傳輸層安全標準 (TLS) 設定選項

本頁適用於 Apigee 和 Apigee Hybrid。

查看 Apigee Edge 說明文件。

本節說明如何針對從 Proxy 到目標的流量設定 TLS。

關於在目標端點或目標伺服器中設定 TLS 選項

目標可以由 XML 物件表示，如下所示：

<HTTPTargetConnection>
    <Properties/>
    <URL>https:myTargetAddress</URL>
    <SSLInfo>
        <Enabled>true</Enabled>
        <Enforce>true</Enforce>
        <ClientAuthEnabled>true</ClientAuthEnabled>
        <KeyStore>ref://myKeystoreRef</KeyStore>
        <KeyAlias>myKeyAlias</KeyAlias>
        <TrustStore>ref://myTruststoreRef</TrustStore>
        <IgnoreValidationErrors>false</IgnoreValidationErrors>
        <Protocols>myProtocols</Protocols>
        <Ciphers>myCipher</Ciphers>
    </SSLInfo>
</HTTPTargetConnection>

您修改用於設定 TLS 的目標端點設定區域，是由 <SSLInfo> 標記定義。您可以使用相同的 <SSLInfo> 標記來設定目標端點或目標伺服器。

如要瞭解 <SSLInfo> 的子元素，請參閱 TLS/SSL TargetEndpoint 設定。

下表說明 <SSLInfo> 標記使用的 TLS 設定元素：

<Ciphers>
 <Cipher>TLS_RSA_WITH_3DES_EDE_CBC_SHA</Cipher>
 <Cipher>TLS_RSA_WITH_DES_CBC_SHA</Cipher>
</Ciphers>

<Protocols>
 <Protocol>TLSv1.2</Protocol>
 <Protocol>TLSv1.3</Protocol>
</Protocols>

關於設定 <KeyStore> 和 <TrustStore> 元素

在上述範例中，我們使用參照指定 KeyStore 和 TrustStore，格式如下：

<KeyStore>ref://myKeystoreRef</KeyStore>
<TrustStore>ref://myTruststoreRef</TrustStore>

Apigee 強烈建議您一律使用金鑰庫和信任庫的參照。參照是包含 KeyStore 或 TrustStore 名稱的變數，而非直接指定 KeyStore 名稱。在這個例子中：

• myKeystoreRef 是包含金鑰庫名稱的參照。在這個範例中，KeyStore 的名稱為 myKeystore。
• myTruststoreRef 是包含信任存放區名稱的參照。在這個範例中，信任存放區的名稱為 myTruststore。

憑證到期後，您必須更新目標端點/目標伺服器，指定包含新憑證的金鑰庫或信任庫。參照的優點在於，您可以修改參照的值來變更 KeyStore 或 TrustStore，而無須修改目標端點/目標伺服器本身：

您無須與 Google Cloud Customer Care 聯絡，即可變更參照值。

您也可以直接指定 KeyStore 名稱和 TrustStore 名稱：

<KeyStore>myKeystore</KeyStore>
<TrustStore>myTruststore</TrustStore>

如果您直接指定 KeyStore 或 TrustStore 的名稱，則必須與 Google Cloud 客戶服務聯絡。

第三個選項是使用流程變數：

<KeyStore>{ssl.keystore}</KeyStore>
<TrustStore>{ssl.truststore}</TrustStore>

您可以使用流程變數動態指定 KeyStore 或 TrustStore，效果類似於使用參照。詳情請參閱「 使用流程變數動態設定 TLS/SSL 值」。

關於設定 TLS

所有 Apigee 客戶 (付費和評估) 都能完全控管目標端點/目標伺服器的設定。此外，付費的 Apigee 客戶可完全控管 TLS 屬性。

處理已過期的憑證

如果 TLS 憑證過期，或是系統設定變更導致憑證失效，您就需要更新憑證。為目標端點/目標伺服器設定 TLS 時，請先決定如何執行更新，再進行任何設定。

憑證到期後

在 Apigee 中，您可以將憑證儲存在下列兩個位置之一：

• Keystore：包含 TLS 憑證和私密金鑰，用於在 TLS 握手期間識別實體。
• Truststore：包含 TLS 用戶端上的信任憑證，用於驗證向用戶端顯示的 TLS 伺服器憑證。這些憑證通常是自行簽署的憑證、由信任 CA 簽署的憑證，或是用於雙向 TLS (也稱為 mTLS) 的憑證。

如果 KeyStore 中的憑證到期，且您使用了 KeyStore 的參照，就無法將新的憑證上傳至 KeyStore。而是：

1. 建立新的 KeyStore。
2. 將新憑證上傳至新 KeyStore，並使用與舊 KeyStore 相同的別名名稱。
3. 更新目標伺服器/目標端點中的參照，以便使用新的 KeyStore。

當信任存放區中的憑證到期，且您使用信任存放區的參照時，您可以：

1. 建立新的信任存放區。
2. 將新的憑證上傳至新的信任存放區。別名名稱對信任存放區沒有影響。 注意：如果憑證是鏈結的一部分，您必須建立包含所有憑證的單一檔案，並將該檔案上傳至單一別名，或是為每個憑證使用不同的別名，將鏈結中的所有憑證分別上傳至信任存放區。
3. 更新目標伺服器/目標端點中的參照，以便使用新的信任存放區。

更新已到期憑證的方法摘要

您在目標端點/目標伺服器中指定金鑰庫和信任存放區名稱的方式，會決定執行憑證更新的方式。例如：

• 參考資料
• 直接名稱
• 流程變數

每種方法對更新程序的影響不同，詳情請參閱下表：