Настройка поставщика удостоверений

Вы просматриваете документацию Apigee Edge .
Перейдите в документацию Apigee X.info

Для интегрированных порталов можно определить поставщиков идентификации для поддержки типов аутентификации, определенных в следующей таблице.

Преимущества аутентификации SAML для интегрированных порталов

Настройка SAML в качестве поставщика идентификационных данных для интегрированного портала предоставляет следующие преимущества:

• Настройте свою программу для разработчиков один раз и используйте ее на нескольких интегрированных порталах. Выберите программу для разработчиков при создании интегрированного портала. Легко обновляйте или изменяйте программу для разработчиков по мере изменения требований.
• Получите полный контроль над управлением пользователями.
  Подключите корпоративный SAML-сервер к интегрированному порталу. Когда пользователи покидают вашу организацию и их учетные данные централизованно удаляются, они больше не смогут проходить аутентификацию через вашу службу единого входа (SSO) для использования интегрированного портала.

Настройте встроенный поставщик идентификации.

Настройте встроенный поставщик идентификации, как описано в следующих разделах.

Перейдите на страницу «Встроенный поставщик идентификации».

Для доступа к встроенному поставщику идентификационных данных:

1. Чтобы отобразить список порталов, выберите «Публикация» > «Порталы» в боковой панели навигации.
2. Щелкните по строке портала, для которого вы хотите просмотреть команды.
3. На главной странице портала нажмите «Учетные записи» . Также вы можете выбрать «Учетные записи» в выпадающем меню портала в верхней панели навигации.
4. Перейдите на вкладку «Аутентификация» .
5. В разделе «Поставщики идентификации» выберите тип «Встроенный поставщик».
   
6. Настройте встроенный поставщик идентификации, как описано в следующих разделах:
   • Включите встроенный поставщик идентификации.
   • Ограничьте регистрацию на портале по адресу электронной почты или домену.
   • Настройка уведомлений по электронной почте

Включите встроенный поставщик идентификации.

Чтобы включить встроенный поставщик идентификационных данных:

1. Перейдите на страницу «Встроенный поставщик идентификации» .
2. Нажмите в разделе «Конфигурация поставщика» .

3. Установите флажок «Включено» , чтобы активировать поставщика идентификации.
   

   Чтобы отключить встроенный поставщик идентификационных данных, снимите флажок.

4. Нажмите « Сохранить ».

Ограничьте регистрацию на портале по адресу электронной почты или домену.

Ограничьте регистрацию на портале, указав отдельные адреса электронной почты ( developer@some-company.com ) или домены электронной почты ( some-company.com , без префикса @ ), которые могут создавать учетные записи на вашем портале.

Чтобы сопоставить все вложенные поддомены, добавьте перед доменом или поддоменом символ подстановки *. Например, *.example.com будет соответствовать test@example.com , test@dev.example.com и так далее.

Если поле оставить пустым, для регистрации на портале можно использовать любой адрес электронной почты.

Чтобы ограничить регистрацию на портале по адресу электронной почты или домену:

1. Перейдите на страницу «Встроенный поставщик идентификации» .
2. Нажмите в разделе «Конфигурация поставщика» .
3. В разделе «Ограничения учетной записи» введите в текстовое поле адрес электронной почты или домен электронной почты, который вы хотите разрешить для регистрации и входа на портал, и нажмите + .
4. При необходимости добавьте дополнительные записи.
5. Чтобы удалить запись, нажмите на крестик рядом с ней.
6. Нажмите « Сохранить ».

Настройка уведомлений по электронной почте

Для встроенного поставщика услуг вы можете включить и настроить следующие уведомления по электронной почте:

При настройке уведомлений по электронной почте:

• Используйте HTML-теги для форматирования текста. Обязательно отправьте тестовое письмо, чтобы убедиться, что форматирование отображается должным образом.

• Вы можете вставить одну или несколько из следующих переменных, которые будут подставлены при отправке уведомления по электронной почте.

  Переменная	Описание
  { {firstName} }	Имя
  { {lastName} }	Фамилия
  { {email} }	Адрес электронной почты
  { {siteurl} }	Ссылка на работающий портал
  { {verifylink} }	Ссылка, использованная для подтверждения аккаунта

Для настройки уведомлений по электронной почте:

1. Перейдите на страницу «Встроенный поставщик идентификации» .

2. Чтобы настроить отправку уведомлений по электронной почте на следующие адреса:

   • Для активации новых учетных записей разработчиков нажмите здесь. в разделе «Уведомления учетной записи» .
   • Для подтверждения личности пользователей портала нажмите здесь. в разделе «Подтверждение учетной записи» .

3. Отредактируйте поля «Тема» и «Текст» .

4. Нажмите «Отправить тестовое письмо» , чтобы отправить тестовое письмо на ваш электронный адрес.

5. Нажмите « Сохранить ».

Настройка поставщика идентификации SAML (бета-версия)

Настройте поставщика идентификации SAML, как описано в следующих разделах.

Перейдите на страницу поставщика идентификации SAML.

Для доступа к поставщику идентификации SAML:

1. Чтобы отобразить список порталов, выберите «Публикация» > «Порталы» в боковой панели навигации.
2. Щелкните по строке портала, для которого вы хотите просмотреть команды.
3. На главной странице портала нажмите «Учетные записи» . Также вы можете выбрать «Учетные записи» в выпадающем меню портала в верхней панели навигации.
4. Перейдите на вкладку «Аутентификация» .
5. В разделе «Поставщики идентификации» выберите тип поставщика SAML .
   

6. Настройте поставщика идентификации SAML, как описано в следующих разделах:

   • Включите поставщика идентификации SAML.
   • Настройка параметров SAML
   • Настройте пользовательские атрибуты для поставщика идентификации SAML.
   • Загрузите новый сертификат

Включите поставщика идентификации SAML.

Для включения поставщика идентификации SAML:

1. Перейдите на страницу поставщика идентификации SAML .
2. Нажмите в разделе «Конфигурация поставщика» .

3. Установите флажок «Включено» , чтобы активировать поставщика идентификации.

   

   Чтобы отключить поставщика идентификации SAML, снимите флажок.

4. Нажмите « Сохранить ».

5. Если вы настроили собственный домен, см. раздел «Использование собственного домена с поставщиком идентификации SAML» .

Настройка параметров SAML

Для настройки параметров SAML:

1. Перейдите на страницу поставщика идентификации SAML .
2. В разделе «Настройки SAML» нажмите .

3. Нажмите кнопку «Копировать» рядом с URL-адресом метаданных SharePoint .
   

4. Настройте поставщика идентификации SAML, используя информацию из файла метаданных поставщика услуг (SP).

   Для некоторых поставщиков идентификации SAML вам будет предложено ввести только URL-адрес метаданных. Для других потребуется извлечь определенную информацию из файла метаданных и ввести ее в форму.
   
   В последнем случае вставьте URL-адрес в браузер, чтобы загрузить файл метаданных SharePoint и извлечь необходимую информацию. Например, идентификатор сущности или URL-адрес для входа в систему можно извлечь из следующих элементов в файле метаданных SharePoint:

   • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID=" diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login ">
   • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location=" https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login " index="0" isDefault="true"/>

5. Настройте параметры SAML для поставщика идентификации .

   В разделе «Настройки SAML» отредактируйте следующие значения, полученные из файла метаданных вашего поставщика идентификации SAML :

   Настройка SAML	Описание
   URL для входа	URL-адрес, на который пользователи перенаправляются для входа в систему поставщика идентификации SAML. Например: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
   URL для выхода	URL-адрес, на который пользователи перенаправляются для выхода из системы поставщика идентификации SAML. Оставьте это поле пустым, если: Ваш поставщик идентификации SAML не предоставляет URL-адрес для выхода из системы. Нежелательно, чтобы пользователи выходили из системы вашего SAML-провайдера идентификации при выходе из интегрированного портала. Вы хотите включить пользовательский домен (см. известную проблему ).
   Идентификатор сущности IDP	Уникальный идентификатор для поставщика идентификации SAML. Например: http://www.okta.com/exkhgdyponHIp97po0h7

6. Нажмите « Сохранить ».

Настройте пользовательские атрибуты для поставщика идентификации SAML.

Для обеспечения корректного сопоставления между поставщиком идентификации SAML и учетными записями разработчиков портала рекомендуется создать и настроить пользовательские атрибуты, определенные в следующей таблице, для вашего поставщика идентификации SAML. Установите значение каждого пользовательского атрибута равным атрибуту пользователя, определенному вашим поставщиком идентификации SAML (например, Okta).

Ниже показано, как настроить пользовательские атрибуты и атрибут NameID , используя Okta в качестве стороннего поставщика идентификации SAML.

Используйте собственный домен с поставщиком идентификации SAML.

После настройки и включения поставщика идентификации SAML вы можете настроить собственный домен (например, developers.example.com ), как описано в разделе «Настройка домена» .

Важно поддерживать синхронизацию параметров конфигурации между пользовательским доменом и поставщиком идентификации SAML. Если параметры конфигурации рассинхронизируются, могут возникнуть проблемы во время авторизации. Например, запрос авторизации, отправляемый поставщику идентификации SAML, может содержать AssertionConsumerServiceURL , который не определен с использованием пользовательского домена.

Для синхронизации параметров конфигурации между пользовательским доменом и поставщиком идентификации SAML:

• Если вы настраиваете или обновляете пользовательский домен после включения и настройки поставщика идентификации SAML, сохраните конфигурацию пользовательского домена и убедитесь, что он включен. Подождите примерно 30 минут, пока кэш не станет недействительным, затем повторно настройте поставщика идентификации SAML, используя обновленную информацию в файле метаданных поставщика услуг (SP), как описано в разделе «Настройка параметров SAML» . Вы должны увидеть свой пользовательский домен в метаданных SP.

• Если вы настроили пользовательский домен до настройки и включения поставщика идентификации SAML, вам необходимо сбросить пользовательский домен (описано ниже), чтобы убедиться в правильной настройке поставщика идентификации SAML.

• Если вам необходимо сбросить (отключить и повторно включить) поставщика идентификации SAML, как описано в разделе «Включение поставщика идентификации SAML» , вам также необходимо сбросить пользовательский домен (описано ниже).

Сбросить пользовательский домен

Чтобы сбросить (отключить и включить) пользовательский домен:

1. В левой панели навигации выберите «Публикация» > «Порталы» и выберите свой портал.
2. Выберите «Настройки» в выпадающем меню в верхней панели навигации или на главной странице.
3. Перейдите на вкладку «Домены» .
4. Нажмите «Отключить» , чтобы отключить пользовательский домен.
5. Нажмите «Включить» , чтобы повторно активировать пользовательский домен.

Для получения более подробной информации см. раздел «Настройка домена» .

Загрузите новый сертификат

Для загрузки нового сертификата:

1. Загрузите сертификат от вашего поставщика идентификации SAML.
   

2. Перейдите на страницу поставщика идентификации SAML .

3. Щелкните по строке зоны идентификации, для которой вы хотите загрузить новый сертификат.

4. В разделе «Сертификат» нажмите .

5. Нажмите кнопку «Обзор» и найдите сертификат в локальной директории.

6. Нажмите «Открыть» , чтобы загрузить новый сертификат.
   Поля с информацией о сертификате обновляются, отражая выбранный сертификат.
   

7. Убедитесь, что сертификат действителен и не просрочен.

8. Нажмите « Сохранить ».

Преобразование сертификата x509 в формат PEM

Если вы скачали сертификат x509, вам необходимо преобразовать его в формат PEM.

Для преобразования сертификата x509 в формат PEM:

1. Скопируйте содержимое ds:X509Certificate element из файла метаданных поставщика идентификации SAML и вставьте его в свой любимый текстовый редактор.
2. Добавьте следующую строку в начало файла:
   -----BEGIN CERTIFICATE-----
3. Добавьте следующую строку в конец файла:
   -----END CERTIFICATE-----
4. Сохраните файл с расширением .pem .

Ниже приведён пример содержимого PEM-файла:

-----BEGIN CERTIFICATE-----
MIICMzCCAZygAwIBAgIJALiPnVsvq8dsMA0GCSqGSIb3DQEBBQUAMFMxCzAJBgNV
BAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNVBAcTA2ZvbzEMMAoGA1UEChMDZm9v
MQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2ZvbzAeFw0xMzAzMTkxNTQwMTlaFw0x
ODAzMTgxNTQwMTlaMFMxCzAJBgNVBAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNV
BAcTA2ZvbzEMMAoGA1UEChMDZm9vMQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2Zv
bzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAzdGfxi9CNbMf1UUcvDQh7MYB
OveIHyc0E0KIbhjK5FkCBU4CiZrbfHagaW7ZEcN0tt3EvpbOMxxc/ZQU2WN/s/wP
xph0pSfsfFsTKM4RhTWD2v4fgk+xZiKd1p0+L4hTtpwnEw0uXRVd0ki6muwV5y/P
+5FHUeldq+pgTcgzuK8CAwEAAaMPMA0wCwYDVR0PBAQDAgLkMA0GCSqGSIb3DQEB
BQUAA4GBAJiDAAtY0mQQeuxWdzLRzXmjvdSuL9GoyT3BF/jSnpxz5/58dba8pWen
v3pj4P3w5DoOso0rzkZy2jEsEitlVM2mLSbQpMM+MUVQCQoiG6W9xuCFuxSrwPIS
pAqEAuV4DNoxQKKWmhVv+J0ptMWD25Pnpxeq5sXzghfJnslJlQND
-----END CERTIFICATE-----