Opsi untuk mengonfigurasi TLS

Halaman ini berlaku untuk Apigee dan Apigee hybrid.

Lihat dokumentasi Apigee Edge.

Bagian ini menunjukkan cara mengonfigurasi TLS untuk traffic dari proxy ke target.

Tentang menetapkan opsi TLS di endpoint target atau server target

Target dapat direpresentasikan oleh objek XML seperti di bawah ini:

<HTTPTargetConnection>
    <Properties/>
    <URL>https:myTargetAddress</URL>
    <SSLInfo>
        <Enabled>true</Enabled>
        <Enforce>true</Enforce>
        <ClientAuthEnabled>true</ClientAuthEnabled>
        <KeyStore>ref://myKeystoreRef</KeyStore>
        <KeyAlias>myKeyAlias</KeyAlias>
        <TrustStore>ref://myTruststoreRef</TrustStore>
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
        <Protocols>myProtocols</Protocols>
        <Ciphers>myCipher</Ciphers>
    </SSLInfo>
</HTTPTargetConnection>

Area konfigurasi endpoint target yang Anda ubah untuk mengonfigurasi TLS ditentukan oleh tag <SSLInfo>. Anda menggunakan tag <SSLInfo> yang sama untuk mengonfigurasi endpoint target atau server target.

Untuk mengetahui informasi tentang elemen turunan <SSLInfo>, lihat Konfigurasi TLS/SSL TargetEndpoint.

Tabel berikut menjelaskan elemen konfigurasi TLS yang digunakan oleh tag <SSLInfo>:

<Ciphers>
 <Cipher>TLS_RSA_WITH_3DES_EDE_CBC_SHA</Cipher>    
 <Cipher>TLS_RSA_WITH_DES_CBC_SHA</Cipher>
</Ciphers>

<Protocols>
 <Protocol>TLSv1.2</Protocol>
 <Protocol>TLSv1.3</Protocol>
</Protocols>

Tentang penetapan elemen <KeyStore> dan <TrustStore>

Dalam contoh di atas, keystore dan truststore ditentukan menggunakan references, dalam bentuk:

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee sangat menyarankan agar Anda selalu menggunakan referensi ke keystore dan truststore. Referensi adalah variabel yang berisi nama keystore atau truststore, bukan nama keystore secara langsung. Dalam contoh ini:

• myKeystoreRef adalah referensi yang berisi nama keystore. Dalam contoh ini, nama keystore adalah myKeystore.
• myTruststoreRef adalah referensi yang berisi nama truststore. Dalam contoh ini, nama truststore adalah myTruststore.

Jika masa berlaku sertifikat berakhir, Anda harus mengupdate server target/endpoint target untuk menentukan keystore atau truststore yang berisi sertifikat baru. Keuntungan dari referensi adalah Anda dapat mengubah nilai referensi untuk mengubah keystore atau truststore tanpa harus memodifikasi server target/endpoint target itu sendiri:

Mengubah nilai referensi tidak mengharuskan Anda menghubungi Google Cloud Customer Care.

Atau, Anda dapat menentukan nama keystore dan nama truststore secara langsung:

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore> 

Jika Anda menentukan nama keystore atau truststore secara langsung, hubungi Google Cloud Customer Care.

Opsi ketiga adalah menggunakan variabel alur:

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore> 

Cara kerja variabel alur memungkinkan Anda mengupdate keystore atau truststore seperti referensi. Untuk informasi selengkapnya, lihat Menggunakan variabel alur untuk menetapkan nilai TLS/SSL secara dinamis.

Tentang mengonfigurasi TLS

Semua pelanggan Apigee, baik yang berbayar maupun evaluasi, memiliki kontrol penuh atas konfigurasi endpoint/server target target. Selain itu, pelanggan Apigee berbayar memiliki kontrol penuh atas properti TLS.

Menangani sertifikat yang sudah tidak berlaku

Jika masa berlaku sertifikat TLS habis, atau jika konfigurasi sistem berubah sehingga sertifikat tidak lagi valid, Anda perlu memperbarui sertifikat tersebut. Saat mengonfigurasi TLS untuk server target/endpoint target, Anda harus memutuskan cara melakukan pembaruan tersebut sebelum melakukan konfigurasi apa pun.

Saat masa berlaku sertifikat habis

Di Apigee, Anda menyimpan sertifikat di salah satu dari dua tempat:

• Keystore - Berisi sertifikat TLS dan kunci pribadi yang digunakan untuk mengidentifikasi entity selama handshake TLS.
• Truststore - Berisi sertifikat tepercaya pada klien TLS yang digunakan untuk memvalidasi sertifikat server TLS yang diberikan kepada klien. Sertifikat ini biasanya berupa sertifikat yang ditandatangani sendiri, sertifikat yang ditandatangani oleh CA tepercaya, atau sertifikat yang digunakan sebagai bagian dari TLS dua arah (juga dikenal sebagai TLS atau mTLS bersama).

Jika sertifikat di keystore sudah tidak berlaku, dan Anda menggunakan referensi ke keystore, Anda tidak dapat mengupload sertifikat baru ke keystore. Sebagai gantinya, Anda:

1. Buat keystore baru.
2. Upload sertifikat baru ke keystore baru menggunakan nama alias yang sama seperti di keystore lama.
3. Perbarui referensi di endpoint target/server target untuk menggunakan keystore baru.

Saat sertifikat di truststore sudah tidak berlaku, dan Anda menggunakan referensi ke truststore, berarti Anda:

1. Buat truststore baru.
2. Upload sertifikat baru ke truststore baru. Nama alias tidak penting untuk truststore. Catatan: Jika sertifikat adalah bagian dari rantai, Anda harus membuat satu file yang berisi semua sertifikat dan mengupload file tersebut ke satu alias, atau mengupload semua sertifikat dalam rantai secara terpisah ke truststore menggunakan alias yang berbeda untuk setiap sertifikat.
3. Perbarui referensi di server target/endpoint target untuk menggunakan truststore baru.

Ringkasan metode untuk mengupdate sertifikat yang sudah tidak berlaku

Metode yang Anda gunakan untuk menentukan nama keystore dan truststore di server target/endpoint target menentukan cara Anda melakukan update sertifikat. Anda dapat menggunakan:

• Referensi
• Nama langsung
• Variabel flow

Setiap metode ini memiliki dampak yang berbeda terhadap proses update, seperti yang dijelaskan dalam tabel berikut: