Política de LDAP

Estás viendo la documentación de Apigee Edge.
Ir a la documentación de Apigee X. info

Qué

La política de LDAP proporciona lo siguiente:

• Autenticación: Las credenciales de usuario proporcionadas en la solicitud se validan con las credenciales del proveedor de LDAP. La política de LDAP te brinda mucha flexibilidad con la autenticación, ya que te permite usar cualquier valor de DN junto con la contraseña, incluso si ese valor de DN que deseas no está en la solicitud. Por ejemplo, supongamos que necesitas usar el correo electrónico y la contraseña para la autenticación. Las siguientes opciones son posibles:
  • Si el correo electrónico está en la solicitud, puedes usarlo con la contraseña para la autenticación de LDAP.
  • Si el correo electrónico no está en la solicitud, pero sí otro atributo de DN (como el número de teléfono), puedes usar el número de teléfono para obtener el correo electrónico correspondiente de LDAP y, luego, usar el correo electrónico o la contraseña para autenticarte.
• Búsqueda de nombres distintivos (DN): Además de la autenticación, también puedes usar la política de LDAP para identificar un atributo del usuario en la solicitud, como el correo electrónico, y realizar una consulta que recupere otros atributos de DN de LDAP para ese usuario. El DN recuperado se almacena en una variable.

Usa la política de LDAP cuando el acceso a los recursos protegidos deba limitarse a los usuarios de tu proveedor de LDAP (como los usuarios administradores, los usuarios de la organización y los desarrolladores), en especial cuando el acceso con token de OAuth sea innecesario o demasiado pesado. La política también está diseñada para recuperar metadatos de nombres de dominio para su uso en flujos de proxies de API.

Por ejemplo, puedes hacer que una llamada a la API se ejecute solo cuando un usuario se autentique correctamente en LDAP y, luego, recuperar de forma opcional los atributos de DN (nombre de dominio) para el usuario después de que la autenticación se realice correctamente.

Para obtener información adicional, consulta:

• Administra la política de contraseñas LDAP predeterminada para la administración de APIs
• "Información importante sobre tu política de contraseñas" en la comunidad de Apigee

Ejemplos

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Referencia del elemento

A continuación, se incluyen descripciones de los elementos y atributos de la política de LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Notas de uso

Apigee Edge para la nube privada te permite aprovechar un proveedor de LDAP en las llamadas a la API. Con la política de LDAP, las aplicaciones pueden autenticar credenciales en relación con los usuarios almacenados en LDAP, y puedes recuperar nombres distintivos (DN) de LDAP, es decir, los metadatos o atributos asociados con cada usuario, como el correo electrónico, la dirección y el número de teléfono. El DN devuelto se almacena en una variable para que el proxy de API lo use más adelante.

Crea un recurso de LDAP

La política de LDAP aprovecha un recurso de LDAP que creas en Apigee Edge. Un recurso de LDAP proporciona la información de conexión a tu repositorio de LDAP.

Para crear y administrar recursos de LDAP, usa la siguiente API y carga útil:

API

Crea (POST) un recurso de LDAP o enumera (GET) todos los recursos de LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Obtén detalles (GET), actualiza (POST) y borra (DELETE) un recurso de LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Carga útil

A continuación, se incluye una carga útil de XML de ejemplo con comentarios de uso.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

Ejemplo de curl: Crea un recurso de LDAP

En el siguiente ejemplo, se crea un recurso LDAP llamado ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Códigos de respuesta

A continuación, se indican los códigos de respuesta HTML que devuelve la política en caso de éxito o falla:

• Success: 200
• Falla: 401

Usa un proveedor de LDAP personalizado en Edge para la nube privada

Usa un proveedor de LDAP personalizado

Apigee Edge para la nube privada incluye un proveedor de LDAP que ya está configurado para interactuar con la política de LDAP. Sin embargo, si usas un proveedor de LDAP personalizado, debes habilitar el proveedor para que admita la política de LDAP. Para ello, sigue estos pasos:

1. En tu clase de proveedor de LDAP, implementa la interfaz ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. En el <LdapConnectorClass> de la configuración de la política (secciones siguientes), agrega el nombre de clase completo de tu proveedor de LDAP personalizado.
3. Descarga este archivo: custom-ldap.jar_.zip. (Es posible que debas hacer clic con el botón derecho y seleccionar Guardar como).
4. Descomprímelo.
5. Agrega el archivo custom-ldap.jar a tu entorno y asegúrate de que esté en tu classpath.
6. Crea un recurso de entorno para tu proveedor de LDAP. Usarás el nombre del recurso del entorno en el elemento <LdapResource> de la política de LDAP.

Uso del SDK de LDAP de UnboundID para Java

Puedes usar el SDK de LDAP de UnboundID con la política de LDAP, pero primero debes descargar la versión 2.3.1 y agregarla a cada una de las rutas de acceso de clase de tu procesador de mensajes.

Para usar el SDK de LDAP de UnboundID con la política de LDAP, haz lo siguiente:

1. Abre un navegador y navega al repositorio de archivos de Sourceforge para el SDK de LDAP de UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Busca la versión 2.3.1 (SE o Standard Edition) del SDK y descarga el archivo ZIP de esa versión. Por ejemplo, descarga "unboundid-ldapsdk-2.3.1-se.zip".
3. Extrae el archivo JAR del archivo ZIP del SDK, como se muestra en el siguiente ejemplo:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Este comando extrae solo el archivo JAR en el directorio ~/tmp. Descarta la estructura de directorios con -j, aunque esto es opcional.

4. En cada nodo de Message Processor, haz lo siguiente:
   1. Copia el archivo JAR en el directorio /opt/apigee/edge-gateway/lib/thirdparty del procesador de mensajes.
   2. Si es necesario, otorga permiso de usuario de Apigee en el archivo JAR para que el procesador de mensajes pueda acceder a él.

   Edge agrega todas las bibliotecas de terceros en el directorio /opt/apigee/edge-gateway/lib/thirdparty a la ruta de clase.

   3. Reinicia el Message Processor:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Variables de flujo

A continuación, se indican las variables de política de LDAP que propaga un SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Códigos de error

Los errores que muestran las políticas de Edge tienen un formato coherente, como se describe en la referencia del código de error.

Esta política usa los siguientes códigos de error: