دليل دمج وحدة أمان الأجهزة في اتجاه الجنوب في "Apigee Edge للسحابة الخاصة"

إصدار البرنامج: Edge for Private Cloud v4.53.01.02 Patch Release والإصدارات الأحدث.

توضّح هذه الصفحة كيفية ضبط اتصالات طبقة النقل الآمنة (TLS) المتجهة إلى الجنوب (من "معالجات الرسائل" في Apigee إلى الخدمات المستهدَفة في الخلفية) باستخدام وحدات أمان الأجهزة (HSM) على شبكة Entrust nShield® 5c.

إخلاء المسؤولية عن المحتوى التابع لجهات خارجية: تقدّم هذه الصفحة خطوات الإعداد لأجهزة Entrust nShield بما يتعلّق بدمجها مع Apigee Edge. تستند هذه الخطوات إلى نماذج الدمج العادية ويتم تقديمها لغرض إعلامك بها فقط. تخضع إعدادات Entrust للتغيير من قِبل الشركة المصنّعة. يُرجى الرجوع إلى بوابة مستندات Entrust الرسمية للاطّلاع على المواصفات الموثوقة وإعدادات الأمان ومتطلبات الأجهزة الحالية.

نظرة عامة

توفّر وحدات أمان الأجهزة (HSM) بيئة مخصّصة ومحصّنة لتخزين المفاتيح الآمنة وعمليات التشفير. من خلال دمج Apigee Edge للسحابة الإلكترونية الخاصة مع وحدات أمان الأجهزة (HSM) من Entrust nShield، يمكنك تأمين المفاتيح الخاصة المستخدَمة في عمليات تبادل بيانات بروتوكول أمان طبقة النقل (TLS) وبروتوكول أمان طبقة النقل المتبادل (mTLS) في اتجاه الجنوب.

تتيح Apigee دمج وحدة أمان الأجهزة (HSM) لزيارات HTTPS الصادرة من الجنوب إلى الشمال على مستوى المكوّنات التالية:

• نقاط النهاية المستهدَفة
• الخوادم المستهدَفة
• سياسات وسائل شرح الخدمات
• سياسات تسجيل الرسائل
• سياسات JavaScript

المتطلبات الأساسية

تأكَّد من استيفاء المتطلبات الأساسية التالية قبل إعداد عملية الدمج مع وحدة أمان الأجهزة (HSM):

1. متطلبات إصدار البرنامج

• يجب أن يعمل نظام مجموعة Apigee Edge Private Cloud بالإصدار 4.53.01.02 أو إصدار أحدث.
• يتم تضمين عملية دمج وحدة أمان الأجهزة (HSM) بشكلٍ أصلي في إصدارات RPM التالية (أو الإصدارات الأحدث):
  • edge-management-server-4.53.01-0.0.60380.noarch.rpm
  • edge-message-processor-4.53.01-0.0.60380.noarch.rpm
  • edge-gateway-4.53.01-0.0.60380.noarch.rpm

2. إعدادات البنية الأساسية ونظام التشغيل

• يجب إيقاف معيار FIPS على نظام التشغيل الذي يستضيف مجموعة Edge for Private Cloud.
• يجب تثبيت عميل HSM وSecurity World وإعدادهما على جميع عُقد Message Processor.
• ملاحظة مهمة: يجب أن ينفّذ هذه الخطوات مستخدم apigee.

تأكَّد من إعداد عملية تثبيت برنامج HSM بشكلٍ صحيح وإمكانية وصول المستخدم apigee إليها من خلال إجراء اختبار التثبيت العادي لبرنامج JCA/JCE CSP المتوفّر في مستندات Entrust nShield الرسمية. تأكَّد من إكمال هذا الاختبار بنجاح على جميع عُقد "معالج الرسائل".

عمليات الضبط المتوافقة

يمكنك ضبط Apigee لاستخدام وحدة أمان الأجهزة في وضعَين:

1. وضع HSM المختلط (يُنصح به)

في هذا الوضع، يتم تخزين المفاتيح الخاصة (KeyStore) فقط في وحدة أمان الأجهزة (HSM)، بينما تظل الشهادات الموثوق بها (TrustStore) في مخازن برامج Apigee العادية.

