Известные проблемы с Apigee

Если переменная потока cachehit используется после правила LookupCache, из-за способа отправки точек отладки для асинхронного поведения правило LookupPolicy заполняет объект DebugInfo до выполнения обратного вызова, что приводит к ошибке.

Решение. Повторите процесс (совершите второй звонок) сразу после первого.

Если в правиле InvalidateCache задать значение PurgeChildEntries, должны быть удалены только значения элемента KeyFragment, но очищается весь кеш.

Решение. Используйте правило KeyValueMapOperations, чтобы итерировать управление версиями кеша и избежать необходимости его аннулирования.

Это может произойти, например, при одновременном выполнении конвейера развертывания CI/CD с использованием разных версий. Чтобы избежать этой проблемы, не развертывайте прокси API или SharedFlows до завершения текущего развертывания.

Обходное решение. Избегайте одновременного развертывания прокси-серверов API или SharedFlow.

Иногда в Edge API Analytics могут быть дублирующиеся данные о вызовах API. В этом случае количество вызовов API, показанное в Edge API Analytics, будет выше, чем в сторонних инструментах аналитики.

Обходное решение. Экспортируйте данные Аналитики и используйте поле gateway_flow_id, чтобы удалить дубликаты.

После того как вы подключите организацию к зоне идентификации, вы больше не сможете перейти на страницу администрирования зоны SSO Edge с помощью панели навигации слева, выбрав "Администратор > SSO".

Временное решение. Перейдите на страницу напрямую, используя следующий URL: https://apigee.com/sso

Варианты TLS_DISABLED_ALGO и TLS_ENABLED_CIPHERS работают некорректно.

Временное решение. Чтобы включить определенные шифры для интерфейса Edge, выполните следующие действия:

1. Откройте файл конфигурации /opt/apigee/etc/edge-ui.d/SSL.sh.
2. Добавьте свойство -Djdk.tls.server.cipherSuites со списком наборов шифров в нотации IANA, разделенных запятыми, внутри UI_OPTIONS. Пример:

   UI_OPTIONS=" -Dhttp.port=disabled -Dhttps.port=9433 -Dhttps.keyStoreType=JKS -Dhttps.keyStore=/opt/apigee/customer/conf/keystore.jks -Dplay.http.sslengineprovider=services.CustomSSLEngineProvider -Dhttps.keyStorePasswordEncrypted=mypass -Djdk.tls.server.cipherSuites=TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_GCM_SHA384"

3. Сохраните изменения в файле конфигурации.
4. Перезапустите интерфейс Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-ui restart

• Apigee Edge поддерживает спецификацию OpenAPI 3.0, когда вы создаете спецификации с помощью редактора спецификаций и публикуете API с помощью SmartDocs на своем портале, хотя некоторые функции пока не поддерживаются.

  Например, пока не поддерживаются следующие функции из спецификации OpenAPI 3.0:

  • allOf свойств для объединения и расширения схем
  • Удаленные ссылки

  Если в спецификации OpenAPI упоминается неподдерживаемая функция, в некоторых случаях инструменты будут игнорировать ее, но при этом все равно создадут справочную документацию по API. В других случаях неподдерживаемая функция может вызвать ошибки, из-за которых не удастся правильно отобразить справочную документацию по API. В любом случае вам нужно будет изменить спецификацию OpenAPI, чтобы не использовать неподдерживаемую функцию, пока она не будет добавлена в одном из будущих выпусков.

  Примечание. Поскольку редактор спецификаций менее строг, чем SmartDocs, при создании справочной документации по API результаты могут отличаться.

• При использовании функции "Попробовать этот API" на портале для заголовка Accept устанавливается значение application/json независимо от того, какое значение задано для consumes в спецификации OpenAPI.
• 138438484: Несколько серверов не поддерживаются.

• Одновременное обновление портала (например, редактирование страницы, темы, CSS или скрипта) несколькими пользователями в настоящее время не поддерживается.
• Если вы удалите страницу документации по API с портала, ее нельзя будет восстановить. Вам потребуется удалить и заново добавить продукт API и сгенерировать документацию по API.
• При настройке правила безопасности контента изменения вступают в силу в течение 15 минут.
• При настройке темы портала изменения могут применяться до пяти минут.

• Поиск будет интегрирован в объединенный портал в одном из будущих выпусков.

Была обнаружена уязвимость (CVE-2026-42945), затрагивающая ngx_http_rewrite_module в NGINX. Инструменты сканирования безопасности могут отмечать двоичные файлы NGINX, включенные в Apigee Edge для частного облака, поскольку этот модуль статически скомпилирован в NGINX.

Влияние на Apigee Edge для частного облака

Уязвимость не влияет на Apigee Edge для частного облака в конфигурации по умолчанию. Уязвимость CVE-2026-42945 можно использовать только при определенных настройках NGINX, в частности при использовании директивы rewrite в определенной последовательности. Эти шаблоны отсутствуют в стандартных конфигурациях NGINX для Apigee Edge Private Cloud.

Требуется действие

• Для конфигураций Apigee Edge для частного облака по умолчанию не требуются ни исправления, ни обновления, ни изменения в работе. Результаты сканирования, связанные с CVE-2026-42945, можно считать ложноположительными для установок по умолчанию. Вы можете использовать следующий текст, чтобы задокументировать это исключение в своей системе управления уязвимостями:

  CVE-2026-42945 — Accepted exception (false positive for Apigee Edge for Private Cloud). Apigee Edge for Private Cloud does not use the rewrite directive in any shipped NGINX configuration. The vulnerable code path in ngx_http_rewrite_module is configuration-gated and is not reachable in the default Apigee Edge for Private Cloud deployment.

• Для настроенных конфигураций NGINX. Если вы вручную изменили файлы конфигурации NGINX в установке Apigee Edge для частного облака (например, в каталоге /opt/nginx), выполните следующие действия, чтобы убедиться, что ваши изменения не привели к появлению уязвимости:
  1. Проверьте директиву переопределения. На каждом узле NGINX выполните команду:

     sudo grep -rnI '^\s*rewrite\b' /opt/nginx

  2. Анализ результатов
     • Если команда не возвращает никаких данных, ваша система не затронута.
     • Если совпадения найдены, проверьте каждое из них. Уязвимость присутствует, только если для определенного блока выполняются все следующие условия:
       • Используется директива rewrite.
       • Сразу после нее в том же блоке конфигурации следует другая директива rewrite, if или set.
       • В директивах используется безымянная группа захвата PCRE (например, $1, $2 и т. д.).
       • Строка замены в директиве содержит вопросительный знак (?).
  3. Меры по устранению уязвимости. Если для какой-либо части вашей конфигурации выполняются все перечисленные выше условия, примите следующие меры:
     • Удаление вопросительного знака (?) из строки замены.
     • Использование именованных групп захвата PCRE вместо безымянных.
     • Переоценка необходимости цепочки директив.

В Edge для частного облака версии 4.53.00 и более поздних версий в интерфейсе появляется всплывающее окно с предупреждением о прекращении поддержки. Это предупреждение
появляется постоянно, и его нельзя предотвратить или уменьшить частоту его появления.

В настоящее время пользователи не могут отключить или уменьшить частоту показа этого предупреждения.

Пользовательские вызовы Java, которые пытаются загрузить поставщика криптографии Bouncy Castle, используя имя "BC", могут завершиться неудачей, поскольку поставщик по умолчанию был изменен на Bouncy Castle FIPS для поддержки FIPS. Новое название поставщика – BCFIPS.

Пользовательские вызовы Java, которые пытаются загрузить поставщика криптографии Bouncy Castle, используя имя "BC", могут завершиться неудачей, поскольку поставщик по умолчанию был изменен на Bouncy Castle FIPS для поддержки FIPS. Новое название поставщика – BCFIPS.

Эта проблема затрагивает только тех, кто использует MINT или включил MINT в Edge для частного облака.

Затронутый компонент: edge-message-processor

Проблема. Если у вас включена монетизация и вы устанавливаете версию 4.52.01 с нуля или обновляете предыдущие версии Private Cloud, возникнет проблема с обработчиками сообщений. Количество открытых потоков будет постепенно увеличиваться, что приведет к исчерпанию ресурсов. В системном журнале edge-message-processor появляется следующее исключение:

Error injecting constructor, java.lang.OutOfMemoryError: unable to create new native thread

Недавно в нескольких реализациях протокола HTTP/2 (CVE-2023-44487), в том числе в Apigee Edge для частного облака, была обнаружена уязвимость типа "отказ в обслуживании" (DoS). Уязвимость может привести к отказу в обслуживании функций управления API Apigee. Подробную информацию можно найти в бюллетене по безопасности Apigee GCP-2023-032.

Компоненты маршрутизатора и сервера управления Edge для частного облака доступны из интернета и могут быть уязвимы. Хотя протокол HTTP/2 включен на порту управления других компонентов Edge для частного облака, ни один из этих компонентов не подключен к интернету. В компонентах, не относящихся к Edge, например Cassandra, Zookeeper и других, протокол HTTP/2 не включен. Чтобы устранить уязвимость Edge для частного облака, рекомендуем выполнить следующие действия:

• Инструкции для Edge for Private Cloud версии 4.51.00.11 или более поздней
• Инструкции для версий Edge for Private Cloud старше 4.51.00.11

Если вы используете Edge Private Cloud версии 4.51.00.11 или более поздней, выполните следующие действия:

1. Обновите сервер управления

   1. На каждом узле сервера управления откройте /opt/apigee/customer/application/management-server.properties
   2. Добавьте в файл свойств следующую строку:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент сервера управления:

      apigee-service edge-management-server restart

2. Как обновить обработчик сообщений

   1. На каждом узле обработчика сообщений откройте /opt/apigee/customer/application/message-processor.properties
   2. Добавьте в файл свойств следующую строку:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-message-processor restart

3. Обновите маршрутизатор.

   1. На каждом узле маршрутизатора откройте /opt/apigee/customer/application/router.properties.
   2. Добавьте в файл свойств следующую строку:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-router restart

4. Как обновить QPID

   1. На каждом узле QPID откройте /opt/apigee/customer/application/qpid-server.properties
   2. Добавьте в файл свойств следующую строку:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-qpid-server restart

5. Обновление Postgres

   1. На каждом узле Postgres откройте /opt/apigee/customer/application/postgres-server.properties.
   2. Добавьте в файл свойств следующую строку:

      conf_webserver_http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-postgres-server restart

Если вы используете Edge для частного облака версии ниже 4.51.00.11, выполните следующие действия:

1. Обновите сервер управления

   1. На каждом узле сервера управления откройте /opt/apigee/customer/application/management-server.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент сервера управления:

      apigee-service edge-management-server restart

2. Как обновить обработчик сообщений

   1. На каждом узле обработчика сообщений откройте /opt/apigee/customer/application/message-processor.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-message-processor restart

3. Обновите маршрутизатор.

   1. На каждом узле маршрутизатора откройте /opt/apigee/customer/application/router.properties.
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-router restart

4. Как обновить QPID

   1. На каждом узле QPID откройте /opt/apigee/customer/application/qpid-server.properties
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-qpid-server restart

5. Обновление Postgres

   1. На каждом узле Postgres откройте /opt/apigee/customer/application/postgres-server.properties.
   2. Добавьте в файл свойств следующие две строки:

      conf_webserver_http2.enabled=false
      conf/webserver.properties+http2.enabled=false

   3. Перезапустите компонент обработчика сообщений:

      apigee-service edge-postgres-server restart

При обновлении Apigee-postgresql с Edge для частного облака версии 4.50 или 4.51 до версии 4.52 возникают проблемы. Проблемы в основном возникают, когда количество таблиц превышает 500.

