הגדרת TLS בממשק המשתמש החדש של Edge

כברירת מחדל, אתם ניגשים לממשק המשתמש החדש של Edge דרך HTTP באמצעות כתובת ה-IP או שם ה-DNS של הצומת של ממשק המשתמש החדש של Edge ויציאה 3001. לדוגמה:

http://edge_UI_IP:3001

לחלופין, אתם יכולים להגדיר גישת TLS לממשק המשתמש החדש של Edge כדי שתוכלו לגשת אליו בפורמט:

https://edge_UI_IP:3001

הדרישות לגבי TLS

ממשק המשתמש החדש של Edge תומך ב-TLS בגרסה 1.2 ואילך. אם מפעילים את TLS בממשק המשתמש החדש של Edge, המשתמשים חייבים להתחבר לממשק המשתמש החדש של Edge באמצעות דפדפן שתואם ל-TLS בגרסה 1.2 ואילך.

מאפייני ההגדרה של TLS

מריצים את הפקודה הבאה כדי להגדיר TLS לממשק המשתמש החדש של Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

configFile הוא קובץ התצורה שבו השתמשתם כדי להתקין או להגדיר את ממשק המשתמש החדש של Edge.

לפני שמריצים את הפקודה הזו, צריך לערוך את קובץ התצורה כדי להגדיר את המאפיינים הנדרשים ששולטים ב-TLS. בטבלה הבאה מתוארים המאפיינים שמשמשים להגדרת TLS בממשק המשתמש החדש של Edge:

MANAGEMENT_UI_SCHEME=https

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y

/opt/apigee/customer/application/edge-management-ui

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

הגדרת TLS

כדי להגדיר גישת TLS לממשק המשתמש החדש של Edge:

1. יוצרים את אישור ה-TLS ואת המפתח כקובצי PEM ללא ביטוי סיסמה. לדוגמה:

   mykey.pem
   mycert.pem

   יש הרבה דרכים ליצור אישור ומפתח TLS. לדוגמה, אפשר להריץ את הפקודה הבאה כדי ליצור אישור ומפתח לא חתומים:

   openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'

2. מעתיקים את קובצי המפתח והאישור לספרייה /opt/apigee/customer/application/edge-management-ui. אם הספרייה הזו לא קיימת, צריך ליצור אותה.

3. מוודאים שהאישור והמפתח נמצאים בבעלות המשתמש apigee:

   chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

4. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש החדש של Edge כדי להגדיר את מאפייני ה-TLS הבאים:

   # Set to https to enable TLS.
   MANAGEMENT_UI_SCHEME=https 
   # Do NOT terminate TLS on a load balancer.
   MANAGEMENT_UI_TLS_OFFLOAD=n
   
   # Specify the key and cert. 
   MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
   MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem
   
   # Leave these properties set to the same values as when you installed the New Edge UI:
   MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

5. מריצים את הפקודה הבאה כדי להגדיר את TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא שם קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש החדש של Edge. אחרי ההפעלה מחדש, ממשק המשתמש החדש של Edge תומך בגישה דרך HTTPS. אם אתם לא מצליחים להתחבר לממשק המשתמש החדש של Edge אחרי שהפעלתם את TLS, נקו את שמירה במטמון הדפדפן ונסו להתחבר שוב.

הגדרת ממשק המשתמש החדש של Edge כש-TLS מסתיים במאזן העומסים

אם יש לכם מאזן עומסים שמעביר בקשות לממשק המשתמש החדש של Edge, יכול להיות שתבחרו לסיים את חיבור ה-TLS במאזן העומסים, ואז מאזן העומסים יעביר בקשות לממשק המשתמש החדש של Edge באמצעות HTTP:

ההגדרה הזו נתמכת, אבל צריך להגדיר את מאזן העומסים ואת ממשק המשתמש החדש של Edge בהתאם.

כדי להגדיר את ממשק המשתמש החדש של Edge כשסיום TLS מסתיים במאזן העומסים:

1. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש החדש של Edge, כדי להגדיר את מאפייני ה-TLS הבאים:

   # Set to https to enable TLS
   MANAGEMENT_UI_SCHEME=https
   # Terminate TLS on a load balancer
   MANAGEMENT_UI_TLS_OFFLOAD=y
   # Set to the IP address or DNS name of the load balancer.
   MANAGEMENT_UI_IP=LB_IP_DNS
   # Set to the port number for the load balancer and New Edge UI.
   # The load balancer and the New Edge UI must use the same port number.
   MANAGEMENT_UI_PORT=3001
   
   # Leave these properties set to the same values as when you installed the New Edge UI:
   MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT
   

   אם מגדירים את MANAGEMENT_UI_TLS_OFFLOAD=y, צריך להשמיט את MANAGEMENT_UI_TLS_KEY_FILE ואת MANAGEMENT_UI_TLS_CERT_FILE. המערכת מתעלמת מהן כי הבקשות לממשק המשתמש החדש של Edge מגיעות דרך HTTP.

2. מריצים את הפקודה הבאה כדי להגדיר את TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא שם קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש החדש של Edge. אחרי ההפעלה מחדש, ממשק המשתמש החדש של Edge תומך בגישה דרך HTTPS באמצעות מאזן העומסים. אם אתם לא מצליחים להיכנס לממשק המשתמש של New Edge אחרי הפעלת TLS, נקו את המטמון של הדפדפן ונסו להיכנס שוב.

השבתת TLS בממשק המשתמש החדש של Edge

כדי להשבית את TLS בממשק המשתמש החדש של Edge:

1. עורכים את קובץ התצורה שבו השתמשתם כדי להתקין את ממשק המשתמש החדש של Edge, כדי להגדיר את מאפיין ה-TLS הבא:

   # Set to http to disable TLS.
   MANAGEMENT_UI_SCHEME=http
   
   # Only if you had terminated TLS on a load balancer,
   # reset to the IP address or DNS name of the New Edge UI.
   MANAGEMENT_UI_IP=edge_UI_IP_DNS
   

2. מריצים את הפקודה הבאה כדי להשבית את TLS:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

   כאשר configFile הוא שם קובץ התצורה.

   הסקריפט מפעיל מחדש את ממשק המשתמש החדש של Edge. עכשיו אפשר לגשת לממשק המשתמש החדש של Edge דרך HTTP. אם אתם לא מצליחים להיכנס לממשק המשתמש של New Edge אחרי השבתת TLS, נקו את שמירה במטמון הדפדפן ונסו להיכנס שוב.