TLS (Transport Layer Security, którego poprzednikiem jest SSL) to standardowa technologia zabezpieczeń zapewniająca bezpieczne, szyfrowane przesyłanie wiadomości w środowisku API, od aplikacji przez Apigee Edge po usługi backendowe.
Niezależnie od konfiguracji środowiska interfejsu API zarządzania Google Analytics – na przykład czy używasz serwera proxy, routera lub systemu równoważenia obciążenia przed interfejsem API zarządzania Google Analytics (czy nie) – Edge umożliwia włączenie i skonfigurowanie protokołu TLS, co daje Ci kontrolę nad szyfrowaniem wiadomości w lokalnym środowisku zarządzania interfejsami API.
W przypadku instalacji lokalnej Edge Private Cloud możesz skonfigurować TLS w kilku miejscach:
- Między routerem a procesorem wiadomości
- W przypadku dostępu do interfejsu API zarządzania Google Analytics Edge
- W przypadku dostępu do nowego interfejsu Edge
- W przypadku dostępu z aplikacji do interfejsów API
- W przypadku dostępu z Edge do usług backendowych
Pełne omówienie konfigurowania TLS w Edge znajdziesz w artykule TLS/SSL.
Tworzenie pliku JKS
W przypadku wielu konfiguracji TLS magazyn kluczy jest reprezentowany jako plik JKS, który zawiera certyfikat TLS i klucz prywatny. Plik JKS można utworzyć na kilka sposobów, ale jednym z nich jest użycie narzędzi openssl i keytool.
Załóżmy, że masz plik PEM o nazwie server.pem zawierający certyfikat TLS
oraz plik PEM o nazwie private_key.pem zawierający klucz prywatny. Aby utworzyć plik PKCS12, użyj tych poleceń:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
Musisz wpisać hasło do klucza (jeśli je ma) oraz hasło eksportu. To
polecenie tworzy plik PKCS12 o nazwie keystore.pkcs12.
Aby przekonwertować go na plik JKS o nazwie keystore.jks, użyj tego polecenia:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
Zostaniesz poproszony o wpisanie nowego hasła do pliku JKS i dotychczasowego hasła do pliku PKCS12. Upewnij się, że używasz tego samego hasła do pliku JKS co do pliku PKCS12.
Jeśli musisz określić alias klucza, np. podczas konfigurowania TLS między routerem a procesorem wiadomości, dodaj opcję -name do polecenia openssl:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
Następnie dodaj opcję -alias do polecenia keytool:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
Generowanie zaciemnionego hasła
Niektóre części procedury konfiguracji TLS w Edge wymagają wpisania zaciemnionego hasła w pliku konfiguracyjnym. Zaciemnione hasło jest bezpieczniejszą alternatywą dla wpisywania swojego hasła w postaci zwykłego tekstu.
Zaciemnione hasło możesz wygenerować za pomocą tego polecenia na serwerze zarządzania Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
Wpisz nowe hasło, a potem potwierdź je w wierszu polecenia. Ze względów bezpieczeństwa tekst hasła nie jest wyświetlany. To polecenie zwraca hasło w postaci:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
Podczas konfigurowania TLS użyj zaciemnionego hasła określonego przez OBF.
Więcej informacji znajdziesz w tym artykule.