接続モードでの Flex Gateway の TLS コンテキストの設定

Flex Gateway 接続モードの TLS コンテキストを設定する前に、次のタスクを完了してください。

インバウンド方向とアウトバウンド方向の両方で通常の TLS および mTLS をサポートするように TLS コンテキストを設定できます。必要な設定に応じて、異なる証明書ファイルをシークレットグループに追加し、異なる TLS コンテキスト設定オプションを選択する必要があります。

「TLS コンテキストを追加する」​ステップで必要な TLS コンテキスト設定については、次の相互参照テーブルを参照してください。

設定のパラメーターが「未使用」の場合、その状況は設定に影響しないことを意味します。

設定を簡素化するために、API インスタンスの異なるトラフィック方向に対して異なる TLS コンテキストを作成できます。ただし、同じ TLS コンテキストを使用して異なるトラフィック方向をサポートすることもできますが、同じコンテキストを使用して同じ方向の TLS と mTLS をサポートすることはできません。異なる方向に同じ TLS コンテキストを使用する場合は、両方向に必要なパラメーターを含めてください。

TLS コンテキストをシークレットグループに追加するには、名前、対象、バージョン、キーストアまたはトラストストアを指定する必要があります。必要に応じて、コンテキストの有効期限と ALPN プロトコルを追加し、インバウンド設定とアウトバウンド設定を定義できます。

TLS コンテキストを追加する手順は、次のとおりです。

新しいインスタンスの作成時に、または既存のインスタンスを編集して、TLS コンテキストを API インスタンスに適用できます。

API インスタンス設定にはダウンストリーム設定とアップストリーム設定の 2 つの部分があります。インバウンド TLS コンテキストはダウンストリーム設定オプションで、アウトバウンド TLS コンテキストはアップストリーム設定オプションです。新しい API インスタンスを追加する場合は、ダウンストリーム設定とアップストリーム設定は別々のページに配置されます。API インスタンスを編集する場合は、ダウンストリーム設定オプションとアップストリーム設定オプションは同じページに表示されますが、別のセクションに配置されます。

それぞれのオプションについては、関連するチュートリアルを参照してください。

TLS コンテキストを適用する手順は、次のとおりです。

インバウンド TLS コンテキストを適用するにはポートに API インスタンスが必要ですが、インバウンド TLS コンテキストは API インスタンスではなくポートに適用されます。

ポートを他のインスタンスと共有する API インスタンスにインバウンド TLS コンテキストを適用すると、ポートを共有するすべてのインスタンスにインバウンド TLS コンテキストが適用されます。

ポートを共有する API インスタンスのインバウンド TLS コンテキストを適用、編集、または削除すると、ポートを共有するインスタンスのリストと共に警告が API Manager に表示されます。その後、リストされた API インスタンスのインバウンド TLS コンテキストの上書きを選択できます。ポートを共有する API インスタンスの TLS コンテキストを上書きすると、インバウンド TLS コンテキストがインスタンスに適用され、インスタンスが再デプロイされます。

デプロイされた API インスタンスのインバウンド TLS コンテキストを上書きすると、インスタンスが再デプロイされます。再デプロイすると、API インスタンスで短期間のダウンタイムが発生します。

以前にポートおよびインバウンド TLS コンテキストを他のインスタンスと共有していた API インスタンスのポートを編集した場合、インバウンド TLS コンテキストは以前のポートのインスタンスに適用されたままになります。

シークレットグループを編集するには、​「シークレットグループを編集する」​を参照してください。

現在 API インスタンスに適用されているシークレットグループを編集し、その変更を API インスタンスに適用する場合は、変更が影響するすべてのインスタンスを個別に再デプロイする必要があります。

API インスタンスを再デプロイする手順は、次のとおりです。

TLS コンテキストを設定すると、シークレットマネージャーによって、選択した TLS バージョンに基づいてデフォルトの暗号化が適用されます。デフォルトに加えて、選択した TLS バージョンで使用する他の暗号化を選択できます。各 TLS コンテキストに複数の暗号化を含めることができます。

暗号化を選択する手順は、次のとおりです。

Flex は、TLS 1.1 ～ TLS 1.3 の範囲の TLS バージョンをサポートでき、サポートする暗号化の一部をカスタマイズすることもできます。

TLS 1.3 暗号化のリストをカスタマイズすることはできません。TLS 1.3 をサポートする場合は、TLS 1.3 のデフォルトの暗号化をサポートする必要があります。

TLS 1.2 をサポートする場合は、TLS 1.2 のデフォルトの暗号化が選択されます。ただし、TLS 1.3 とは異なり、さまざまな TLS 1.2 暗号化をカスタマイズできます。

TLS 1.1 にはデフォルトの暗号化がありません。TLS 1.1 をサポートすることを選択した場合は、サポートする暗号化を選択する必要があります。