Configura TLS per la nuova UI Edge

Per impostazione predefinita, accedi alla nuova UI Edge tramite HTTP utilizzando l'indirizzo IP o il nome DNS del nodo della nuova UI Edge e la porta 3001. Ad esempio:

http://edge_UI_IP:3001

In alternativa, puoi configurare l'accesso TLS alla nuova UI Edge in modo da potervi accedere nel formato:

https://edge_UI_IP:3001

Requisiti TLS

La nuova UI Edge supporta TLS v1.2 e versioni successive. Se abiliti TLS nella nuova UI Edge, gli utenti devono connettersi alla nuova UI Edge utilizzando un browser compatibile con TLS v1.2 o versioni successive.

Proprietà di configurazione TLS

Esegui il comando seguente per configurare TLS per la nuova UI Edge:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

Dove configFile è il file di configurazione che hai utilizzato per installare o configurare la nuova UI Edge.

Prima di eseguire questo comando, devi modificare il file di configurazione per impostare le proprietà necessarie che controllano TLS. La tabella seguente descrive le proprietà che utilizzi per configurare TLS per la nuova UI Edge:

Proprietà Descrizione Obbligatorio?
MANAGEMENT_UI_SCHEME

Imposta il protocollo, "http" o "https", utilizzato per accedere alla nuova UI Edge. Il valore predefinito è "http". Imposta il valore su "https" per abilitare TLS:

MANAGEMENT_UI_SCHEME=https
 		Sì
MANAGEMENT_UI_TLS_OFFLOAD

Se "n", specifica che le richieste TLS alla nuova UI Edge vengono terminate nella nuova UI Edge. Devi impostare MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE.

Se "y", specifica che le richieste TLS alla nuova UI Edge vengono terminate su un bilanciatore del carico e che il bilanciatore del carico inoltra la richiesta alla nuova UI Edge utilizzando HTTP.

Se termini TLS sul bilanciatore del carico, la nuova UI Edge deve comunque sapere che la richiesta originale è arrivata tramite TLS. Ad esempio, alcuni cookie hanno impostato un flag Secure.

Devi impostare MANAGEMENT_UI_SCHEME su "https", altrimenti MANAGEMENT_UI_TLS_OFFLOAD viene ignorato:

MANAGEMENT_UI_SCHEME=https
MANAGEMENT_UI_TLS_OFFLOAD=y
 		Sì
MANAGEMENT_UI_TLS_KEY_FILE

MANAGEMENT_UI_TLS_CERT_FILE

Se MANAGEMENT_UI_TLS_OFFLOAD=n, specifica il percorso assoluto dei file di chiave e certificato TLS. I file devono essere in formato PEM con senza passphrase e devono essere di proprietà dell'utente "apigee".

La posizione consigliata per questi file è: 

/opt/apigee/customer/application/edge-management-ui

Se la directory non esiste, creala.

Se MANAGEMENT_UI_TLS_OFFLOAD=y, ometti MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE. Vengono ignorati perché le richieste a alla nuova UI Edge arrivano tramite HTTP.

 Sì se MANAGEMENT_UI_TLS_OFFLOAD=n
MANAGEMENT_UI_PUBLIC_URIS

Se MANAGEMENT_UI_TLS_OFFLOAD=n, specifica l'URL della nuova UI Edge.

Imposta questa proprietà in base ad altre proprietà nel file di configurazione. Ad esempio:

MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

Dove:

  • MANAGEMENT_UI_SCHEME specifica il protocollo, "http" o "https", come descritto sopra.
  • MANAGEMENT_UI_IP specifica l'indirizzo IP o il nome DNS della nuova UI Edge.
  • MANAGEMENT_UI_PORT specifica la porta utilizzata dalla nuova UI Edge.

Per ulteriori informazioni su queste proprietà, consulta Configurare la nuova UI Edge.

Se MANAGEMENT_UI_TLS_OFFLOAD=y:

  • MANAGEMENT_UI_IP specifica l'indirizzo IP o il nome DNS del bilanciatore del carico, non della nuova UI Edge.
  • Il bilanciatore del carico e la nuova UI Edge devono utilizzare lo stesso numero di porta per le richieste, ad esempio 3001. Utilizza MANAGEMENT_UI_PORT per specificare il numero di porta sul bilanciatore del carico e sulla nuova UI Edge.

Sì
MANAGEMENT_UI_TLS_ALLOWED_CIPHERS

Definisce l'elenco delle cifrature TLS disponibili come stringa separata da virgole o spazi.

Stringa separata da virgole:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS=TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Stringa separata da spazi racchiusa tra virgolette doppie:

MANAGEMENT_UI_TLS_ALLOWED_CIPHERS="TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

Configurare TLS

Per configurare l'accesso TLS alla nuova UI Edge:

  1. Genera il certificato e la chiave TLS come file PEM senza passphrase. Ad esempio:

    mykey.pem
mycert.pem

    Esistono molti modi per generare un certificato e una chiave TLS. Ad esempio, puoi eseguire il comando seguente per generare un certificato e una chiave non firmati:

    openssl req -x509 -newkey rsa:4096 -keyout mykey.pem -out mycert.pem -days 365 -nodes -subj '/CN=localhost'
  2. Copia i file di chiave e certificato nella directory /opt/apigee/customer/application/edge-management-ui. Se la directory non esiste, creala.

  3. Assicurati che il certificato e la chiave siano di proprietà dell'utente "apigee":

    chown apigee:apigee /opt/apigee/customer/application/edge-management-ui/*.pem

  4. Modifica il file di configurazione che hai utilizzato per installare la nuova UI Edge per impostare le seguenti proprietà TLS:

    # Set to https to enable TLS.
MANAGEMENT_UI_SCHEME=https 
# Do NOT terminate TLS on a load balancer.
MANAGEMENT_UI_TLS_OFFLOAD=n

# Specify the key and cert. 
MANAGEMENT_UI_TLS_KEY_FILE=/opt/apigee/customer/application/edge-management-ui/mykey.pem
MANAGEMENT_UI_TLS_CERT_FILE=/opt/apigee/customer/application/edge-management-ui/mycert.pem

# Leave these properties set to the same values as when you installed the New Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

  5. Esegui il comando seguente per configurare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia la nuova UI Edge. Dopo il riavvio, la nuova UI Edge supporta l'accesso tramite HTTPS. Se non riesci ad accedere alla nuova UI Edge dopo aver abilitato TLS, svuota la cache del browser e riprova ad accedere.

Configurare la nuova UI Edge quando la terminazione TLS avviene sul bilanciatore del carico

Se hai un bilanciatore del carico che inoltra le richieste alla nuova UI Edge, puoi scegliere di terminare la connessione TLS sul bilanciatore del carico e poi fare in modo che il bilanciatore del carico inoltri le richieste alla nuova UI Edge tramite HTTP:

Diagramma dell'architettura che mostra la terminazione TLS su un bilanciatore del carico che inoltra le richieste HTTP alla nuova UI Edge (edge-management-ui) sulla porta 3001

Questa configurazione è supportata, ma devi configurare di conseguenza il bilanciatore del carico e la nuova UI Edge.

Per configurare la nuova UI Edge quando la terminazione TLS avviene sul bilanciatore del carico:

  1. Modifica il file di configurazione che hai utilizzato per installare la nuova UI Edge per impostare le seguenti proprietà TLS:

    # Set to https to enable TLS
MANAGEMENT_UI_SCHEME=https
# Terminate TLS on a load balancer
MANAGEMENT_UI_TLS_OFFLOAD=y
# Set to the IP address or DNS name of the load balancer.
MANAGEMENT_UI_IP=LB_IP_DNS
# Set to the port number for the load balancer and New Edge UI.
# The load balancer and the New Edge UI must use the same port number.
MANAGEMENT_UI_PORT=3001

# Leave these properties set to the same values as when you installed the New Edge UI:
MANAGEMENT_UI_PUBLIC_URIS=$MANAGEMENT_UI_SCHEME://$MANAGEMENT_UI_IP:$MANAGEMENT_UI_PORT

    Se imposti MANAGEMENT_UI_TLS_OFFLOAD=y, ometti MANAGEMENT_UI_TLS_KEY_FILE e MANAGEMENT_UI_TLS_CERT_FILE. Vengono ignorati perché le richieste a alla nuova UI Edge arrivano tramite HTTP.

  2. Esegui il comando seguente per configurare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia la nuova UI Edge. Dopo il riavvio, la nuova UI Edge supporta l'accesso tramite HTTPS tramite il bilanciatore del carico. Se non riesci ad accedere alla nuova UI Edge dopo aver abilitato TLS, svuota la cache del browser e riprova ad accedere.

Disabilitare TLS nella nuova UI Edge

Per disabilitare TLS nella nuova UI Edge:

  1. Modifica il file di configurazione che hai utilizzato per installare la nuova UI Edge per impostare la seguente proprietà TLS:

    # Set to http to disable TLS.
MANAGEMENT_UI_SCHEME=http

# Only if you had terminated TLS on a load balancer,
# reset to the IP address or DNS name of the New Edge UI.
MANAGEMENT_UI_IP=edge_UI_IP_DNS

  2. Esegui il comando seguente per disabilitare TLS:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-ssl -f configFile

    Dove configFile è il nome del file di configurazione.

    Lo script riavvia la nuova UI Edge. Ora puoi accedere alla nuova UI Edge tramite HTTP. Se non riesci ad accedere alla nuova UI Edge dopo aver disabilitato TLS, svuota la cache del browser e riprova ad accedere.