TLS (Transport Layer Security, dessen Vorgänger SSL ist) ist die Standardsicherheitstechnologie für die sichere, verschlüsselte Nachrichtenübertragung in Ihrer API-Umgebung, von Apps über Apigee Edge bis hin zu Ihren Back-End-Diensten.
Unabhängig von der Umgebungskonfiguration für Ihre Management API, z. B. ob Sie einen Proxy, einen Router und/oder einen Load-Balancer vor Ihrer Management API verwenden oder nicht, können Sie mit Edge TLS aktivieren und konfigurieren. So haben Sie die Kontrolle über die Nachrichtenverschlüsselung in Ihrer lokalen API-Verwaltungsumgebung.
Bei einer lokalen Installation von Edge Private Cloud gibt es mehrere Stellen, an denen Sie TLS konfigurieren können:
- Zwischen einem Router und einem Message Processor
- Für den Zugriff auf die Edge Management API
- Für den Zugriff auf die neue Edge-Benutzeroberfläche
- Für den Zugriff von einer App auf Ihre APIs
- Für den Zugriff von Edge auf Ihre Backend-Dienste
Eine vollständige Übersicht über die Konfiguration von TLS in Edge finden Sie unter TLS/SSL.
JKS-Datei erstellen
Bei vielen TLS-Konfigurationen wird der Keystore als JKS-Datei dargestellt, die Ihr TLS-Zertifikat und privaten Schlüssel enthält. Es gibt mehrere Möglichkeiten, eine JKS-Datei zu erstellen, z. B. mit den Dienstprogrammen „openssl“ und „keytool“.
Angenommen, Sie haben eine PEM-Datei namens server.pem mit Ihrem TLS-Zertifikat
und eine PEM-Datei namens „private_key.pem“ mit Ihrem privaten Schlüssel. Verwenden Sie die folgenden Befehle, um die PKCS12-Datei zu erstellen:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
Sie müssen die Passphrase für den Schlüssel eingeben, falls vorhanden, und ein Exportpasswort. Mit diesem
Befehl wird eine PKCS12-Datei namens keystore.pkcs12 erstellt.
Verwenden Sie den folgenden Befehl, um sie in eine JKS-Datei namens „keystore.jks“ zu konvertieren:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
Sie werden aufgefordert, das neue Passwort für die JKS-Datei und das vorhandene Passwort für die PKCS12-Datei einzugeben. Verwenden Sie für die JKS-Datei dasselbe Passwort wie für die PKCS12-Datei.
Wenn Sie einen Schlüsselalias angeben müssen, z. B. beim Konfigurieren von TLS zwischen einem Router und einem Message
Processor, fügen Sie die -name Option zum openssl Befehl hinzu:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
Fügen Sie dann die Option -alias zum Befehl keytool hinzu:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
Verschleiertes Passwort generieren
Bei einigen Schritten der TLS-Konfiguration von Edge müssen Sie ein verschleiertes Passwort in eine Konfigurationsdatei eingeben. Ein verschleiertes Passwort ist eine sicherere Alternative zur Eingabe Ihres Passworts im Klartext.
Sie können ein verschleiertes Passwort mit dem folgenden Befehl auf dem Edge Management Server generieren:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
Geben Sie das neue Passwort ein und bestätigen Sie es an der Eingabeaufforderung. Aus Sicherheitsgründen wird der Text von dem Passwort nicht angezeigt. Dieser Befehl gibt das Passwort im folgenden Format zurück:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
Verwenden Sie das von OBF angegebene verschleierte Passwort, wenn Sie TLS konfigurieren.
Weitere Informationen finden Sie in diesem Artikel.