Как настроить поставщика идентификационной информации

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

Для интегрированных порталов можно задать поставщиков идентификационной информации, которые будут поддерживать типы аутентификации, перечисленные в таблице ниже.

Тип аутентификации Описание
Встроенный

Требует от пользователей передавать учетные данные (имя пользователя и пароль) на интегрированный портал для аутентификации. При создании нового портала встроенный поставщик идентификационной информации настраивается и включается.

Чтобы понять, как выглядит вход в систему с точки зрения пользователя, ознакомьтесь со статьей Как войти на портал с помощью учетных данных пользователя (встроенный поставщик).
SAML (бета)

Язык разметки декларации безопасности (SAML) – это стандартный протокол для среды с системой единого входа (SSO). Аутентификация SSO с использованием SAML позволяет пользователям входить в интегрированные порталы Apigee Edge без создания новых аккаунтов. Пользователи входят в систему, используя учетные данные управляемого аккаунта.

Чтобы узнать, как пользователи входят в систему, ознакомьтесь со статьей Как войти на портал с помощью SAML.

Преимущества аутентификации SAML для интегрированных порталов

Настройка SAML в качестве поставщика идентификационной информации для интегрированного портала дает следующие преимущества:

  • Настройте программу для разработчиков один раз и используйте ее на нескольких интегрированных порталах. При создании интегрированного портала выберите программу для разработчиков. Легко обновлять или менять программу для разработчиков по мере изменения требований.
  • Полностью контролируйте управление пользователями
    Подключите сервер SAML компании к интегрированному порталу. Когда сотрудники покидают организацию и их аккаунты удаляются централизованно, они больше не могут проходить аутентификацию в вашей системе единого входа, чтобы использовать интегрированный портал.

Как настроить встроенного поставщика идентификационной информации

Настройте встроенного поставщика идентификационной информации, как описано в следующих разделах.

Как открыть страницу встроенного поставщика идентификационной информации

Чтобы получить доступ к встроенному поставщику идентификационной информации:

  1. На боковой панели навигации выберите Опубликовать > Порталы, чтобы открыть список порталов.
  2. Нажмите на строку портала, для которого хотите посмотреть команды.
  3. На главной странице портала нажмите Аккаунты. Вы также можете выбрать Аккаунты в раскрывающемся меню портала на панели навигации вверху.
  4. Нажмите на вкладку Authentication (Аутентификация).
  5. В разделе Поставщики идентификационной информации нажмите на тип поставщика Встроенный.
  6. Настройте встроенного поставщика идентификационной информации, как описано в следующих разделах:

Как включить встроенного поставщика идентификационной информации

Чтобы включить встроенного поставщика идентификационной информации:

  1. Как перейти на страницу встроенного поставщика идентификационной информации
  2. Нажмите на значок в разделе Конфигурация поставщика.

  3. Установите флажок Включено, чтобы включить поставщика идентификационной информации.

    Чтобы отключить встроенного поставщика идентификационной информации, снимите флажок.

  4. Нажмите Сохранить.

Как ограничить регистрацию на портале по адресу электронной почты или домену

Ограничьте регистрацию на портале, указав отдельные адреса электронной почты (developer@some-company.com) или домены электронной почты (some-company.com без начального символа @), которые могут создавать аккаунты на вашем портале.

Чтобы правило применялось ко всем вложенным субдоменам, добавьте подстановочный знак *. перед доменом или субдоменом. Например, *.example.com будет соответствовать test@example.com, test@dev.example.com и т. д.

Если оставить это поле пустым, для регистрации на портале можно будет использовать любой адрес электронной почты.

Чтобы ограничить регистрацию на портале по адресу электронной почты или домену:

  1. Как перейти на страницу встроенного поставщика идентификационной информации
  2. Нажмите на значок в разделе Конфигурация поставщика.
  3. В разделе "Ограничения для аккаунта" введите адрес электронной почты или домен, которым вы хотите разрешить регистрироваться и входить на портал, в текстовое поле и нажмите +.
  4. При необходимости добавьте дополнительные записи.
  5. Чтобы удалить запись, нажмите на значок x рядом с ней.
  6. Нажмите Сохранить.

Как настроить уведомления по электронной почте

Для встроенного поставщика можно включить и настроить следующие уведомления по электронной почте:

Уведомление по электронной почте Получатель Триггер Описание
Уведомления об аккаунтеПоставщик APIПользователь портала создает новый аккаунтЕсли вы настроили портал так, чтобы аккаунты пользователей активировались вручную, вам нужно активировать аккаунт пользователя вручную, прежде чем он сможет войти в систему.
Подтверждение аккаунтаПользователь порталаПользователь портала создает новый аккаунтСодержит безопасную ссылку для подтверждения создания аккаунта. Ссылка перестанет работать через 10 минут.

