LDAP 政策

您正在查看的是 Apigee Edge 文档。
转到 Apigee X 文档。 信息

内容

LDAP 政策提供：

• 身份验证：根据 LDAP 提供方中的凭据验证请求中提供的用户凭据。LDAP 政策提供了极大的身份验证灵活性，可让您使用任何 DN 值和密码，即使请求中没有您想要的 DN 值也是如此。例如，假设您需要使用电子邮件地址 / 密码进行身份验证。可采用的选项如下：
  • 如果请求中包含了此电子邮件地址，您只需将其与密码一起用于 LDAP 身份验证即可。
  • 如果请求中没有电子邮件地址，但有其他 DN 属性（例如电话号码），您可以使用电话号码从 LDAP 中获取相应的电子邮件地址，然后使用电子邮件地址/密码进行身份验证。
• 可分辨名称 (DN) 搜索：除了身份验证之外，您还可以使用 LDAP 政策来标识请求中的用户特性（例如电子邮件地址），并执行从 LDAP 中检索该用户的其他 DN 属性的查询。检索到的 DN 存储在变量中。

如果应将受保护资源的访问权限限制为 LDAP 提供方中的用户（例如管理员用户、组织用户和开发者），尤其是在不需要或过于频繁地访问 OAuth 令牌时，请使用 LDAP 政策。此政策还设计用于检索域名元数据，以便在 API 代理流程中使用。

例如，您可以仅在用户通过 LDAP 成功进行身份验证时执行 API 调用；然后在身份验证成功后检索用户的 DN（域名）属性。

如需了解详情，请参阅：

• 管理用于 API 管理的默认 LDAP 密码政策
• Apigee 社区中的“关于您的密码政策的重要信息”

示例

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

元素参考

以下是 LDAP 政策元素和属性的说明。

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

使用说明

借助适用于私有云的 Apigee Edge，您可以在 API 调用中利用 LDAP 提供商。通过 LDAP 政策，应用可以根据存储在 LDAP 中的用户对凭据进行身份验证，并且您可以从 LDAP 中检索可分辨名称 (DN)，即与每个用户关联的元数据或属性，例如电子邮件地址、地址和电话号码。返回的 DN 存储在变量中，供 API 代理进一步使用。

创建 LDAP 资源

LDAP 政策会利用您在 Apigee Edge 中创建的 LDAP 资源。LDAP 资源提供与 LDAP 代码库的连接信息。

如需创建和管理 LDAP 资源，请使用以下 API 和载荷：

API

创建 (POST) LDAP 资源或列表 (GET) 所有 LDAP 资源：

/v1/organizations/org_name/environments/environment/ldapresources

获取 LDAP 资源 (GET)、更新 (POST) 和删除 (DELETE) 的详细信息：

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

载荷

以下是包含使用情况注释的 XML 载荷示例。

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

curl 示例：创建 LDAP 资源

以下示例会创建一个名为 ldap1 的 LDAP 资源。

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

响应代码

以下是政策在成功或失败时返回的 HTML 响应代码：

• 成功：200
• 失败：401

在适用于私有云的 Edge 中使用自定义 LDAP 提供商

使用自定义 LDAP 提供商

适用于私有云的 Apigee Edge 附带一个已配置为与 LDAP 政策交互的 LDAP 提供方。但是，如果您使用的是自定义 LDAP 提供商，则必须使该提供商支持 LDAP 政策。操作方法如下：

1. 在您的 LDAP 提供商类中，实现 ExternalLdapConProvider 接口。

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. 在政策配置的 <LdapConnectorClass>（下一部分）中，添加自定义 LDAP 提供方的完全限定类名。
3. 下载此文件：custom-ldap.jar_.zip。 （您可能需要右键点击并选择另存为）。
4. 解压缩。
5. 将 custom-ldap.jar 文件添加到您的环境中，并确保该文件位于类路径中。
6. 为您的 LDAP 提供商创建环境资源。您将在 LDAP 政策的 <LdapResource> 元素中使用环境资源名称。

使用 Java 版 UnboundID LDAP SDK

您可以将 UnboundID LDAP SDK 与 LDAP 政策搭配使用，但必须先下载版本 2.3.1，并将其添加到消息处理器的每个类路径中。

如需将 UnboundID LDAP SDK 与 LDAP 政策搭配使用，请执行以下操作：

1. 打开浏览器，然后转到 UnboundID LDAP SDK 的 Sourceforge 文件代码库：

   https://sourceforge.net/projects/ldap-sdk/files/

2. 找到 2.3.1 版（SE 或 Standard Edition）SDK，并下载该版本的 ZIP 文件。例如，下载“unboundid-ldapsdk-2.3.1-se.zip”。
3. 从 SDK ZIP 文件中提取 JAR 文件，如以下示例所示：

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   此命令仅将 JAR 文件提取到 ~/tmp 目录。它使用 -j 丢弃目录结构，但这是可选的。

4. 在每个消息处理器节点上：
   1. 将 JAR 文件复制到消息处理器的 /opt/apigee/edge-gateway/lib/thirdparty 目录。
   2. 如有必要，请向 Apigee 授予对 JAR 文件的权限，以便消息处理器可以访问该文件。

   Edge 会将 /opt/apigee/edge-gateway/lib/thirdparty 目录中的所有第三方库添加到类路径中。

   3. 重启消息处理器：

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

流变量

以下是由 SearchQuery 填充的 LDAP 政策变量。

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

错误代码

从 Edge 政策返回的错误会遵循一致的格式（请参阅错误代码参考）。

此政策使用以下错误代码：