Định cấu hình TLS giữa Bộ định tuyến và Bộ xử lý thông báo

Theo mặc định, TLS giữa Bộ định tuyến và Trình xử lý tin nhắn sẽ bị tắt.

Cách bật tính năng mã hoá TLS giữa Bộ định tuyến và Trình xử lý tin nhắn:

  1. Đảm bảo rằng Bộ định tuyến có thể truy cập vào cổng 8082 trên Trình xử lý tin nhắn.
  2. Tạo tệp kho khoá JKS chứa chứng chỉ TLS và khoá riêng tư của bạn. Để biết thêm thông tin, hãy xem bài viết Định cấu hình TLS/SSL cho Edge tại chỗ.
  3. Sao chép tệp kho khoá JKS vào một thư mục trên máy chủ Trình xử lý tin nhắn, chẳng hạn như /opt/apigee/customer/application.
  4. Thay đổi quyền và quyền sở hữu tệp JKS: 
    chown apigee:apigee /opt/apigee/customer/application/keystore.jks
chmod 600 /opt/apigee/customer/application/keystore.jks

    Trong đó keystore.jks là tên tệp kho khoá của bạn.

  5. Chỉnh sửa tệp /opt/apigee/customer/application/message-processor.properties. Nếu tệp này không tồn tại, hãy tạo tệp.
  6. Đặt các thuộc tính sau trong tệp message-processor.properties: 
    conf_message-processor-communication_local.http.ssl=true
conf/message-processor-communication.properties+local.http.port=8443
conf/message-processor-communication.properties+local.http.ssl.keystore.type=jks
conf/message-processor-communication.properties+local.http.ssl.keystore.path=/opt/apigee/customer/application/keystore.jks
conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
# Enter the obfuscated keystore password below.
conf/message-processor-communication.properties+local.http.ssl.keystore.password=OBF:obsPword

    Trong đó keystore.jks là tệp kho khoá của bạn và obsPword là kho khoá bị xáo trộn và mật khẩu keyalias của bạn.

    Lưu ý: Giá trị của 

    conf/message-processor-communication.properties+local.http.ssl.keyalias=apigee-devtest
     phải giống với giá trị do tuỳ chọn -alias cung cấp cho lệnh keytool, được mô tả ở cuối phần Tạo tệp JKS.

    Hãy xem bài viết Định cấu hình TLS/SSL cho Edge tại chỗ để biết thông tin về cách tạo mật khẩu bị xáo trộn.

  7. Đảm bảo rằng tệp message-processor.properties thuộc sở hữu của người dùng "apigee" : 
    chown apigee:apigee /opt/apigee/customer/application/message-processor.properties
  8. Dừng Trình xử lý tin nhắn và Bộ định tuyến: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor stop
/opt/apigee/apigee-service/bin/apigee-service edge-router stop
  9. Trên Bộ định tuyến, hãy xoá mọi tệp trong thư mục /opt/nginx/conf.d: 
    rm -f /opt/nginx/conf.d/*
  10. Khởi động Trình xử lý tin nhắn và Bộ định tuyến: 
    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor start
/opt/apigee/apigee-service/bin/apigee-service edge-router start
  11. Lặp lại quy trình này cho từng Trình xử lý tin nhắn.

Sau khi bật TLS giữa Bộ định tuyến và Trình xử lý tin nhắn, tệp nhật ký của Trình xử lý tin nhắn sẽ chứa thông báo INFO này:

MessageProcessorHttpSkeletonFactory.configureSSL() : Instantiating Keystore of type: jks

Câu lệnh INFO này xác nhận rằng TLS đang hoạt động giữa Bộ định tuyến và Trình xử lý tin nhắn.

Bảng sau đây liệt kê tất cả các thuộc tính có trong message-processor.properties:

Thuộc tính Mô tả 
conf_message-processor-communication_local.
  http.host=localhost_or_IP_address
 Không bắt buộc. Tên máy chủ để nghe các kết nối bộ định tuyến. Tên máy chủ này sẽ ghi đè tên máy chủ được định cấu hình khi đăng ký. 
conf/message-processor-communication.
  properties+local.http.port=8998
 Không bắt buộc. Cổng để nghe các kết nối bộ định tuyến. Giá trị mặc định là 8998. 
conf_message-processor-communication_local.
  http.ssl=[ false | true ]
 Đặt giá trị này thành true để bật TLS/SSL. Giá trị mặc định là false. Khi bật TLS/SSL, bạn phải đặt local.http.ssl.keystore.path và local.http.ssl.keyalias. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.path=
 Đường dẫn trong hệ thống tệp cục bộ đến kho khoá (JKS hoặc PKCS12). Bắt buộc khi local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias=
 Bí danh khoá từ kho khoá sẽ được dùng cho các kết nối TLS/SSL. Bắt buộc khi local.http.ssl=true. 
conf/message-processor-communication.
  properties+local.http.ssl.keyalias.password=
 Mật khẩu dùng để mã hoá khoá bên trong kho khoá. Hãy dùng mật khẩu bị xáo trộn theo định dạng sau: 
OBF:obsPword
 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.type=jks
 Loại kho khoá. Hiện tại, hệ thống chỉ hỗ trợ JKS và PKCS12. Giá trị mặc định là JKS. 
conf/message-processor-communication.
  properties+local.http.ssl.keystore.password=
 Không bắt buộc. Mật khẩu bị xáo trộn cho kho khoá. Hãy dùng mật khẩu bị xáo trộn theo định dạng sau: 
OBF:obsPword
 
conf_message-processor-communication_local.
  http.ssl.ciphers=cipher1,cipher2
 Không bắt buộc. Khi được định cấu hình, hệ thống chỉ cho phép các thuật toán mật mã được liệt kê. Nếu bạn bỏ qua, hãy dùng tất cả các thuật toán mật mã mà JDK hỗ trợ.