خط مشی LDAP

شما در حال مشاهده مستندات Apigee Edge هستید.
به مستندات Apigee X مراجعه کنید . اطلاعات

چه

سیاست LDAP موارد زیر را ارائه می‌دهد:

• احراز هویت : اعتبارنامه‌های کاربر ارائه شده در درخواست با اعتبارنامه‌های ارائه‌دهنده LDAP اعتبارسنجی می‌شوند. سیاست LDAP انعطاف‌پذیری زیادی در احراز هویت به شما می‌دهد و به شما امکان می‌دهد از هر مقدار DN به همراه رمز عبور استفاده کنید، حتی اگر آن مقدار DN مورد نظر شما در درخواست نباشد. به عنوان مثال، فرض کنید برای احراز هویت باید از ایمیل / رمز عبور استفاده کنید. گزینه‌های زیر امکان‌پذیر است:
  • اگر ایمیل در درخواست باشد، می‌توانید به سادگی از آن به همراه رمز عبور برای احراز هویت LDAP استفاده کنید.
  • اگر ایمیل در درخواست نباشد، اما ویژگی DN دیگری (مانند شماره تلفن) در آن باشد، می‌توانید از شماره تلفن برای دریافت ایمیل مربوطه از LDAP استفاده کنید، سپس از ایمیل / رمز عبور برای تأیید اعتبار استفاده کنید.
• جستجوی نام متمایز (DN) : علاوه بر احراز هویت، می‌توانید از سیاست LDAP برای شناسایی یک ویژگی کاربر در درخواست، مانند ایمیل، استفاده کنید و یک پرس‌وجو انجام دهید که سایر ویژگی‌های DN را از LDAP برای آن کاربر بازیابی می‌کند. DN بازیابی شده در یک متغیر ذخیره می‌شود.

از سیاست LDAP زمانی استفاده کنید که دسترسی به منابع محافظت‌شده باید محدود به کاربران ارائه‌دهنده LDAP شما - مانند کاربران مدیر، کاربران سازمان و توسعه‌دهندگان - باشد، به‌ویژه زمانی که دسترسی به توکن OAuth غیرضروری یا بسیار سنگین است. این سیاست همچنین برای بازیابی فراداده نام دامنه برای استفاده در جریان‌های پروکسی API طراحی شده است.

برای مثال، می‌توانید کاری کنید که یک فراخوانی API فقط زمانی اجرا شود که کاربر با موفقیت در LDAP احراز هویت شود؛ و سپس به صورت اختیاری، ویژگی‌های DN (نام دامنه) را برای کاربر پس از موفقیت احراز هویت بازیابی کنید.

برای اطلاعات تکمیلی، مراجعه کنید به:

• مدیریت سیاست پیش‌فرض رمز عبور LDAP برای مدیریت API
• « اطلاعات مهم در مورد سیاست رمز عبور شما » در انجمن Apigee

نمونه‌ها

<Ldap name="4GLdapPo>licy<"
   Ld>apRes<ourceldap1/Ld>apRe<source
   Auth>enticati<on
       UserName ref="request.he>ader.use<rname"/
       Password ref=">request.<heade>r.passw<ord&qu>ot;/
   <    Scopesubtree/Scope
   ><    Bas>e<DN ref="apigee.baseDN"/B>aseDN< !-- default is> d<c=api>gee,dc=com --
    /Authentication
 /Ldap

<Ldap name="LdapPo>licy<"
   Ld>apRes<ourceldap1/Ld>apRe<source
   Auth>enticati<on
       Password ref="request.he>ader.pas<sword">/
       SearchQuerymail={<request.head>er.mail}</Sear>chQuery<
     >  Scopes<ubtree/Scope
       BaseDN>< ref=&q>u<ot;apigee.baseDN"/BaseDN !-- >defau<lt is dc=apigee>,d<c=com> --
    /Authentication
 /Ldap

<Ldap name="LdapPo>licy&<quot;
    !-- using a custom LDAP p>rovid<er --
    LdapConn>ectorClasscom.custom.ldap.<MyProvider/LdapConn>ector<Class
    Ld>apReso<urceMyLdap/Ld>apRes<ource<>/span>
    Searc<h
        BaseDN ref="><;apigee>.<baseDN"/BaseDN !-- default is> dc=apige<e,dc=com -->
        SearchQuerymail={<request.head>er.mail}/<SearchQuer>y
        Att<ributes
 >       <    Attrib>uteaddress/At<tribute
 >     <      Attr>ibutephone/At<tribute
 >     <      Attr>ibutetitl<e/Attribute>
        </Attr><ibutes>
<        Scope/S‘cope !-’- d>efaul<t is su>b<tree >--
    /Search
/Ldap

مرجع عنصر

در ادامه توضیحاتی در مورد عناصر و ویژگی‌های سیاست LDAP آمده است.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

یادداشت‌های استفاده

Apigee Edge برای Private Cloud به شما امکان می‌دهد از یک ارائه‌دهنده LDAP در فراخوانی‌های API استفاده کنید. با استفاده از LDAP Policy، برنامه‌ها می‌توانند اعتبارنامه‌های کاربران ذخیره شده در LDAP را احراز هویت کنند و شما می‌توانید نام‌های متمایز (DN) را از LDAP بازیابی کنید - فراداده‌ها یا ویژگی‌های مرتبط با هر کاربر، مانند ایمیل، آدرس و شماره تلفن. DN برگردانده شده در یک متغیر برای استفاده بیشتر توسط پروکسی API ذخیره می‌شود.

ایجاد یک منبع LDAP

سیاست LDAP از یک منبع LDAP که شما در Apigee Edge ایجاد می‌کنید، استفاده می‌کند. یک منبع LDAP اطلاعات اتصال به مخزن LDAP شما را فراهم می‌کند.

برای ایجاد و مدیریت منابع LDAP، از API و payload زیر استفاده کنید:

رابط برنامه‌نویسی کاربردی

ایجاد ( POST ) یک منبع LDAP یا فهرست کردن ( GET ) تمام منابع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

دریافت جزئیات برای ( GET )، به‌روزرسانی ( POST ) و حذف ( DELETE ) یک منبع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

بار مفید

در ادامه، نمونه‌ای از یک فایل XML به همراه توضیحات مربوط به نحوه‌ی استفاده از آن آمده است.

<LdapResource name="l>dap<1"
  >Conne<ction>
    Ho<sts
      !-- port is optional: defaults to 389 for ldap:// and 636 for l>daps://< --
      Host >port=&q<uot;6>36&qu<ot;foo>.com/<Host
    />Hosts<
    SSLEna>b<ledfalse/SSLEnabled !-- optional, >defau<lts to >f<alse --
> <   Version3/Version !-- optio>nal, <defaults to 3->-
    <Authentications>i<mple/Authentication !-- optional, only> simp<le supported --
  >  ConnectionPr<oviderjndi|unboundi>d</ConnectionProv>ider <!-- required >--
    ServerSetTypesingle|<round robin|fa>i<lover/ServerSetType !-- not ap>plica<ble for jndi --
    !-- If using a custom LDAP provider, the fully> qual<ified class: --
  >  LdapConnectorClasscom.cu<stom.ldap.MyProvide>r/L<dapConnecto>rCl<ass
  /Connection
  Connec>t<Pool enabled="true" !-- enabled is> opti<onal, d>efaul<ts to tr>u<e --
    Timeout30000/Timeout !-- optional, in milliseco>nds; <if not >se<t, no ti>m<eout --
    Maxsize50/Maxsize !-- optional; if >not s<et, no m>ax< connecti>o<ns --
    Prefsize30/Prefsize !-- optiona>l; if< not set><, no pref> <size --
    Initsize/Initsize !-- optional>; if <not set,>< defaults> <to 1 --
    Protocol/Protocol !-- optional; if not s>et,< defaults to> &#<39;ss>l pla<in>' --
  /ConnectPool
  A<dmi>n
   < DNcn=ma>nager,<dc=apigee>,dc<=com/D>N<
    Password>secret/Password
  /Admin
/LdapResource

مثال curl: ایجاد یک منبع LDAP

مثال زیر یک منبع LDAP با نام ldap1 ایجاد می‌کند.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:passwor<d -d \
  'LdapResourc>e nam<e="ld>ap1&quo<t;
  >  Conne<ctio>n
     < Host>s
     < Hostf>oo.com/<Host
     > /Hos<ts
      SS>LEnable<dfalse/>S<SLEnable>d
     < Version3/Vers>ion
  <    Authenticat>ionsimp<le/Authentication
>      Con<nectionProviderunbo>undid/C<onnectionProv>ider
      <ServerSetTyper>ound <robin/Serve>rSetT<ype
    /Connection
    Co>nnectPo<ol enab>led=&<quot;tru>e"<
      >Ti<meout300>00/Time<out
    >  <Maxsize50>/Maxsiz<e
      ><Prefsize3>0/Prefs<ize
    ><  Initsiz>e/Ini<tsize
      >Proto<col/P>rotocol<
 >   /ConnectPool
    Admin
 <   >  DNcn=<manager,>dc=api<gee,dc=co>m/DN
<      >Pas<swordsecret/P>assword
    /Admin
  /LdapResource'