При настройке уведомлений по электронной почте:

  • Используйте HTML-теги для форматирования текста. Отправьте тестовое письмо, чтобы убедиться, что форматирование отображается правильно.

  • Вы можете вставить одну или несколько следующих переменных, которые будут заменены при отправке уведомления по электронной почте.

    Переменная Описание
    {{firstName}} Имя
    {{lastName}} Фамилия
    {{email}} Адрес электронной почты
    {{siteurl}} Ссылка на портал
    {{verifylink}} Ссылка, используемая для подтверждения аккаунта

Чтобы настроить уведомления по электронной почте:

  1. Как перейти на страницу встроенного поставщика идентификационной информации

  2. Чтобы настроить уведомления по электронной почте, отправляемые:

    • Поставщики API для активации нового аккаунта разработчика могут нажать в разделе Уведомления об аккаунте.
    • Чтобы подтвердить личность пользователя портала, нажмите в разделе Подтверждение аккаунта.

  3. Измените поля Тема и Текст.

  4. Нажмите Отправить тестовое письмо, чтобы отправить пробное письмо на свой адрес электронной почты.

  5. Нажмите Сохранить.

Как настроить поставщика идентификационной информации SAML (бета)

Настройте поставщика идентификационной информации SAML, как описано в следующих разделах.

Как открыть страницу поставщика идентификационной информации SAML

Чтобы получить доступ к поставщику идентификационной информации SAML:

  1. На боковой панели навигации выберите Опубликовать > Порталы, чтобы открыть список порталов.
  2. Нажмите на строку портала, для которого хотите посмотреть команды.
  3. На главной странице портала нажмите Аккаунты. Вы также можете выбрать Аккаунты в раскрывающемся меню портала на панели навигации вверху.
  4. Нажмите на вкладку Authentication (Аутентификация).
  5. В разделе Поставщики идентификационной информации нажмите на тип поставщика SAML.

  6. Настройте поставщика идентификационной информации SAML, как описано в следующих разделах:

Как включить поставщика идентификационной информации SAML

Чтобы включить поставщика идентификационной информации SAML:

  1. Перейдите на страницу поставщика идентификационной информации SAML.
  2. Нажмите на значок в разделе Конфигурация поставщика.

  3. Установите флажок Включено, чтобы включить поставщика идентификационной информации.

    Чтобы отключить поставщика идентификационной информации SAML, снимите флажок.

  4. Нажмите Сохранить.

  5. Если вы настроили пользовательский домен, ознакомьтесь с разделом Как использовать пользовательский домен с поставщиком идентификационной информации на базе SAML.

Как настроить SAML

Чтобы настроить параметры SAML:

  1. Перейдите на страницу поставщика идентификационной информации SAML.
  2. В разделе SAML Settings (Настройки SAML) нажмите .

  3. Нажмите Копировать рядом с полем URL метаданных поставщика услуг.

  4. Настройте поставщика идентификационной информации SAML, используя информацию из файла метаданных поставщика услуг.

    Для некоторых поставщиков идентификационной информации SAML вам будет предложено указать только URL метаданных. В других случаях вам нужно будет извлечь определенную информацию из файла метаданных и ввести ее в форму.

    Чтобы скачать файл метаданных поставщика услуг и извлечь нужную информацию, вставьте URL в браузер. Например, идентификатор объекта или URL для входа можно извлечь из следующих элементов в файле метаданных поставщика услуг:

    • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
    • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

  5. Настройте параметры SAML для поставщика идентификационной информации.

    В разделе SAML Settings (Настройки SAML) измените следующие значения, полученные из файла метаданных поставщика идентификационной информации SAML:

    Настройки SAMLОписание
    URL для входаURL, на который перенаправляются пользователи для входа в систему поставщика идентификационной информации SAML.
    Пример: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
    URL страницы "Вы вышли из аккаунта"URL, на который перенаправляются пользователи для выхода из системы поставщика идентификационной информации SAML.

    Оставьте это поле пустым, если:

    • Поставщик идентификационной информации SAML не предоставляет URL для выхода
    • Вы не хотите, чтобы при выходе из интегрированного портала пользователи выходили из системы поставщика идентификационной информации SAML.
    • Вы хотите включить пользовательский домен (см. известную проблему).
    Идентификатор объекта поставщика идентификационной информацииУникальный идентификатор поставщика идентификационной информации SAML.
    Пример: http://www.okta.com/exkhgdyponHIp97po0h7

  6. Нажмите Сохранить.

