使用 Omnissa Workspace ONE UEM API 配置反向代理

使用 Workspace ONE UEM 的内部部署安装时，API 服务器通常安装在防火墙后面，无需 Internet 接入。要安全地使用 Workspace ONE Intelligence 自动化功能，您可以在 Unified Access Gateway 中配置 Web 反向代理 Edge 服务以仅允许访问 API 服务，这样便可对设备、用户和其他资源执行操作。

必备条件

• UEM API 服务必须使用完全限定域名 (Fully Qualified Domain Name, FQDN) 作为主机名。
• Unified Access Gateway 必须使用内部 DNS。这意味着，代理目标 URL 必须使用 FQDN。
• 如果在 Unified Access Gateway 实例中设置了多个反向代理，Web 反向代理实例的代理模式和代理主机模式组合必须是唯一的。
• 已配置的所有反向代理的主机名应解析为与 Unified Access Gateway 实例 IP 地址相同的 IP 地址。
• 有关高级 Edge 服务设置的详细信息，请参阅高级 Edge 服务设置。

步骤

1. 在管理 UI 的“手动配置”部分中，单击选择。

2. 在常规设置中，打开 Edge 服务设置切换开关。

3. 单击反向代理设置齿轮箱图标。

4. 在“反向代理设置”页中，单击添加。

5. 打开启用反向代理设置切换开关以启用反向代理。

6. 配置以下 Edge 服务设置。

   选项	描述
   标识符	将 Edge 服务标识符设置为 Web 反向代理。
   实例 ID	唯一名称，用于识别和区分一个 Web 反向代理实例和所有其他 Web 反向代理实例。
   代理目标 URL	输入 Web 应用程序的地址（通常为后端 URL）。例如，对于 Workspace ONE UEM API 服务器，该地址可能是与您的控制台登录不同的 URL/IP 地址。您可以通过在 UEM 设置页面中的设置 > 系统 > 高级 > API > REST API > REST API URL 下进行检查来验证此情况。
   代理目标 URL 指纹	为 proxyDestination URL 输入可接受的 SSL 服务器证书指纹列表。如果指定了 *，则可以接受任何证书。指纹的格式为 [alg=]xx:xx。xx 是十六进制数字。“:”分隔符还可以是空格，也可以缺失。指纹不区分大小写。例如： sha256=ad:5c:f1:48:47:94:7e:80:82:73:13:6c:83:52:be:78:ed:ff:50:23:56:a8:42:8a:d9:30:fc:3a:33:d6:c6:db 如果未配置指纹，则必须由受信任的 CA 颁发服务器证书。
   代理模式	输入转发到目标 URL 的匹配 URI 路径。对于 Workspace ONE UEM API，请使用：(/API(.*)|/api(.*)|/Api(.*)|)。 注意：在配置多个反向代理时，请在代理主机模式中提供主机名。

7. 要配置其他高级设置，请单击更多。

   选项	描述
   身份验证方法	默认设置是使用用户名和密码的直通身份验证。下拉菜单中会列出在 Unified Access Gateway 中配置的身份验证方法。支持 SecurID、RADIUS、Passthrough 和 X.509 Certificate 身份验证方法。
   外部 URL	默认值为 Unified Access Gateway 主机 URL 和端口 443。您可以输入其他外部 URL。输入时应采用以下格式：https://. 注意： 使用负载均衡器后面的 Unified Access Gateway 时，请在此字段中输入负载均衡器 URL。
   代理主机模式	外部主机名，用于检查入站主机，以确定它是否匹配该特定实例的模式。在配置 Web 反向代理实例时，主机模式是可选的。
   受信任证书	单击 + 可选择 PEM 格式的证书并将其添加到信任存储中。 要提供其他名称，请编辑别名文本框。 默认情况下，别名是 PEM 证书的文件名。</li> 单击 - 可从信任存储中移除证书。
   主机条目	输入要添加到 /etc/hosts 文件中的详细信息。每个条目均应按顺序包含一个 IP、一个主机名和一个可选主机名别名，并且以空格分隔。例如，10.192.168.1 example1.com, 10.192.168.2 example2.com example-alias。单击“+”号可添加多个主机条目。 重要信息：只有在单击保存后，才会保存主机条目。

8. 单击保存。

后续操作

要将 Workspace UEM API Connector 配置为与 Workspace ONE Intelligence 结合使用，请参阅 Workspace ONE Intelligence 文档中的自动化入门主题。使用为您的 Unified Access Gateway 配置的外部 URL，而不是 UEM REST API 内部服务器 URL。