Apigee mTLS 功能可為 Private Cloud 叢集 Edge 中元件之間的通訊增加安全性。提供了業界標準的設定及安裝服務網格方式。支援套件管理和設定自動化。
架構總覽
為了提供元件之間的安全通訊,Apigee mTLS 會使用服務網格,在元件之間建立安全、相互驗證的 TLS 連線。
下圖顯示 Apigee mTLS 保護的 Apigee 元件 (in red) 之間的連結。圖中顯示的通訊埠為範例。如需每個元件可使用的範圍清單,請參閱「通訊埠用量」。
(請注意,標有「M」的通訊埠是用來管理元件,而且必須在元件上開啟,才能供管理伺服器存取)。
如上圖所示,Apigee mTLS 能夠為叢集內大多數元件之間的連線新增安全性,包括:
來源 | 目的地 | |
---|---|---|
管理伺服器 | 路由器、MP、QPid、LDAP、Postgres、Zookeeper 和 Cassandra 節點 | |
路由器 | 回送;Qpid、Zookeeper 和 Cassandra 節點 | |
訊息處理器 | 回送;Qpid、Zookeeper 和 Cassandra 節點 | |
ZooKeeper 和 Cassandra | 其他 Zookeeper 和 Cassandra 節點 | |
Edge UI | SMTP (僅適用於外部 IdP) | |
Postgres | 其他 Postgres、Zookeeper 和 Cassandra 節點 |
郵件加密/解密
Apigee mTLS 服務網格由在叢集中的每個 ZooKeeper 節點上執行的 Consul 伺服器,以及叢集內每個節點上下列 Consul 服務運作:
- 「輸出 Proxy」,在主機節點上攔截外寄郵件。這項服務會先將傳出的訊息加密,再傳送至目的地。
- 「Ingress Proxy」,這個 Proxy 會在主機節點上攔截傳入的訊息。這項服務會先將收到的訊息解密,然後再將其傳送至最終目的地。
舉例來說,管理伺服器傳送訊息至路由器時,輸出 Proxy 服務會攔截並加密傳出訊息,然後再將其傳送至路由器。路由器節點收到訊息時,輸入 Proxy 服務會將訊息解密,然後將訊息傳送至路由器元件進行處理。
這所有作業都會公開向 Edge 元件執行,因為它們不知道 Consul Proxy 服務執行的加密和解密程序。
此外,Apigee mTLS 使用 iptables
公用程式,是管理流量重新導向的 Linux 防火牆服務。
需求條件
您的環境必須符合下列規定,才能安裝 Apigee mTLS:
以下各節將詳細說明這些規定。
拓撲需求
Apigee mTLS 要求環境的拓撲必須包含至少三個 Zookeeper 節點。因此,您只能在使用 5、9、12 (多資料中心) 或 13 個節點的拓撲中安裝 Apigee mTLS。詳情請參閱「安裝拓撲」。
公用程式/套件
開始使用 Apigee mTLS 之前,您必須在叢集內的每部機器 (包括管理機器) 上安裝並啟用下列套件:
公用事業/套件 | 說明 | 安裝完成後確定要移除嗎? |
---|---|---|
base64 |
在安裝指令碼中驗證資料。 | |
gnu-bash gnu-sed gnu-grep |
由安裝指令碼和其他常見工具所使用。 | |
iptables |
取代預設防火牆 firewalld 。 |
|
iptables-services |
提供 iptables 公用程式的功能。 |
|
lsof |
供安裝指令碼使用。 | |
nc |
驗證 iptables 路線。 |
|
openssl |
在初始啟動程序期間,在本機簽署憑證。 |
在安裝期間,您也可以在管理機器上安裝 Consul 套件,以便產生憑證和加密金鑰。
apigee-mtls
套件會安裝並設定 Consul 伺服器,包括叢集中 ZooKeeper 節點的輸入和輸出 Proxy。
使用者帳戶權限
在安裝前,請先建立新的使用者帳戶,或確認您有權存取具有進階權限的帳戶。
在叢集內每個節點執行 Apigee mTLS 安裝作業的帳戶必須能夠:
- 啟動、停止、重新啟動及初始化 Apigee 元件
- 設定防火牆規則
- 建立新的 OS/系統使用者帳戶
- 透過
systemctl
啟用、停用、啟動、停止及遮蓋服務
管理機器 (建議)
Apigee 建議叢集內有一個節點,可用於執行本文所述的各種管理工作,包括:
- 安裝 HashiCorp Consul 1.6.2。
- 產生並發布憑證/金鑰組和八位元加密金鑰。
- 更新並發布設定檔。
設定管理機器時:
- 確認您具備這項權限的根存取權。
- 按照「安裝 Edge apigee-setup 公用程式」的說明,下載並安裝
apigee-service
和apigee-setup
公用程式。 - 確保您可以使用
scp/ssh
從管理機器存取叢集中的所有節點。以便發布設定檔和憑證。
通訊埠使用情形和指派
本節說明通訊埠用量和通訊埠指派,以支援 Consul 與 Apigee mTLS 之間的通訊。
通訊埠用量:所有執行 apigee-mtls 的節點
在叢集中使用 apigee-mtls
服務的所有節點,都必須允許來自 localhost (127.0.0.1) 上服務的連線。這可讓 Consul Proxy 在處理傳入和傳出訊息時,與其他服務進行通訊。
通訊埠用量:Consul 伺服器節點 (執行 ZooKeeper 的節點)
您必須在 Consul 伺服器節點 (執行 ZooKeeper 的節點) 上開啟下列大部分通訊埠,才能接受叢集中所有節點發出的要求:
節點 | Consul 伺服器通訊埠 | 說明 | 通訊協定 | 允許外部 mtls-agents * |
---|---|---|---|---|
Consul 伺服器 (ZooKeeper 節點) | 8300 |
連線至叢集中的所有 Consul 伺服器。 | RPC | |
8301 |
處理叢集內的成員資格和廣播訊息。 | UDP/TCP | ||
8302 |
以多資料中心設定處理成員資格和廣播訊息的 WAN 通訊埠。 | UDP/TCP | ||
8500 |
處理從相同節點上程序連至 Consul Server API 的 HTTP 連線。 這個通訊埠不會用於遠端通訊或協調,只會在本機主機上監聽。 |
HTTP | ||
8502 |
處理叢集內其他節點與 Consul Server API 之間的 gRPC+HTTPS 連線。 | gRPC+HTTPS | ||
8503 |
處理從叢集內其他節點到 Consul Server API 的 HTTPS 連線。 | HTTPS | ||
8600 |
處理 Consul 伺服器的 DNS。 | UDP/TCP | ||
* Apigee 建議將傳入要求限制為僅限叢集成員 (包括跨資料儲存庫)。方法是使用 iptables 。 |
如上表所示,執行 consul-server
元件 (ZooKeeper 節點) 的節點必須對執行 apigee-mtls
服務的叢集「所有」成員開啟通訊埠 8301、8302、8502 和 8503,甚至是跨資料中心。非執行 ZooKeeper 的節點不需要開啟這些通訊埠。
所有 Consul 節點的通訊埠指派作業 (包括執行 ZooKeeper 的節點)
為支援 Consul 通訊,執行下列 Apigee 元件的節點必須允許下列範圍內的通訊埠外部連線:
Apigee 元件 | 範圍 | 每個節點所需的通訊埠數量 |
---|---|---|
Apigee mTLS | 10700 至 10799 | 1 |
Cassandra | 10100 至 10199 | 2 |
訊息處理器 | 10500 至 10599 | 2 |
OpenLDAP | 10200 至 10299 | 1 |
Postgres | 10300 至 10399 | 3 |
Qpid | 10400 至 10499 | 2 |
路由器 | 10600 至 10699 | 2 |
ZooKeeper | 10000 至 10099 | 3 |
Consul 以簡單的線性方式指派通訊埠。舉例來說,如果您的叢集有兩個 Postgres 節點,第一個節點會使用兩個通訊埠,因此 Consul 會指派通訊埠 10300 和 10301。第二個節點也會使用兩個通訊埠,因此 Consol 會將 10302 和 10303 指派給該節點。這適用於所有元件類型。
如您所見,實際通訊埠數量視拓撲而定:如果您的叢集有兩個 Postgres 節點,您就必須開啟四個通訊埠 (兩個節點乘以兩個通訊埠)。
注意事項:
- Consul Proxy 無法監聽與 Apigee 服務相同的通訊埠。
- Consul 只有一個通訊埠位址空間。在包含資料中心的叢集中,Consul Proxy 通訊埠指派作業不得重複。這表示如果主機 A 上的 Proxy A 在通訊埠 15000 上監聽,則主機 B 上的 Proxy B 就無法監聽通訊埠 15000。
- 如上所述,使用的通訊埠數量會因拓撲而異。
在多資料中心設定中,所有執行 mTLS 的主機也必須開啟通訊埠 8302。
您可以自訂 Apigee mTLS 使用的預設通訊埠。如要瞭解操作方式,請參閱「自訂 Proxy 通訊埠範圍」一文。
限制
Apigee mTLS 有下列限制:
- 不會加密節點間 Cassandra 通訊 (通訊埠 7000)
- 組態和設定不是冪等的。也就是說,如果您在一個節點上進行一項變更,就必須在所有節點上進行相同的變更,系統不會對任何其他節點套用該項變更。詳情請參閱變更現有的 apigee-mtls 設定。
術語
本節使用下列術語:
字詞 | 定義 |
---|---|
叢集 | 構成私有雲安裝邊緣的機器群組。 |
Consul | Apigee mTLS 使用的服務網格。如要瞭解 Consul 如何保護私人雲端通訊,請參閱 Consul 的安全性模型。 |
mTLS | 經過雙向驗證的傳輸層安全標準 (TLS)。 |
服務網格 | 「疊加層」網路 (或網路中的網路)。 |
TLS | 交易層安全性。用於安全通訊的業界標準驗證通訊協定。 |