LDAP-Richtlinie

Sie lesen gerade die Dokumentation zu Apigee Edge.
Zur Dokumentation zu Apigee X. info

Was

Die LDAP-Richtlinie bietet Folgendes:

• Authentifizierung: Die in der Anfrage angegebenen Nutzeranmeldedaten werden mit den Anmeldedaten im LDAP-Anbieter verglichen. Die LDAP-Richtlinie bietet Ihnen viel Flexibilität bei der Authentifizierung. Sie können jeden DN-Wert zusammen mit dem Passwort verwenden, auch wenn dieser DN-Wert nicht in der Anfrage enthalten ist. Angenommen, Sie müssen E‑Mail-Adresse und Passwort für die Authentifizierung verwenden. Folgende Optionen sind möglich:
  • Wenn die E‑Mail-Adresse in der Anfrage enthalten ist, können Sie sie einfach zusammen mit dem Passwort für die LDAP Authentifizierung verwenden.
  • Wenn die E‑Mail-Adresse nicht in der Anfrage enthalten ist, aber ein anderes DN-Attribut (z. B. die Telefonnummer), können Sie die Telefonnummer verwenden, um die entsprechende E‑Mail-Adresse aus LDAP abzurufen und sich dann mit E‑Mail-Adresse / Passwort zu authentifizieren.
• Suche nach Distinguished Name (DN): Neben der Authentifizierung können Sie mit der LDAP-Richtlinie auch ein Nutzerattribut in der Anfrage identifizieren, z. B. die E‑Mail-Adresse, und eine Abfrage ausführen, mit der andere DN-Attribute für diesen Nutzer aus LDAP abgerufen werden. Der abgerufene DN wird in einer Variablen gespeichert.

Verwenden Sie die LDAP-Richtlinie, wenn der Zugriff auf geschützte Ressourcen auf Nutzer in Ihrem LDAP Anbieter beschränkt werden soll, z. B. auf Administratoren, Organisationsnutzer und Entwickler. Dies ist besonders dann sinnvoll, wenn der Zugriff auf OAuth-Tokens entweder unnötig oder zu aufwendig ist. Die Richtlinie wurde auch entwickelt, um Metadaten für Domainnamen abzurufen, die in API-Proxy-Abläufen verwendet werden können.

Sie können beispielsweise festlegen, dass ein API-Aufruf nur ausgeführt wird, wenn ein Nutzer erfolgreich bei LDAP authentifiziert wurde. Optional können Sie dann nach erfolgreicher Authentifizierung DN-Attribute (Domain Name) für den Nutzer abrufen.

Weitere Informationen finden Sie unter:

• Verwalten der Standard-LDAP-Passwortrichtlinie für die API-Verwaltung
• "Important information about your password policy" (Wichtige Informationen zu Ihrer Passwortrichtlinie) in der Apigee-Community

Beispiele

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Elementverweis

Im Folgenden finden Sie Beschreibungen der Elemente und Attribute der LDAP-Richtlinie.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Verwendungshinweise

Mit Apigee Edge for Private Cloud können Sie einen LDAP-Anbieter in API-Aufrufen nutzen. Mit der LDAP Richtlinie können Anwendungen Anmeldedaten anhand von in LDAP gespeicherten Nutzern authentifizieren und Sie können Distinguished Names (DNs) aus LDAP abrufen. Das sind die Metadaten oder Attribute, die mit jedem Nutzer verknüpft sind, z. B. E‑Mail-Adresse, Adresse und Telefonnummer. Der zurückgegebene DN wird in einer Variablen gespeichert, die vom API-Proxy weiter verwendet werden kann.

LDAP-Ressource erstellen

Die LDAP-Richtlinie verwendet eine LDAP-Ressource, die Sie in Apigee Edge erstellen. Eine LDAP-Ressource enthält die Verbindungsinformationen zu Ihrem LDAP-Repository.

