Bekannte Probleme mit Apigee

Wenn die Ablaufvariable cachehit nach der LookupCache-Richtlinie verwendet wird, füllt die LookupPolicy das DebugInfo-Objekt aufgrund der Art und Weise, wie Debugpunkte für das asynchrone Verhalten gesendet werden, aus, bevor der Rückruf ausgeführt wurde. Dies führt zu einem Fehler.

Problemumgehung:Wiederholen Sie den Vorgang (führen Sie einen zweiten Anruf aus) direkt nach dem ersten Anruf.

Wenn Sie PurgeChildEntries in der InvalidateCache-Richtlinie festlegen, sollten nur die Werte des KeyFragment-Elements gelöscht werden. Stattdessen wird jedoch der gesamte Cache geleert.

Umgehung:Verwenden Sie die KeyValueMapOperations-Richtlinie, um die Cache-Versionierung zu iterieren und die Cache-Entwertung zu umgehen.

Dies kann beispielsweise der Fall sein, wenn eine CI/CD-Bereitstellungspipeline gleichzeitig mit verschiedenen Überarbeitungen ausgeführt wird. Um dieses Problem zu vermeiden, sollten Sie keine API-Proxys oder SharedFlows bereitstellen, bevor die aktuelle Bereitstellung abgeschlossen ist.

Problemumgehung:Vermeiden Sie gleichzeitige API-Proxy- oder SharedFlow-Bereitstellungen.

Edge API Analytics kann manchmal doppelte Daten für API-Aufrufe enthalten. In diesem Fall sind die in Edge API Analytics für API-Aufrufe angezeigten Werte höher als die vergleichbaren Werte in Analysetools von Drittanbietern.

Umgehung: Exportieren Sie die Analysedaten und verwenden Sie das Feld gateway_flow_id, um die Daten zu deduplizieren.

When you connect an organization to an identity zone, you can no longer access the Edge SSO Zone Administration page from the left navigation bar by selecting Admin > SSO.

Workaround: Navigate to the page directly using the following URL: https://apigee.com/sso

The options TLS_DISABLED_ALGO and TLS_ENABLED_CIPHERS do not function correctly.

Workaround: Follow the steps below to enable specific ciphers for the Edge UI:

1. Open the /opt/apigee/etc/edge-ui.d/SSL.sh config file.
2. Add the property -Djdk.tls.server.cipherSuites with a comma-separated list of cipher suites in IANA notation inside the UI_OPTIONS. For example:

   UI_OPTIONS=" -Dhttp.port=disabled -Dhttps.port=9433 -Dhttps.keyStoreType=JKS -Dhttps.keyStore=/opt/apigee/customer/conf/keystore.jks -Dplay.http.sslengineprovider=services.CustomSSLEngineProvider -Dhttps.keyStorePasswordEncrypted=mypass -Djdk.tls.server.cipherSuites=TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384"

3. Save your changes to the config file.
4. Restart the Edge UI:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

• Apigee Edge supports OpenAPI Specification 3.0 when you create specifications using the spec editor and publish APIs using SmartDocs on your portal, though a subset of features are not yet supported.

  For example, the following features from the OpenAPI Specification 3.0 are not yet supported:

  • allOf properties for combining and extending schemas
  • Remote references

  If an unsupported feature is referenced in your OpenAPI Specification, in some cases the tools will ignore the feature but still render the API reference documentation. In other cases, an unsupported feature will cause errors that prevent the successful rendering of the API reference documentation. In either case, you will need to modify your OpenAPI Specification to avoid use of the unsupported feature until it is supported in a future release.

  Note: Because the spec editor is less restrictive than SmartDocs when rendering API reference documentation, you may experience different results between the tools.

• When using Try this API in the portal, the Accept header is set to application/json regardless of the value set for consumes in the OpenAPI Specification.
• 138438484: Multiple servers are not supported.

• Simultaneous portal updates (such as page, theme, CSS, or script edits) by multiple users is not supported at this time.
• If you delete an API reference documentation page from the portal, there is no way to recreate it; you'll need to delete and re-add the API product, and regenerate the API reference documentation.
• When configuring the content security policy, it may take up to 15 minutes for changes to fully apply.
• When customizing your portal theme, it may take up to 5 minutes for changes to fully apply.

• Search will be integrated into the integrated portal in a future release.

Es wurde eine Sicherheitslücke (CVE-2026-42945) offengelegt, die das ngx_http_rewrite_module in NGINX betrifft. Sicherheitsscanning-Tools können die NGINX-Binärdateien kennzeichnen, die in Apigee Edge for Private Cloud enthalten sind, da dieses Modul statisch in NGINX kompiliert wird.

Auswirkungen auf Apigee Edge for Private Cloud :

Apigee Edge for Private Cloud ist in der Standardkonfiguration nicht von dieser Sicherheitslücke betroffen. Die Ausnutzbarkeit von CVE-2026-42945 hängt von bestimmten NGINX-Konfigurationsmustern ab, insbesondere von der Verwendung der Direktive rewrite in einer bestimmten Reihenfolge. Diese Muster sind in keiner Standard-NGINX-Konfiguration von Apigee Edge for Private Cloud vorhanden.

Erforderliche Maßnahmen :

• Für Standardkonfigurationen von Apigee Edge for Private Cloud sind keine Patches, Upgrades oder betrieblichen Änderungen erforderlich. Scannerergebnisse zu CVE-2026-42945 können für Standardinstallationen als falsch positiv behandelt werden. Sie können den folgenden Text verwenden, um diese Ausnahme in Ihrem System zur Verwaltung von Sicherheitslücken zu dokumentieren:

  CVE-2026-42945 — Accepted exception (false positive for Apigee Edge for Private Cloud). Apigee Edge for Private Cloud does not use the rewrite directive in any shipped NGINX configuration. The vulnerable code path in ngx_http_rewrite_module is configuration-gated and is not reachable in the default Apigee Edge for Private Cloud deployment.

• Für benutzerdefinierte NGINX-Konfigurationen:Wenn Sie die NGINX-Konfigurationsdateien in Ihrer Apigee Edge for Private Cloud-Installation manuell geändert haben (z. B. unter /opt/nginx), sollten Sie die folgende Selbstprüfung durchführen, um sicherzustellen, dass durch Ihre Anpassungen nicht versehentlich das anfällige Muster eingeführt wurde:
  1. Nach der Direktive „rewrite“ suchen:Führen Sie auf jedem NGINX-Knoten den folgenden Befehl aus:

     sudo grep -rnI '^\s*rewrite\b' /opt/nginx

  2. Ergebnisse analysieren:
     • Wenn der Befehl keine Ausgabe zurückgibt, ist Ihr System nicht betroffen.
     • Wenn Übereinstimmungen gefunden werden, überprüfen Sie jede Instanz. Die Sicherheitslücke ist nur vorhanden, wenn alle folgenden Bedingungen für einen bestimmten Block erfüllt sind:
       • Die Direktive rewrite wird verwendet.
       • Unmittelbar danach folgt eine weitere Direktive rewrite, if oder set im selben Konfigurationsblock.
       • In den Direktiven wird eine unbenannte PCRE-Erfassungsgruppe verwendet (z. B. $1, $2 usw.).
       • Die Ersetzungszeichenfolge in der Direktive enthält ein Fragezeichen (?).
  3. Abhilfe (wenn anfällig) : Wenn alle oben genannten Bedingungen für einen Teil Ihrer benutzerdefinierten Konfiguration zutreffen, können Sie das Problem so beheben:
     • Entfernen Sie das Fragezeichen (?) aus der Ersetzungszeichenfolge.
     • Verwenden Sie benannte PCRE-Erfassungsgruppen anstelle von unbenannten.
     • Bewerten Sie noch einmal, ob die verketteten Direktiven erforderlich sind.

