איפוס הסיסמאות של Edge

אחרי שתסיימו את ההתקנה, תוכלו לאפס את הסיסמאות הבאות:

• SymasLDAP
• מנהל מערכת ב-Apigee Edge
• משתמש בארגון Edge
• Cassandra

הוראות לאיפוס כל אחת מהסיסמאות האלה מופיעות בקטעים הבאים.

איפוס הסיסמה של SymasLDAP

הדרך לאיפוס הסיסמה ב-SymasLDAP תלויה בהגדרות שלכם. בהתאם להגדרות של Edge, אפשר להתקין את SymasLDAP בתור:

• מופע יחיד של SymasLDAP שמותקן בצומת של שרת הניהול. לדוגמה, בהגדרת Edge עם 2 צמתים, 5 צמתים או 9 צמתים.
• כמה מופעים של SymasLDAP מותקנים בצמתים של שרת הניהול, ומוגדרים עם שכפול של SymasLDAP. לדוגמה, בהגדרת Edge עם 12 צמתים.
• כמה מופעים של SymasLDAP מותקנים בצמתים משלהם, ומוגדרים עם שכפול של SymasLDAP. לדוגמה, בהגדרת Edge עם 13 צמתים.

אם מותקן מופע יחיד של SymasLDAP בשרת הניהול, מבצעים את הפעולות הבאות:

1. בצומת של שרת הניהול, מריצים את הפקודה הבאה כדי ליצור את הסיסמה החדשה של SymasLDAP:

   /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ 
     change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD

2. מריצים את הפקודה הבאה כדי לאחסן את הסיסמה החדשה לגישה של שרת הניהול:

   /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ 
     store_ldap_credentials ‑p NEW_PASSWORD

   הפקודה הזו מפעילה מחדש את שרת הניהול.

בהגדרת שכפול של SymasLDAP עם SymasLDAP שמותקן בצמתים של שרת הניהול, פועלים לפי השלבים שלמעלה בשני הצמתים של שרת הניהול כדי לעדכן את הסיסמה.

בהגדרת שכפול של SymasLDAP כש-SymasLDAP נמצא בצומת שאינו Management Server, צריך קודם לשנות את הסיסמה בשני צמתי SymasLDAP, ואז בשני צמתי Management Server.

איפוס הסיסמה של אדמין המערכת

כדי לאפס את הסיסמה של אדמין המערכת, צריך לאפס את הסיסמה בשני מקומות:

• שרת ניהול
• ממשק משתמש

כדי לאפס את הסיסמה של אדמין המערכת:

1. עורכים את קובץ התצורה השקט שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge, כדי להגדיר את המאפיינים הבאים:

   APIGEE_ADMINPW=NEW_PASSWORD
   SMTPHOST=smtp.gmail.com
   SMTPPORT=465
   SMTPUSER=foo@gmail.com
   SMTPPASSWORD=bar
   SMTPSSL=y
   SMTPMAILFROM="My Company <myco@company.com>"

   שימו לב: צריך לכלול את מאפייני ה-SMTP כשמעבירים את הסיסמה החדשה, כי כל המאפיינים בממשק המשתמש מאופסים.

2. בצומת של ממשק המשתמש, מפסיקים את ממשק המשתמש של Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui stop

3. משתמשים בכלי השירות apigee-setup כדי לאפס את הסיסמה בממשק המשתמש של Edge מקובץ התצורה:

   /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile

4. (רק אם TLS מופעל בממשק המשתמש) מפעילים מחדש את TLS בממשק המשתמש של Edge, כמו שמתואר במאמר הגדרת TLS לממשק המשתמש של הניהול.
5. בשרת הניהול, יוצרים קובץ XML חדש. בקובץ הזה, מגדירים את מזהה המשתמש כ-admin ומגדירים את הסיסמה, השם הפרטי, שם המשפחה וכתובת האימייל בפורמט הבא:

   <User id="admin">
     <Password><![CDATA[password]]></Password>
     <FirstName>first_name</FirstName>
     <LastName>last_name</LastName>
     <EmailId>email_address</EmailId>
   </User>

6. בשרת הניהול, מריצים את הפקודה הבאה:

   curl -u "admin_email_address:admin_password" -H \
   "Content-Type: application/xml" -H "Accept: application/json" -X POST \
   "http://localhost:8080/v1/users/admin_email_address" -d @your_data_file
   

   ‫your_data_file הוא הקובץ שיצרתם בשלב הקודם.

