Konfigurowanie protokołu TLS dla interfejsu API zarządzania

Domyślnie interfejs Management API obsługuje wyłączone szyfrowanie TLS. Do interfejsu Management API w usłudze Edge uzyskujesz dostęp przez HTTP, korzystając z adresu IP węzła serwera zarządzania i portu 8080. Na przykład:

http://ms_IP:8080

Możesz też skonfigurować dostęp TLS do interfejsu API zarządzania, aby mieć do niego dostęp w postaci formularza:

https://ms_IP:8443

W tym przykładzie konfigurujesz dostęp TLS, aby używał portu 8443. Ten numer portu nie jest jednak wymagany przez Edge – możesz skonfigurować serwer zarządzający tak, aby używał innych wartości portu. Jedynym wymaganiem jest to, aby zapora sieciowa zezwalała na ruch przez określony port.

Aby zapewnić szyfrowanie ruchu do i z interfejsu API zarządzania, skonfiguruj ustawienia w pliku /opt/apigee/customer/application/management-server.properties.

Oprócz konfiguracji TLS możesz też kontrolować weryfikację hasła (długość i siłę hasła) przez zmodyfikowanie pliku management-server.properties.

Sprawdź, czy port TLS jest otwarty

Procedura opisana w tej sekcji konfiguruje TLS do korzystania z portu 8443 na serwerze zarządzania. Niezależnie od używanego portu musisz się upewnić, że jest on otwarty na serwerze zarządzania. Możesz go otworzyć, na przykład za pomocą tego polecenia:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Konfigurowanie TLS

Edytuj plik /opt/apigee/customer/application/management-server.properties, aby kontrolować użycie TLS w ruchu do i z interfejsu zarządzania API. Jeśli ten plik nie istnieje, utwórz go.

Aby skonfigurować dostęp TLS do interfejsu API do zarządzania:

1. Wygeneruj plik magazynu kluczy JKS zawierający certyfikat TLS i klucz prywatny. Więcej informacji znajdziesz w artykule Konfigurowanie TLS/SSL w przypadku usługi Edge On Premises.
2. Skopiuj plik JKS magazynu kluczy do katalogu w węźle serwera zarządzania, na przykład /opt/apigee/customer/application.
3. Zmień właściciela pliku JKS na użytkownika „apigee”:

   chown apigee:apigee keystore.jks

   Gdzie keystore.jks to nazwa pliku klucza.

4. Edytuj pole /opt/apigee/customer/application/management-server.properties, aby ustawić poniższe właściwości. Jeśli plik nie istnieje, utwórz go:

   conf_webserver_ssl.enabled=true
   # Leave conf_webserver_http.turn.off set to false
   # because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword

   Gdzie keyStore.jks to plik magazynu kluczy, a obfuscatedPassword to zaciemnione hasło do magazynu kluczy. Informacje o generowaniu zaciemnionego hasła znajdziesz w artykule o konfigurowaniu TLS/SSL na potrzeby tymczasowego przechowywania danych na serwerach brzegowych.

5. Ponownie uruchom serwer zarządzania brzegiem serwera za pomocą polecenia:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Interfejs API zarządzania obsługuje teraz dostęp przez protokół TLS.

Konfigurowanie interfejsu Edge, aby używał protokołu TLS do uzyskiwania dostępu do interfejsu Edge API

W ramach opisanej powyżej procedury firma Apigee zaleca pozostawienie wartości conf_webserver_http.turn.off=false, aby interfejs użytkownika Edge mógł nadal wywoływać interfejs Edge API przez HTTP.

Aby skonfigurować interfejs użytkownika przeglądarki Edge tak, aby te wywołania były wykonywane tylko przez HTTPS:

1. Skonfiguruj dostęp TLS do interfejsu API zarządzania zgodnie z instrukcjami podanymi powyżej.
2. Po potwierdzeniu, że interfejs TLS działa w przypadku interfejsu API zarządzania, otwórz plik /opt/apigee/customer/application/management-server.properties, aby ustawić tę właściwość:

   conf_webserver_http.turn.off=true

3. Uruchom ponownie serwer Edge Management Server, wykonując to polecenie:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 

4. Edytuj /opt/apigee/customer/application/ui.properties, aby ustawić tę właściwość interfejsu Edge:

   conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

   Gdzie FQ_domain_name to pełna nazwa domeny zgodnie z adresem serwera zarządzania w certyfikacie, a port to port określony powyżej przez conf_webserver_ssl.port.

   Jeśli plik ui.properties nie istnieje, utwórz go.

5. Tylko jeśli podczas konfigurowania dostępu TLS do interfejsu API zarządzania powyżej korzystasz z samodzielnie podpisanego certyfikatu (niezalecanego w środowisku produkcyjnym), dodaj do obiektu ui.properties tę właściwość:

   conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

   W przeciwnym razie interfejs Edge odrzuci samodzielnie podpisany certyfikat.

6. Uruchom ponownie interfejs Edge, wykonując to polecenie:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

Korzystanie z klucza PKCS12 w systemach operacyjnych zgodnych z FIPS

Jeśli używasz Edge dla Private Cloud w systemie operacyjnym z obsługą FIPS, musisz użyć magazynu kluczy PKCS12. Wymagamy tego, aby zachować zgodność ze standardami FIPS. Oprócz innych standardowych konfiguracji wymienionych w tym artykule dodaj do pliku management-server.properties tę konfigurację:

conf/webserver.properties+keystore.type=PKCS12

Wprowadź tę zmianę, jeśli Twoje środowisko obsługuje FIPS, aby zapewnić zgodność z wymaganymi standardami szyfrowania.

Właściwości TLS serwera zarządzania

Poniższa tabela zawiera wszystkie właściwości TLS/SSL, które możesz ustawić w management-server.properties:

OBF:xxxxxxxxxx

OBF:xxxxxxxxxx

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$