TLS (Transport Layer Security, שקודמו הוא SSL) היא טכנולוגיית האבטחה הסטנדרטית להבטחת העברת הודעות מאובטחת ומוצפנת בסביבת ה-API, מאפליקציות ל-Apigee Edge לשירותי הקצה העורפי.
לא משנה מה הגדרת הסביבה של ה-Management API – למשל, אם אתם משתמשים בשרת proxy, בנתב או במאזן עומסים לפני ה-Management API (או לא) – Edge מאפשר לכם להפעיל ולהגדיר TLS, וכך לשלוט בהצפנת ההודעות בסביבת ניהול ממשקי ה-API המקומית.
בהתקנה מקומית של Edge ענן פרטי, יש כמה מקומות שבהם אפשר להגדיר TLS:
- בין נתב לבין מעבד בקשות
- לגישה ל-Edge Management API
- כדי לגשת לממשק המשתמש החדש של Edge
- כדי לתת לאפליקציה גישה לממשקי ה-API שלכם
- לגישה מ-Edge לשירותים לקצה העורפי
סקירה מלאה של הגדרת TLS ב-Edge זמינה במאמר בנושא TLS/SSL.
יצירת קובץ JKS
בהרבה הגדרות אישיות של TLS, מאגר המפתחות מיוצג כקובץ JKS, שבו מאגר המפתחות מכיל את אישור ה-TLS ואת המפתח הפרטי. יש כמה דרכים ליצור קובץ JKS, אבל אחת מהן היא להשתמש בכלי השירות openssl ו-keytool.
לדוגמה, יש לכם קובץ PEM בשם server.pem שמכיל את אישור ה-TLS וקובץ PEM בשם private_key.pem שמכיל את המפתח הפרטי. כדי ליצור את קובץ ה-PKCS12, משתמשים בפקודות הבאות:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
צריך להזין את ביטוי הסיסמה של המפתח, אם יש לו, וסיסמת ייצוא. הפקודה הזו יוצרת קובץ PKCS12 בשם keystore.pkcs12.
כדי להמיר אותו לקובץ JKS בשם keystore.jks, משתמשים בפקודה הבאה:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
תתבקשו להזין את הסיסמה החדשה לקובץ JKS ואת הסיסמה הקיימת לקובץ PKCS12. חשוב להשתמש באותה סיסמה לקובץ JKS שבה השתמשתם לקובץ PKCS12.
אם צריך לציין כינוי למפתח, למשל כשמגדירים TLS בין נתב לבין מעבד בקשות, צריך לכלול את האפשרות -name בפקודה openssl:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
ואז מוסיפים את האפשרות -alias לפקודה keytool:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
יצירת סיסמה מוסתרת
בחלק מהשלבים של הגדרת TLS ב-Edge צריך להזין סיסמה מעורפלת בקובץ תצורה. סיסמה מעורפלת היא חלופה מאובטחת יותר להזנת הסיסמה בטקסט פשוט.
כדי ליצור סיסמה שעברה טשטוש, משתמשים בפקודה הבאה בשרת הניהול של Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
מזינים את הסיסמה החדשה ומאשרים אותה בהודעה שמופיעה. מטעמי אבטחה, הטקסט של הסיסמה לא מוצג. הפקודה הזו מחזירה את הסיסמה בפורמט הבא:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
כשמגדירים TLS, צריך להשתמש בסיסמה המעורפלת שצוינה על ידי OBF.
מידע נוסף זמין במאמר הזה.