Konfigurowanie protokołu TLS między routerem a podmiotem przetwarzającym wiadomości

Domyślnie protokół TLS między routerem a procesorem komunikatów jest wyłączony.

Aby włączyć szyfrowanie protokołem TLS między routerem a procesorem komunikatów:

  1. Upewnij się, że router ma dostęp do portu 8082 na procesorze komunikatów.
  2. Wygeneruj plik magazynu kluczy JKS zawierający certyfikat TLS i klucz prywatny. Więcej informacji znajdziesz w artykule Konfigurowanie protokołu TLS/SSL w Edge dla chmury prywatnej.
  3. Skopiuj plik magazynu kluczy JKS do katalogu na serwerze procesora komunikatów, np. /opt/apigee/customer/application.
  4. Zmień uprawnienia i własność pliku JKS: 
    chown apigee:apigee /opt/apigee/customer/application/keystore.jks
chmod 600 /opt/apigee/customer/application/keystore.jks

    gdzie keystore.jks to nazwa pliku magazynu kluczy.

  5. Edytuj plik /opt/apigee/customer/application/message-processor.properties. Jeśli plik nie istnieje, utwórz go.
  6. Ustaw te właściwości w pliku message-processor.properties: 
    conf_message-processor-communication_local.http.ssl=true
conf/message-processor-communication.properties+local.http.port=8443
conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keystore.jks
conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
# Enter the obfuscated keystore password below.
conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    gdzie keystore.jks to plik magazynu kluczy, a obsPword to zaciemnione hasło magazynu kluczy i aliasu klucza.

    Uwaga: wartość 

    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
     musi być taka sama jak wartość podana w opcji -alias polecenia keytool, która jest opisana na końcu sekcji Tworzenie pliku JKS.

    Informacje o generowaniu zaciemnionego hasła znajdziesz w artykule Konfigurowanie protokołu TLS/SSL w Edge dla chmury prywatnej.

  7. Upewnij się, że plik message-processor.properties jest własnością użytkownika „apigee” : 
    chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Zatrzymaj procesory komunikatów i routery: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
/opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. Na routerze usuń wszystkie pliki z katalogu /opt/nginx/conf.d: 
    rm -f /opt/nginx/conf.d/*
  10. Uruchom procesory komunikatów i routery: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor start
/opt/apigee/apigee-service/bin/apigee-service edge-router start
  11. Powtórz ten proces w przypadku każdego procesora komunikatów.

Gdy protokół TLS jest włączony między routerem a procesorem komunikatów, plik dziennika procesora komunikatów zawiera ten INFO komunikat:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Ten komunikat INFO potwierdza, że protokół TLS działa między routerem a procesorem wiadomości.

W tabeli poniżej znajdziesz wszystkie dostępne właściwości w message-processor.properties:

Właściwości Opis 
conf_message-processor-communication_local.
  http.host=localhost_or_IP_address
 Opcjonalnie: nazwa hosta, na którym mają być nasłuchiwane połączenia z routerem. Ta wartość zastępuje nazwę hosta skonfigurowaną podczas rejestracji. 
conf/message-processor-communication.
  properties+local.http.port=8998
 Opcjonalnie: port, na którym mają być nasłuchiwane połączenia z routerem. Wartość domyślna to 8998. 
conf_message-processor-communication_local.
  http.ssl=[ false | true ]
 Ustaw tę wartość na true, aby włączyć protokół TLS/SSL. Wartość domyślna to false. Gdy protokół TLS/SSL jest włączony, musisz ustawić wartości local.http.ssl.keystore.path i local.http.ssl.keyalias. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.path=
 Ścieżka w lokalnym systemie plików do magazynu kluczy (JKS lub PKCS12). Wymagane, gdy local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias=
 Alias klucza z magazynu kluczy, który ma być używany do połączeń TLS/SSL. Wymagane, gdy local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias.password=
 Hasło używane do szyfrowania klucza w magazynie kluczy. Użyj zaciemnionego hasła w tym formacie: 
OBF:obsPword
 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.type=jks
 Typ magazynu kluczy. Obecnie obsługiwane są tylko formaty JKS i PKCS12. Wartość domyślna to JKS. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.password=
 Opcjonalnie: zaciemnione hasło do magazynu kluczy. Użyj zaciemnionego hasła w tym formacie: 
OBF:obsPword
 
conf_message-processor-communication_local.
  http.ssl.ciphers=cipher1,cipher2
 Opcjonalnie: gdy ta opcja jest skonfigurowana, dozwolone są tylko wymienione szyfry. Jeśli ta opcja zostanie pominięta, użyj wszystkich szyfrów obsługiwanych przez JDK.