איפוס הסיסמאות של Edge

אחרי שתסיימו את ההתקנה, תוכלו לאפס את הסיסמאות הבאות:

• SymasLDAP
• אדמין מערכת של Apigee Edge
• משתמש בארגון Edge
• Cassandra

הוראות לאיפוס כל אחת מהסיסמאות האלה מופיעות בקטעים הבאים.

איפוס הסיסמה של SymasLDAP

הדרך לאפס את הסיסמה של SymasLDAP תלויה בהגדרות שלכם. בהתאם להגדרות של Edge, אפשר להתקין את SymasLDAP בתור:

• מופע אחד של SymasLDAP שמותקן בצומת של שרת הניהול. לדוגמה, בהגדרת Edge עם 2 צמתים, 5 צמתים או 9 צמתים.
• כמה מכונות של SymasLDAP שמותקנות בצומתי Management Server, ומוגדרות עם רפליקציה של SymasLDAP. לדוגמה, בהגדרת Edge עם 12 צמתים.
• כמה מכונות של SymasLDAP שמותקנות בצמתים משלהן, ומוגדרות עם שכפול של SymasLDAP. לדוגמה, בהגדרה של 13 צמתים ב-Edge.

אם מותקן מופע יחיד של SymasLDAP בשרת הניהול, מבצעים את הפעולות הבאות:

1. בצומת של שרת הניהול, מריצים את הפקודה הבאה כדי ליצור את הסיסמה החדשה של SymasLDAP:

   /opt/apigee/apigee‑service/bin/apigee‑service apigee‑openldap \ 
     change‑ldap‑password ‑o OLD_PASSWORD ‑n NEW_PASSWORD

2. מריצים את הפקודה הבאה כדי לאחסן את הסיסמה החדשה לגישה של שרת הניהול:

   /opt/apigee/apigee‑service/bin/apigee‑service edge‑management‑server \ 
     store_ldap_credentials ‑p NEW_PASSWORD

   הפקודה הזו מפעילה מחדש את שרת הניהול.

בהגדרת שכפול של SymasLDAP עם SymasLDAP שמותקן בצמתים של שרת הניהול nodes, פועלים לפי השלבים שלמעלה בשני הצמתים של שרת הניהול כדי לעדכן את הסיסמה.

בהגדרת שכפול של SymasLDAP שבה SymasLDAP נמצא בצומת שאינו Management Server, צריך לוודא שקודם משנים את הסיסמה בשני צמתי SymasLDAP, ואז בשני צמתי Management Server.

איפוס הסיסמה של מנהל המערכת

כדי לאפס את הסיסמה של האדמין במערכת, צריך לאפס את הסיסמה בשני מקומות:

• שרת ניהול
• ממשק משתמש חדש של Edge

כדי לאפס את הסיסמה של האדמין במערכת:

1. עורכים את קובץ התצורה השקט שבו השתמשתם כדי להתקין את ממשק המשתמש החדש של Edge, כדי להגדיר את המאפיינים הבאים:

   APIGEE_ADMINPW=NEW_PASSWORD
   SMTPHOST=smtp.gmail.com
   SMTPPORT=465
   SMTPUSER=foo@gmail.com
   SMTPPASSWORD=bar
   SMTPSSL=y
   SMTPMAILFROM="My Company <myco@company.com>"

   חשוב לזכור שצריך לכלול את מאפייני ה-SMTP כשמעבירים את הסיסמה החדשה, כי כל המאפיינים בממשק המשתמש החדש של Edge מאופסים.

2. בצומת של ממשק המשתמש החדש של Edge, עוצרים את ממשק המשתמש החדש של Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui stop

3. משתמשים בכלי apigee-setup כדי לאפס את הסיסמה בממשק המשתמש החדש של Edge מקובץ התצורה:

   /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile

4. (רק אם TLS מופעל בממשק המשתמש החדש של Edge) מפעילים מחדש את TLS בממשק המשתמש החדש של Edge כמו שמתואר במאמר הגדרת TLS בממשק המשתמש החדש של Edge.
5. בשרת הניהול, יוצרים קובץ XML חדש. בקובץ הזה, מגדירים את מזהה המשתמש כ-admin ומגדירים את הסיסמה, השם הפרטי, שם המשפחה וכתובת האימייל בפורמט הבא:

   <User id="admin">
     <Password><![CDATA[password]]></Password>
     <FirstName>first_name</FirstName>
     <LastName>last_name</LastName>
     <EmailId>email_address</EmailId>
   </User>

6. בשרת הניהול, מריצים את הפקודה הבאה:

   curl -u "admin_email_address:admin_password" -H \
   "Content-Type: application/xml" -H "Accept: application/json" -X POST \
   "http://localhost:8080/v1/users/admin_email_address" -d @your_data_file
   

   ‫your_data_file הוא הקובץ שיצרתם בשלב הקודם.

   ‫Edge מעדכן את סיסמת האדמין בשרת הניהול.

7. מוחקים את קובץ ה-XML שיצרתם. אסור לשמור סיסמאות באופן קבוע בטקסט רגיל.

בסביבת שכפול של SymasLDAP עם כמה שרתי ניהול, איפוס הסיסמה בשרת ניהול אחד מעדכן את שרתי הניהול האחרים באופן אוטומטי. עם זאת, צריך לעדכן את כל הצמתים של ממשק המשתמש החדש של Edge בנפרד.

איפוס סיסמה של משתמש בארגון

כדי לאפס את הסיסמה של משתמש בארגון, משתמשים בכלי apigee-servce כדי להפעיל את apigee-setup, כמו בדוגמה הבאה:

/opt/apigee/apigee-service/bin/apigee-service apigee-setup reset_user_password
  [-h]
  [-u USER_EMAIL]
  [-p USER_PWD]
  [-a ADMIN_EMAIL]
  [-P APIGEE_ADMINPW]
  [-f configFile]

לדוגמה:

/opt/apigee/apigee‑service/bin/apigee‑service apigee‑setup reset_user_password 
  ‑u user@myCo.com ‑p Foo12345 ‑a admin@myCo.com ‑P adminPword

cp ~/Documents/tmp/hybrid_root/apigeectl_beta2_a00ae58_linux_64/README.md 
  ~/Documents/utilities/README.md

בהמשך מוצג קובץ תצורה לדוגמה שאפשר להשתמש בו עם האפשרות "‎-f":

USER_NAME=user@myCo.com
USER_PWD="Foo12345"
APIGEE_ADMINPW=ADMIN_PASSWORD

אפשר גם להשתמש ב-API‏ Update user כדי לשנות את סיסמת המשתמש.

כללי סיסמאות לאדמינים ולמשתמשים בארגון

בקטע הזה אפשר לאכוף את האורך והחוזק הרצויים של הסיסמאות של המשתמשים בניהול ממשקי API. ההגדרות משתמשות בסדרה של ביטויים רגולריים שהוגדרו מראש (וממוספרים באופן ייחודי) כדי לבדוק את תוכן הסיסמה (כמו אותיות רישיות, אותיות קטנות, מספרים ותווים מיוחדים). כתיבת ההגדרות האלה לקובץ /opt/apigee/customer/application/management-server.properties. אם הקובץ לא קיים, צריך ליצור אותו.

אחרי שעורכים את management-server.properties, מפעילים מחדש את שרת הניהול:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

לאחר מכן תוכלו להגדיר דירוגים של חוזק הסיסמה על ידי קיבוץ של שילובים שונים של ביטויים רגולריים. לדוגמה, אתם יכולים לקבוע שסיסמה עם לפחות אות אחת גדולה ואות אחת קטנה תקבל דירוג חוזק של "3", אבל סיסמה עם לפחות אות אחת קטנה ומספר אחד תקבל דירוג חוזק גבוה יותר של "4".

conf_security_password.validation.minimum.password.length=8
conf_security_password.validation.default.rating=2
conf_security_password.validation.minimum.rating.required=3

conf_security_password.validation.regex.1=^(.)\\1+$

conf_security_password.validation.regex.2=^.*[a-z]+.*$

conf_security_password.validation.regex.3=^.*[A-Z]+.*$

conf_security_password.validation.regex.4=^.*[0-9]+.*$

conf_security_password.validation.regex.5=^.*[^a-zA-z0-9]+.*$

conf_security_password.validation.regex.6=^.*[_]+.*$

conf_security_password.validation.regex.7=^.*[a-z]{2,}.*$

conf_security_password.validation.regex.8=^.*[A-Z]{2,}.*$

conf_security_password.validation.regex.9=^.*[0-9]{2,}.*$

conf_security_password.validation.regex.10=^.*[^a-zA-z0-9]{2,}.*$

conf_security_password.validation.regex.11=^.*[_]{2,}.*$

conf_security_password.validation.rule.1=1,AND,0
conf_security_password.validation.rule.2=2,3,4,AND,4
conf_security_password.validation.rule.3=2,9,AND,4
conf_security_password.validation.rule.4=3,9,AND,4
conf_security_password.validation.rule.5=5,6,OR,4
conf_security_password.validation.rule.6=3,2,AND,3
conf_security_password.validation.rule.7=2,9,AND,3
conf_security_password.validation.rule.8=3,9,AND,3

regex-index-list,[AND|OR],rating

conf_security_rbac.password.validation.enabled=true

איפוס הסיסמה של Cassandra

כברירת מחדל, Cassandra מגיע עם אימות מושבת. אם מפעילים את האימות, הוא משתמש במשתמש מוגדר מראש בשם cassandra עם הסיסמה cassandra. אפשר להשתמש בחשבון הזה, להגדיר סיסמה אחרת לחשבון הזה או ליצור משתמש חדש ב-Cassandra. להוסיף, להסיר ולשנות משתמשים באמצעות הצהרות CREATE/ALTER/DROP USER של Cassandra.

מידע על הפעלת אימות ב-Cassandra זמין במאמר הפעלת אימות ב-Cassandra.

כדי לאפס את הסיסמה של Cassandra, צריך:

• מגדירים את הסיסמה באחד מצומתי Cassandra והיא תופץ לכל צומתי Cassandra בטבעת.
• מעדכנים את שרת הניהול, מעבדי ההודעות, הנתבים, שרתי Qpid ושרתי Postgres בכל צומת עם הסיסמה החדשה.

מידע נוסף זמין במאמר בנושא פקודות CQL.

כדי לאפס את הסיסמה של Cassandra:

1. מתחברים לאחד מ-Cassandra nodes באמצעות הכלי cqlsh ופרטי ברירת המחדל. צריך לשנות את הסיסמה רק בצומת Cassandra אחד, והיא תופץ לכל צומתי Cassandra בטבעת:

   /opt/apigee/apigee-cassandra/bin/cqlsh cassIP 9042 -u cassandra -p 'cassandra'

   כאשר:

   • ‫cassIP היא כתובת ה-IP של צומת Cassandra.
   • ‫9042 היא היציאה של Cassandra.
   • משתמש ברירת המחדל הוא cassandra.
   • סיסמת ברירת המחדל היא "cassandra". אם שיניתם את הסיסמה בעבר, השתמשו בסיסמה הנוכחית. אם הסיסמה מכילה תווים מיוחדים, צריך להקיף אותה בגרש בודד.
2. מריצים את הפקודה הבאה בהנחיה cqlsh> כדי לעדכן את הסיסמה:

   ALTER USER cassandra WITH PASSWORD 'NEW_PASSWORD';

   אם הסיסמה החדשה מכילה תו גרש, צריך להוסיף לפניו תו גרש נוסף כדי לסמן אותו בתו בריחה (escape).

3. יוצאים מהכלי cqlsh:

   exit

4. בצומת של שרת הניהול, מריצים את הפקודה הבאה:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_cassandra_credentials -u CASS_USERNAME -p 'CASS_PASSWORD'

   אפשר גם להעביר לפקודה קובץ שמכיל את שם המשתמש והסיסמה החדשים:

   apigee-service edge-management-server store_cassandra_credentials -f configFile

   כאשר configFile מכיל את הפרטים הבאים:

   CASS_USERNAME=CASS_USERNAME
   CASS_PASSWORD='CASS_PASSWROD'

   הפקודה הזו מפעילה מחדש את שרת הניהול באופן אוטומטי.

5. חוזרים על שלב 4:
   • כל מעבדי ההודעות
   • כל הנתבים
   • כל שרתי Qpid ‏ (edge-qpid-server)
   • שרתי Postgres‏ (edge-postgres-server)

הסיסמה של Cassandra השתנתה.

איפוס הסיסמה של PostgreSQL

כברירת מחדל, במסד הנתונים של PostgreSQL מוגדרים שני משתמשים: postgres ו-apigee. לשני המשתמשים יש סיסמת ברירת מחדל: postgres. כדי לשנות את סיסמת ברירת המחדל, פועלים לפי השלבים הבאים:

משנים את הסיסמה בכל הצמתים הראשיים של Postgres. אם הגדרתם שני שרתי Postgres במצב ראשי/המתנה, אתם צריכים לשנות את הסיסמה רק בצומת הראשי. מידע נוסף מופיע במאמר בנושא הגדרת שכפול של master-standby ל-Postgres .

1. בצומת הראשי של Postgres, משנים את הספריות ל- /opt/apigee/apigee-postgresql/pgsql/bin.
2. מגדירים את הסיסמה של המשתמש postgres ב-PostgreSQL:
   1. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה:

      psql -h localhost -d apigee -U postgres

   2. כשמוצגת בקשה, מזינים את הסיסמה הקיימת של המשתמש ב-postgres בתור postgres.
   3. בשורת הפקודה של PostgreSQL, מזינים את הפקודה הבאה כדי לשנות את סיסמת ברירת המחדל:

      ALTER USER postgres WITH PASSWORD 'new_password';

      אם הפעולה מצליחה, PostgreSQL מגיב כך:

      ALTER ROLE

   4. יוצאים ממסד הנתונים של PostgreSQL באמצעות הפקודה הבאה:

      \q

3. מגדירים את הסיסמה של המשתמש apigee ב-PostgreSQL:
   1. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה:

      psql -h localhost -d apigee -U apigee

   2. כשמופיעה בקשה, מזינים את הסיסמה של המשתמש apigee בתור postgres.
   3. בשורת הפקודה של PostgreSQL, מזינים את הפקודה הבאה כדי לשנות את סיסמת ברירת המחדל:

      ALTER USER apigee WITH PASSWORD 'new_password';

   4. יוצאים ממסד הנתונים של PostgreSQL באמצעות הפקודה:

      \q

   אתם יכולים להגדיר את הסיסמאות של משתמשי postgres ו-apigee לאותו ערך או לערכים שונים.

4. שלב APIGEE_HOME:

   export APIGEE_HOME=/opt/apigee/edge-postgres-server

5. הצפנת הסיסמה החדשה:

   sh /opt/apigee/edge-analytics/utils/scripts/utilities/passwordgen.sh new_password

   הפקודה הזו מחזירה סיסמה מוצפנת. הסיסמה המוצפנת מתחילה אחרי התו ":" ולא כוללת את התו ":". לדוגמה, הסיסמה המוצפנת של "apigee1234" היא:

   Encrypted string:WheaR8U4OeMEM11erxA3Cw==

6. מעדכנים את צומת שרת הניהול בסיסמאות המוצפנות החדשות של המשתמשים postgres ו-apigee.
   1. בשרת הניהול, משנים את הספרייה ל-/opt/apigee/customer/application.
   2. עורכים את הקובץ management-server.properties כדי להגדיר את המאפיינים הבאים. אם הקובץ הזה לא קיים, יוצרים אותו.
   3. מוודאים שהקובץ נמצא בבעלות של משתמש apigee:

      chown apigee:apigee management-server.properties

7. מעדכנים את כל הצמתים של שרת Postgres ושרת Qpid בסיסמה המוצפנת החדשה.
   1. בצומת של שרת Postgres או שרת Qpid, עוברים לספרייה הבאה:

      /opt/apigee/customer/application

   2. פותחים את הקבצים הבאים לעריכה:
      • postgres-server.properties
      • qpid-server.properties

      אם הקבצים האלה לא קיימים, צריך ליצור אותם.

   3. מוסיפים את המאפיינים הבאים לקבצים:
      • conf_pg-agent_password=newEncryptedPasswordForPostgresUser
      • conf_pg-ingest_password=newEncryptedPasswordForPostgresUser
      • conf_query-service_pgDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_query-service_dwDefaultPwd=newEncryptedPasswordForPostgresUser
      • conf_analytics_aries.pg.password=newEncryptedPasswordForPostgresUser
   4. מוודאים שהקבצים הם בבעלות של משתמש apigee:

      chown apigee:apigee postgres-server.properties
      chown apigee:apigee qpid-server.properties

8. מפעילים מחדש את הרכיבים הבאים בסדר הבא:
   1. מסד נתונים של PostgreSQL:

      /opt/apigee/apigee-service/bin/apigee-service apigee-postgresql restart

   2. שרת Qpid:

      /opt/apigee/apigee-service/bin/apigee-service edge-qpid-server restart

   3. שרת Postgres:

      /opt/apigee/apigee-service/bin/apigee-service edge-postgres-server restart

   4. שרת הניהול:

      /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart