Política de LDAP

Estás viendo la documentación de Apigee Edge.
Ve a la Documentación de Apigee X. información

Qué

La política de LDAP proporciona lo siguiente:

• Autenticación: Se validan las credenciales de usuario proporcionadas en la solicitud. con las credenciales del proveedor de LDAP. La política de LDAP te brinda mucha flexibilidad con autenticación, lo que te permite usar cualquier valor DN junto con la contraseña, incluso si ese valor DN que deseas no está en la solicitud. Por ejemplo, digamos que necesitas usar correo electrónico / contraseña para autenticación. Las siguientes opciones son posibles:
  • Si el correo electrónico está en la solicitud, puede usarlo con la contraseña de LDAP. autenticación.
  • Si el correo electrónico no se incluye en la solicitud, pero sí otro atributo DN (como el número de teléfono), puedes usar el número de teléfono para obtener el correo electrónico correspondiente de LDAP y, luego, usar las para autenticarse.
• Búsqueda de nombre distinguido (DN): Además de la autenticación, puedes usar la política LDAP para identificar un atributo de usuario en la solicitud, como el correo electrónico, y realizar una consulta que recupere otros atributos de DN de LDAP para ese usuario. El DN recuperado es se almacenan en una variable.

Usa la política de LDAP cuando el acceso a los recursos protegidos esté limitado a los usuarios de tu LDAP de servicios en la nube, como los usuarios administradores, los usuarios de la organización y los desarrolladores, El acceso al token de OAuth es innecesario o demasiado pesado. La política también está diseñada recuperar metadatos de nombres de dominio para usarlos en flujos de proxy de API

Por ejemplo, puedes hacer que solo se ejecute una llamada a la API cuando un usuario se autenticó correctamente con LDAP; y, de manera opcional, recuperar atributos DN (Nombre de dominio) para el usuario la autenticación de forma correcta.

Para obtener información adicional, consulta:

• Gestionar la política de contraseñas de LDAP predeterminada para la administración de API
• "Información importante sobre tu política de contraseñas" en la Comunidad de Apigee

Ejemplos

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Referencia del elemento

A continuación, se encuentran las descripciones de los elementos y atributos de la política de LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Notas de uso

Apigee Edge para la nube privada te permite aprovechar un proveedor de LDAP en las llamadas a la API. Con el LDAP política, las aplicaciones pueden autenticar credenciales contra usuarios almacenados en LDAP, y tú puedes recuperar nombres distinguidos (DN) de LDAP: los metadatos, o atributos, asociados cada usuario, como correo electrónico, dirección y número de teléfono. El DN devuelto se almacena en una variable el proxy de API puede seguir usándolo.

Crea un recurso de LDAP

La política de LDAP aprovecha un recurso de LDAP que se crea en Apigee Edge. Un recurso de LDAP proporciona la información de conexión a tu repositorio LDAP.

Para crear y administrar recursos LDAP, usa la siguiente API y carga útil:

API

Crea (POST) un recurso de LDAP o enumera (GET) todos los recursos de LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Obtén detalles sobre (GET), actualiza (POST) y borra (DELETE) un recurso de LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Carga útil

A continuación, se muestra un ejemplo de carga útil de XML con comentarios de uso.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

Ejemplo de curl: Crea un recurso de LDAP

En el siguiente ejemplo, se crea un recurso LDAP llamado ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Códigos de respuesta

A continuación, se detallan los códigos de respuesta HTML que la política muestra para su ejecución correcta o incorrecta:

• Listo: 200
• Error: 401

Usa un proveedor de LDAP personalizado en Edge para la nube privada

Uso de un producto Proveedor de LDAP

Apigee Edge para la nube privada incluye un proveedor de LDAP que ya está configurado para interactuar con la política de LDAP. Sin embargo, si usas un proveedor de LDAP personalizado, debes habilitar al proveedor para que admita la política de LDAP. Para ello, sigue estos pasos:

1. En tu clase de proveedor de LDAP, implementa la interfaz ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. En el <LdapConnectorClass> de la configuración de la política (siguientes secciones), agregar el nombre de clase completamente calificado de tu proveedor de LDAP personalizado.
3. Descarga este archivo: custom-ldap.jar_.zip. (es posible que debas hacer clic con el botón derecho y seleccionar Guardar como).
4. Descomprímelo.
5. Agrega el archivo custom-ldap.jar a tu entorno y asegúrate de que esté en tu ruta de clase.
6. Crea un recurso de entorno para tu proveedor de LDAP. Usarás la herramienta de entorno en el elemento <LdapResource> de la política de LDAP.

Con el SDK de LDAP de UnboundID para Java

Puedes usar el SDK de LDAP UnboundID con la política de LDAP, pero primero debes descargar la versión 2.3.1 y agregarlo a cada una de las rutas de clase de Message Processor.

Para usar el SDK de LDAP UnboundID con la política de LDAP, sigue estos pasos:

1. Abre un navegador y navega al repositorio de archivos de Sourceforge para el SDK de LDAP de UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Busca la versión 2.3.1 (SE o Standard Edition) del SDK y descarga el archivo ZIP para esa versión. Por ejemplo, descarga “unboundid-ldapsdk-2.3.1-se.zip”.
3. Extrae el archivo JAR del archivo ZIP del SDK, como se muestra en el siguiente ejemplo:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Este comando extrae solo el archivo JAR en el directorio ~/tmp. Quita el directorio con -j, aunque esto es opcional.

4. En cada nodo de Message Processor:
   1. Copia el archivo JAR a Message Processor /opt/apigee/edge-gateway/lib/thirdparty.
   2. Si es necesario, otórgale permiso al usuario de Apigee en el archivo JAR para que el procesador de mensajes pueda acceder a él.

   Edge agrega todas las bibliotecas de terceros /opt/apigee/edge-gateway/lib/thirdparty a la ruta de clase.

   3. Reinicia el procesador de mensajes:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Variables de flujo

A continuación, se muestran las variables de la política de LDAP que propaga un SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Códigos de error

Los errores que muestran las políticas de Edge tienen un formato coherente, como se describe en la Referencia de código de error.

Esta política usa los siguientes códigos de error: