mTLS-Support zu API-Deployments hinzufügen

So fügen Sie mit der Konsole eine mTLS-Anforderungs-Policy zu einer API-Deploymentspezifikation hinzu:

1. Erstellen oder aktualisieren Sie ein API-Deployment mit der Konsole, wählen Sie die Option Völlig neu aus, und geben Sie auf der Seite Basisinformationen Details ein.

   Weitere Informationen finden Sie unter API durch das Erstellen eines API-Deployment in einem API-Gateway bereitstellen und API-Gateway aktualisieren.

2. Wählen Sie auf der Seite Basisinformationen im Abschnitt API-Anforderungs-Policys unter Mutual-TLS die Option mTLs aktivieren aus, und geben Sie optional Folgendes an:

   • Subject Alternative Name (SAN) / Common Name: Werte, die in mindestens einem der folgenden Felder des Zertifikats angezeigt werden müssen, das vom API-Client bereitgestellt wird, damit das API-Gateway Anforderungen vom Client akzeptiert:
     • E-Mail-Adresse
     • URL
     • Domainname

     Beispiel: example.com. Sie können standardmäßig bis zu 10 Werte angeben (Sie können dieses interne Limit ändern). Bei der Validierung wird die Groß-/Kleinschreibung nicht beachtet.

     Sie können am Anfang und/oder am Ende jedes Werts einen Sternchen (*) als Platzhalter verwenden, um Null, ein oder mehrere Zeichen darzustellen. Sie können keinen Sternchen-Platzhalter in der Mitte des Wertes einfügen. Beispiel:

     • *.example.com entspricht server.example.com
     • server.example.* entspricht server.example.com
     • *.example.* entspricht server.example.com
     • server.*.com stimmt nicht mit server.example.com überein, da sich der Platzhalter nicht in der Mitte des Wertes befinden kann

     Wenn Sie beim Einrichten von mTLS für ein API-Deployment Werte angeben, lehnt das API-Gateway Anforderungen von API-Clients ab, die Zertifikate enthalten, die sie nicht enthalten. Wenn Sie beim Einrichten von mTLS keine Werte angeben, akzeptiert das API-Gateway alle Anforderungen von API-Clients, sofern das Zertifikat gültig ist.

3. Wählen Sie Prüfen aus, um die Details zu prüfen, die Sie für das API-Deployment eingegeben haben.
4. Wählen Sie Erstellen oder Änderungen speichern aus, um das API-Deployment zu erstellen oder zu aktualisieren.
5. (Optional) Bestätigen Sie, dass die API erfolgreich bereitgestellt wurde, indem Sie sie aufrufen (siehe In einem API-Gateway bereitgestellte API aufrufen).

So hinzufügen Sie eine mTLS-Anforderungs-Policy zu einer API-Deployment-Spezifikation in einer JSON-Datei:

1. Bearbeiten Sie mit Ihrem bevorzugten JSON-Editor die vorhandene API-Deploymentspezifikation, der Sie mTLS-Support hinzufügen möchten, oder erstellen Sie eine neue API-Deploymentspezifikation (siehe API-Deployment-Spezifikation erstellen).

   Beispiel: Die folgende Basisspezifikation für das API-Deployment definiert eine einfache serverlose Hello World-Funktion in OCI Functions als einzelnes Backend:

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. So geben Sie eine mTLS-Anforderungs-Policy an, die global für alle Routen in einem API-Deployment gilt:

   1. Fügen Sie, falls noch nicht vorhanden, einen requestPolicies-Abschnitt vor dem routes-Abschnitt ein. Beispiel:

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. Fügen Sie die folgende mutualTLS-Policy zum Abschnitt requestPolicies hinzu, um sie global auf alle Routen in einem API-Deployment anzuwenden:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      Dabei gilt:

      • "isVerifiedCertificateRequired": true|false ist entweder true oder false, was angibt, ob mTLS für das API-Deployment aktiviert ist. Wenn keine Angabe gemacht wird, wird standardmäßig false verwendet.
      • "allowedSans": [<list-of-values>] ist eine optionale kommagetrennte Werteliste, die in mindestens einem der folgenden Felder des Zertifikats angezeigt werden muss, das vom API-Client bereitgestellt wird, damit das API-Gateway Anforderungen vom Client akzeptiert:
        • E-Mail-Adresse
        • URL
        • Domainname

        Beispiel: example.com. Sie können standardmäßig bis zu 10 Werte angeben (Sie können dieses interne Limit ändern). Bei der Validierung wird die Groß-/Kleinschreibung nicht beachtet.

        Sie können am Anfang und/oder am Ende jedes Werts einen Sternchen (*) als Platzhalter verwenden, um Null, ein oder mehrere Zeichen darzustellen. Sie können keinen Sternchen-Platzhalter in der Mitte des Wertes einfügen. Beispiel:

        • *.example.com entspricht server.example.com
        • server.example.* entspricht server.example.com
        • *.example.* entspricht server.example.com
        • server.*.com stimmt nicht mit server.example.com überein, da sich der Platzhalter nicht in der Mitte des Wertes befinden kann

        Wenn Sie beim Einrichten von mTLS für ein API-Deployment Werte angeben, lehnt das API-Gateway Anforderungen von API-Clients ab, die Zertifikate enthalten, die sie nicht enthalten. Wenn Sie beim Einrichten von mTLS keine Werte angeben, akzeptiert das API-Gateway alle Anforderungen von API-Clients, sofern das Zertifikat gültig ist.

      Beispiel:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. Speichern Sie die JSON-Datei, die die API-Deployment-Spezifikation enthält.

4. Verwenden Sie die API-Deployment-Spezifikation, wenn Sie ein API-Deployment wie folgt erstellen oder aktualisieren:

   • Durch Angabe der JSON-Datei in der Konsole bei Auswahl der Option Vorhandene API hochladen
   • Durch Angabe der JSON-Datei in einer Anforderung an die REST-API von API-Gateway

   Weitere Informationen finden Sie unter API durch das Erstellen eines API-Deployment in einem API-Gateway bereitstellen und API-Gateway aktualisieren.

5. (Optional) Bestätigen Sie, dass die API erfolgreich bereitgestellt wurde, indem Sie sie aufrufen (siehe In einem API-Gateway bereitgestellte API aufrufen).