Verwenden Sie die folgende API und Nutzlast, um LDAP-Ressourcen zu erstellen und zu verwalten:

API

LDAP-Ressource erstellen (POST) oder alle LDAP-Ressourcen auflisten (GET):

/v1/organizations/org_name/environments/environment/ldapresources

Details für eine LDAP-Ressource abrufen (GET), aktualisieren (POST) und löschen (DELETE):

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Nutzlast

Im Folgenden finden Sie eine XML-Beispielnutzlast mit Verwendungshinweisen.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

curl-Beispiel: LDAP-Ressource erstellen

Im folgenden Beispiel wird eine LDAP-Ressource mit dem Namen ldap1 erstellt.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Antwortcodes

Im Folgenden finden Sie die HTML-Antwortcodes, die die Richtlinie bei Erfolg oder Fehler zurückgibt:

• Erfolg: 200
• Fehler: 401

Benutzerdefinierten LDAP-Anbieter in Edge for Private Cloud verwenden

Benutzerdefinierten LDAP-Anbieter verwenden

Apigee Edge for Private Cloud enthält einen LDAP-Anbieter, der bereits für die Interaktion mit der LDAP-Richtlinie konfiguriert ist. Wenn Sie jedoch einen benutzerdefinierten LDAP-Anbieter verwenden, müssen Sie ihn so konfigurieren, dass er die LDAP-Richtlinie unterstützt. Gehen Sie dazu so vor:

1. Implementieren Sie in Ihrer LDAP-Anbieterklasse die ExternalLdapConProvider-Schnittstelle.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. Fügen Sie in der <LdapConnectorClass> der Richtlinienkonfiguration (nächste Abschnitte) den voll qualifizierten Klassennamen Ihres benutzerdefinierten LDAP-Anbieters hinzu.
3. Laden Sie diese Datei herunter: custom-ldap.jar_.zip. Möglicherweise müssen Sie mit der rechten Maustaste klicken und Speichern unter auswählen.
4. Entpacken Sie die Datei.
5. Fügen Sie die Datei „custom-ldap.jar“ Ihrer Umgebung hinzu und achten Sie darauf, dass sie sich im Klassenpfad befindet.
6. Erstellen Sie eine Umgebungsressource für Ihren LDAP-Anbieter. Sie verwenden den Namen der Umgebungsressource im Element <LdapResource> der LDAP-Richtlinie.

UnboundID LDAP SDK für Java verwenden

Sie können das UnboundID LDAP SDK mit der LDAP-Richtlinie verwenden. Sie müssen jedoch zuerst Version 2.3.1 herunterladen und sie dem Klassenpfad jedes Nachrichtenprozessors hinzufügen.

So verwenden Sie das UnboundID LDAP SDK mit der LDAP-Richtlinie:

1. Öffnen Sie einen Browser und rufen Sie das Sourceforge-Dateirepository für das UnboundID LDAP SDK auf:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Suchen Sie nach Version 2.3.1 (SE oder Standard Edition) des SDK und laden Sie die ZIP-Datei für diese Version herunter. Laden Sie beispielsweise „unboundid-ldapsdk-2.3.1-se.zip“ herunter.
3. Extrahieren Sie die JAR-Datei aus der SDK-ZIP-Datei, wie im folgenden Beispiel gezeigt:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Mit diesem Befehl wird nur die JAR-Datei in das Verzeichnis „~/tmp“ extrahiert. Die Verzeichnisstruktur wird mit -j entfernt. Das ist jedoch optional.

4. Auf jedem Message Processor-Knoten:
   1. Kopieren Sie die JAR-Datei in das Verzeichnis /opt/apigee/edge-gateway/lib/thirdparty des Nachrichtenprozessors.
   2. Erteilen Sie dem Apigee-Nutzer bei Bedarf die Berechtigung für die JAR-Datei, damit der Nachrichtenprozessor darauf zugreifen kann.

   Edge fügt alle Drittanbieterbibliotheken im /opt/apigee/edge-gateway/lib/thirdparty Verzeichnis dem Klassenpfad hinzu.

   3. Starten Sie den Message Processor neu:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Ablaufvariablen

Im Folgenden finden Sie die LDAP-Richtlinienvariablen, die von einer SearchQuery ausgefüllt werden.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Fehlercodes

Von Edge-Richtlinien zurückgegebene Fehler folgen einem konsistenten Format, wie in der Fehlercode-Referenz beschrieben.

Für diese Richtlinie werden die folgenden Fehlercodes verwendet: