راهنمای یکپارچه‌سازی واحد امنیتی سخت‌افزاری جنوب‌سو برای Apigee Edge برای ابر خصوصی

نسخه انتشار: Edge for Private Cloud نسخه وصله v4.53.01.02 و نسخه‌های جدیدتر.

این صفحه توضیح می‌دهد که چگونه اتصال‌های «امنیت لایه انتقال» خروجی (از «پردازشگرهای پیام Apigee» به سرویس‌های هدف زیرینه) را بااستفاده از واحد سخت‌افزاری امنیتی شبکه Entrust nShield® 5c (HSM) پیکربندی کنید.

سلب مسئولیت محتوای طرف سوم: این صفحه مراحل پیکربندی سخت‌افزار Entrust nShield را درارتباط با یکپارچه‌سازی Apigee Edge ارائه می‌دهد. این مراحل براساس الگوهای یکپارچه‌سازی استاندارد است و فقط برای اهداف اطلاع‌رسانی ارائه شده است. پیکربندی‌های Entrust ممکن است توسط سازنده تغییر کند. برای مشخصات معتبر، پیکربندی‌های امنیتی، و الزامات سخت‌افزاری فعلی، لطفاً به درگاه اسناد رسمی Entrust مراجعه کنید.

نمای کلی

«واحد امنیتی سخت‌افزاری» (HSM) محیطی اختصاصی و مقاوم برای ذخیره ایمن کلیدها و عملیات رمزنگاری فراهم می‌کند. با یکپارچه‌سازی Apigee Edge for Private Cloud با Entrust nShield HSMs، می‌توانید کلیدهای خصوصی مورداستفاده در دست دادن‌های TLS و mTLS را ایمن کنید.

‫Apigee از ادغام HSM برای ترافیک HTTPS خروجی جنوبی در سراسر عناصر زیر پشتیبانی می‌کند:

• نقطه‌های پایانی هدف
• سرورهای هدف
• خط‌مشی‌های نوشته راهنمای خدمات
• خط‌مشی‌های «گزارش پیام»
• خط‌مشی‌های جاوا اسکریپت

پیش‌نیازها

قبل‌از پیکربندی یکپارچه‌سازی HSM، مطمئن شوید پیش‌نیازهای زیر برآورده شده است:

۱. الزامات نسخه نرم‌افزار

• خوشه Apigee Edge for Private Cloud باید روی نسخه 4.53.01.02 یا بالاتر اجرا شود.
• ادغام HSM به‌طور بومی در نسخه‌های RPM زیر (یا بالاتر) گنجانده شده است:
  • edge-management-server-4.53.01-0.0.60380.noarch.rpm
  • edge-message-processor-4.53.01-0.0.60380.noarch.rpm
  • edge-gateway-4.53.01-0.0.60380.noarch.rpm

۲. پیکربندی زیرساخت و سیستم‌عامل

• سیستم‌عامل میزبان خوشه Edge for Private Cloud باید FIPS را غیرفعال کرده باشد.
• کارخواه HSM و «دنیای امنیت» باید در همه گره‌های «پردازشگر پیام» نصب و پیکربندی شود.
• مهم: این مراحل باید توسط کاربر apigee انجام شود.

با اجرای آزمایش نصب استاندارد JCA/JCE CSP که در اسناد رسمی Entrust nShield ارائه شده است، درستی‌سنجی کنید که نصب کارخواه HSM به‌درستی پیکربندی شده باشد و کاربر apigee به آن دسترسی داشته باشد. مطمئن شوید این آزمایش در همه گره‌های «پردازشگر پیام» باموفقیت تکمیل شود.

پیکربندی‌های پشتیبانی‌شده

می‌توانید Apigee را پیکربندی کنید تا از HSM در دو حالت استفاده کند:

۱. حالت ترکیبی HSM (توصیه‌شده)

در این حالت، فقط کلیدهای خصوصی (KeyStore) در HSM ذخیره می‌شوند، درحالی‌که گواهینامه‌های مورداعتماد (TrustStore) در فروشگاه‌های نرم‌افزاری استاندارد Apigee باقی می‌مانند.

۲. حالت «HSM کامل»

در این حالت، هم «محل ذخیره کلید» (کلیدهای خصوصی) و هم «محل ذخیره اعتماد» (گواهی‌های مورداعتماد) در HSM ذخیره می‌شوند. این حالت پشتیبانی می‌شود اما ممکن است تأخیر بیشتری ایجاد کند.

مرحله ۱: فعال کردن HSM در «پردازشگرهای پیام»

این مراحل را در هر گره «پردازشگر پیام» به‌صورت جداگانه انجام دهید:

۱. توقف «پردازشگر پیام»

apigee-service edge-message-processor stop

۲. درستی‌سنجی فایل داده‌های «انبار کلید HSM»

مطمئن شوید که «فایل داده‌های انبار کلید HSM» (با ارجاع به کلیدهای بارگذاری‌شده در HSM) در گره «پردازشگر پیام» وجود دارد و متعلق به کاربر apigee است:

chown apigee:apigee /opt/apigee/{name_of_the_Keystore_Data_File}

۳. ایجاد فایل پیکربندی HSM

فایل پیکربندی را در /opt/apigee/hsm-config.properties ایجاد یا به‌روزرسانی کنید. مکان و گذرواژه‌های فروشگاه کلید HSM و (اختیاری) فروشگاه‌های مورد اعتماد را تعریف کنید.

پیکربندی نمونه (پشتیبانی از پراکسی‌های HSM ترکیبی و کامل):

# HSM KeyStore Reference
hsm.property.unique_keystore_ref1.keystore.file.location=/opt/apigee/ks.keystore
hsm.property.unique_keystore_ref1.keystore.password=keystore_password

# HSM TrustStore Reference (Optional, only needed for Full HSM Mode)
hsm.property.unique_truststore_ref1.truststore.file.location=/opt/apigee/ts.truststore
hsm.property.unique_truststore_ref1.truststore.password=truststore_password

اجازه‌های صحیح را تنظیم کنید:

chown apigee:apigee /opt/apigee/hsm-config.properties

chmod 600 /opt/apigee/hsm-config.properties

۴. پیکربندی ویژگی‌های پردازشگر پیام

/opt/apigee/customer/application/message-processor.properties را ایجاد یا ویرایش کنید و موارد زیر را اضافه کنید:

# Enable HSM Integration
conf_system_apigee.hsm.enabled=true

# HSM Configuration File Path
conf_system_apigee.hsm.properties.file=/opt/apigee/hsm-config.properties

# Advanced Custom HSM Port Support (Optional, default is 9000/9001)
# conf_system_apigee.hsm.priv_port=9001
# conf_system_apigee.hsm.nonpriv_port=9000

از مالکیت صحیح مطمئن شوید:

chown apigee:apigee /opt/apigee/customer/application/message-processor.properties

۵. پیکربندی مجدد و بازراه‌اندازی

apigee-service edge-message-processor configure

apigee-service edge-message-processor restart

‫۶. راستی‌آزمایی راه‌اندازی

برای پیام‌های موفقیت‌آمیز مقداردهی اولیه، گزارش سیستم /opt/apigee/var/log/edge-message-processor/logs/system.log را بررسی کنید:

main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.isHSMConfigEnabled() : HSM_FLOW : HSM config is enabled
main INFO  SECURITY-CONTEXT - SSLPreEvaluationContext.loadProperties() : HSM_FLOW :  HSM config properties loaded from file /opt/apigee/hsm-config.properties

مرحله ۲: پیکربندی پراکسی‌های API

بلوک SSLInfo را در پیکربندی پراکسی API (نقطه پایانی هدف، فراخوانی سرویس، یا خط‌مشی‌ها) به‌روز کنید. از پیشوند hsmref:// برای ارجاع به فروشگاه‌های مدیریت‌شده با HSM و از ref:// (یا نام مرجع استاندارد) برای فروشگاه‌های نرم‌افزار استفاده کنید.

۱. پیکربندی حالت ترکیبی HSM (توصیه‌شده)

از HSM برای KeyStore (اصالت‌سنجی کارخواه) و از «نرم‌افزار» برای TrustStore استفاده می‌کند.

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>ref://mySoftwareTrustStoreRef</TrustStore>
</SSLInfo>

۲. پیکربندی کامل HSM

از HSM برای KeyStore و TrustStore استفاده می‌کند.

<SSLInfo>
    <Enabled>true</Enabled>
    <ClientAuthEnabled>true</ClientAuthEnabled>
    <KeyStore>hsmref://unique_keystore_ref1</KeyStore>
    <TrustStore>hsmref://unique_truststore_ref1</TrustStore>
</SSLInfo>

دور زدن اعتبارسنجی زمان استقرار

برای تسهیل استقرار بدون بارگذاری کلیدهای خصوصی در پایگاه داده Cassandra متعلق به Apigee، درطول استقرار برای هر مرجعی که با پیشوند hsmref:// شروع می‌شود، Apigee به‌طور خودکار بررسی‌های وجود فروشگاه کلید/فروشگاه اطمینان محیط را دور می‌زند.

عملیات: افزودن مخزن کلید/مخزن اطمینان جدید HSM

برای افزودن فروشگاه کلید HSM یا فروشگاه اعتماد جدید به محیط درحال اجرای موجود:

1. کلیدها/گواهینامه‌ها را در HSM فیزیکی بار کنید (به بار کردن فروشگاه‌های کلید/فروشگاه‌های مطمئن در HSM مراجعه کنید).
2. «فایل داده‌های Keystore» جدید را در گره‌های «پردازشگر پیام» کپی کنید و مالکیت را روی apigee تنظیم کنید.
3. ‫/opt/apigee/hsm-config.properties را در همه گره‌های «پردازشگر پیام» با مرجع جدید به‌روز کنید:

   hsm.property.new_keystore_ref.keystore.file.location=/opt/apigee/new_ks.keystore
   hsm.property.new_keystore_ref.keystore.password=new_password
       

4. «پردازشگر پیام» را در هر گره بازراه‌اندازی کنید:

   apigee-service edge-message-processor restart

5. پیکربندی پراکسی میانای برنامه کاربردی را به‌روز کنید تا از hsmref://new_keystore_ref جدید استفاده کند و آن را مستقر کنید.

غیرفعال کردن HSM در سطح جهانی

برای غیرفعال کردن HSM:

1. همه پراکسی‌های فعال را بااستفاده از hsmref:// به‌روز کنید تا از مرجع‌های نرم‌افزار استاندارد (ref://) استفاده کنند.
2. در هر گره «پردازشگر پیام»، /opt/apigee/customer/application/message-processor.properties را ویرایش کنید و موارد زیر را تنظیم کنید:

   conf_system_apigee.hsm.enabled=false

3. «پردازشگر پیام» را مجدداً پیکربندی و بازراه‌اندازی کنید:

   apigee-service edge-message-processor configure

   apigee-service edge-message-processor restart

محدودیت‌ها و هشدارها

• سخت‌افزار پشتیبانی‌شده: محدود به Entrust nShield 5c network HSMs.
• نگهداری: مشتریان مسئول نگهداری سرور/کارخواه HSM هستند.
• تأخیر: ممکن است به‌دلیل مذاکرات شبکه با HSM تأخیر اضافی رخ دهد. استفاده از حالت ترکیبی HSM تا حدودی این مشکل را کاهش می‌دهد.
• بازراه‌اندازی HSM: اگر سرور سخت‌افزاری HSM بازراه‌اندازی شود، باید edge-message-processor را در گره‌های «پردازشگر پیام» متصل بازراه‌اندازی کنید.

درحال بار کردن «فروشگاه کلید»/ «فروشگاه اعتماد» در HSM

برای اطلاع از دستورات دقیق keytool موردنیاز برای وارد کردن انبار کلید PKCS12 یا گواهینامه PEM به HSM، به درگاه اسناد Entrust nShield رسمی مراجعه کنید.

برای اطمینان از سازگاری با Apigee، فایل‌های فروشگاه کلید HSM حاصل باید الزامات زیر را برآورده کنند:

• فهرست راهنما: باید در /opt/apigee/ (برای نمونه، /opt/apigee/hsmks.keystore) ذخیره شود
• اجازه‌ها: باید متعلق به کاربر apigee (chown apigee:apigee /opt/apigee/<filename>) باشد
• خوانش‌پذیری: باید توسط سرویس edge-message-processor خوانا باشد.

مرجع خطا

اعلامیه‌های حقوقی

‫Entrust و nShield علامت‌های تجاری یا علامت‌های تجاری ثبت‌شده Entrust Corporation یا شرکت‌های وابسته آن هستند. همه علامت‌های تجاری دیگر متعلق به مالکان مربوطه آن‌ها است.