Mengonfigurasi TLS untuk UI Edge Baru

Secara default, Anda mengakses UI Edge Baru melalui HTTP menggunakan alamat IP atau nama DNS node UI Edge Baru dan port 3001. Contoh:

http://edge_UI_IP:3001

Atau, Anda dapat mengonfigurasi akses TLS ke UI Edge Baru sehingga Anda dapat mengaksesnya dalam bentuk:

https://edge_UI_IP:3001

Persyaratan TLS

UI Edge Baru mendukung TLS v1.2 dan yang lebih tinggi. Jika Anda mengaktifkan TLS di UI Edge Baru, pengguna harus terhubung ke UI Edge Baru menggunakan browser yang kompatibel dengan TLS v1.2 atau yang lebih tinggi.

Properti konfigurasi TLS

Jalankan perintah berikut untuk mengonfigurasi TLS untuk UI Edge Baru:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Dengan configFile adalah file konfigurasi yang Anda gunakan untuk menginstal atau mengonfigurasi UI Edge Baru.

Sebelum menjalankan perintah ini, Anda harus mengedit file konfigurasi untuk menetapkan properti yang diperlukan yang mengontrol TLS. Tabel berikut menjelaskan properti yang Anda gunakan untuk mengonfigurasi TLS untuk UI Edge Baru:

Properti Deskripsi Wajib?
MANAGEMENT_UI_SCHEME

Menetapkan protokol, "http" atau "https", yang digunakan untuk mengakses UI Edge Baru. Nilai defaultnya adalah "http". Tetapkan ke "https" untuk mengaktifkan TLS:

MANAGEMENT_UI_SCHEME=https
 		Ya
MANAGEMENT_UI_TLS_OFFLOAD

Jika "n", menentukan bahwa permintaan TLS ke UI Edge Baru dihentikan di UI Edge Baru. Anda harus menetapkan MANAGEMENT_UI_TLS_KEY_FILE dan MANAGEMENT_UI_TLS_CERT_FILE.

Jika "y", menentukan bahwa permintaan TLS ke UI Edge Baru dihentikan di load balancer, dan load balancer kemudian meneruskan permintaan ke UI Edge Baru menggunakan HTTP.

Jika Anda menghentikan TLS di load balancer, UI Edge Baru masih perlu mengetahui bahwa permintaan asli masuk melalui TLS. Misalnya, beberapa cookie memiliki setelan flag Aman.

Anda harus menetapkan MANAGEMENT_UI_SCHEME ke "https" atau MANAGEMENT_UI_TLS_OFFLOAD akan diabaikan:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Ya
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Jika MANAGEMENT_UI_TLS_OFFLOAD=n, menentukan jalur absolut ke file kunci dan sertifikat TLS. File harus diformat sebagai file PEM dengan tanpa sandi, dan harus dimiliki oleh pengguna "apigee".

Lokasi yang direkomendasikan untuk file ini adalah: 

/opt/apigee/customer/application/edge-management-ui

Jika direktori tersebut tidak ada, buat direktori tersebut.

Jika MANAGEMENT_UI_TLS_OFFLOAD=y, hapus MANAGEMENT_UI_TLS_KEY_FILE dan MANAGEMENT_UI_TLS_CERT_FILE. File tersebut diabaikan karena permintaan ke UI Edge Baru masuk melalui HTTP.

 Ya jika MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Jika MANAGEMENT_UI_TLS_OFFLOAD=n, menentukan URL UI Edge Baru.

Tetapkan properti ini berdasarkan properti lain dalam file konfigurasi. Contoh:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Dengan:

  • MANAGEMENT_UI_SCHEME menentukan protokol, "http" atau "https", seperti yang dijelaskan di atas.
  • MANAGEMENT_UI_IP menentukan alamat IP atau nama DNS UI Edge Baru.
  • MANAGEMENT_UI_PORT menentukan port yang digunakan oleh UI Edge Baru.

Lihat Mengonfigurasi UI Edge Baru untuk mengetahui informasi selengkapnya tentang properti ini.

