Konfigurowanie protokołu TLS dla interfejsu API zarządzania

Domyślnie protokół TLS jest wyłączony w przypadku interfejsu API zarządzania Google Analytics, a dostęp do interfejsu Edge Management API uzyskujesz przez HTTP, używając adresu IP węzła serwera zarządzania i portu 8080. Na przykład:

http://ms_IP:8080

Możesz też skonfigurować dostęp do protokołu TLS do interfejsu API zarządzania Google Analytics, aby można było uzyskać do niego dostęp w postaci:

https://ms_IP:8443

W tym przykładzie konfigurujesz dostęp TLS do korzystania z portu 8443. Jednak ten numer portu nie jest wymagany przez Edge – możesz skonfigurować serwer zarządzania tak, aby używał innych wartości portów. Jedynym wymaganiem jest to, aby zapora sieciowa zezwalała na ruch przez określony port.

Aby zapewnić szyfrowanie ruchu do i z interfejsu Management API, skonfiguruj ustawienia w pliku /opt/apigee/customer/application/management-server.properties.

Oprócz konfiguracji TLS możesz też kontrolować weryfikację hasła (długość hasła i siłę), modyfikując plik management-server.properties.

Sprawdź, czy port TLS jest otwarty

Procedura opisana w tej sekcji konfiguruje protokół TLS do korzystania z portu 8443 na serwerze zarządzania. Niezależnie od używanego portu musisz się upewnić, że jest on otwarty na serwerze zarządzania. Możesz na przykład użyć tego polecenia, aby go otworzyć:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Konfigurowanie protokołu TLS

Edytuj plik /opt/apigee/customer/application/management-server.properties , aby kontrolować użycie protokołu TLS w ruchu do i z interfejsu API zarządzania Google Analytics. Jeśli ten plik nie istnieje, utwórz go.

Aby skonfigurować dostęp protokołu TLS do interfejsu API zarządzania Google Analytics:

  1. Wygeneruj plik magazynu kluczy JKS zawierający certyfikat TLS i klucz prywatny. Więcej informacji znajdziesz w artykule Konfigurowanie protokołu TLS/SSL na potrzeby Edge w wersji lokalnej.
  2. Skopiuj plik magazynu kluczy JKS do katalogu w węźle serwera zarządzania, np. /opt/apigee/customer/application.
  3. Zmień właściciela pliku JKS na użytkownika „apigee”: 
    chown apigee:apigee keystore.jks

    gdzie keystore.jks to nazwa pliku magazynu kluczy.

  4. Edytuj /opt/apigee/customer/application/management-server.properties , aby ustawić te właściwości. Jeśli ten plik nie istnieje, utwórz go: 
    conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword

    gdzie keyStore.jks to plik magazynu kluczy, a obfuscatedPassword to zaciemnione hasło magazynu kluczy. Informacje o generowaniu zaciemnionego hasła znajdziesz w artykule Konfigurowanie protokołu TLS/SSL na potrzeby Edge w wersji lokalnej.

  5. Uruchom ponownie serwer zarządzania Edge za pomocą tego polecenia: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

Interfejs API zarządzania Google Analytics obsługuje teraz dostęp przez protokół TLS.

Konfigurowanie nowego interfejsu Edge UI do korzystania z protokołu TLS w celu uzyskania dostępu do interfejsu API Edge

W opisanej powyżej procedurze Apigee zaleca pozostawienie conf_webserver_http.turn.off=false aby nowy interfejs New Edge UI mógł nadal wykonywać wywołania interfejsu API Edge przez HTTP.

Aby skonfigurować nowy interfejs Edge UI tak, aby wykonywał te wywołania tylko przez HTTPS, wykonaj te czynności:

  1. Skonfiguruj dostęp do protokołu TLS do interfejsu API zarządzania Google Analytics zgodnie z opisem powyżej.
  2. Po potwierdzeniu, że protokół TLS działa w przypadku interfejsu API zarządzania Google Analytics, edytuj /opt/apigee/customer/application/management-server.properties aby ustawić tę właściwość: 
    conf_webserver_http.turn.off=true
  3. Uruchom ponownie serwer zarządzania Edge, wykonując to polecenie: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
  4. Zaktualizuj konfigurację nowego interfejsu Edge UI, aby połączyć się z serwerem zarządzania przez HTTPS. Ustaw te właściwości w pliku konfiguracyjnym nowego interfejsu Edge UI file: 
    APIGEE_PORT_HTTP_MS=port
MS_SCHEME=https

    gdzie port to port określony wcześniej przez conf_webserver_ssl.port (np. 8443).

