TLS (Transport Layer Security, преемник SSL) – это стандартная технология безопасности, которая обеспечивает безопасный обмен зашифрованными сообщениями в среде API, от приложений до Apigee Edge и внутренних сервисов.
Независимо от конфигурации среды для Management API, например используете ли вы прокси-сервер, маршрутизатор и/или балансировщик нагрузки перед Management API (или нет), Edge позволяет включить и настроить TLS, чтобы вы могли контролировать шифрование сообщений в локальной среде управления API.
При локальной установке Edge Private Cloud настроить TLS можно в нескольких местах:
- Между маршрутизатором и обработчиком сообщений
- Для доступа к API управления Edge
- Доступ к новому интерфейсу Edge
- Для доступа приложения к вашим API
- Для доступа из Edge к внутренним сервисам
Полный обзор настройки TLS в Edge приведен в статье TLS/SSL.
Как создать файл JKS
Для многих конфигураций TLS хранилище ключей представляется в виде файла JKS, где хранилище ключей содержит ваш сертификат TLS и закрытый ключ. Создать файл JKS можно несколькими способами, например с помощью утилит openssl и keytool.
Например, у вас есть файл PEM с именем server.pem, содержащий сертификат TLS, и файл PEM с именем private_key.pem, содержащий закрытый ключ. Чтобы создать файл PKCS12, используйте следующие команды:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
Вам нужно будет ввести кодовую фразу для ключа, если она есть, и пароль для экспорта. Эта команда создает файл PKCS12 с названием keystore.pkcs12.
Чтобы преобразовать его в файл JKS с названием keystore.jks, используйте следующую команду:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
Вам будет предложено ввести новый пароль для файла JKS и существующий пароль для файла PKCS12. Убедитесь, что вы используете тот же пароль для файла JKS, что и для файла PKCS12.
Если вам нужно указать псевдоним ключа, например при настройке TLS между маршрутизатором и Message Processor, добавьте параметр -name в команду openssl:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
Затем добавьте параметр -alias в команду keytool:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
Создание обфусцированного пароля
На некоторых этапах настройки TLS в Edge вам потребуется ввести в файл конфигурации обфусцированный пароль. Обфусцированный пароль – более безопасная альтернатива вводу пароля в виде обычного текста.
Зашифрованный пароль можно создать с помощью следующей команды на сервере управления Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
Введите новый пароль и подтвердите его. В целях безопасности текст пароля не отображается. Эта команда возвращает пароль в следующем формате:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
При настройке TLS используйте обфусцированный пароль, указанный OBF.
Подробнее о настройке с помощью Google Менеджера тегов…