Jika MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP menentukan alamat IP atau nama DNS load balancer, bukan UI Edge Baru.
  • Load balancer dan UI Edge Baru harus menggunakan nomor port yang sama untuk permintaan, misalnya 3001. Gunakan MANAGEMENT_UI_PORT untuk menentukan nomor port di load balancer dan di UI Edge Baru.

Ya
MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

Menentukan daftar cipher TLS yang tersedia sebagai string yang dipisahkan koma atau spasi.

String yang dipisahkan koma:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

String yang dipisahkan spasi dan diapit tanda kutip ganda:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

Mengonfigurasi TLS

Untuk mengonfigurasi akses TLS ke UI Edge Baru:

  1. Buat sertifikat dan kunci TLS sebagai file PEM tanpa sandi. Contoh:

    mykey.pem
mycert.pem

    Ada banyak cara untuk membuat sertifikat dan kunci TLS. Misalnya, Anda dapat menjalankan perintah berikut perintah untuk membuat sertifikat dan kunci yang tidak ditandatangani:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Salin file kunci dan sertifikat ke direktori /opt/apigee/customer/application/edge-management-ui. Jika direktori tersebut tidak ada, buat direktori tersebut.

  3. Pastikan sertifikat dan kunci dimiliki oleh pengguna "apigee":

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Edit file konfigurasi yang Anda gunakan untuk menginstal UI Edge Baru untuk menetapkan properti TLS berikut:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

  5. Jalankan perintah berikut untuk mengonfigurasi TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dengan configFile adalah nama file konfigurasi.

    Skrip akan memulai ulang UI Edge Baru. Setelah dimulai ulang, UI Edge Baru mendukung akses melalui HTTPS. Jika Anda tidak dapat login ke UI Edge Baru setelah mengaktifkan TLS, hapus cache browser dan coba login lagi.

Mengonfigurasi UI Edge Baru saat TLS dihentikan di load balancer

Jika Anda memiliki load balancer yang meneruskan permintaan ke UI Edge Baru, Anda dapat memilih untuk menghentikan koneksi TLS di load balancer, lalu meminta load balancer meneruskan permintaan ke UI Edge Baru melalui HTTP:

Diagram arsitektur yang menunjukkan TLS termination pada load balancer yang meneruskan permintaan HTTP ke New Edge UI (edge-management-ui) di port 3001

Konfigurasi ini didukung, tetapi Anda perlu mengonfigurasi load balancer dan UI Edge Baru.

Untuk mengonfigurasi UI Edge Baru saat TLS dihentikan di load balancer:

  1. Edit file konfigurasi yang Anda gunakan untuk menginstal UI Edge Baru untuk menetapkan properti TLS berikut:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge UI.
# The load balancer and the New Edge UI must use the same port number.
MANAGEMENT_UI_PORT=3001

# Leave these properties set to the same values as when you installed the New Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

    Jika Anda menetapkan MANAGEMENT_UI_TLS_OFFLOAD=y, hapus MANAGEMENT_UI_TLS_KEY_FILE dan MANAGEMENT_UI_TLS_CERT_FILE. File tersebut diabaikan karena permintaan ke UI Edge Baru masuk melalui HTTP.

  2. Jalankan perintah berikut untuk mengonfigurasi TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dengan configFile adalah nama file konfigurasi.

    Skrip akan memulai ulang UI Edge Baru. Setelah dimulai ulang, UI Edge Baru mendukung akses melalui HTTPS melalui load balancer. Jika Anda tidak dapat login ke UI Edge Baru setelah mengaktifkan TLS, hapus cache browser dan coba login lagi.

Menonaktifkan TLS di UI Edge Baru

Untuk menonaktifkan TLS di UI Edge Baru:

  1. Edit file konfigurasi yang Anda gunakan untuk menginstal UI Edge Baru untuk menetapkan properti TLS berikut:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge UI.
MANAGEMENT_UI_IP=edge_UI_IP_DNS

  2. Jalankan perintah berikut untuk menonaktifkan TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dengan configFile adalah nama file konfigurasi.

    Skrip akan memulai ulang UI Edge Baru. Sekarang Anda dapat mengakses UI Edge Baru melalui HTTP. Jika Anda tidak dapat login ke UI Edge Baru setelah menonaktifkan TLS, hapus cache browser dan coba login lagi.