Обслуживание Apigee mTLS

На этой странице описаны задачи по обслуживанию Apigee mTLS, которые необходимо выполнять регулярно.

Ротация локальных сертификатов

Локальные сертификаты, установленные на каждом хосте Apigee, необходимо ежегодно заменять новыми. Это называется ротацией сертификатов. Существует два способа смены сертификатов в зависимости от того, используете ли вы собственный центр сертификации или сертификат, установленный Consul.

Как сменить локальные сертификаты без специального центра сертификации (ЦС)

Самый простой способ выполнить ротацию сертификатов без собственного центра сертификации – удалить и заново установить apigee-mtls. Все старые сертификаты будут удалены, а новые сгенерированы локально. Чтобы свести время простоя к минимуму, выполните следующие команды на каждом хосте по очереди:

Примечание. Предполагается, что используется тот же файл silent.conf, что и при первоначальной установке.

  1. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     См. раздел Как запустить, остановить или проверить все компоненты.
  2. Остановить запись apigee-mtls. 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  3. Удалить карточку "apigee-mtls": 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls uninstall
  4. Переустановите apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls install
  5. Запуск apigee-mtls setup: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls setup -f /opt/silent.conf
  6. Перезапустить apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     См. раздел Как запустить, остановить или проверить все компоненты.

Как сменить локальные сертификаты с помощью собственного центра сертификации

Чтобы сменить локальные сертификаты с помощью пользовательского ЦС, выполните следующие действия:

  1. Следуйте инструкциям в разделе Как использовать собственный сертификат, чтобы создать новые сертификаты.
  2. Остановите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all stop
     См. раздел Как запустить, остановить или проверить все компоненты.
  3. Остановить запись apigee-mtls. 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls stop
  4. Удалите старые локальные файлы сертификатов: 
    rm -f /opt/apigee/apigee-mtls/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/certs/local_key.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_cert.pem
rm -f /opt/apigee/apigee-mtls/source/certs/local_key.pem
rm -rf /opt/apigee/data/apigee-mtls
  5. Скопируйте новую пару сертификата и ключа, созданную на первом шаге, в следующие местоположения и обновите разрешения: 
    cp ${new_cert} /opt/apigee/apigee-mtls/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/certs/local_cert.pem

cp ${new_cert} /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

cp ${new_key} /opt/apigee/apigee-mtls/source/certs/local_key.pem

chmod \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem

chown \
  --reference=/opt/apigee/apigee-mtls/certs/ca_cert.pem \
  /opt/apigee/apigee-mtls/source/certs/local_cert.pem
  6. Перезапустить apigee-mtls: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-mtls start
  7. Перезапустите все основные компоненты Apigee: 
    /opt/apigee/apigee-service/bin/apigee-all start
     См. раздел Как запустить, остановить или проверить все компоненты.