーザーに対して任意のレベルのパスワードの長さと安全度を適用します。この設定では、事前に構成された一連の(一意の番号が付いた)正規表現を使用して、パスワードの内容(大文字、小文字、数字、特殊文字など)をチェックします。これらの設定を /opt/apigee/customer/application/management-server.properties
ファイルに書き込みます。このファイルが存在しない場合は作成します。
management-server.properties
を編集したら、管理サーバーを再起動します。
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
正規表現のさまざまな組み合わせをグループ化することで、パスワードの安全度を設定できます。たとえば、大文字と小文字を 1 つ以上含むパスワードの強度は「3」になり、小文字と数字が 1 つ以上含まれているパスワードの強度は「4」であると判断できます。
プロパティ | 説明 |
---|---|
conf_security_password.validation.minimum.password.length=8 conf_security_password.validation.default.rating=2 conf_security_password.validation.minimum.rating.required=3 |
これらを使用して、有効なパスワードの全体的な特性を判断します。パスワード強度のデフォルトの最小評価(この表で後述)は 3 です。 password.validation.default.rating=2 は、必要とされる最小評価レベルよりも低いことに注意してください。つまり、入力したパスワードが構成済みのルールの範囲外である場合、パスワードの評価は 2 となり、無効となります(最小評価の 3 未満)。 |
以下は、パスワードの特性を識別する正規表現です。それぞれに番号が付いていることに注意してください。たとえば、 |
|
conf_security_password.validation.regex.1=^(.)\\1+$ |
1: すべての文字の繰り返し |
conf_security_password.validation.regex.2=^.*[a-z]+.*$ |
2: 小文字が 1 つ以上 |
conf_security_password.validation.regex.3=^.*[A-Z]+.*$ |
3: 1 個以上の大文字 |
conf_security_password.validation.regex.4=^.*[0-9]+.*$ |
4: 数字が 1 つ以上 |
conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$ |
5: 特殊文字が 1 つ以上(アンダースコア _ は除く) |
conf_security_password.validation.regex.6=^.*[_]+.*$ |
6: 1 つ以上のアンダースコア |
conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$ |
7: 小文字が 2 つ以上 |
conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$ |
8: 大文字が複数ある |
conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$ |
9: 2 桁以上 |
conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$ |
10: 複数の特殊文字(アンダースコアを除く) |
conf_security_password.validation.regex.11=^.*[_]{2,}.*$ |
11: アンダースコアが複数ある |
次のルールでは、パスワードの内容に基づいてパスワードの安全度を決定します。各ルールには、前のセクションの正規表現が 1 つ以上含まれ、数値強度が割り当てられます。パスワードの安全度の数値が、このファイルの先頭にある conf_security_password.validation.minimum.rating.required の値と比較され、パスワードが有効かどうかが決定されます。 |
|
conf_security_password.validation.rule.1=1,AND,0 conf_security_password.validation.rule.2=2,3,4,AND,4 conf_security_password.validation.rule.3=2,9,AND,4 conf_security_password.validation.rule.4=3,9,AND,4 conf_security_password.validation.rule.5=5,6,OR,4 conf_security_password.validation.rule.6=3,2,AND,3 conf_security_password.validation.rule.7=2,9,AND,3 conf_security_password.validation.rule.8=3,9,AND,3 |
各ルールには番号が付いています。たとえば、 各ルールは次の形式を使用します(等号の右側)。 regex-index-list,[AND|OR],rating regex-index-list は、正規表現(前のセクションの番号付き)と rating は、各ルールに与えられる強度レーティングの数値です。 たとえば、ルール 5 では、1 つ以上の特殊文字または 1 つのアンダースコアを含むパスワードの強度は 4 になります。ファイルの先頭に |
conf_security_rbac.password.validation.enabled=true |
シングル サインオン(SSO)が有効になっている場合、ロールベースのアクセス制御のパスワード検証を false に設定します。デフォルトは true です。 |
Cassandra のパスワードをリセットする
デフォルトでは、Cassandra は認証が無効な状態で出荷されています。認証を有効にすると、cassandra
という名前の事前定義ユーザーと cassandra
のパスワードが使用されます。このアカウントを使用することも、このアカウントに別のパスワードを設定することも、新しい Cassandra ユーザーを作成することもできます。ユーザーの追加、削除、変更には、Cassandra の CREATE/ALTER/DROP USER
ステートメントを使用します。
Cassandra 認証を有効にする方法については、Cassandra 認証を有効にするをご覧ください。
Cassandra パスワードを再設定するには、次のことを行う必要があります。
- いずれかの Cassandra ノードにパスワードを設定すると、リング内のすべての Cassandra ノードにブロードキャストされます
- 各ノードの Management Server、Message Processor、Router、Qpid サーバー、Postgres サーバーで、新しいパスワードに更新します。
詳細については、CQL コマンドをご覧ください。
Cassandra のパスワードをリセットするには:
cqlsh
ツールとデフォルトの認証情報を使用して、任意の Cassandra ノードにログインします。パスワードを変更する必要があるのは 1 つの Cassandra ノードだけで、リング内のすべての Cassandra ノードにブロードキャストされます。/opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'
ここで
cassIP
は、Cassandra ノードの IP アドレスです。9042
は、Cassandra のポートです。- デフォルト ユーザーは
cassandra
です。 - デフォルトのパスワードは「
cassandra
」です。以前にパスワードを変更した場合は、現在のパスワードを使用してください。パスワードに特殊文字が含まれている場合は、一重引用符で囲む必要があります。
cqlsh>
プロンプトとして次のコマンドを実行して、パスワードを更新します。ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';
新しいパスワードに一重引用符が含まれている場合は、その前に一重引用符を付加してエスケープします。
cqlsh
ツールを終了します。exit
- Management Server ノードで、次のコマンドを実行します。
/opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'
必要に応じて、新しいユーザー名とパスワードを含むファイルをコマンドに渡すことができます。
apigee-service edge-management-server store_cassandra_credentials -f configFile
ここで、configFile には次のものが含まれます。
CASS_USERNAME=CASS_USERNAME CASS_PASSWORD='CASS_PASSWROD'
このコマンドは、Management Server を自動的に再起動します。
- 以下に対してステップ 4 を繰り返します。
- すべての Message Processor
- すべてのルーター
- すべての Qpid サーバー(edge-qpid-server)
- Postgres サーバー(edge-postgres-server)
これで Cassandra パスワードが変更されました。
PostgreSQL のパスワードを再設定する
デフォルトでは、PostgreSQL データベースには postgres
と apigee
の 2 つのユーザーが定義されています。どちらのユーザーのデフォルトのパスワードも postgres
です。デフォルトのパスワードを変更する手順は次のとおりです。
すべての Postgres マスターノードでパスワードを変更します。2 台の Postgres サーバーがマスター/スタンバイ モードで構成されている場合、パスワードを変更する必要があるのはマスターノードだけです。詳細については、Postgres のマスター / スタンバイ レプリケーションを設定する をご覧ください。
- マスター Postgres ノードで、ディレクトリを
/opt/apigee/apigee-postgresql/pgsql/bin
に変更します。 - PostgreSQL
postgres
ユーザー パスワードを設定します。- 次のコマンドを使用して PostgreSQL データベースにログインします。
psql -h localhost -d apigee -U postgres
- プロンプトが表示されたら、既存の
postgres
ユーザーのパスワードを「postgres
」と入力します。 - PostgreSQL のコマンド プロンプトで、次のコマンドを入力してデフォルトのパスワードを変更します。
ALTER USER postgres WITH PASSWORD 'new_password';
成功すると、PostgreSQL は次のレスポンスを返します。
ALTER ROLE
- 次のコマンドを使用して PostgreSQL データベースを終了します。
\q
- 次のコマンドを使用して PostgreSQL データベースにログインします。
- PostgreSQL
apigee
ユーザー パスワードを設定します。- 次のコマンドを使用して PostgreSQL データベースにログインします。
psql -h localhost -d apigee -U apigee
- プロンプトが表示されたら、
apigee
ユーザーのパスワードを「postgres
」と入力します。 - PostgreSQL のコマンド プロンプトで、次のコマンドを入力してデフォルトのパスワードを変更します。
ALTER USER apigee WITH PASSWORD 'new_password';
- 次のコマンドを使用して PostgreSQL データベースを終了します。
\q
ユーザー
postgres
とapigee
のパスワードは、同じ値または異なる値に設定できます。 - 次のコマンドを使用して PostgreSQL データベースにログインします。
APIGEE_HOME
を設定します。export APIGEE_HOME=/opt/apigee/edge-postgres-server
- 新しいパスワードを暗号化します。
sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password
このコマンドは、暗号化されたパスワードを返します。暗号化されたパスワードは「:」の後に始まり、「:」は含まれません。たとえば、「apigee1234」の暗号化されたパスワードは次のようになります。
Encrypted string:WheaR8U4OeMEM11erxA3Cw==
- Management Server ノードを、
postgres
ユーザーとapigee
ユーザーの新しい暗号化されたパスワードで更新します。- Management Server で
/opt/apigee/customer/application
ディレクトリに移動します。 management-server.properties
ファイルを編集して次のプロパティを設定します。このファイルが存在しない場合は作成します。- ファイルの所有者を
apigee
ユーザーに設定します。chown apigee:apigee management-server.properties
- Management Server で
- すべての Postgres Server ノードと Qpid Server ノードを、暗号化された新しいパスワードで更新します。
- Postgres Server ノードまたは Qpid Server ノードで、次のディレクトリに移動します。
/opt/apigee/customer/application
- 次のファイルを編集します。
postgres-server.properties
qpid-server.properties
これらのファイルが存在しない場合は作成します。
- 次のプロパティをファイルに追加します。
conf_pg-agent_password=newEncryptedPasswordForPostgresUser
conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
- ファイルの所有者を
apigee
ユーザーに設定します。chown apigee:apigee postgres-server.properties
chown apigee:apigee qpid-server.properties
- Postgres Server ノードまたは Qpid Server ノードで、次のディレクトリに移動します。
- SSO コンポーネントを更新します(SSO が有効になっている場合)。
apigee-sso
コンポーネントが実行されているノードに接続するか、そのノードにログインします。これは SSO サーバーとも呼ばれます。AIO または 3 ノード インストールでは、このノードは Management Server と同じノードです。
複数のノードで
apigee-sso
コンポーネントを実行している場合は、各ノードでこれらの手順を行う必要があります。- 次のファイルを編集用に開きます。
/opt/apigee/customer/application/sso.properties
ファイルが存在しない場合は作成します。
- このファイルに次の行を追加します。
conf_uaa_database_password=new_password_in_plain_text
次に例を示します。
conf_uaa_database_password=apigee1234
- 次のコマンドを実行して、構成の変更を
apigee-sso
コンポーネントに適用します。/opt/apigee/apigee-service/bin/apigee-service apigee-sso configure
- この手順を SSO サーバーごとに繰り返します。
- 次のコンポーネントを次の順序で再起動します。
- PostgreSQL データベース:
/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
- Qpid Server:
/opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
- Postgres Server:
/opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
- Management Server:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
- SSO サーバー:
/opt/apigee/apigee-service/bin/apigee-service apigee-sso restart
- PostgreSQL データベース: