Resetowanie haseł Edge

Po zakończeniu instalacji możesz zresetować te hasła:

Instrukcje resetowania każdego z tych haseł znajdują się w kolejnych sekcjach.

Zresetuj hasło OpenLDAP

Sposób resetowania hasła OpenLDAP zależy od konfiguracji. W zależności od konfiguracji Edge możesz zainstalować OpenLDAP jako:

  • Pojedyncza instancja OpenLDAP zainstalowana w węźle serwera zarządzania. na przykład w konfiguracji brzegowej z 2 węzłami, 5 węzłami lub 9 węzłami.
  • Zainstalowano wiele instancji OpenLDAP w węzłach serwera zarządzania skonfigurowanych z replikacją OpenLDAP. na przykład w konfiguracji Edge z 12 węzłami.
  • Wiele instancji OpenLDAP zainstalowanych w własnych węzłach skonfigurowanych z replikacją OpenLDAP. na przykład w konfiguracji Edge z 13 węzłami.

W przypadku pojedynczej instancji OpenLDAP zainstalowanej na serwerze zarządzania wykonaj te czynności:

  1. W węźle serwera zarządzania uruchom następujące polecenie, aby utworzyć nowe hasło OpenLDAP: 
    /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ 
  change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD
  2. Uruchom to polecenie, aby zapisać nowe hasło na potrzeby serwera zarządzania: 
    /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ 
  store_ldap_credentials ‑p NEW_PASSWORD

    To polecenie uruchamia ponownie serwer zarządzania.

W konfiguracji replikacji OpenLDAP z zainstalowanym OpenLDAP w węzłach serwera zarządzania wykonaj opisane powyżej czynności w obu węzłach serwera zarządzania, aby zaktualizować hasło.

W konfiguracji replikacji OpenLDAP z OpenLDAP w węźle innym niż serwer zarządzania pamiętaj, aby najpierw zmienić hasło w obu węzłach OpenLDAP, a następnie w obu węzłach serwera zarządzania.

Zresetuj hasło administratora systemu

Zresetowanie hasła administratora systemu wymaga zresetowania go w dwóch miejscach:

  • Serwer zarządzania
  • Interfejs użytkownika

Aby zresetować hasło administratora systemu:

  1. Edytuj cichy plik konfiguracji użyty do zainstalowania interfejsu użytkownika Edge, aby ustawić te właściwości: 
    APIGEE_ADMINPW=NEW_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
SMTPMAILFROM="My Company <myco@company.com>"

    Pamiętaj, że podczas przekazywania nowego hasła musisz uwzględnić właściwości SMTP, ponieważ wszystkie właściwości w interfejsie użytkownika są resetowane.

  2. W węźle UI zatrzymaj interfejs Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  3. Użyj narzędzia apigee-setup, aby zresetować hasło w interfejsie użytkownika Edge z poziomu pliku konfiguracji: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  4. (Tylko wtedy, gdy protokół TLS jest włączony w interfejsie) Włącz ponownie protokół TLS w interfejsie użytkownika Edge zgodnie z opisem w sekcji Konfigurowanie protokołu TLS w interfejsie użytkownika zarządzania.
  5. Na serwerze zarządzania utwórz nowy plik XML. W tym pliku ustaw identyfikator użytkownika na „admin” oraz określ hasło, imię, nazwisko i adres e-mail w tym formacie: 
    <User id="admin">
  <Password><![CDATA[password]]></Password>
  <FirstName>first_name</FirstName>
  <LastName>last_name</LastName>
  <EmailId>email_address</EmailId>
</User>
  6. Na serwerze zarządzania wykonaj to polecenie:
    curl -u "admin_email_address:admin_password" -H \
"Content-Type: application/xml" -H "Accept: application/json" -X POST \
"http://localhost:8080/v1/users/admin_email_address" -d @your_data_file

    Gdzie your_data_file to plik utworzony w poprzednim kroku.

    Edge zaktualizuje Twoje hasło administratora na serwerze zarządzania.

  7. Usuń utworzony plik XML. Hasła nie powinny być trwale przechowywane w postaci zwykłego tekstu.

W środowisku replikacji OpenLDAP z wieloma serwerami zarządzania zresetowanie hasła na jednym serwerze zarządzania automatycznie aktualizuje drugi serwer zarządzania. Musisz jednak zaktualizować wszystkie węzły UI Edge oddzielnie.