In Edge for Private Cloud 4.53.00 und höher wird in der UI ein "Ende des Lebenszyklus" (End of Life, EOL) Warn-Pop-up angezeigt. Diese Warnung wird
wiederholt angezeigt und die Häufigkeit kann nicht verhindert oder reduziert werden.

Derzeit gibt es keine Methode, mit der Nutzer diese EOL-Warnung deaktivieren oder die Häufigkeit reduzieren können.

Benutzerdefinierte Java-Callouts, die versuchen, den Bouncy Castle-Kryptografieanbieter mit dem Namen „BC“ zu laden, schlagen möglicherweise fehl, da der Standardanbieter zur Unterstützung von FIPS in Bouncy Castle FIPS geändert wurde. Der neue Anbietername lautet „BCFIPS“.

Benutzerdefinierte Java-Callouts, die versuchen, den Bouncy Castle-Kryptografieanbieter mit dem Namen „BC“ zu laden, schlagen möglicherweise fehl, da der Standardanbieter zur Unterstützung von FIPS in Bouncy Castle FIPS geändert wurde. Der neue Anbietername lautet „BCFIPS“.

Dieses Problem betrifft nur Nutzer von MINT oder Nutzer, bei denen MINT in Edge for Private Cloud-Installationen aktiviert ist.

Betroffene Komponente:edge-message-processor

Problem:Wenn Sie die Monetarisierung aktiviert haben und 4.52.01 als Neuinstallation installieren oder ein Upgrade von früheren Private Cloud-Versionen durchführen, tritt ein Problem mit den Message Processors auf. Die Anzahl der offenen Threads nimmt allmählich zu, was zu einer Ressourcenüberlastung führt. Im Systemlog des Message Processors wird die folgende Ausnahme angezeigt:

Error injecting constructor, java.lang.OutOfMemoryError: unable to create new native thread

In mehreren Implementierungen des HTTP/2-Protokolls wurde vor Kurzem eine DoS-Sicherheitslücke (Denial of Service) festgestellt (CVE-2023-44487), darunter auch in Apigee Edge for Private Cloud. Die Sicherheitslücke könnte zu einem DoS der Apigee API-Verwaltungsfunktionen führen. Weitere Informationen finden Sie im Apigee-Sicherheitsbulletin GCP-2023-032.

Die Komponenten des Routers und Verwaltungsservers von Edge for Private Cloud sind für das Internet freigegeben und können anfällig sein. Obwohl HTTP/2 auf dem Verwaltungs port anderer Edge-spezifischer Komponenten von Edge for Private Cloud aktiviert ist, ist keine dieser Komponenten im Internet zugänglich. Bei Nicht-Edge-Komponenten wie Cassandra, Zookeeper und anderen, HTTP/2 ist nicht aktiviert. Wir empfehlen, dass Sie die folgenden Schritte ausführen, um die Sicherheitslücke von Edge for Private Cloud zu beheben:

• Schritte für Edge for Private Cloud-Versionen 4.51.00.11 oder höher
• Schritte für Edge for Private Cloud-Versionen vor 4.51.00.11

Führen Sie diese Schritte aus, wenn Sie Edge for Private Cloud-Versionen 4.51.00.11 oder höher verwenden:

1. Verwaltungsserver aktualisieren :

   1. Öffnen Sie auf jedem Verwaltungsserverknoten /opt/apigee/customer/application/management-server.properties.
   2. Fügen Sie der Eigenschaftendatei diese Zeile hinzu:

      conf_webserver_http2.enabled=false

   3. Starten Sie die Verwaltungsserverkomponente neu:

      apigee-service edge-management-server restart

2. Message Processor aktualisieren :

   1. Öffnen Sie auf jedem Message Processor-Knoten /opt/apigee/customer/application/message-processor.properties.
   2. Fügen Sie der Eigenschaftendatei diese Zeile hinzu:

      conf_webserver_http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-message-processor restart

3. Router aktualisieren :

   1. Öffnen Sie auf jedem Routerknoten /opt/apigee/customer/application/router.properties.
   2. Fügen Sie der Eigenschaftendatei diese Zeile hinzu:

      conf_webserver_http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-router restart

4. QPID aktualisieren :

   1. Öffnen Sie auf jedem QPID-Knoten /opt/apigee/customer/application/qpid-server.properties.
   2. Fügen Sie der Eigenschaftendatei diese Zeile hinzu:

      conf_webserver_http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-qpid-server restart

5. Postgres aktualisieren :

   1. Öffnen Sie auf jedem Postgres-Knoten /opt/apigee/customer/application/postgres-server.properties.
   2. Fügen Sie der Eigenschaftendatei diese Zeile hinzu:

      conf_webserver_http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-postgres-server restart

Führen Sie diese Schritte aus, wenn Sie Edge for Private Cloud-Versionen vor 4.51.00.11 verwenden:

1. Verwaltungsserver aktualisieren :

   1. Öffnen Sie auf jedem Verwaltungsserverknoten /opt/apigee/customer/application/management-server.properties.
   2. Fügen Sie der Eigenschaftendatei die folgenden beiden Zeilen hinzu:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Starten Sie die Verwaltungsserverkomponente neu:

      apigee-service edge-management-server restart

2. Message Processor aktualisieren :

   1. Öffnen Sie auf jedem Message Processor-Knoten /opt/apigee/customer/application/message-processor.properties.
   2. Fügen Sie der Eigenschaftendatei die folgenden beiden Zeilen hinzu:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-message-processor restart

3. Router aktualisieren :

   1. Öffnen Sie auf jedem Routerknoten /opt/apigee/customer/application/router.properties.
   2. Fügen Sie der Eigenschaftendatei die folgenden beiden Zeilen hinzu:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-router restart

4. QPID aktualisieren :

   1. Öffnen Sie auf jedem QPID-Knoten /opt/apigee/customer/application/qpid-server.properties.
   2. Fügen Sie der Eigenschaftendatei die folgenden beiden Zeilen hinzu:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-qpid-server restart

5. Postgres aktualisieren :

   1. Öffnen Sie auf jedem Postgres-Knoten /opt/apigee/customer/application/postgres-server.properties.
   2. Fügen Sie der Eigenschaftendatei die folgenden beiden Zeilen hinzu:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Starten Sie die Message Processor-Komponente neu:

      apigee-service edge-postgres-server restart

Bei Apigee-postgresql treten Probleme beim Upgrade von Edge for Private Cloud Version 4.50 oder 4.51 auf Version 4.52 auf. Die Probleme treten hauptsächlich auf, wenn die Anzahl der Tabellen größer als 500 ist.

Sie können die Gesamtzahl der Tabellen in Postgres mit der folgenden SQL-Abfrage prüfen:

select count(*) from information_schema.tables

Workaround: Wenn Sie Apigee Edge 4.50.00 oder 4.51.00 auf 4.52.00 aktualisieren, müssen Sie den vorläufigen Schritt ausführen, bevor Sie ein Upgrade von Apigee-postgresql durchführen.

149245401: Die Einstellungen für den LDAP-Verbindungspool für JNDI, die über die LDAP-Ressource konfiguriert wurden, werden nicht berücksichtigt. Die JNDI-Standardeinstellungen führen jedes Mal zu Verbindungen zur einmaligen Verwendung. Daher werden Verbindungen jedes Mal für die einmalige Verwendung geöffnet und geschlossen, wodurch eine große Anzahl von Verbindungen pro Stunde zum LDAP-Server hergestellt wird.

Workaround :

Wenn Sie die Eigenschaften des LDAP-Verbindungspools ändern möchten, führen Sie die folgenden Schritte aus, um eine globale Änderung für alle LDAP-Richtlinien festzulegen.