  5. Zastosuj zaktualizowaną konfigurację do nowego interfejsu Edge UI: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile

    Więcej informacji o pliku konfiguracyjnym nowego interfejsu Edge UI znajdziesz w artykule Konfigurowanie nowego interfejsu Edge UI. Aby skonfigurować dostęp HTTPS do samego nowego interfejsu Edge UI, przeczytaj artykuł Konfigurowanie protokołu TLS na potrzeby nowego interfejsu Edge UI.

Właściwości TLS serwera zarządzania

W tabeli poniżej znajdziesz wszystkie właściwości TLS/SSL, które możesz ustawić w management-server.properties:

Właściwości Opis

conf_webserver_http.port=8080

Domyślna wartość to 8080.

conf_webserver_ssl.enabled=false

Aby włączyć lub wyłączyć protokół TLS/SSL. Jeśli protokół TLS/SSL jest włączony (wartość „true”), musisz też ustawić właściwości ssl.port i keystore.path.

conf_webserver_http.turn.off=true

Aby włączyć lub wyłączyć protokół HTTP wraz z HTTPS. Jeśli chcesz używać tylko protokołu HTTPS, pozostaw wartość domyślną true.

conf_webserver_ssl.port=8443

Port TLS/SSL.

Wymagany, gdy protokół TLS/SSL jest włączony (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.path=path

Ścieżka do pliku magazynu kluczy.

Wymagany, gdy protokół TLS/SSL jest włączony (conf_webserver_ssl.enabled=true).

conf_webserver_keystore.password=password

Użyj zaciemnionego hasła w tym formacie: OBF:xxxxxxxxxx

conf_webserver_cert.alias=alias

Opcjonalny alias certyfikatu magazynu kluczy

conf_webserver_keymanager.password=password

Jeśli menedżer kluczy ma hasło, wpisz jego zaciemnioną wersję w tym formacie:

OBF:xxxxxxxxxx

conf_webserver_trust.all=[false | true]

conf_webserver_trust.store.path=path

conf_webserver_trust.store.password=password

Skonfiguruj ustawienia magazynu zaufanych certyfikatów. Określ, czy chcesz akceptować wszystkie certyfikaty TLS/SSL (np. aby akceptować niestandardowe typy). Domyślna wartość to false. Podaj ścieżkę do magazynu zaufanych certyfikatów i wpisz zaciemnione hasło magazynu zaufanych certyfikatów w tym formacie:

OBF:xxxxxxxxxx

conf_http_HTTPTransport.ssl.cipher.suites.blacklist=CIPHER_SUITE_1, CIPHER_SUITE_2

conf_http_HTTPTransport.ssl.cipher.suites.whitelist=

Wskaż zestawy szyfrów, które chcesz uwzględnić lub wykluczyć. Jeśli na przykład wykryjesz lukę w zabezpieczeniach szyfru, możesz ją tutaj wykluczyć. Poszczególne szyfry oddzielaj przecinkami.

Wszystkie szyfry usunięte za pomocą czarnej listy mają pierwszeństwo przed szyframi uwzględnionymi na białej liście.

Uwaga: jeśli domyślnie nie określono czarnej ani białej listy, szyfry pasujące do tego wyrażenia regularnego w Javie są domyślnie wykluczane.

^.*_(MD5|SHA|SHA1)$
^TLS_RSA_.*$
^SSL_.*$
^.*_NULL_.*$
^.*_anon_.*$

Jeśli jednak określisz czarną listę, ten filtr zostanie zastąpiony i musisz dodać do czarnej listy wszystkie szyfry.

Więcej informacji o zestawach szyfrów i architekturze kryptografii znajdziesz w dokumentacji architektury kryptografii Java Oracle Providers dla JDK 8.

conf_webserver_ssl.session.cache.size=

conf_webserver_ssl.session.timeout=

Liczby całkowite, które określają:

  • rozmiar pamięci podręcznej sesji TLS/SSL (w bajtach) do przechowywania informacji o sesjach wielu klientów;
  • czas, przez jaki mogą trwać sesje TLS/SSL, zanim upłynie ich limit czasu (w milisekundach).