Zresetuj hasło użytkownika organizacji

Aby zresetować hasło użytkownika organizacji, użyj narzędzia apigee-servce do wywołania apigee-setup, jak pokazano w poniższym przykładzie:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

Na przykład:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword
cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

Poniżej znajduje się przykładowy plik konfiguracyjny, którego można użyć z opcją „-f”:

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

Hasło użytkownika możesz też zmienić za pomocą interfejsu API Update user.

Reguły dotyczące haseł administratorów i użytkowników organizacji

W tej sekcji możesz określić wymagany poziom długości i siły hasła dla użytkowników zarządzających interfejsami API. Ustawienia korzystają z serii wstępnie skonfigurowanych (i niepowtarzalnych) wyrażeń regularnych do sprawdzania treści hasła (np. wielkich liter, małych liter, cyfr i znaków specjalnych). Zapisz te ustawienia w pliku /opt/apigee/customer/application/management-server.properties. Jeśli taki plik nie istnieje, utwórz go.

Po zakończeniu edycji management-server.properties ponownie uruchom serwer zarządzania:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Następnie możesz ustawić oceny siły haseł, grupując różne kombinacje wyrażeń regularnych. Możesz na przykład ustalić, że hasło z co najmniej 1 wielką literą i jedną małą literą otrzyma ocenę siły „3”, a hasło z co najmniej jedną małą literą i jedną cyfrą otrzyma silniejszą ocenę „4”.

Właściwość Opis 
conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

Za ich pomocą możesz określić ogólne cechy prawidłowych haseł. Domyślna minimalna ocena siły hasła (opisana w dalszej części tabeli) to 3.

Zwróć uwagę, że wartość hasła has.validation.default.rating=2 jest niższa od minimalnej oceny. Oznacza to, że jeśli wpisane hasło nie będzie naruszać skonfigurowanych przez Ciebie reguł, otrzyma ono ocenę 2 i dlatego będzie nieprawidłowe (poniżej minimalnej oceny 3).

Poniżej przedstawiono wyrażenia regularne określające cechy haseł. Zwróć uwagę, że każdy z nich jest ponumerowany. Na przykład password.validation.regex.5=... to wyrażenie numer 5. Użyjesz ich w dalszej części pliku do skonfigurowania różnych kombinacji, które określają ogólną siłę hasła.

 
conf_security_password.validation.regex.1=^(.)\\1+$

1: wszystkie znaki się powtarzają

 
conf_security_password.validation.regex.2=^.*[a-z]+.*$

2: co najmniej jedna mała litera

 
conf_security_password.validation.regex.3=^.*[A-Z]+.*$

3: co najmniej jedna wielka litera

 
conf_security_password.validation.regex.4=^.*[0-9]+.*$

4: co najmniej jedna cyfra

 
conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

5: co najmniej jeden znak specjalny (bez podkreślenia _).

 
conf_security_password.validation.regex.6=^.*[_]+.*$

6: Co najmniej jedno podkreślenie

 
conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

7: Więcej niż jedna mała litera

 
conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

8: więcej niż jedna wielka litera

 
conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

9: więcej niż jedna cyfra

 
conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

10: więcej niż 1 znak specjalny (bez podkreślenia)

 
conf_security_password.validation.regex.11=^.*[_]{2,}.*$

11: Więcej niż jedno podkreślenie

Poniższe reguły określają siłę hasła na podstawie treści hasła. Każda reguła zawiera co najmniej jedno wyrażenie regularne z poprzedniej sekcji i przypisuje do niej siłę liczbową. Siła liczbowa hasła jest porównywana z wartością conf_security_password.validation.minimum.rating.required u góry tego pliku w celu określenia, czy hasło jest prawidłowe.

 
conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

Każda reguła jest ponumerowana. Na przykład password.validation.rule.3=... to reguła numer 3.

Każda reguła ma następujący format (na prawo od znaku równości):

regex-index-list,[AND|OR],rating

regex-index-list to lista wyrażeń regularnych (według liczb z poprzedniej sekcji) wraz z operatorem AND|OR (oznacza, że weź pod uwagę wszystkie wymienione wyrażenia lub dowolne z nich).

rating to wartość liczbowa przypisana do każdej reguły.

Na przykład reguła 5 oznacza, że każde hasło zawierające co najmniej jeden znak specjalny LUB jeden podkreślenie otrzymuje ocenę siły 4. Jeśli u góry pliku znajduje się słowo password.validation.minimum.rating.required=3, prawidłowe jest hasło z oceną 4.

 
conf_security_rbac.password.validation.enabled=true

Ustaw weryfikację hasła kontroli dostępu opartej na rolach na fałsz, gdy włączone jest logowanie jednokrotne. Wartość domyślna to true (prawda).

Zresetuj hasło do Cassandra

Domyślnie aplikacja Cassandra ma wyłączone uwierzytelnianie. Jeśli włączysz uwierzytelnianie, będzie używane wstępnie zdefiniowane konto użytkownika o nazwie cassandra z hasłem cassandra. Możesz użyć tego konta, ustawić do niego inne hasło lub utworzyć nowego użytkownika Cassandra. Użytkowników możesz dodawać, usuwać i modyfikować za pomocą instrukcji CREATE/ALTER/DROP USER Cassandra.

Aby dowiedzieć się, jak włączyć uwierzytelnianie Cassandra, zobacz Włączanie uwierzytelniania Cassandra.

Aby zresetować hasło do Cassandra, musisz:

  • Gdy ustawisz hasło w dowolnym węźle Cassandra, zostanie ono rozesłane do wszystkich węzłów Cassandra w pierścieniu
  • Zaktualizuj serwer zarządzania, procesory wiadomości, routery, serwery Qpid i serwery Postgres w każdym węźle, podając nowe hasło

Więcej informacji znajdziesz w artykule Polecenia CQL.

Aby zresetować hasło do Cassandra:

  1. Zaloguj się w dowolnym węźle Cassandra za pomocą narzędzia cqlsh i domyślnych danych logowania. Hasło wystarczy zmienić tylko w 1 węźle Cassandra. Zostanie ono wysłane do wszystkich węzłów Cassandra w pierścieniu: 
    /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'

    Gdzie:

    • cassIP to adres IP węzła Cassandra.
    • 9042 to port Cassandra.
    • Domyślnym użytkownikiem jest cassandra.
    • Domyślne hasło to „cassandra”. Jeśli zostało zmienione wcześniej hasło, użyj obecnego hasła. Jeśli hasło zawiera znaki specjalne, musisz je ująć w cudzysłów.
  2. Aby zaktualizować hasło, wykonaj następujące polecenie jako znak zachęty cqlsh>: 
    ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

    Jeśli nowe hasło zawiera pojedynczy znak cudzysłowu, zmień jego znaczenie, poprzedzając je pojedynczym znakiem cudzysłowu.

  3. Zamknij narzędzie cqlsh: 
    exit
  4. W węźle serwera zarządzania uruchom to polecenie: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'

    Opcjonalnie możesz przekazać do polecenia plik zawierający nową nazwę użytkownika i hasło: 

    apigee-service edge-management-server store_cassandra_credentials -f configFile

    Gdzie configFile zawiera te elementy: 

    CASS_USERNAME=CASS_USERNAME
CASS_PASSWORD='CASS_PASSWROD'

    To polecenie powoduje automatyczne ponowne uruchomienie serwera zarządzania.

  5. Powtórz krok 4 z:
    • Wszystkie procesory wiadomości
    • Wszystkie routery
    • Wszystkie serwery Qpid (edge-qpid-server)
    • Serwery Postgres (edge-postgres-server)

Hasło do Cassandra zostało zmienione.

Zresetuj hasło do PostgreSQL

Domyślnie w bazie danych PostgreSQL są zdefiniowane 2 użytkowników: postgres i apigee. Obaj użytkownicy mają ustawione domyślne hasło postgres. Aby zmienić hasło domyślne, wykonaj czynności opisane poniżej.

Zmień hasło we wszystkich węzłach głównych Postgres. Jeśli masz 2 serwery Postgres skonfigurowane w trybie mastera/gotowości, musisz zmienić tylko hasło w węźle nadrzędnym. Więcej informacji znajdziesz w artykule o konfigurowaniu replikacji gotowości instancji głównej dla Postgres .