1. Erstellen Sie eine Konfigurationseigenschaftendatei, falls sie noch nicht vorhanden ist:

   /opt/apigee/customer/application/message-processor.properties

2. Fügen Sie der Datei Folgendes hinzu. Ersetzen Sie die Werte der JNDI-Eigenschaften (Java Naming and Directory Interface) entsprechend den Anforderungen Ihrer LDAP-Ressourcenkonfiguration.

   bin_setenv_ext_jvm_opts="-Dcom.sun.jndi.ldap.connect.pool.maxsize=20
   -Dcom.sun.jndi.ldap.connect.pool.prefsize=2
   -Dcom.sun.jndi.ldap.connect.pool.initsize=2
   -Dcom.sun.jndi.ldap.connect.pool.timeout=120000
   -Dcom.sun.jndi.ldap.connect.pool.protocol=ssl"

3. Achten Sie darauf, dass die Datei /opt/apigee/customer/application/message-processor.properties dem Nutzer „apigee“ und der Gruppe „apigee“ gehört.
4. Starten Sie jeden Message Processor neu.

Um zu prüfen, ob Ihre JNDI Eigenschaften für den Verbindungspool wirksam sind, können Sie einen tcpdump ausführen, um das Verhalten des LDAP-Verbindungspools im Zeitverlauf zu beobachten.

139051927: Hohe Latenzen bei der Proxyverarbeitung im Message Processor wirken sich auf alle API-Proxys aus. Zu den Symptomen gehören Verzögerungen von 200 bis 300 ms bei den Verarbeitungszeiten im Vergleich zu den normalen API-Antwortzeiten . Sie können auch bei niedrigen TPS-Werten zufällig auftreten. Dies kann auftreten, wenn mehr als 50 Ziel server vorhanden sind, zu denen ein Message Processor Verbindungen herstellt.

Ursache: Message Processors verwalten einen Cache, der Zielserver-URLs HTTPClient-Objekten für ausgehende Verbindungen zu Zielservern zuordnet. Standardmäßig ist diese Einstellung auf 50 festgelegt, was für die meisten Bereitstellungen zu niedrig sein kann. Wenn eine Bereitstellung mehrere Kombinationen aus Organisation und Umgebung enthält, und insgesamt eine große Anzahl von Zielservern vorhanden ist, die 50 übersteigt, werden die Zielserver-URLs immer wieder aus dem Cache entfernt, was zu Latenzen führt.

Validierung: Um festzustellen, ob das Entfernen von Zielserver-URLs das Latenzproblem verursacht, suchen Sie in den Systemlogs des Message Processors nach dem Keyword „onEvict“ oder „Eviction“. Wenn diese Keywords in den Logs vorhanden sind, werden Zielserver-URLs aus dem HTTPClient-Cache entfernt, weil die Cachegröße zu klein ist.

Workaround: Für Edge for Private Cloud-Versionen 19.01 und 19.06 können Sie den HTTPClient-Cache bearbeiten und konfigurieren: /opt/apigee/customer/application/message-processor.properties.

conf/http.properties+HTTPClient.dynamic.cache.elements.size=500

Starten Sie dann den Message Processor neu. Nehmen Sie dieselben Änderungen für alle Message Processors vor.

Der Wert 500 ist ein Beispiel. Der optimale Wert für Ihre Konfiguration sollte größer als die Anzahl der Zielserver sein, mit denen der Message Processor eine Verbindung herstellt. Das Festlegen eines höheren Werts für diese Eigenschaft hat keine Nebenwirkungen. Die einzige Auswirkung ist eine verbesserte Verarbeitungszeit für Proxyanfragen des Message Processors.

Hinweis:In Edge for Private Cloud-Version 50.00 ist der Standardwert 500.

157933959: Gleichzeitige Einfügungen und Aktualisierungen in derselben Schlüssel/Wert-Zuordnung (Key Value Map, KVM), die auf der Organisationsebene oder Umgebungsebene festgelegt ist, führen zu inkonsistenten Daten und verlorenen Aktualisierungen.

Hinweis:Diese Einschränkung gilt nur für Edge for Private Cloud. Edge for Public Cloud und Hybrid haben diese Einschränkung nicht.

Als Workaround in Edge for Private Cloud können Sie die KVM im Bereich apiproxy scope erstellen.