為 Management API 設定傳輸層安全標準 (TLS)

根據預設，管理 API 的 TLS 已停用，您必須使用管理伺服器節點的 IP 位址和 8080 通訊埠，透過 HTTP 存取 Edge 管理 API。例如：

http://ms_IP:8080

另外，您也可以設定 Management API 的 TLS 存取權，以便在 表單：

https://ms_IP:8443

在這個範例中，您會將 TLS 存取權設為使用 8443 通訊埠。不過，通訊埠號碼 以便將管理伺服器設定為使用其他通訊埠值。只有 您的防火牆允許流量通過指定的通訊埠。

如要確保傳入及傳出 Management API 的流量加密，請前往「 /opt/apigee/customer/application/management-server.properties 檔案。

除了 TLS 設定之外，您也可以修改 management-server.properties 檔案，藉此控制密碼驗證 (密碼長度和強度)。

確認 TLS 通訊埠已開啟

本節的程序會將 TLS 設為在管理伺服器上使用 8443 通訊埠。無論使用哪個通訊埠，您都必須確保該通訊埠在管理介面上已開啟 伺服器例如，您可以使用下列指令開啟它：

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

設定 TLS

編輯 /opt/apigee/customer/application/management-server.properties 檔案，控管管理 API 傳入和傳出流量的 TLS 用量。如果這個檔案不存在，請建立這個檔案。

如何設定 Management API 的 TLS 存取權：

1. 產生包含 TLS 認證和私密金鑰的 KeyStore JKS 檔案。如要 請參閱為 Edge On Premises 設定 TLS/SSL。
2. 將金鑰庫 JKS 檔案複製到管理伺服器節點的目錄，例如 /opt/apigee/customer/application。
3. 將 JKS 檔案的擁有權變更為「apigee」使用者：

   chown apigee:apigee keystore.jks

   其中 keystore.jks 是 KeyStore 檔案的名稱。

4. 編輯「/opt/apigee/customer/application/management-server.properties」 設定下列屬性。如果該檔案不存在，請建立一個：

   conf_webserver_ssl.enabled=true
   # Leave conf_webserver_http.turn.off set to false
   # because many Edge internal calls use HTTP.
   conf_webserver_http.turn.off=false
   conf_webserver_ssl.port=8443
   conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
   # Enter the obfuscated keystore password below.
   conf_webserver_keystore.password=OBF:obfuscatedPassword

   其中 keyStore.jks 是您的 KeyStore 檔案，而 obfuscatedPassword 是您經過模糊處理的 KeyStore 密碼。如要瞭解如何產生經過模糊處理的密碼，請參閱「為 Edge On Premises 設定 TLS/SSL」。

5. 使用下列指令重新啟動 Edge Management Server：

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

管理 API 現已支援透過 TLS 存取。

設定 Edge UI 使用 TLS 存取 Edge API

在上述程序中，Apigee 建議離開 conf_webserver_http.turn.off=false： Edge UI 可以繼續透過 HTTP 發出 Edge API 呼叫。

請按照下列程序設定 Edge UI，僅透過 HTTPS 發出這類呼叫：

1. 按照上文所述，設定 Management API 的 TLS 存取權。
2. 確認管理 API 可使用 TLS 後，請編輯 /opt/apigee/customer/application/management-server.properties 來設定下列屬性：

   conf_webserver_http.turn.off=true

3. 執行下列指令，重新啟動 Edge Management Server：

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 

4. 編輯「/opt/apigee/customer/application/ui.properties」 為 Edge UI 設定下列屬性：

   conf_apigee_apigee.mgmt.baseurl="https://FQ_domain_name:port/v1"

   其中 FQ_domain_name 是完整網域名稱，取自管理伺服器的憑證位址，而 port 是 conf_webserver_ssl.port 在上述指定的通訊埠。

   如果 ui.properties 不存在，請建立該屬性。

5. 如果您在設定上述管理 API 的 TLS 存取權時使用了自行簽署的憑證 (不建議在實際工作環境中使用)，請將下列屬性加入 ui.properties：

   conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true

   否則 Edge UI 會拒絕自行簽署的憑證。

6. 執行下列指令，重新啟動 Edge UI：

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

針對支援 FIPS 的作業系統使用 PKCS12 金鑰庫

如果您在支援 FIPS 的作業系統上使用 Edge for Private Cloud，則必須使用 PKCS12 金鑰庫。這項規定是為了遵守 FIPS 標準。除了本文提及的其他標準設定外，請在 management-server.properties 檔案中新增下列設定：

conf/webserver.properties+keystore.type=PKCS12

如果您的環境已啟用 FIPS，請務必套用這項變更，確保與所需的加密標準相容。

管理伺服器的 TLS 屬性

下表列出可供您設定的所有 TLS/SSL 屬性 management-server.properties:

OBF:xxxxxxxxxx

OBF:xxxxxxxxxx

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$