Как настроить специальные атрибуты пользователя для поставщика идентификационной информации SAML

Чтобы обеспечить правильное сопоставление между поставщиком идентификационной информации SAML и аккаунтами разработчиков на портале, рекомендуется создать и настроить настраиваемые атрибуты пользователей, определенные в таблице ниже, для поставщика идентификационной информации SAML. Задайте для каждого настраиваемого атрибута значение, соответствующее атрибуту пользователя, определенному поставщиком идентификационной информации SAML (например, Okta).

Настраиваемый атрибут Пример (Okta)
first_name user.firstName
last_name user.lastName
email user.email

Ниже описано, как настроить настраиваемые атрибуты пользователей и атрибут NameID, используя Okta в качестве стороннего поставщика идентификационной информации SAML.

Как использовать собственный домен с поставщиком идентификационной информации SAML

После того как вы настроите и включите поставщика идентификационной информации SAML, вы сможете настроить собственный домен (например, developers.example.com), как описано в статье Как настроить домен.

Важно, чтобы настройки конфигурации в пользовательском домене и у поставщика идентификационной информации SAML были синхронизированы. Если настройки конфигурации не синхронизированы, при авторизации могут возникнуть проблемы. Например, запрос авторизации, отправленный поставщику идентификационной информации SAML, может содержать AssertionConsumerServiceURL, который не определен с помощью настраиваемого домена.

Чтобы настройки конфигурации в специальном домене и у поставщика идентификационной информации SAML были синхронизированы:

  • Если вы настроили или обновили собственный домен после включения и настройки поставщика идентификационной информации SAML, сохраните конфигурацию собственного домена и убедитесь, что он включен. Подождите примерно 30 минут, пока кеш не станет недействительным, а затем заново настройте поставщика идентификационной информации SAML, используя обновленную информацию в файле метаданных поставщика услуг, как описано в разделе Как настроить SAML. В метаданных поставщика услуг должен быть указан ваш собственный домен.

  • Если вы настроили собственный домен до того, как настроили и включили поставщика идентификационной информации SAML, вам нужно сбросить собственный домен (как описано ниже), чтобы поставщик идентификационной информации SAML был настроен правильно.

  • Если вам нужно сбросить (отключить и снова включить) поставщика идентификационной информации SAML, как описано в разделе Включите поставщика идентификационной информации SAML, вам также необходимо сбросить пользовательский домен (см. ниже).

Как сбросить пользовательский домен

Чтобы сбросить настройки пользовательского домена (отключить и включить его):

  1. На панели навигации слева выберите Опубликовать > Порталы и нажмите на нужный портал.
  2. Выберите Настройки в раскрывающемся меню на панели навигации вверху страницы или на целевой странице.
  3. Нажмите на вкладку Домены.
  4. Нажмите Отключить, чтобы отключить пользовательский домен.
  5. Нажмите Включить, чтобы снова включить пользовательский домен.

Подробнее о том, как настроить домен…

Загрузить сертификат

Чтобы загрузить новый сертификат:

  1. Скачайте сертификат у поставщика идентификационной информации SAML.

  2. Перейдите на страницу поставщика идентификационной информации SAML.

  3. Нажмите на строку зоны идентификации, для которой вы хотите загрузить новый сертификат.

  4. В разделе Certificate (Сертификат) нажмите .

  5. Нажмите Обзор и найдите сертификат в локальном каталоге.

  6. Нажмите Открыть, чтобы загрузить новый сертификат.
    Поля с информацией о сертификате будут обновлены в соответствии с выбранным сертификатом.

  7. Убедитесь, что сертификат действителен и срок его действия не истек.

  8. Нажмите Сохранить.

Как преобразовать сертификат x509 в формат PEM

Если вы скачали сертификат X.509, его нужно преобразовать в формат PEM.

Чтобы преобразовать сертификат x509 в формат PEM:

  1. Скопируйте содержимое тега ds:X509Certificate element из файла метаданных поставщика идентификационной информации SAML и вставьте его в текстовый редактор.
  2. Добавьте в начало файла следующую строку:
    -----BEGIN CERTIFICATE-----
  3. Добавьте в конец файла следующую строку:
    -----END CERTIFICATE-----
  4. Сохраните файл с расширением .pem.

Ниже приведен пример содержимого PEM-файла:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----