Política LDAP

Esta é a documentação do Apigee Edge.
Acesse Documentação da Apigee X. informações

O que

A política LDAP fornece:

• Autenticação: as credenciais do usuário informadas na solicitação são validadas. com as credenciais no provedor LDAP. A política LDAP oferece muita flexibilidade com que permite usar qualquer valor de DN com a senha, mesmo que esse valor de DN que você quer não está na solicitação. Por exemplo, digamos que você precise usar e-mail / senha para autenticação. As seguintes opções são possíveis:
  • Se o e-mail estiver na solicitação, basta usá-lo com a senha para LDAP autenticação.
  • Se o e-mail não estiver na solicitação, mas houver outro atributo DN (como número de telefone), você pode usar o número de telefone para obter o e-mail correspondente do LDAP e, em seguida, usar e-mail / senha para autenticação.
• Pesquisa de nome distinto (DN): além da autenticação, é possível também usará a política LDAP para identificar um atributo do usuário na solicitação, como e-mail, e executar uma consulta que recupere outros atributos DN do LDAP para esse usuário. O DN recuperado é armazenada em uma variável.

Use a política LDAP quando o acesso a recursos protegidos for limitado aos usuários no LDAP como usuários administradores, usuários da organização e desenvolvedores, especialmente quando O acesso ao token OAuth é desnecessário ou muito pesado. A política também foi criada para Recuperar metadados de nome de domínio para uso em fluxos de proxy de API.

Por exemplo, uma chamada de API pode ser executada somente quando um usuário é autenticado com sucesso em relação ao LDAP. e, em seguida, recupere, opcionalmente, os atributos DN (nome de domínio) para o usuário após é bem-sucedida.

Para mais informações, consulte:

• Gerenciamento a política de senha padrão do LDAP para o gerenciamento de APIs
• Informações importantes sobre sua política de senhas no Comunidade da Apigee

Amostras

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Referência de elemento

Veja a seguir as descrições dos elementos e atributos da política LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Notas de uso

O Apigee Edge para nuvem privada permite que você aproveite um provedor LDAP em chamadas de API. Com o LDAP os aplicativos podem autenticar as credenciais dos usuários armazenados no LDAP, e você pode recuperar nomes distintos (DNs) do LDAP—os metadados, ou atributos, associados ao cada usuário, como e-mail, endereço e número de telefone. O DN retornado é armazenado em uma variável para seu uso pelo proxy de API.

Criar um recurso LDAP

A política LDAP utiliza um recurso LDAP que você cria no Apigee Edge. Um recurso LDAP fornece as informações de conexão ao repositório LDAP.

Para criar e gerenciar recursos LDAP, use a API e o payload a seguir:

API

Criar (POST) um recurso LDAP ou listar (GET) todos os recursos LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Acessar detalhes de (GET), Atualizar (POST) e excluir (DELETE) um recurso LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Payload

Confira a seguir um exemplo de payload XML com comentários de uso.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

Exemplo de curl: criar um recurso LDAP

O exemplo a seguir cria um recurso LDAP chamado ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Códigos de resposta

Veja a seguir os códigos de resposta HTML que a política retorna para sucesso ou falha:

• Sucesso: 200
• Falha: 401.

Como usar um provedor LDAP personalizado no Edge para nuvem privada

O uso de um Provedor LDAP

O Apigee Edge para nuvem privada vem com um provedor LDAP já configurado para interagem com a política LDAP. No entanto, se você estiver usando um provedor LDAP personalizado, precisará ativar provedor para permitir a política LDAP. Para fazer isso:

1. Na classe do provedor LDAP, implemente a interface ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. No <LdapConnectorClass> da configuração da política (próximas seções), faça o seguinte: adicione o nome de classe totalmente qualificado do seu provedor LDAP personalizado.
3. Faça o download deste arquivo: custom-ldap.jar_.zip. Talvez seja necessário clicar com o botão direito do mouse e selecionar Salvar como.
4. Descompacte-o.
5. Adicione o arquivo custom-ldap.jar ao seu ambiente e verifique se ele está no seu caminho de classe.
6. Crie um recurso de ambiente para seu provedor LDAP. Você vai usar o recurso de ambiente no elemento <LdapResource> da política LDAP.

Usar o SDK LDAP UnboundID para Java

Você pode usar o SDK LDAP UnboundID com a política LDAP, mas primeiro é necessário fazer o download da versão 2.3.1 e adicione-o a cada um dos caminhos de classe de seu processador de mensagens.

Para usar o SDK LDAP UnboundID com a política LDAP:

1. Abra um navegador e navegue até o repositório de arquivos do Sourceforge para o SDK LDAP do UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Encontre a versão 2.3.1 (SE ou Standard Edition) do SDK e faça o download do arquivo ZIP para essa versão. Por exemplo, faça o download de "unboundid-ldapsdk-2.3.1-se.zip".
3. Extraia o arquivo JAR do arquivo ZIP do SDK, conforme mostrado no exemplo a seguir:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Esse comando extrai apenas o arquivo JAR para o diretório ~/tmp. Ele descarta o diretório com -j, embora isso seja opcional.

4. Em cada nó do processador de mensagens:
   1. Copie o arquivo JAR no /opt/apigee/edge-gateway/lib/thirdparty.
   2. Se necessário, conceda permissão ao usuário da Apigee no arquivo JAR para que o processador de mensagens possa acessá-lo.

   O Edge adiciona todas as bibliotecas de terceiros à /opt/apigee/edge-gateway/lib/thirdparty para o caminho de classe.

   3. Reinicie o processador de mensagens:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Variáveis de fluxo

Veja a seguir as variáveis da política LDAP preenchidas por um SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Códigos de erro

Os erros retornados pelas políticas de borda seguem um formato consistente, conforme descrito na Referência do código de erro.

Esta política usa os seguintes códigos de erro: