TLS (Bảo mật tầng truyền tải, tiền thân là SSL) là công nghệ bảo mật tiêu chuẩn để đảm bảo việc truyền thông điệp được bảo mật và mã hoá trên môi trường API của bạn, từ ứng dụng đến Apigee Edge đến các dịch vụ phụ trợ.
Bất kể cấu hình môi trường cho API quản lý của bạn (ví dụ: bạn có đang sử dụng proxy, bộ định tuyến và/hoặc bộ cân bằng tải trước API quản lý hay không); Edge cho phép bạn bật và định cấu hình TLS, giúp bạn kiểm soát việc mã hoá thông điệp trong môi trường quản lý API tại chỗ.
Đối với bản cài đặt tại chỗ của Edge Private Cloud, bạn có thể định cấu hình TLS ở một số nơi:
- Giữa Bộ định tuyến và Bộ xử lý thông điệp
- Để truy cập vào API quản lý Edge
- Để truy cập vào Giao diện người dùng Edge mới
- Để truy cập từ ứng dụng vào API của bạn
- Để truy cập từ Edge vào các dịch vụ phụ trợ của bạn
Để biết thông tin tổng quan đầy đủ về cách định cấu hình TLS trên Edge, hãy xem bài viết TLS/SSL.
Tạo tệp JKS
Đối với nhiều cấu hình TLS, bạn biểu thị kho khoá dưới dạng tệp JKS, trong đó kho khoá chứa chứng chỉ TLS và khoá riêng tư của bạn. Có nhiều cách để tạo tệp JKS, nhưng một cách là sử dụng các tiện ích openssl và keytool.
Ví dụ: bạn có một tệp PEM tên là server.pem chứa chứng chỉ TLS
và một tệp PEM tên là private_key.pem chứa khoá riêng tư. Hãy dùng các lệnh sau để
tạo tệp PKCS12:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12
Bạn phải nhập cụm mật khẩu cho khoá (nếu có) và mật khẩu xuất. Lệnh này sẽ tạo một tệp PKCS12 tên là keystore.pkcs12.
Hãy dùng lệnh sau để chuyển đổi tệp này thành tệp JKS tên là keystore.jks:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks
Bạn được nhắc nhập mật khẩu mới cho tệp JKS và mật khẩu hiện có cho tệp PKCS12. Hãy đảm bảo bạn dùng cùng một mật khẩu cho tệp JKS như mật khẩu bạn đã dùng cho tệp PKCS12.
Nếu bạn phải chỉ định bí danh khoá, chẳng hạn như khi định cấu hình TLS giữa Bộ định tuyến và Bộ xử lý thông điệp, hãy thêm tuỳ chọn -name vào lệnh openssl:
openssl pkcs12 -export -clcerts -in server.pem -inkey private_key.pem -out keystore.pkcs12 -name devtest
Sau đó, hãy thêm tuỳ chọn -alias vào lệnh keytool:
keytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks -alias devtest
Tạo mật khẩu bị xáo trộn
Một số phần trong quy trình định cấu hình TLS của Edge yêu cầu bạn nhập mật khẩu bị xáo trộn trong tệp cấu hình. Mật khẩu bị xáo trộn là một giải pháp thay thế an toàn hơn so với việc nhập mật khẩu ở dạng văn bản thuần tuý.
Bạn có thể tạo mật khẩu bị xáo trộn bằng cách dùng lệnh sau trên Máy chủ quản lý Edge Server:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server generate-obfuscated-password
Nhập mật khẩu mới, sau đó xác nhận mật khẩu đó theo lời nhắc. Vì lý do bảo mật, văn bản của mật khẩu sẽ không xuất hiện. Lệnh này trả về mật khẩu ở dạng:
OBF:58fh40h61svy156789gk1saj MD5:902fobg9d80e6043b394cb2314e9c6
Hãy dùng mật khẩu bị xáo trộn do OBF chỉ định khi định cấu hình TLS.
Để biết thêm thông tin, hãy xem bài viết này.