   ‫Edge מעדכן את סיסמת האדמין בשרת הניהול.

7. מוחקים את קובץ ה-XML שיצרתם. אסור לאחסן סיסמאות באופן קבוע בטקסט רגיל.

בסביבת שכפול של SymasLDAP עם כמה שרתי ניהול, איפוס הסיסמה בשרת ניהול אחד מעדכן את שרתי הניהול האחרים באופן אוטומטי. עם זאת, צריך לעדכן את כל הצמתים של ממשק המשתמש של Edge בנפרד.

איפוס סיסמה של משתמש בארגון

כדי לאפס את הסיסמה של משתמש בארגון, משתמשים בכלי apigee-servce כדי להפעיל את apigee-setup, כמו בדוגמה הבאה:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

לדוגמה:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword

cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

למטה מוצגת דוגמה לקובץ תצורה שאפשר להשתמש בו עם האפשרות ‎-f:

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

אפשר גם להשתמש ב-API של עדכון משתמש כדי לשנות את הסיסמה של המשתמש.

כללי סיסמאות למנהלי מערכת ולמשתמשים בארגון

בקטע הזה אפשר לאכוף את רמת האורך והחוזק הרצויה של הסיסמאות של המשתמשים בניהול ה-API. ההגדרות משתמשות בסדרה של ביטויים רגולריים שהוגדרו מראש (ומוספרו באופן ייחודי) כדי לבדוק את תוכן הסיסמה (למשל אותיות רישיות, אותיות קטנות, מספרים ותווים מיוחדים). כתיבת ההגדרות האלה לקובץ /opt/apigee/customer/application/management-server.properties. אם הקובץ לא קיים, צריך ליצור אותו.

אחרי העריכה של management-server.properties, מפעילים מחדש את שרת הניהול:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

לאחר מכן תוכלו להגדיר דירוגים של חוזק הסיסמה על ידי קיבוץ של שילובים שונים של ביטויים רגולריים. לדוגמה, אתם יכולים לקבוע שסיסמה עם אות גדולה אחת לפחות ואות קטנה אחת לפחות תקבל דירוג חוזק של '3', אבל שסיסמה עם אות קטנה אחת לפחות ומספר אחד לפחות תקבל דירוג חוזק גבוה יותר של '4'.

conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

conf_security_password.validation.regex.1=^(.)\\1+$

conf_security_password.validation.regex.2=^.*[a-z]+.*$

conf_security_password.validation.regex.3=^.*[A-Z]+.*$

conf_security_password.validation.regex.4=^.*[0-9]+.*$

conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

conf_security_password.validation.regex.6=^.*[_]+.*$

conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

conf_security_password.validation.regex.11=^.*[_]{2,}.*$

conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

regex-index-list,[AND|OR],rating

conf_security_rbac.password.validation.enabled=true

איפוס הסיסמה של Cassandra

כברירת מחדל, האימות ב-Cassandra מושבת. אם מפעילים אימות, המערכת משתמשת במשתמש מוגדר מראש בשם cassandra עם סיסמה cassandra. אפשר להשתמש בחשבון הזה, להגדיר סיסמה אחרת לחשבון הזה או ליצור משתמש חדש ב-Cassandra. הוספה, הסרה ושינוי של משתמשים באמצעות ההצהרות של Cassandra CREATE/ALTER/DROP USER.

מידע על הפעלת אימות ב-Cassandra זמין במאמר הפעלת אימות ב-Cassandra.