کدهای پاسخ

کدهای پاسخ HTML که این سیاست در صورت موفقیت یا شکست برمی‌گرداند، به شرح زیر است:

• موفقیت : ۲۰۰
• خرابی : ۴۰۱

استفاده از یک ارائه‌دهنده LDAP سفارشی در Edge برای ابر خصوصی

استفاده از یک ارائه‌دهنده LDAP سفارشی

Apigee Edge برای Private Cloud با یک ارائه‌دهنده LDAP ارائه می‌شود که از قبل برای تعامل با LDAP Policy پیکربندی شده است. با این حال، اگر از یک ارائه‌دهنده LDAP سفارشی استفاده می‌کنید، باید آن ارائه‌دهنده را برای پشتیبانی از LDAP Policy فعال کنید. برای انجام این کار:

1. در کلاس ارائه دهنده LDAP خود، رابط ExternalLdapConProvider را پیاده‌سازی کنید.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. در <LdapConnectorClass> از پیکربندی خط‌مشی (بخش‌های بعدی)، نام کلاس کاملاً واجد شرایط ارائه‌دهنده LDAP سفارشی خود را اضافه کنید.
3. این فایل را دانلود کنید: custom-ldap.jar_.zip (ممکن است لازم باشد کلیک راست کرده و گزینه Save As را انتخاب کنید.)
4. آن را از حالت فشرده خارج کنید.
5. فایل custom-ldap.jar را به محیط خود اضافه کنید و مطمئن شوید که در classpath شما قرار دارد.
6. یک منبع محیطی برای ارائه‌دهنده LDAP خود ایجاد کنید. شما از نام منبع محیطی در عنصر <LdapResource> از سیاست LDAP استفاده خواهید کرد.

استفاده از کیت توسعه نرم‌افزار UnboundID LDAP برای جاوا

شما می‌توانید از UnboundID LDAP SDK به همراه سیاست LDAP استفاده کنید، اما ابتدا باید نسخه ۲.۳.۱ را دانلود کرده و آن را به هر یک از classpath های پردازنده پیام خود اضافه کنید.

برای استفاده از UnboundID LDAP SDK با سیاست LDAP:

1. یک مرورگر باز کنید و به مخزن فایل Sourceforge برای UnboundID LDAP SDK بروید:

   https://sourceforge.net/projects/ldap-sdk/files/

2. نسخه ۲.۳.۱ (SE یا نسخه استاندارد ) از SDK را پیدا کنید و فایل ZIP مربوط به آن نسخه را دانلود کنید. برای مثال، "unboundid-ldapsdk-2.3.1-se.zip" را دانلود کنید.
3. فایل JAR را از فایل فشرده SDK استخراج کنید، همانطور که در مثال زیر نشان داده شده است:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   این دستور فقط فایل JAR را در دایرکتوری ~/tmp استخراج می‌کند. ساختار دایرکتوری را با -j حذف می‌کند، اگرچه این گزینه اختیاری است.

4. روی هر گره پردازشگر پیام:
   1. فایل JAR را در دایرکتوری /opt/apigee/edge-gateway/lib/thirdparty پردازنده پیام کپی کنید.
   2. در صورت لزوم، به کاربر Apigee اجازه دسترسی به فایل JAR را بدهید تا پردازشگر پیام بتواند به آن دسترسی داشته باشد.

   اج تمام کتابخانه‌های شخص ثالث موجود در دایرکتوری /opt/apigee/edge-gateway/lib/thirdparty را به classpath اضافه می‌کند.

   3. پردازشگر پیام را مجدداً راه‌اندازی کنید:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

متغیرهای جریان

در ادامه متغیرهای سیاست LDAP که توسط یک SearchQuery پر شده‌اند، آمده است.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

کدهای خطا

خطاهایی که از سیاست‌های Edge برگردانده می‌شوند، از یک قالب ثابت پیروی می‌کنند، همانطور که در مرجع کد خطا توضیح داده شده است.

این خط مشی از کدهای خطای زیر استفاده می کند: