Konserwacja Apigee mTLS

Na tej stronie opisujemy zadania konserwacji mTLS Apigee, które należy regularnie wykonywać.

Rotacja certyfikatów lokalnych

Certyfikaty lokalne, które są instalowane na każdym hoście Apigee, należy zastąpić nowymi co roku. Jest to tzw. rotacja certyfikatów. Istnieją 2 sposoby rotacji certyfikatów: w zależności od tego, używasz niestandardowego urzędu certyfikacji, certyfikat zainstalowany przez Consul.

Rotacja certyfikatów lokalnych bez niestandardowego urzędu certyfikacji

Najprostszym sposobem rotacji certyfikatów bez niestandardowego urzędu certyfikacji jest odinstaluj oraz ponownie zainstaluj apigee-mtls. Spowoduje to usunięcie wszystkich starych certyfikatów i wygenerowanie lokalnie nowych certyfikatów. Możesz to zrobić przy minimalnym czasie przestoju, wykonując następujące polecenia na każdym hoście: pojedynczo:

Uwaga: zakładamy, że jest to ten sam plik silent.conf, który był używany w przypadku obecna jest instalacja początkowa.

  1. Zatrzymaj wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
    Zobacz Uruchom/zatrzymaj/sprawdź wszystkie komponenty.
  2. Zatrzymaj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Odinstaluj aplikację apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Ponownie zainstaluj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Uruchomienie apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Uruchom ponownie apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Uruchom ponownie wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
    Zobacz Uruchom/zatrzymaj/sprawdź wszystkie komponenty.

Rotacja certyfikatów lokalnych z niestandardowym urzędem certyfikacji (CA)

Aby przeprowadzić rotację certyfikatów lokalnych z niestandardowym urzędem certyfikacji, wykonaj te czynności:

  1. Wykonaj czynności opisane w artykule Używanie certyfikatu niestandardowego. aby wygenerować nowe certyfikaty, których będziesz używać.
  2. Zatrzymaj wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
    Zobacz Uruchom/zatrzymaj/sprawdź wszystkie komponenty.
  3. Zatrzymaj apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Usuń stare pliki lokalnych certyfikatów: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Skopiuj nowy certyfikat/parę kluczy wygenerowaną w pierwszym kroku do tych lokalizacji. zaktualizuj uprawnienia: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Uruchom ponownie apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Uruchom ponownie wszystkie podstawowe komponenty Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
    Zobacz Uruchom/zatrzymaj/sprawdź wszystkie komponenty.