Konfigurowanie wielu centrów danych dla Apigee mTLS

Apigee mTLS obsługuje wiele centrów danych, dzięki czemu możesz skalować konfigurację, aby obejmowała bardziej złożone topologie, takie jak instalacja klastrowa z 12 węzłami.

Proces instalacji usługi mTLS w topologii z wieloma centrami danych jest taki sam jak w przypadku prostszych topologii. Musisz jednak sprawdzić, czy instalacja spełnia wymagania wstępne, i zmienić pliki konfiguracji zgodnie z opisem w kolejnych sekcjach.

Wymagania wstępne

Aby korzystać z mTLS Apigee w wielu centrach danych, musisz:

  • Odinstaluj aplikację apigee-mtls i ponownie ją zainstaluj z konfiguracją wielu centrów danych. Nie możesz modyfikować istniejącej konfiguracji. Więcej informacji znajdziesz w artykule Zmienianie istniejącej konfiguracji apigee-mtls.
  • Otwórz port 8302 na każdym hoście, na którym działa mTLS.
  • Upewnij się, że wszyscy członkowie klastra mTLS mają unikalne adresy IP, które są spójne dla wszystkich członków klastra.
  • W poleceniach, w których może wystąpić niejednoznaczność, używaj ścieżek bezwzględnych do wskazywania plików konfiguracji.
  • Dodaj właściwości konfiguracji wielu centrów danych zgodnie z opisem w artykule Pliki konfiguracji dla wielu centrów danych.

Pliki konfiguracji dla wielu centrów danych

Aby korzystać z mTLS w Apigee w wielu centrach danych, musisz utworzyć osobny plik konfiguracji dla każdego z nich.

W każdym pliku konfiguracji:

  1. Zmień wartość właściwości konfiguracji ALL_IP, aby uwzględnić wszystkie adresy IP hosta we wszystkich regionach.
  2. Upewnij się, że wartość właściwości REGION to nazwa bieżącego regionu lub centrum danych. Na przykład „dc-1”.
  3. Dodaj te właściwości:
    Właściwość Opis
    APIGEE_MTLS_MULTI_DC_ENABLE Czy używasz konfiguracji z wieloma centrami danych. Ustaw na „y”, jeśli konfigurujesz wiele centrów danych. W przeciwnym razie pomiń tę opcję lub ustaw ją na „n”. Domyślnie nie jest ona uwzględniana.
    MTLS_LOCAL_REGION_IP oddzieloną spacjami listę wszystkich adresów IP używanych przez bieżący region, który konfigurujesz. Na przykład: „10.0.0.1 10.0.0.2 10.0.0.3”.

    W przypadku drugiego regionu w konfiguracji użyj właściwości MTLP_REMOTE_REGION_1_IP.
    MTLS_REMOTE_REGION_1_NAME Nazwa drugiego regionu w konfiguracji z wieloma centrami danych. Na przykład: „dc-2”.

    W pliku konfiguracji drugiego regionu wpisz „dc-2” dla REGION i „dc-1” dla MTLS_REMOTE_REGION_1_NAME..
    MTLS_REMOTE_REGION_1_IP Lista oddzielonych spacjami adresów IP używanych przez drugi region w konfiguracji z wieloma centrami danych. Na przykład: „10.0.0.4 10.0.0.5 10.0.0.6”.

Poniższe przykłady pokazują pliki konfiguracji dla 2 centrów danych („dc-1” i „dc-2”). Właściwości charakterystyczne dla konfiguracji z wieloma centrami danych są wyróżnione):

Plik konfiguracji dc-1

ALL_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104 10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
LDAP_MTLS_HOSTS="10.126.0.114 10.126.0.106"
ZK_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
CASS_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
PG_MTLS_HOSTS="10.126.0.104 10.126.0.112"
RT_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
MS_MTLS_HOSTS="10.126.0.114 10.126.0.106"
MP_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
QP_MTLS_HOSTS="10.126.0.132 10.126.0.133 10.126.0.102 10.126.0.100"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="zRNQ9lhRySNTfegiLLLfIQ=="
PATH_TO_CA_CERT="/opt/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/consul-agent-ca-key.pem"

