APIデプロイメントへのmTLSサポートの追加

コンソールを使用してAPIデプロイメント仕様にmTLSリクエスト・ポリシーを追加するには:

1. コンソールを使用してAPIデプロイメントを作成または更新し、「最初から」オプションを選択して、「基本情報」ページで詳細を入力します。

   詳細は、APIデプロイメントの作成によるAPIゲートウェイへのAPIのデプロイおよびAPIゲートウェイまたはAPIデプロイメントの更新を参照してください。

2. 「基本情報」ページの「APIリクエスト・ポリシー」セクションの「相互TLS」で、「mTLsの有効化」オプションを選択し、オプションで次を指定します:

   • サブジェクト代替名(SAN)/共通名: APIゲートウェイがクライアントからのリクエストを受け入れるためにAPIクライアントによって提示される証明書の次のフィールドの1つ以上に表示される必要がある値:
     • 電子メール・アドレス
     • URL
     • ドメイン名

     たとえば、example.comです。最大10個の値を指定できます。APIデプロイメントにmTLSを設定するときに値を指定すると、APIゲートウェイは、それらを含まない証明書を示すAPIクライアントからのリクエストを拒否します。mTLSの設定時に値を指定しない場合、APIゲートウェイは、証明書が有効であることを示すAPIクライアントからのすべてのリクエストを受け入れます。

3. 「確認」をクリックして、APIデプロイメントに入力した詳細を確認します。
4. APIデプロイメントを作成または更新するには、「作成」または「変更の保存」をクリックします。
5. (オプション) コールしてAPIが正常にデプロイされていることを確認します(APIゲートウェイにデプロイされたAPIのコールを参照)。

JSONファイルのAPIデプロイメント仕様にmTLSリクエスト・ポリシーを追加するには:

1. 任意のJSONエディタを使用して、mTLSサポートを追加する既存のAPIデプロイメント仕様を編集するか、新しいAPIデプロイメント仕様を作成します(APIデプロイメント仕様の作成を参照)。

   たとえば、次の基本的なAPIデプロイメント仕様では、OCI Functionsの単純なHello Worldサーバーレス・ファンクションを単一のバック・エンドとして定義しています:

   {
     "routes": [
       {
         "path": "/hello",
         "methods": ["GET"],
         "backend": {
           "type": "ORACLE_FUNCTIONS_BACKEND",
           "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
         }
       }
     ]
   }

2. APIデプロイメント内のすべてのルートにグローバルに適用するmTLSリクエスト・ポリシーを指定するには:

   1. routesセクションの前にrequestPoliciesセクションを挿入します(まだ存在しない場合)。例:

      {
        "requestPolicies": {},
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

   2. 新しいrequestPoliciesセクションに次のmutualTLSポリシーを追加して、APIデプロイメント内のすべてのルートにグローバルに適用します:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true|false,
            "allowedSans": [<list-of-values>]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

      ここでは:

      • "isVerifiedCertificateRequired": true|falseは、APIデプロイメントに対してmTLSが有効になっているかどうかを示すtrueまたはfalseです。指定しない場合、デフォルトはfalseです。
      • "allowedSans": [<list-of-values>]は、APIゲートウェイがクライアントからのリクエストを受け入れるためにAPIクライアントによって提示される証明書の次のフィールドの1つ以上に表示される、オプションのカンマ区切り値リストです。
        • 電子メール・アドレス
        • URL
        • ドメイン名

        たとえば、example.comです。最大10個の値を指定できます。APIデプロイメントにmTLSを設定するときに値を指定すると、APIゲートウェイは、それらを含まない証明書を示すAPIクライアントからのリクエストを拒否します。mTLSの設定時に値を指定しない場合、APIゲートウェイは、証明書が有効であることを示すAPIクライアントからのすべてのリクエストを受け入れます。

      例:

      {
        "requestPolicies": {
          "mutualTls":{
            "isVerifiedCertificateRequired": true,
            "allowedSans": [
              "example.com",
              "example.co.uk"
            ]
          }
        },
        "routes": [
          {
            "path": "/hello",
            "methods": ["GET"],
            "backend": {
              "type": "ORACLE_FUNCTIONS_BACKEND",
              "functionId": "ocid1.fnfunc.oc1.phx.aaaaaaaaab______xmq"
            }
          }
        ]
      }

3. APIデプロイメント仕様を含むJSONファイルを保存します。

4. APIデプロイメント仕様は、次の方法でAPIデプロイメントを作成または更新するときに使用します:

   • 「既存のAPIのアップロード」オプションを選択して、コンソールでJSONファイルを指定します
   • APIゲートウェイREST APIへのリクエストでJSONファイルを指定します

   詳細は、APIデプロイメントの作成によるAPIゲートウェイへのAPIのデプロイおよびAPIゲートウェイまたはAPIデプロイメントの更新を参照してください。

5. (オプション) コールしてAPIが正常にデプロイされていることを確認します(APIゲートウェイにデプロイされたAPIのコールを参照)。