Resetowanie haseł Edge

Po zakończeniu instalacji możesz zresetować te hasła:

• SymasLDAP
• Administrator systemu Apigee Edge
• Użytkownik organizacji brzegowej
• Cassandra

Instrukcje resetowania każdego z tych haseł znajdziesz w sekcjach poniżej.

Resetowanie hasła do SymasLDAP

Sposób resetowania hasła SymasLDAP zależy od konfiguracji. W zależności od konfiguracji Edge SymasLDAP można zainstalować jako:

• Jedno wystąpienie SymasLDAP zainstalowane na węźle serwera zarządzającego. Na przykład w konfiguracji Edge z 2, 5 lub 9 węzłami.
• Węzły serwera zarządzania z zainstalowanymi wieloma instancjami SymasLDAP skonfigurowanymi pod kątem replikacji SymasLDAP. Na przykład w konfiguracji Edge z 12 węzłami.
• Wiele instancji SymasLDAP zainstalowanych na własnych węzłach, skonfigurowanych z replikacją SymasLDAP. Na przykład w konfiguracji Edge z 13 węzłami.

W przypadku pojedynczej instancji SymasLDAP zainstalowanej na serwerze zarządzającym wykonaj te czynności:

1. Na węźle serwera zarządzającego uruchom to polecenie, aby utworzyć nowe hasło SymasLDAP:

   /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ 
     change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD

2. Aby zapisać nowe hasło, do którego serwer zarządzający będzie mieć dostęp, uruchom to polecenie:

   /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ 
     store_ldap_credentials ‑p NEW_PASSWORD

   To polecenie ponownie uruchamia serwer zarządzający.

W konfiguracji replikacji SymasLDAP z zainstalowanym SymasLDAP na węzłach serwera zarządzającego wykonaj powyższe czynności na obu węzłach serwera zarządzającego, aby zaktualizować hasło.

W konfiguracji replikacji SymasLDAP, w której SymasLDAP znajduje się na węźle innym niż serwer zarządzający, najpierw zmień hasło na obu węzłach SymasLDAP, a potem na obu węzłach serwera zarządzającego.

Resetowanie hasła administratora systemu

Resetowanie hasła administratora systemu wymaga zresetowania hasła w 2 miejscach:

• Serwer zarządzania
• UI

Aby zresetować hasło administratora systemu:

1. Edytuj plik konfiguracji cichej instalacji, którego użyto do zainstalowania interfejsu Edge, aby ustawić te właściwości:

   APIGEE_ADMINPW=NEW_PASSWORD
   SMTPHOST=smtp.gmail.com
   SMTPPORT=465
   SMTPUSER=foo@gmail.com
   SMTPPASSWORD=bar
   SMTPSSL=y
   SMTPMAILFROM="My Company <myco@company.com>"

   Pamiętaj, że podczas przekazywania nowego hasła musisz uwzględnić właściwości SMTP, ponieważ wszystkie właściwości w interfejsie są resetowane.

2. Na węźle interfejsu zatrzymaj interfejs Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui stop

3. Użyj narzędzia apigee-setup, aby zresetować hasło w interfejsie Edge z pliku konfiguracyjnego:

   /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile

4. (Tylko jeśli TLS jest włączony w interfejsie) Ponownie włącz TLS w interfejsie Edge zgodnie z opisem w artykule Konfigurowanie TLS w interfejsie zarządzania.
5. Na serwerze zarządzającym utwórz nowy plik XML. W tym pliku ustaw identyfikator użytkownika na „admin” i zdefiniuj hasło, imię, nazwisko i adres e-mail w tym formacie:

   <User id="admin">
     <Password><![CDATA[password]]></Password>
     <FirstName>first_name</FirstName>
     <LastName>last_name</LastName>
     <EmailId>email_address</EmailId>
   </User>

6. Na serwerze zarządzającym wykonaj to polecenie:

   curl -u "admin_email_address:admin_password" -H \
   "Content-Type: application/xml" -H "Accept: application/json" -X POST \
   "http://localhost:8080/v1/users/admin_email_address" -d @your_data_file
   

   gdzie your_data_file to plik utworzony w poprzednim kroku.

   Edge aktualizuje hasło administratora na serwerze zarządzania.

7. Usuń utworzony plik XML. Haseł nie należy nigdy przechowywać na stałe w postaci zwykłego tekstu.

W środowisku replikacji SymasLDAP z wieloma serwerami zarządzania zresetowanie hasła na jednym serwerze zarządzania automatycznie aktualizuje pozostałe serwery zarządzania. Musisz jednak zaktualizować wszystkie węzły interfejsu Edge osobno.

Resetowanie hasła użytkownika organizacji

Aby zresetować hasło użytkownika organizacji, użyj narzędzia apigee-servce do wywołania apigee-setup, jak pokazano w tym przykładzie:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

Na przykład:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword

cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

Poniżej znajdziesz przykładowy plik konfiguracyjny, którego możesz użyć z opcją „-f”:

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

Aby zmienić hasło użytkownika, możesz też użyć interfejsu Update user API.

Reguły haseł administratora systemu i użytkownika organizacji

W tej sekcji możesz wymusić odpowiedni poziom długości i siły haseł użytkowników zarządzających interfejsem API. Ustawienia korzystają z serii wstępnie skonfigurowanych (i unikalnie numerowanych) wyrażeń regularnych, aby sprawdzać zawartość hasła (np. wielkie i małe litery, cyfry i znaki specjalne). Zapisz te ustawienia w pliku /opt/apigee/customer/application/management-server.properties. Jeśli ten plik nie istnieje, utwórz go.

Po edycji pliku management-server.properties uruchom ponownie serwer zarządzania:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Następnie możesz ustawić oceny siły haseł, grupując różne kombinacje wyrażeń regularnych. Możesz na przykład określić, że hasło zawierające co najmniej 1 wielką i 1 małą literę otrzymuje ocenę siły „3”, a hasło zawierające co najmniej 1 małą literę i 1 cyfrę otrzymuje wyższą ocenę „4”.

conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

conf_security_password.validation.regex.1=^(.)\\1+$

conf_security_password.validation.regex.2=^.*[a-z]+.*$

conf_security_password.validation.regex.3=^.*[A-Z]+.*$

conf_security_password.validation.regex.4=^.*[0-9]+.*$

conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

conf_security_password.validation.regex.6=^.*[_]+.*$

conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

conf_security_password.validation.regex.11=^.*[_]{2,}.*$

conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

regex-index-list,[AND|OR],rating

conf_security_rbac.password.validation.enabled=true

Resetowanie hasła Cassandra

Domyślnie Cassandra jest dostarczana z wyłączonym uwierzytelnianiem. Jeśli włączysz uwierzytelnianie, będzie ono korzystać z predefiniowanego użytkownika o nazwie cassandra i haśle cassandra. Możesz użyć tego konta, ustawić dla niego inne hasło lub utworzyć nowego użytkownika Cassandry. Dodawaj, usuwaj i modyfikuj użytkowników za pomocą instrukcji CassandraCREATE/ALTER/DROP USER.

Informacje o włączaniu uwierzytelniania w Cassandrze znajdziesz w artykule Włączanie uwierzytelniania w Cassandrze.

Aby zresetować hasło do Cassandry, musisz:

• Ustaw hasło na dowolnym węźle Cassandra, a zostanie ono rozgłoszone do wszystkich węzłów Cassandra w pierścieniu.
• Zaktualizuj serwery zarządzania, procesory wiadomości, routery, serwery Qpid i serwery Postgres na każdym węźle, używając nowego hasła.

Więcej informacji znajdziesz w artykule Polecenia CQL.

Aby zresetować hasło Cassandry:

1. Zaloguj się w dowolnym węźle Cassandra za pomocą narzędzia cqlsh i domyślnych danych logowania. Hasło musisz zmienić tylko na jednym węźle Cassandra, a zostanie ono rozgłoszone do wszystkich węzłów Cassandra w pierścieniu:

   /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'

   Gdzie:

   • cassIP to adres IP węzła Cassandra.
   • 9042 to port Cassandra.
   • Domyślny użytkownik to cassandra.
   • Domyślne hasło to „cassandra”. Jeśli hasło zostało wcześniej zmienione, użyj bieżącego hasła. Jeśli hasło zawiera znaki specjalne, musisz ująć je w apostrofy.
2. Aby zaktualizować hasło, uruchom to polecenie w wierszu polecenia cqlsh>:

   ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

   Jeśli nowe hasło zawiera znak cudzysłowu prostego, poprzedź go znakiem cudzysłowu prostego.

3. Opuść narzędzie cqlsh:

   exit

4. Na węźle serwera zarządzającego uruchom to polecenie:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'

   Opcjonalnie możesz przekazać do polecenia plik zawierający nową nazwę użytkownika i hasło:

   apigee-service edge-management-server store_cassandra_credentials -f configFile

   Gdzie configFile zawiera te elementy:

   CASS_USERNAME=CASS_USERNAME
   CASS_PASSWORD='CASS_PASSWROD'

   To polecenie automatycznie ponownie uruchamia serwer zarządzania.

5. Powtórz krok 4 w przypadku:
   • Wszystkie procesory komunikatów
   • Wszystkie routery
   • Wszystkie serwery Qpid (edge-qpid-server)
   • Serwery Postgres (edge-postgres-server)

Hasło do Cassandry zostało zmienione.

Resetowanie hasła PostgreSQL

Domyślnie w bazie danych PostgreSQL są zdefiniowani 2 użytkownicy: postgres i apigee. Obaj użytkownicy mają domyślne hasło postgres. Aby zmienić hasło domyślne, wykonaj te czynności.

Zmień hasło na wszystkich głównych węzłach Postgres. Jeśli masz skonfigurowane 2 serwery Postgres w trybie główny/rezerwowy, musisz zmienić hasło tylko na węźle głównym. Więcej informacji znajdziesz w artykule Konfigurowanie replikacji typu master-standby w Postgres .

1. Na węźle głównym Postgres przejdź do katalogu /opt/apigee/apigee-postgresql/pgsql/bin.
2. Ustaw hasło użytkownika PostgreSQL postgres:
   1. Zaloguj się w bazie danych PostgreSQL za pomocą tego polecenia:

      psql -h localhost -d apigee -U postgres

   2. Gdy pojawi się prośba, wpisz dotychczasowe hasło użytkownika postgres jako postgres.
   3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić hasło domyślne:

      ALTER USER postgres WITH PASSWORD 'new_password';

      Jeśli operacja się uda, PostgreSQL odpowie w ten sposób:

      ALTER ROLE

   4. Zamknij bazę danych PostgreSQL za pomocą tego polecenia:

      \q

3. Ustaw hasło użytkownika PostgreSQL apigee:
   1. Zaloguj się w bazie danych PostgreSQL za pomocą tego polecenia:

      psql -h localhost -d apigee -U apigee

   2. Gdy pojawi się prośba, wpisz hasło użytkownika apigee jako postgres.
   3. W wierszu polecenia PostgreSQL wpisz to polecenie, aby zmienić hasło domyślne:

      ALTER USER apigee WITH PASSWORD 'new_password';

   4. Wyjdź z bazy danych PostgreSQL za pomocą polecenia:

      \q

   Możesz ustawić hasła użytkowników postgres i apigee na tę samą lub inną wartość.

4. Ustaw APIGEE_HOME:

   export APIGEE_HOME=/opt/apigee/edge-postgres-server

5. Zaszyfruj nowe hasło:

   sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password

   To polecenie zwraca zaszyfrowane hasło. Zaszyfrowane hasło zaczyna się po znaku „:” i nie zawiera go. Na przykład zaszyfrowane hasło do „apigee1234” to:

   Encrypted string:WheaR8U4OeMEM11erxA3Cw==

6. Zaktualizuj węzeł serwera zarządzającego o nowe zaszyfrowane hasła użytkowników postgres i apigee.
   1. Na serwerze zarządzania zmień katalog na /opt/apigee/customer/application.
   2. Edytuj plik management-server.properties, aby ustawić te właściwości. Jeśli ten plik nie istnieje, utwórz go.
   3. Sprawdź, czy plik należy do użytkownika apigee:

      chown apigee:apigee management-server.properties

7. Zaktualizuj wszystkie węzły serwera Postgres i serwera Qpid, używając nowego zaszyfrowanego hasła.
   1. Na serwerze Postgres lub serwerze Qpid zmień katalog na:

      /opt/apigee/customer/application

   2. Otwórz te pliki do edycji:
      • postgres-server.properties
      • qpid-server.properties

      Jeśli te pliki nie istnieją, utwórz je.

   3. Dodaj do plików te właściwości:
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
   4. Sprawdź, czy pliki należą do użytkownika apigee:

      chown apigee:apigee postgres-server.properties
      chown apigee:apigee qpid-server.properties

8. Zaktualizuj komponent SSO (jeśli logowanie jednokrotne jest włączone):

   1. Połącz się z węzłem, na którym działa komponent apigee-sso, lub zaloguj się w nim. Jest on też nazywany serwerem SSO.

      W przypadku instalacji AIO lub 3-węzłowych ten węzeł jest tym samym węzłem co serwer zarządzania.

      Jeśli masz wiele węzłów z uruchomionym komponentem apigee-sso, musisz wykonać te czynności na każdym z nich.

   2. Otwórz ten plik do edycji:

      /opt/apigee/customer/application/sso.properties 

      Jeśli plik nie istnieje, utwórz go.

   3. Dodaj do tego pliku ten kod:

      conf_uaa_database_password=new_password_in_plain_text

      Na przykład:

      conf_uaa_database_password=apigee1234

   4. Aby zastosować zmiany konfiguracji w komponencie apigee-sso, wykonaj to polecenie:

      /opt/apigee/apigee-service/bin/apigee-service apigee-sso configure

   5. Powtórz te czynności w przypadku każdego serwera SSO.
9. Uruchom ponownie te komponenty w tej kolejności:
   1. Baza danych PostgreSQL:

      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

   2. Serwer Qpid:

      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart

   3. Serwer Postgres:

      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart

   4. Serwer zarządzania:

      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

   5. Serwer SSO:

      /opt/apigee/apigee-service/bin/apigee-service apigee-sso restart