Чтобы узнать общее количество таблиц в Postgres, выполните приведенный ниже SQL-запрос.

select count(*) from information_schema.tables

Временное решение. При обновлении Apigee Edge 4.50.00 или 4.51.00 до версии 4.52.00 обязательно выполните предварительный шаг перед обновлением Apigee-postgresql.

149245401: настройки пула подключений LDAP для JNDI, заданные с помощью ресурса LDAP, не отражаются, и настройки JNDI по умолчанию приводят к одноразовым подключениям каждый раз. В результате соединения открываются и закрываются каждый раз для однократного использования, создавая большое количество соединений в час с сервером LDAP.

Решение

Чтобы изменить свойства пула подключений LDAP, выполните следующие действия, чтобы задать глобальное изменение для всех правил LDAP.

1. Создайте файл свойств конфигурации, если он ещё не существует:

   /opt/apigee/customer/application/message-processor.properties

2. Добавьте в файл следующее (замените значения свойств Java Naming and Directory Interface (JNDI) в соответствии с требованиями к конфигурации ресурса LDAP).

   bin_setenv_ext_jvm_opts="-Dcom.sun.jndi.ldap.connect.pool.maxsize=20
   -Dcom.sun.jndi.ldap.connect.pool.prefsize=2
   -Dcom.sun.jndi.ldap.connect.pool.initsize=2
   -Dcom.sun.jndi.ldap.connect.pool.timeout=120000
   -Dcom.sun.jndi.ldap.connect.pool.protocol=ssl"

3. Убедитесь, что файл /opt/apigee/customer/application/message-processor.properties принадлежит пользователю apigee:apigee.
4. Перезапустите каждый процессор сообщений.

Чтобы убедиться, что свойства JNDI пула подключений действуют, можно выполнить tcpdump, чтобы отслеживать поведение пула подключений LDAP с течением времени.

139051927: Высокая задержка обработки прокси-сервера в Message Processor влияет на все прокси-серверы API. Симптомы включают задержки в обработке данных на 200–300 мс по сравнению с обычным временем отклика API и могут возникать случайным образом даже при низкой скорости транзакций в секунду. Это может произойти, если процессор сообщений подключается к более чем 50 целевым серверам.

Основная причина. Процессоры сообщений хранят кеш, в котором URL целевого сервера сопоставляется с объектом HTTPClient для исходящих подключений к целевым серверам. По умолчанию для этого параметра задано значение 50, которое может быть слишком низким для большинства развертываний. Если в развертывании в настройках указано несколько сочетаний org/env и большое количество целевых серверов (более 50), URL целевых серверов постоянно удаляются из кеша, что приводит к задержкам.

Проверка. Чтобы определить, является ли причиной задержки вытеснение URL целевого сервера, выполните поиск по ключевому слову "onEvict" или "Eviction" в файлах system.logs обработчика сообщений. Их наличие в журналах указывает на то, что целевые URL сервера удаляются из кеша HTTPClient, поскольку размер кеша слишком мал.

Временное решение. В версиях Edge для частного облака 19.01 и 19.06 можно изменить и настроить кеш HTTPClient, /opt/apigee/customer/application/message-processor.properties:

conf/http.properties+HTTPClient.dynamic.cache.elements.size=500

Затем перезапустите обработчик сообщений. Внесите одинаковые изменения для всех обработчиков сообщений.

Значение 500 приведено в качестве примера. Оптимальное значение для вашей конфигурации должно быть больше количества целевых серверов, к которым подключается обработчик сообщений. Увеличение значения этого свойства не имеет побочных эффектов и может только улучшить время обработки запросов прокси-сервером обработчика сообщений.

Примечание. В Edge для частного облака версии 50.00 по умолчанию установлено значение 500.

157933959: одновременные вставки и обновления одной и той же карты значений ключей (KVM), относящейся к организации или среде, приводят к несогласованности данных и потере обновлений.

Примечание. Это ограничение действует только для Edge Private Cloud. В Edge для общедоступного облака и гибридной среды такого ограничения нет.

Чтобы обойти эту проблему в Edge для частного облака, создайте хранилище пар "ключ-значение" в области действия apiproxy.