Настройка TLS между маршрутизатором и процессором сообщений

По умолчанию TLS между маршрутизатором и процессором сообщений отключен.

Чтобы включить шифрование TLS между маршрутизатором и процессором сообщений:

  1. Убедитесь, что порт 8082 процессора сообщений доступен маршрутизатору.
  2. Создайте файл JKS хранилища ключей, содержащий ваш сертификат TLS и закрытый ключ. Дополнительные сведения см. в разделе Настройка TLS/SSL для Edge On Premises .
  3. Скопируйте файл JKS хранилища ключей в каталог на сервере процессора сообщений, например /opt/apigee/customer/application .
  4. Измените разрешения и владельца файла JKS:
    chown apigee:apigee /opt/apigee/customer/application/keystore.jks
    chmod 600 /opt/apigee/customer/application/keystore.jks

    Где keystore.jks — это имя вашего файла хранилища ключей.

  5. Отредактируйте файл /opt/apigee/customer/application/message-processor.properties . Если файл не существует, создайте его.
  6. Установите следующие свойства в файле message-processor.properties :
    conf_message-processor-communication_local.http.ssl=true
    conf/message-processor-communication.properties+local.http.port=8443
    conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
    conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keystore.jks
    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
    # Enter the obfuscated keystore password below.
    conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    Где keystore.jks — это ваш файл хранилища ключей, а obsPword — это ваше скрытое хранилище ключей и пароль-псевдоним.

    Примечание. Значение

    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
    должно быть таким же, как значение, указанное в опции -alias команды keytool , описанной в конце раздела «Создание файла JKS» .

    Информацию о создании запутанного пароля см. в разделе Настройка TLS/SSL для Edge On Premises .

  7. Убедитесь, что файл message-processor.properties принадлежит пользователю apigee:
    chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Остановите процессоры сообщений и маршрутизаторы:
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
    /opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. На маршрутизаторе удалите все файлы в каталоге /opt/nginx/conf.d :
    rm -f /opt/nginx/conf.d/*
  10. Запустите процессоры сообщений и маршрутизаторы:
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor start
    /opt/apigee/apigee-service/bin/apigee-service edge-router start
  11. Повторите этот процесс для каждого процессора сообщений.

После включения TLS между маршрутизатором и процессором сообщений файл журнала процессора сообщений содержит следующее INFO сообщение:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Это заявление INFO подтверждает, что TLS работает между маршрутизатором и процессором сообщений.

В следующей таблице перечислены все доступные свойства в message-processor.properties :

Характеристики Описание
conf_message-processor-communication_local.
  http.host=localhost_or_IP_address
Необязательный. Имя хоста для прослушивания подключений маршрутизатора. Это переопределяет имя хоста, настроенное при регистрации.
conf/message-processor-communication.
  properties+local.http.port=8998
Необязательный. Порт для прослушивания подключений маршрутизатора. По умолчанию — 8998.
conf_message-processor-communication_local.
  http.ssl=[ false | true ]
Установите для этого параметра значение true , чтобы включить TLS/SSL. По умолчанию — false . Если TLS/SSL включен, вы должны установить local.http.ssl.keystore.path и local.http.ssl.keyalias .
conf/message-processor-communication.
  properties+local.http.ssl.keystore.path=
Путь локальной файловой системы к хранилищу ключей (JKS или PKCS12). Обязательно, если local.http.ssl=true .
conf/message-processor-communication.
  properties+local.http.ssl.keyalias=
Псевдоним ключа из хранилища ключей, который будет использоваться для соединений TLS/SSL. Обязательно, если local.http.ssl=true .
conf/message-processor-communication.
  properties+local.http.ssl.keyalias.password=
Пароль, используемый для шифрования ключа внутри хранилища ключей. Используйте запутанный пароль в следующем формате:
OBF:obsPword
conf/message-processor-communication.
  properties+local.http.ssl.keystore.type=jks
Тип хранилища ключей. В настоящее время поддерживаются только JKS и PKCS12. По умолчанию — JKS.
conf/message-processor-communication.
  properties+local.http.ssl.keystore.password=
Необязательный. Запутанный пароль для хранилища ключей. Используйте запутанный пароль в следующем формате:
OBF:obsPword
conf_message-processor-communication_local.
  http.ssl.ciphers=cipher1,cipher2
Необязательный. При настройке разрешены только перечисленные шифры. Если этот параметр опущен, используйте все шифры, поддерживаемые JDK.