  1. W węźle głównego Postgres zmień katalogi na /opt/apigee/apigee-postgresql/pgsql/bin.
  2. Ustaw hasło użytkownika PostgreSQL postgres:
    1. Zaloguj się do bazy danych PostgreSQL za pomocą polecenia: 
      psql -h localhost -d apigee -U postgres
    2. Gdy pojawi się prośba, wpisz obecne hasło użytkownika postgres jako postgres.
    3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić domyślne hasło: 
      ALTER USER postgres WITH PASSWORD 'new_password';

      Gdy się uda, PostgreSQL odpowie w ten sposób:

      ALTER ROLE
    4. Zamknij bazę danych PostgreSQL przy użyciu tego polecenia: 
      \q
  3. Ustaw hasło użytkownika PostgreSQL apigee:
    1. Zaloguj się do bazy danych PostgreSQL za pomocą polecenia: 
      psql -h localhost -d apigee -U apigee
    2. Gdy pojawi się prośba, wpisz hasło użytkownika apigee jako postgres.
    3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić domyślne hasło: 
      ALTER USER apigee WITH PASSWORD 'new_password';
    4. Zamknij bazę danych PostgreSQL przy użyciu polecenia: 
      \q

    Hasła użytkowników postgres i apigee możesz ustawić na tę samą lub różne wartości.

  4. Ustaw APIGEE_HOME: 
    export APIGEE_HOME=/opt/apigee/edge-postgres-server
  5. Zaszyfruj nowe hasło: 
    sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password

    To polecenie zwraca zaszyfrowane hasło. Zaszyfrowane hasło rozpoczyna się po znaku „:” i nie zawiera znaku „:”. Na przykład zaszyfrowane hasło „apigee1234” to:

    Encrypted string:WheaR8U4OeMEM11erxA3Cw==
  6. Zaktualizuj węzeł serwera zarządzania o nowe zaszyfrowane hasła dla użytkowników postgres i apigee.
    1. Na serwerze zarządzania zmień katalog na /opt/apigee/customer/application.
    2. Edytuj plik management-server.properties, aby ustawić poniższe właściwości. Jeśli plik nie istnieje, utwórz go.
    3. Sprawdź, czy plik należy do użytkownika apigee: 
      chown apigee:apigee management-server.properties
  7. Zaktualizuj wszystkie węzły serwera Postgres i Qpid Server o nowe zaszyfrowane hasło.
    1. W węźle Postgres Server lub Qpid Server przejdź do tego katalogu: 
      /opt/apigee/customer/application
    2. Otwórz te pliki do edycji:
      • postgres-server.properties
      • qpid-server.properties

      Jeśli te pliki nie istnieją, utwórz je.

    3. Dodaj do plików te właściwości:
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
    4. Sprawdź, czy pliki należą do użytkownika apigee: 
      chown apigee:apigee postgres-server.properties
chown apigee:apigee qpid-server.properties
  8. Zaktualizuj komponent logowania jednokrotnego (jeśli logowanie jednokrotne jest włączone):

    1. Połącz się z węzłem, na którym działa komponent apigee-sso, lub zaloguj się do niego. Jest on też nazywany serwerem logowania jednokrotnego.

      W instalacjach AIO lub z 3 węzłami ten węzeł jest tym samym węzłem co serwer zarządzania.

      Jeśli masz wiele węzłów z komponentem apigee-sso, musisz wykonać te czynności na każdym z nich.

    2. Otwórz ten plik do edycji: 
      /opt/apigee/customer/application/sso.properties

      Jeśli plik nie istnieje, utwórz go.

    3. Dodaj do pliku ten wiersz: 
      conf_uaa_database_password=new_password_in_plain_text

      Na przykład:

      conf_uaa_database_password=apigee1234
    4. Aby zastosować zmiany konfiguracji do komponentu apigee-sso, wykonaj to polecenie: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso configure
    5. Powtórz te czynności dla każdego serwera logowania jednokrotnego.
  9. Uruchom ponownie te komponenty w tej kolejności:
    1. Baza danych PostgreSQL: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart
    2. Serwer Qpid: 
      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart
    3. Serwer Postgres: 
      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart
    4. Serwer zarządzania: 
      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
    5. Serwer SSO: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart