প্রাইভেট ক্লাউডের জন্য Apigee Edge-এর সাউথবাউন্ড হার্ডওয়্যার নিরাপত্তা মডিউল ইন্টিগ্রেশন গাইড

রিলিজ ভার্সন: Edge for Private Cloud v4.53.01.02 প্যাচ রিলিজ ও তার পরের যেকোনও ভার্সন।

Entrust nShield® 5c নেটওয়ার্ক হার্ডওয়্যার সিকিউরিটি মডিউল (HSM) ব্যবহার করে কীভাবে সাউথবাউন্ড TLS কানেকশন (Apigee মেসেজ প্রসেসর থেকে ব্যাকএন্ড টার্গেট পরিষেবা) কনফিগার করতে হয় তা এই পৃষ্ঠায় ব্যাখ্যা করা হয়েছে।

থার্ড-পার্টি কন্টেন্ট ডিসক্লেমার: এই পৃষ্ঠাটি Apigee Edge ইন্টিগ্রেশনের সাথে সম্পর্কিত Entrust nShield হার্ডওয়্যারের জন্য কনফিগারেশন ধাপগুলি প্রদান করে। এইসব ধাপ স্ট্যান্ডার্ড ইন্টিগ্রেশন প্যাটার্নের উপর ভিত্তি করে তৈরি করা হয়েছে এবং শুধুমাত্র তথ্যমূলক উদ্দেশ্যে প্রদান করা হয়েছে। প্রস্তুতকারক Entrust কনফিগারেশনে পরিবর্তন করতে পারেন। প্রামাণিক স্পেসিফিকেশন, নিরাপত্তা কনফিগারেশন এবং বর্তমান হার্ডওয়্যার সংক্রান্ত প্রয়োজনীয়তার জন্য অফিসিয়াল Entrust ডকুমেন্টেশন পোর্টাল দেখুন।

এক নজরে

হার্ডওয়্যার নিরাপত্তা মডিউল (HSM) নিরাপদ কী স্টোরেজ ও ক্রিপ্টোগ্রাফিক অপারেশনের জন্য একটি ডেডিকেটেড, সুরক্ষিত এনভায়রনমেন্ট প্রদান করে। Entrust nShield HSM-এর সাথে প্রাইভেট ক্লাউডের জন্য Apigee Edge ইন্টিগ্রেট করার মাধ্যমে, আপনি সাউথবাউন্ড TLS এবং mTLS হ্যান্ডশেকে ব্যবহৃত প্রাইভেট কী সুরক্ষিত করতে পারবেন।

Apigee নিম্নলিখিত কম্পোনেন্ট জুড়ে আউটগোয়িং সাউথবাউন্ড HTTPS ট্রাফিকের জন্য HSM ইন্টিগ্রেশন কাজ করে:

• টার্গেট এন্ডপয়েন্ট
• টার্গেট সার্ভার
• পরিষেবা কলআউট সংক্রান্ত নীতি
• মেসেজ লগ করা সংক্রান্ত নীতি
• জাভাস্ক্রিপ্ট সংক্রান্ত নীতি

পূর্বশর্ত

HSM ইন্টিগ্রেশন কনফিগার করার আগে নিম্নলিখিত পূর্বশর্ত পূরণ করা হয়েছে কিনা তা নিশ্চিত করুন:

১. সফ্টওয়্যার ভার্সন সংক্রান্ত প্রয়োজনীয়তা

• প্রাইভেট ক্লাউডের জন্য Apigee Edge ক্লাস্টারকে অবশ্যই 4.53.01.02 বা এর পরের যেকোনও ভার্সনে চলতে হবে।
• HSM ইন্টিগ্রেশন নিম্নলিখিত RPM ভার্সনে (বা এর পরের যেকোনও ভার্সনে) নেটিভ হিসেবে অন্তর্ভুক্ত থাকে:
  • edge-management-server-4.53.01-0.0.60380.noarch.rpm
  • edge-message-processor-4.53.01-0.0.60380.noarch.rpm
  • edge-gateway-4.53.01-0.0.60380.noarch.rpm

২. ইনফ্রাস্ট্রাকচার ও অপারেটিং সিস্টেম কনফিগারেশন

• প্রাইভেট ক্লাউড ক্লাস্টারের জন্য Edge হোস্ট করা OS-এ FIPS বন্ধ করা থাকতে হবে।
• সব মেসেজ প্রসেসর নোডে HSM ক্লায়েন্ট ও Security World ইনস্টল ও কনফিগার করা থাকতে হবে।
• গুরুত্বপূর্ণ: এইসব ধাপ apigee ব্যবহারকারীকে অনুসরণ করতে হবে।

অফিসিয়াল Entrust nShield ডকুমেন্টে দেওয়া স্ট্যান্ডার্ড JCA/JCE CSP ইনস্টলেশন টেস্ট রান করে HSM ক্লায়েন্ট ইনস্টলেশন সঠিকভাবে কনফিগার করা হয়েছে কিনা এবং apigee ব্যবহারকারী সেটি অ্যাক্সেস করতে পারছেন কিনা তা যাচাই করুন। সব মেসেজ প্রসেসর নোডে এই পরীক্ষাটি সফলভাবে সম্পূর্ণ হয়েছে কিনা তা নিশ্চিত করুন।

কাজ করে এমন কনফিগারেশন

দুটি মোডে HSM ব্যবহার করার জন্য আপনি Apigee কনফিগার করতে পারবেন:

১. HSM মিক্সড মোড (সাজেস্ট করা)

এই মোডে, শুধুমাত্র ব্যক্তিগত কী (KeyStore) HSM-এ স্টোর করা হয়, যেখানে বিশ্বস্ত সার্টিফিকেট (TrustStore) স্ট্যান্ডার্ড Apigee সফ্টওয়্যার স্টোরেই থাকে।

২. সম্পূর্ণ HSM মোড

এই মোডে, KeyStore (প্রাইভেট কী) এবং TrustStore (বিশ্বস্ত সার্টিফিকেট) দুটিই HSM-এ সেভ করা হয়। এই মোড কাজ করে তবে অতিরিক্ত লেটেন্সি হতে পারে।

ধাপ ১: মেসেজ প্রসেসরে HSM চালু করুন

প্রতিটি মেসেজ প্রসেসর নোডে, একটি একটি করে এইসব ধাপ অনুসরণ করুন:

১. মেসেজ প্রসেসর বন্ধ করা

apigee-service edge-message-processor stop

২. HSM কীস্টোর ডেটা ফাইল যাচাই করা

মেসেজ প্রসেসর নোডে HSM Keystore Data File (HSM-এ লোড করা কী রেফারেন্স করা) আছে কিনা এবং সেটি apigee ব্যবহারকারীর মালিকানাধীন কিনা তা নিশ্চিত করুন:

chown apigee:apigee /opt/apigee/{name_of_the_Keystore_Data_File}

৩. HSM কনফিগারেশন ফাইল তৈরি করা

/opt/apigee/hsm-config.properties-এ কনফিগারেশন ফাইল তৈরি বা আপডেট করুন। HSM কীস্টোরের লোকেশন ও পাসওয়ার্ড এবং (ঐচ্ছিকভাবে) ট্রাস্টস্টোর নির্ধারণ করুন।

কনফিগারেশনের উদাহরণ (মিক্সড ও সম্পূর্ণ HSM প্রক্সি, দু'টিই কাজ করে):

# HSM KeyStore Reference
hsm.property.unique_keystore_ref1.keystore.file.location=/opt/apigee/ks.keystore
hsm.property.unique_keystore_ref1.keystore.password=keystore_password

# HSM TrustStore Reference (Optional, only needed for Full HSM Mode)
hsm.property.unique_truststore_ref1.truststore.file.location=/opt/apigee/ts.truststore
hsm.property.unique_truststore_ref1.truststore.password=truststore_password

সঠিক অনুমতি সেট করুন:

chown apigee:apigee /opt/apigee/hsm-config.properties

chmod 600 /opt/apigee/hsm-config.properties

৪. মেসেজ প্রসেসর প্রপার্টি কনফিগার করা

/opt/apigee/customer/application/message-processor.properties তৈরি বা এডিট করুন এবং নিম্নলিখিত তথ্য যোগ করুন:

# Enable HSM Integration
conf_system_apigee.hsm.enabled=true

# HSM Configuration File Path
conf_system_apigee.hsm.properties.file=/opt/apigee/hsm-config.properties

# Advanced Custom HSM Port Support (Optional, default is 9000/9001)
# conf_system_apigee.hsm.priv_port=9001
# conf_system_apigee.hsm.nonpriv_port=9000

সঠিক মালিকানা নিশ্চিত করুন:

chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

৫. আবার কনফিগার করে রিস্টার্ট করুন

apigee-service edge-message-processor configure

apigee-service edge-message-processor restart

৬. ইনিশিয়ালাইজেশন যাচাই করা

সঠিকভাবে শুরু করা সংক্রান্ত মেসেজের জন্য সিস্টেম লগ /opt/apigee/var/log/edge-message-processor/logs/system.log চেক করুন:

main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.isHSMConfigEnabled() : HSM_FLOW : HSM config is enabled
main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.loadProperties() : HSM_FLOW :  HSM config properties loaded from file /opt/apigee/hsm-config.properties

ধাপ ২: API প্রক্সি কনফিগার করা

API প্রক্সি কনফিগারেশনে SSLInfo ব্লক আপডেট করুন (TargetEndpoint, ServiceCallout বা নীতি)। HSM-ম্যানেজ করা স্টোরকে রেফারেন্স করতে hsmref:// প্রিফিক্স এবং সফ্টওয়্যার স্টোরের জন্য ref:// (বা স্ট্যান্ডার্ড রেফারেন্স নাম) ব্যবহার করুন।

১. HSM মিক্সড মোড কনফিগারেশন (সাজেস্ট করা)

KeyStore-এর জন্য HSM (ক্লায়েন্ট যাচাইকরণ) এবং TrustStore-এর জন্য সফ্টওয়্যার ব্যবহার করে।

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>ref://mySoftwareTrustStoreRef</TrustStore>
</SSLInfo>

২. সম্পূর্ণ HSM কনফিগারেশন

KeyStore ও TrustStore, দুটির জন্যই HSM ব্যবহার করে।

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>hsmref://unique_truststore_ref1</TrustStore>
</SSLInfo>

ডেপ্লয়মেন্ট-টাইম যাচাইকরণ বাইপাস করা

Apigee-এর Cassandra ডেটাবেসে ব্যক্তিগত কী আপলোড না করেই ডেপ্লয়মেন্ট সহজতর করতে, hsmref:// প্রিফিক্স দিয়ে শুরু হওয়া যেকোনও রেফারেন্সের জন্য ডেপ্লয়মেন্টের সময় Apigee অটোমেটিক এনভায়রনমেন্ট কীস্টোর/ট্রাস্টস্টোর অস্তিত্ব চেক বাইপাস করে।

অপারেশন: নতুন HSM কীস্টোর/ট্রাস্টস্টোর যোগ করা

আগে থেকেই চলছে এমন এনভায়রনমেন্টে নতুন HSM কীস্টোর বা ট্রাস্টস্টোর যোগ করতে:

1. ফিজিক্যাল HSM-এ কী/সার্টিফিকেট লোড করুন (HSM-এ কীস্টোর/ট্রাস্টস্টোর লোড করা দেখুন)।
2. নতুন কীস্টোর ডেটা ফাইলটি মেসেজ প্রসেসর নোডে কপি করুন এবং apigee-এ মালিকানা সেট করুন।
3. নতুন রেফারেন্স সহ সব মেসেজ প্রসেসর নোডে /opt/apigee/hsm-config.properties আপডেট করুন:

   hsm.property.new_keystore_ref.keystore.file.location=/opt/apigee/new_ks.keystore
   hsm.property.new_keystore_ref.keystore.password=new_password
       

4. প্রতিটি নোডে মেসেজ প্রসেসর রিস্টার্ট করুন:

   apigee-service edge-message-processor restart

5. নতুন hsmref://new_keystore_ref ব্যবহার করতে API প্রক্সি কনফিগারেশন আপডেট করুন এবং ডেপ্লয় করুন।

বিশ্বব্যাপী HSM বন্ধ করা

HSM বন্ধ করতে:

1. স্ট্যান্ডার্ড সফ্টওয়্যার রেফারেন্স (ref://) ব্যবহার করতে hsmref:// ব্যবহার করে সব অ্যাক্টিভ প্রক্সি আপডেট করুন।
2. প্রতিটি মেসেজ প্রসেসর নোডে, /opt/apigee/customer/application/message-processor.properties এডিট করুন এবং এগুলি সেট করুন:

   conf_system_apigee.hsm.enabled=false

3. মেসেজ প্রসেসর আবার কনফিগার করে রিস্টার্ট করুন:

   apigee-service edge-message-processor configure

   apigee-service edge-message-processor restart

সীমাবদ্ধতা ও সতর্কতা

• উপযুক্ত হার্ডওয়্যার: Entrust nShield 5c নেটওয়ার্ক HSM-এর মধ্যে সীমাবদ্ধ।
• পরিচালনা: HSM সার্ভার/ক্লায়েন্ট পরিচালনার দায়িত্ব গ্রাহকের।
• লেটেন্সি: HSM-এর সাথে নেটওয়ার্ক নেগোসিয়েশনের কারণে অতিরিক্ত লেটেন্সি হতে পারে। HSM মিক্সড মোড ব্যবহার করলে এটি কিছুটা কমানো যায়।
• HSM রিস্টার্ট: HSM হার্ডসার্ভার রিস্টার্ট হলে, আপনাকে অবশ্যই কানেক্ট করা মেসেজ প্রসেসর নোডে edge-message-processor রিস্টার্ট করতে হবে।

HSM-এ কীস্টোর/ট্রাস্টস্টোর লোড করা

HSM-এ PKCS12 কীস্টোর বা PEM সার্টিফিকেট ইমপোর্ট করার জন্য প্রয়োজনীয় সঠিক keytool কমান্ডের ব্যাপারে জানতে, অফিসিয়াল Entrust nShield ডকুমেন্টেশন পোর্টাল দেখুন।

Apigee-এর সাথে কম্প্যাটিবিলিটি নিশ্চিত করতে, HSM কীস্টোর ফাইলকে নিম্নলিখিত প্রয়োজনীয়তা পূরণ করতে হবে:

• ডিরেক্টরি: /opt/apigee/-এ সেভ করতে হবে (যেমন, /opt/apigee/hsmks.keystore)
• অনুমতি: apigee ব্যবহারকারীর (chown apigee:apigee /opt/apigee/<filename>) মালিকানাধীন হতে হবে
• পাঠযোগ্যতা: edge-message-processor পরিষেবার মাধ্যমে অবশ্যই পাঠযোগ্য হতে হবে।

সমস্যার রেফারেন্স

আইনি বিজ্ঞপ্তি

Entrust এবং nShield হল Entrust Corporation বা এর অ্যাফিলিয়েট সংস্থার ট্রেডমার্ক বা রেজিস্টার করা ট্রেডমার্ক। অন্যান্য সমস্ত ট্রেডমার্ক তাদের নিজ নিজ মালিকের সম্পত্তি।