2. وضع HSM الكامل

في هذا الوضع، يتم تخزين كل من KeyStore (المفاتيح الخاصة) وTrustStore (الشهادات الموثوق بها) في وحدة أمان الأجهزة (HSM). هذا الوضع متوافق ولكن قد يؤدي إلى حدوث تأخير إضافي.

الخطوة 1: تفعيل HSM على "معالجات الرسائل"

اتّبِع الخطوات التالية على كل عُقدة من عُقد معالج الرسائل، واحدة تلو الأخرى:

1. إيقاف "معالج الرسائل"

apigee-service edge-message-processor stop

2. التحقّق من ملف بيانات Keystore في وحدة أمان الأجهزة (HSM)

تأكَّد من توفُّر ملف بيانات مخزن مفاتيح وحدة أمان الأجهزة (HSM) (الذي يشير إلى المفاتيح المحمَّلة في وحدة أمان الأجهزة) على عقدة "معالج الرسائل" وأنّ المستخدم apigee يملك هذا الملف:

chown apigee:apigee /opt/apigee/{name_of_the_Keystore_Data_File}

3- إنشاء ملف إعداد وحدة أمان الأجهزة (HSM)

أنشئ ملف الإعداد أو عدِّله في /opt/apigee/hsm-config.properties. حدِّد الموقع الجغرافي وكلمات المرور لمخازن مفاتيح HSM ومخازن الشهادات الموثوقة (اختياريًا).

مثال على الإعداد (يتيح استخدام كلّ من الخوادم الوكيلة المختلطة والكاملة لوحدة أمان الأجهزة):

# HSM KeyStore Reference
hsm.property.unique_keystore_ref1.keystore.file.location=/opt/apigee/ks.keystore
hsm.property.unique_keystore_ref1.keystore.password=keystore_password

# HSM TrustStore Reference (Optional, only needed for Full HSM Mode)
hsm.property.unique_truststore_ref1.truststore.file.location=/opt/apigee/ts.truststore
hsm.property.unique_truststore_ref1.truststore.password=truststore_password

ضبط الأذونات الصحيحة:

chown apigee:apigee /opt/apigee/hsm-config.properties

chmod 600 /opt/apigee/hsm-config.properties

4. ضبط خصائص معالج الرسائل

أنشئ /opt/apigee/customer/application/message-processor.properties أو عدِّله وأضِف ما يلي:

# Enable HSM Integration
conf_system_apigee.hsm.enabled=true

# HSM Configuration File Path
conf_system_apigee.hsm.properties.file=/opt/apigee/hsm-config.properties

# Advanced Custom HSM Port Support (Optional, default is 9000/9001)
# conf_system_apigee.hsm.priv_port=9001
# conf_system_apigee.hsm.nonpriv_port=9000

التأكّد من الملكية الصحيحة:

chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

5- إعادة الضبط وإعادة التشغيل

apigee-service edge-message-processor configure

apigee-service edge-message-processor restart

6. التحقّق من صحة عملية الإعداد

تحقَّق من سجلّ النظام /opt/apigee/var/log/edge-message-processor/logs/system.log بحثًا عن رسائل الإعداد الناجح:

main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.isHSMConfigEnabled() : HSM_FLOW : HSM config is enabled
main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.loadProperties() : HSM_FLOW :  HSM config properties loaded from file /opt/apigee/hsm-config.properties

الخطوة 2: ضبط خوادم API الوكيلة

عدِّل الحظر SSLInfo في إعدادات خادم وكيل واجهة برمجة التطبيقات (TargetEndpoint أو ServiceCallout أو السياسات). استخدِم البادئة hsmref:// للإشارة إلى وحدات تخزين يديرها "وحدة أمان الأجهزة"، وref:// (أو اسم المرجع العادي) لوحدات تخزين البرامج.

1. إعدادات الوضع المختلط لوحدة أمان الأجهزة (HSM) (يُنصح بها)

يستخدم وحدة أمان الأجهزة (HSM) لـ KeyStore (مصادقة العميل) والبرامج لـ TrustStore.

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>ref://mySoftwareTrustStoreRef</TrustStore>
</SSLInfo>

2. إعدادات HSM الكاملة

يستخدم وحدة أمان الأجهزة (HSM) لكلّ من KeyStore وTrustStore.

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>hsmref://unique_truststore_ref1</TrustStore>
</SSLInfo>

تخطّي عملية التحقّق أثناء النشر

لتسهيل عملية النشر بدون تحميل المفاتيح الخاصة إلى قاعدة بيانات Cassandra في Apigee، تتجاوز Apigee تلقائيًا عمليات التحقّق من توفّر مخزن المفاتيح/مخزن الشهادات الموثوقة في البيئة أثناء عملية النشر لأي مرجع يبدأ بالبادئة hsmref://.

العمليات: إضافة مخازن مفاتيح/مخازن شهادات موثوقة جديدة في وحدة أمان الأجهزة (HSM)

لإضافة مخزن مفاتيح أو مخزن شهادات جديد إلى بيئة تشغيل حالية، اتّبِع الخطوات التالية:

1. حمِّل المفاتيح/الشهادات في وحدة HSM المادية (راجِع تحميل ملفات تخزين المفاتيح/ملفات تخزين الشهادات الموثوقة في وحدة HSM).
2. انسخ ملف بيانات Keystore الجديد إلى عُقد Message Processor واضبط الملكية على apigee.
3. عدِّل /opt/apigee/hsm-config.properties على جميع عُقد Message Processor باستخدام المرجع الجديد:

   hsm.property.new_keystore_ref.keystore.file.location=/opt/apigee/new_ks.keystore
   hsm.property.new_keystore_ref.keystore.password=new_password
       

4. أعِد تشغيل "معالج الرسائل" على كل عقدة:

   apigee-service edge-message-processor restart

5. عدِّل إعدادات خادم وكيل واجهة برمجة التطبيقات لاستخدام hsmref://new_keystore_ref الجديدة ونفِّذها.

إيقاف HSM على مستوى العالم

لإيقاف HSM، اتّبِع الخطوات التالية:

1. عدِّل جميع الخوادم الوكيلة النشطة باستخدام hsmref:// لاستخدام مراجع البرامج العادية (ref://).
2. في كل عقدة من عقد "معالج الرسائل"، عدِّل /opt/apigee/customer/application/message-processor.properties واضبط ما يلي:

   conf_system_apigee.hsm.enabled=false

3. أعِد ضبط إعدادات "معالج الرسائل" وأعِد تشغيله:

   apigee-service edge-message-processor configure

   apigee-service edge-message-processor restart

القيود والتنبيهات

• الأجهزة المتوافقة: تقتصر على وحدات أمان الأجهزة (HSM) من Entrust nShield 5c.
• الصيانة: يتحمّل العملاء مسؤولية صيانة خادم/عميل HSM.
• وقت الاستجابة: قد يحدث وقت استجابة إضافي بسبب عمليات التفاوض على الشبكة مع وحدة أمان الأجهزة (HSM). يساعد استخدام وضع HSM المختلط في الحدّ من هذه المشكلة إلى حدّ ما.
• إعادة تشغيل وحدة أمان الأجهزة (HSM): في حال إعادة تشغيل وحدة أمان الأجهزة (HSM) hardserver، عليك إعادة تشغيل edge-message-processor على عُقد Message Processor المرتبطة.

تحميل ملفات Keystore/Truststore إلى وحدة أمان الأجهزة (HSM)

راجِع بوابة مستندات Entrust nShield الرسمية للاطّلاع على أوامر keytool الدقيقة المطلوبة لاستيراد ملف تخزين مفاتيح PKCS12 أو شهادة PEM إلى وحدة أمان الأجهزة (HSM).

لضمان التوافق مع Apigee، يجب أن تستوفي ملفات تخزين المفاتيح الناتجة عن وحدة أمان الأجهزة المتطلبات التالية:

• الدليل: يجب حفظه في /opt/apigee/ (مثلاً، /opt/apigee/hsmks.keystore)
• الأذونات: يجب أن يملكها المستخدم apigee (chown apigee:apigee /opt/apigee/<filename>)
• إمكانية القراءة: يجب أن تكون قابلة للقراءة من خلال خدمة edge-message-processor.

مرجع الخطأ

الإشعارات القانونية

‫Entrust وnShield هما علامتان تجاريتان أو علامتان تجاريتان مسجّلتان لشركة Entrust Corporation أو الشركات التابعة لها. وجميع العلامات التجارية الأخرى ملك لأصحابها المعنيين.