כדי לאפס את הסיסמה של Cassandra, צריך:

• מגדירים את הסיסמה בכל אחד מצמתי Cassandra, והיא תועבר לכל צמתי Cassandra בטבעת
• מעדכנים את שרת הניהול, מעבדי ההודעות, נתבים, שרתי Qpid ושרתי Postgres בכל צומת עם הסיסמה החדשה.

מידע נוסף זמין במאמר בנושא פקודות CQL.

כדי לאפס את הסיסמה של Cassandra:

1. מתחברים לאחד מצמתי Cassandra באמצעות הכלי cqlsh ופרטי הכניסה שמוגדרים כברירת מחדל. צריך לשנות את הסיסמה רק בצומת Cassandra אחד, והיא תועבר לכל צומתי Cassandra בטבעת:

   /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'

   כאשר:

   • ‫cassIP היא כתובת ה-IP של צומת Cassandra.
   • ‫9042 היא יציאת Cassandra.
   • משתמש ברירת המחדל הוא cassandra.
   • סיסמת ברירת המחדל היא cassandra. אם שיניתם את הסיסמה בעבר, תצטרכו להשתמש בסיסמה הנוכחית. אם הסיסמה מכילה תווים מיוחדים, צריך לתחום אותה במירכאות בודדות.
2. מריצים את הפקודה הבאה בהנחיה cqlsh> כדי לעדכן את הסיסמה:

   ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

   אם הסיסמה החדשה מכילה תו גרש, צריך להוסיף לפניו תו גרש כדי לסמן אותו בתו בריחה (escape).

3. יוצאים מהכלי cqlsh:

   exit

4. בצומת של שרת הניהול, מריצים את הפקודה הבאה:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'

   אפשר גם להעביר לקובץ את הפקודה שמכילה את שם המשתמש והסיסמה החדשים:

   apigee-service edge-management-server store_cassandra_credentials -f configFile

   כשהשדה configFile מכיל את הערכים הבאים:

   CASS_USERNAME=CASS_USERNAME
   CASS_PASSWORD='CASS_PASSWROD'

   הפקודה הזו מפעילה מחדש את שרת הניהול באופן אוטומטי.

5. חוזרים על שלב 4 ב:
   • כל מעבדי ההודעות
   • כל הנתבים
   • כל שרתי Qpid ‏ (edge-qpid-server)
   • שרתי Postgres ‏ (edge-postgres-server)

הסיסמה של Cassandra השתנתה.

איפוס הסיסמה של PostgreSQL

כברירת מחדל, במסד הנתונים של PostgreSQL מוגדרים שני משתמשים: postgres ו-apigee. לשני המשתמשים יש סיסמת ברירת מחדל: postgres. כדי לשנות את סיסמת ברירת המחדל, פועלים לפי השלבים הבאים.

משנים את הסיסמה בכל הצמתים הראשיים של Postgres. אם יש לכם שני שרתי Postgres שהוגדרו במצב ראשי/המתנה, אתם צריכים לשנות רק את הסיסמה בצומת הראשי. מידע נוסף מופיע במאמר בנושא הגדרת שכפול של master-standby ל-Postgres .

1. בצומת הראשי של Postgres, משנים את הספריות ל- /opt/apigee/apigee-postgresql/pgsql/bin.
2. מגדירים את הסיסמה של המשתמש ב-PostgreSQL postgres:
   1. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה:

      psql -h localhost -d apigee -U postgres

   2. כשמוצגת בקשה, מזינים את הסיסמה הקיימת של המשתמש postgres בתור postgres.
   3. בשורת הפקודה של PostgreSQL, מזינים את הפקודה הבאה כדי לשנות את סיסמת ברירת המחדל:

      ALTER USER postgres WITH PASSWORD 'new_password';

      אם הפעולה מצליחה, PostgreSQL משיב עם:

      ALTER ROLE

   4. יוצאים ממסד הנתונים של PostgreSQL באמצעות הפקודה הבאה:

      \q

3. מגדירים את הסיסמה של המשתמש ב-PostgreSQL apigee:
   1. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה:

      psql -h localhost -d apigee -U apigee

   2. כשמופיעה בקשה, מזינים את סיסמת המשתמש apigee בתור postgres.
   3. בשורת הפקודה של PostgreSQL, מזינים את הפקודה הבאה כדי לשנות את סיסמת ברירת המחדל:

      ALTER USER apigee WITH PASSWORD 'new_password';

   4. יוצאים ממסד הנתונים של PostgreSQL באמצעות הפקודה:

      \q

   אפשר להגדיר את הסיסמאות של משתמשי postgres ו-apigee לאותו ערך או לערכים שונים.

4. הגדרת APIGEE_HOME:

   export APIGEE_HOME=/opt/apigee/edge-postgres-server

5. הצפנת הסיסמה החדשה:

   sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password

   הפקודה הזו מחזירה סיסמה מוצפנת. הסיסמה המוצפנת מתחילה אחרי התו ':' ולא כוללת אותו. לדוגמה, הסיסמה המוצפנת של 'apigee1234' היא:

   Encrypted string:WheaR8U4OeMEM11erxA3Cw==

6. מעדכנים את הצומת Management Server עם הסיסמאות המוצפנות החדשות של המשתמשים postgres ו-apigee.
   1. בשרת הניהול, משנים את הספרייה ל-/opt/apigee/customer/application.
   2. עורכים את הקובץ management-server.properties כדי להגדיר את המאפיינים הבאים. אם הקובץ הזה לא קיים, צריך ליצור אותו.
   3. מוודאים שהקובץ נמצא בבעלות של המשתמש apigee:

      chown apigee:apigee management-server.properties

7. מעדכנים את כל הצמתים של Postgres Server ו-Qpid Server עם הסיסמה המוצפנת החדשה.
   1. בצומת של שרת Postgres או שרת Qpid, עוברים לספרייה הבאה:

      /opt/apigee/customer/application

   2. פותחים את הקבצים הבאים לעריכה:
      • postgres-server.properties
      • qpid-server.properties

      אם הקבצים האלה לא קיימים, צריך ליצור אותם.

   3. מוסיפים את המאפיינים הבאים לקבצים:
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
   4. מוודאים שהקבצים בבעלות המשתמש apigee:

      chown apigee:apigee postgres-server.properties
      chown apigee:apigee qpid-server.properties

8. מעדכנים את רכיב ה-SSO (אם ה-SSO מופעל):

   1. מתחברים לצומת שבו רכיב apigee-sso פועל או מתחברים אליו. הוא נקרא גם שרת ה-SSO.

      בהתקנות AIO או בהתקנות של 3 צמתים, הצומת הזה הוא אותו צומת כמו שרת הניהול.

      אם יש לכם כמה צמתים שמופעל בהם הרכיב apigee-sso, אתם צריכים לבצע את השלבים האלה בכל צומת.

   2. פותחים את הקובץ הבא לעריכה:

      /opt/apigee/customer/application/sso.properties 

      אם הקובץ לא קיים, צריך ליצור אותו.

   3. מוסיפים את השורה הבאה לקובץ:

      conf_uaa_database_password=new_password_in_plain_text

      לדוגמה:

      conf_uaa_database_password=apigee1234

   4. מריצים את הפקודה הבאה כדי להחיל את שינויי ההגדרות על הרכיב apigee-sso:

      /opt/apigee/apigee-service/bin/apigee-service apigee-sso configure

   5. חוזרים על השלבים האלה לכל שרת SSO.
9. מפעילים מחדש את הרכיבים הבאים בסדר הבא:
   1. מסד נתונים של PostgreSQL:

      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

   2. Qpid Server:

      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart

   3. שרת Postgres:

      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart

   4. שרת הניהול:

      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

   5. שרת SSO:

      /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart