LDAP 정책

Apigee Edge 문서를 보고 있습니다.
Apigee X 문서로 이동하세요. info

대상

LDAP 정책은 다음을 제공합니다.

• 인증: 요청에 제공된 사용자 인증 정보가 LDAP 제공자의 사용자 인증 정보에 대해 검증됩니다. LDAP 정책은 인증에 많은 유연성을 제공하여 요청에 원하는 DN 값이 없더라도 비밀번호와 함께 DN 값을 사용할 수 있습니다. 예를 들어 인증에 이메일 / 비밀번호를 사용해야 한다고 가정해 보겠습니다. 다음 옵션을 사용할 수 있습니다.
  • 이메일이 요청에 있는 경우 LDAP 인증을 위해 비밀번호와 함께 사용하면 됩니다.
  • 이메일이 요청에 없지만 다른 DN 속성 (예: 전화번호)이 있는 경우 전화번호를 사용하여 LDAP에서 해당 이메일을 가져온 다음 이메일/비밀번호를 사용하여 인증할 수 있습니다.
• 고유 이름 (DN) 검색: 인증 외에도 LDAP 정책을 사용하여 요청에서 이메일과 같은 사용자 속성을 식별하고 해당 사용자에 대해 LDAP에서 다른 DN 속성을 가져오는 쿼리를 실행할 수 있습니다. 검색된 DN은 변수에 저장됩니다.

보호된 리소스에 대한 액세스를 LDAP 제공자(예: 관리자 사용자, 조직 사용자, 개발자)의 사용자로 제한해야 하는 경우, 특히 OAuth 토큰 액세스가 불필요하거나 너무 무거운 경우 LDAP 정책을 사용합니다. 이 정책은 API 프록시 흐름에서 사용할 도메인 이름 메타데이터를 가져오기 위한 용도로도 설계되었습니다.

예를 들어 사용자가 LDAP에 대해 인증에 성공한 경우에만 API 호출이 실행되도록 할 수 있습니다. 인증이 성공한 후에는 선택적으로 사용자의 DN (도메인 이름) 속성을 가져올 수 있습니다.

자세한 내용은 다음을 참조하세요.

• API 관리를 위한 기본 LDAP 비밀번호 정책 관리
• Apigee 커뮤니티의 '비밀번호 정책에 관한 중요 정보'

샘플

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

요소 참조

다음은 LDAP 정책 요소 및 속성에 대한 설명입니다.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

사용 참고사항

프라이빗 클라우드용 Apigee Edge를 사용하면 API 호출에서 LDAP 제공업체를 활용할 수 있습니다. LDAP 정책을 사용하면 애플리케이션이 LDAP에 저장된 사용자에 대해 사용자 인증 정보를 인증할 수 있으며, LDAP에서 고유 이름(DN)을 검색할 수 있습니다. 고유 이름은 각 사용자와 연결된 메타데이터 또는 속성(예: 이메일, 주소, 전화번호)입니다. 반환된 DN은 API 프록시에서 추가로 사용할 수 있도록 변수에 저장됩니다.

LDAP 리소스 만들기

LDAP 정책은 Apigee Edge에서 만든 LDAP 리소스를 활용합니다. LDAP 리소스는 LDAP 저장소에 대한 연결 정보를 제공합니다.

LDAP 리소스를 만들고 관리하려면 다음 API와 페이로드를 사용하세요.

API

LDAP 리소스를 생성 (POST)하거나 모든 LDAP 리소스를 나열 (GET)합니다.

/v1/organizations/org_name/environments/environment/ldapresources

LDAP 리소스의 세부정보 가져오기 (GET), 업데이트 (POST), 삭제 (DELETE)

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

페이로드

다음은 사용 주석이 포함된 샘플 XML 페이로드입니다.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

curl 예: LDAP 리소스 만들기

다음 예시에서는 ldap1이라는 LDAP 리소스를 만듭니다.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

응답 코드

다음은 정책에서 성공 또는 실패에 대해 반환하는 HTML 응답 코드입니다.

• 성공: 200
• 실패: 401

Edge for Private Cloud에서 커스텀 LDAP 제공자 사용

맞춤 LDAP 제공자 사용

프라이빗 클라우드용 Apigee Edge에는 LDAP 정책과 상호작용하도록 이미 구성된 LDAP 제공자가 함께 제공됩니다. 하지만 커스텀 LDAP 공급자를 사용하는 경우 공급자가 LDAP 정책을 지원하도록 사용 설정해야 합니다. 방법은 다음과 같습니다.

1. LDAP 제공자 클래스에서 ExternalLdapConProvider 인터페이스를 구현합니다.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. 정책 구성의 <LdapConnectorClass> (다음 섹션)에 맞춤 LDAP 제공자의 정규화된 클래스 이름을 추가합니다.
3. custom-ldap.jar_.zip 파일을 다운로드합니다. (마우스 오른쪽 버튼을 클릭하고 다른 이름으로 저장을 선택해야 할 수 있습니다.)
4. 압축을 풉니다.
5. 환경에 custom-ldap.jar 파일을 추가하고 클래스 경로에 있는지 확인합니다.
6. LDAP 제공업체의 환경 리소스를 만듭니다. LDAP 정책의 <LdapResource> 요소에서 환경 리소스 이름을 사용합니다.

UnboundID LDAP SDK for Java 사용

LDAP 정책과 함께 UnboundID LDAP SDK를 사용할 수 있지만 먼저 버전 2.3.1을 다운로드하여 각 메시지 프로세서의 클래스 경로에 추가해야 합니다.

LDAP 정책과 함께 UnboundID LDAP SDK를 사용하려면 다음 단계를 따르세요.

1. 브라우저를 열고 UnboundID LDAP SDK의 Sourceforge 파일 저장소로 이동합니다.

   https://sourceforge.net/projects/ldap-sdk/files/

2. SDK 버전 2.3.1 (SE 또는 Standard Edition)을 찾아 해당 버전의 ZIP 파일을 다운로드합니다. 예를 들어 'unboundid-ldapsdk-2.3.1-se.zip'을 다운로드합니다.
3. 다음 예와 같이 SDK ZIP 파일에서 JAR 파일을 추출합니다.

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   이 명령어는 JAR 파일만 ~/tmp 디렉터리로 추출합니다. -j를 사용하여 디렉터리 구조를 삭제합니다(선택사항).

4. 각 메시지 프로세서 노드에서:
   1. JAR 파일을 메시지 프로세서의 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리에 복사합니다.
   2. 필요한 경우 메시지 프로세서가 액세스할 수 있도록 JAR 파일에 Apigee 사용자 권한을 부여합니다.

   Edge는 /opt/apigee/edge-gateway/lib/thirdparty 디렉터리의 모든 서드 파티 라이브러리를 클래스 경로에 추가합니다.

   3. 메시지 프로세서를 다시 시작합니다.

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

흐름 변수

다음은 SearchQuery에 의해 채워지는 LDAP 정책 변수입니다.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

오류 코드

Edge 정책에서 반환되는 오류는 오류 코드 참조에 설명된 일정한 형식을 따릅니다.

이 정책은 다음 오류 코드를 사용합니다.