APIGEE_MTLS_MULTI_DC_ENABLE="y"
REGION="dc-1"
MTLS_LOCAL_REGION_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104"
MTLS_REMOTE_REGION_1_NAME="dc-2"
MTLS_REMOTE_REGION_1_IP="10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"

Plik konfiguracji dc-2

ALL_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104 10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
LDAP_MTLS_HOSTS="10.126.0.114 10.126.0.106"
ZK_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
CASS_MTLS_HOSTS="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.106 10.126.0.105 10.126.0.95"
PG_MTLS_HOSTS="10.126.0.104 10.126.0.112"
RT_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
MS_MTLS_HOSTS="10.126.0.114 10.126.0.106"
MP_MTLS_HOSTS="10.126.0.113 10.126.0.96 10.126.0.105 10.126.0.95"
QP_MTLS_HOSTS="10.126.0.132 10.126.0.133 10.126.0.102 10.126.0.100"
ENABLE_SIDECAR_PROXY="y"
ENCRYPT_DATA="zRNQ9lhRySNTfegiLLLfIQ=="
PATH_TO_CA_CERT="/opt/consul-agent-ca.pem"
PATH_TO_CA_KEY="/opt/consul-agent-ca-key.pem"

APIGEE_MTLS_MULTI_DC_ENABLE="y"
REGION="dc-2"
MTLS_LOCAL_REGION_IP="10.126.0.106 10.126.0.105 10.126.0.95 10.126.0.102 10.126.0.100 10.126.0.112"
MTLS_REMOTE_REGION_1_NAME="dc-1"
MTLS_REMOTE_REGION_1_IP="10.126.0.114 10.126.0.113 10.126.0.96 10.126.0.132 10.126.0.133 10.126.0.104"

Informacje o standardowych właściwościach konfiguracji znajdziesz w sekcji Krok 1. Zaktualizuj plik konfiguracji.

Testowanie konfiguracji z wieloma centrami danych

Polecenie raft list-peers wyświetla listę adresów IP powiązanych ze wszystkimi węzłami ZooKeeper (ZK), na których działa proces Consul, jak wskazuje proces consul agent działający na serwerze. Te węzły nie są ograniczone do jednego centrum danych, ale obejmują wszystkie centra danych w konfiguracji.

Poniższe przykłady pokazują dane wyjściowe polecenia raft list-peers w przypadku konfiguracji z 2 DC z obsługą mTLS:

$ /opt/apigee/apigee-mtls-consul/bin/consul operator raft list-peers
Node              ID                                    Address            State     Voter  RaftProtocol
prc-test-2-20036  0f30e0fc-a33b-2cf9-91fc-3dd0c02711c7  10.126.0.116:8300  leader    true   3
prc-test-0-20036  9b00b259-5848-c72b-623e-7991ea1a5d1c  10.126.0.121:8300  follower  true   3
prc-test-1-20036  e92cd7b3-e2f2-30a1-2b06-c434160372f5  10.126.0.122:8300  follower  true   3
prc-test-6-20036  b196a6a1-2813-49d6-e141-b4f0cce19383  10.126.0.118:8300  follower  true   3
prc-test-7-20036  3708ca5f-a17f-a31e-42ed-bb1f92b1506c  10.126.0.120:8300  follower  true   3
prc-test-8-20036  ed7f1658-ea4b-abec-148b-427203d4200c  10.126.0.115:8300  follower  true   3

Aby rozwiązać problem z danymi wyjściowymi raft list-peers lub je zweryfikować, sprawdź, czy proces consul agent jest uruchomiony na wszystkich węzłach ZK. Aby to sprawdzić, uruchom to polecenie:

$ ps -elf
4 S consul     77903       1  3  80   0 - 382742 -     Jan13 ?        00:41:10 /opt/apigee/apigee-mtls-consul/bin/consul agent -config-file=/opt/apigee/apigee-mtls-4.52.02-0.0.20256/conf/server.json

To polecenie sprawdza, czy proces Consul jest aktywny i prawidłowo skonfigurowany na każdym węźle w konfiguracji z wieloma centrami danych.