מדיניות LDAP

אתם צופים במסמכי התיעוד של Apigee Edge.
אפשר לעבור אל מסמכי התיעוד של Apigee X. מידע

מה

מדיניות ה-LDAP מספקת:

• אימות: פרטי הכניסה של המשתמש שסופקו בבקשה מאומתים מול פרטי הכניסה בספק ה-LDAP. מדיניות LDAP מאפשרת גמישות רבה באימות, ונותנת לכם אפשרות להשתמש בכל ערך DN יחד עם הסיסמה, גם אם ערך ה-DN שבו אתם רוצים להשתמש לא מופיע בבקשה. לדוגמה, נניח שאתם צריכים להשתמש באימייל ובסיסמה לאימות. אלה האפשרויות האפשריות:
  • אם כתובת האימייל מופיעה בבקשה, אפשר פשוט להשתמש בה עם הסיסמה לאימות LDAP.
  • אם כתובת האימייל לא מופיעה בבקשה, אבל מאפיין אחר של DN כן (כמו מספר טלפון), אפשר להשתמש במספר הטלפון כדי לקבל את כתובת האימייל התואמת מ-LDAP, ואז להשתמש בכתובת האימייל ובסיסמה כדי לבצע אימות.
• חיפוש שם ייחודי (DN): בנוסף לאימות, אפשר גם להשתמש במדיניות LDAP כדי לזהות מאפיין משתמש בבקשה, כמו כתובת אימייל, ולבצע שאילתה שמחזירה מאפייני DN אחרים מ-LDAP עבור אותו משתמש. ה-DN שאוחזר מאוחסן במשתנה.

משתמשים במדיניות LDAP כשרוצים להגביל את הגישה למשאבים מוגנים למשתמשים בספק LDAP – כמו משתמשי אדמין, משתמשים בארגון ומפתחים – במיוחד כשגישה באמצעות טוקן OAuth לא נחוצה או שהיא מסורבלת מדי. המדיניות מיועדת גם לאחזור מטא-נתונים של שם הדומיין לשימוש בתהליכי עבודה של שרתי proxy ל-API.

לדוגמה, אפשר להגדיר שקריאה ל-API תתבצע רק אחרי שהמשתמש יעבור אימות ב-LDAP, ואז לאחזר מאפייני DN (שם דומיין) של המשתמש אחרי שהאימות יצליח.

מידע נוסף זמין במאמרים הבאים:

• ניהול מדיניות ברירת המחדל של סיסמאות LDAP לניהול API
• ‫Important information about your password policy ב-Apigee Community

דוגמאות

<Ldap name="4GLdapPo>licy<"
   Ld>apRes<ourceldap1/Ld>apRe<source
   Auth>enticati<on
       UserName ref="request.he>ader.use<rname"/
       Password ref=">request.<heade>r.passw<ord&qu>ot;/
   <    Scopesubtree/Scope
   ><    Bas>e<DN ref="apigee.baseDN"/B>aseDN< !-- default is> d<c=api>gee,dc=com --
    /Authentication
 /Ldap

<Ldap name="LdapPo>licy<"
   Ld>apRes<ourceldap1/Ld>apRe<source
   Auth>enticati<on
       Password ref="request.he>ader.pas<sword">/
       SearchQuerymail={<request.head>er.mail}</Sear>chQuery<
     >  Scopes<ubtree/Scope
       BaseDN>< ref=&q>u<ot;apigee.baseDN"/BaseDN !-- >defau<lt is dc=apigee>,d<c=com> --
    /Authentication
 /Ldap

<Ldap name="LdapPo>licy&<quot;
    !-- using a custom LDAP p>rovid<er --
    LdapConn>ectorClasscom.custom.ldap.<MyProvider/LdapConn>ector<Class
    Ld>apReso<urceMyLdap/Ld>apRes<ource<>/span>
    Searc<h
        BaseDN ref="><;apigee>.<baseDN"/BaseDN !-- default is> dc=apige<e,dc=com -->
        SearchQuerymail={<request.head>er.mail}/<SearchQuer>y
        Att<ributes
 >       <    Attrib>uteaddress/At<tribute
 >     <      Attr>ibutephone/At<tribute
 >     <      Attr>ibutetitl<e/Attribute>
        </Attr><ibutes>
<        Scope/S‘cope !-’- d>efaul<t is su>b<tree >--
    /Search
/Ldap

הפניה לרכיב

בהמשך מופיעים תיאורים של רכיבי המדיניות ומאפייני המדיניות של LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

הערות שימוש

‫Apigee Edge for Private Cloud מאפשר לכם להשתמש בספק LDAP בקריאות ל-API. בעזרת מדיניות LDAP, אפליקציות יכולות לאמת פרטי כניסה מול משתמשים שמאוחסנים ב-LDAP, ואפשר לאחזר שמות ייחודיים (DN) מ-LDAP – המטא-נתונים או המאפיינים שמשויכים לכל משתמש, כמו כתובת אימייל, כתובת ומספר טלפון. ה-DN שמוחזר מאוחסן במשתנה לשימוש נוסף על ידי ה-API proxy.

יצירה של משאב LDAP

מדיניות ה-LDAP מתבססת על משאב LDAP שיוצרים ב-Apigee Edge. משאב LDAP מספק את פרטי החיבור למאגר LDAP.

כדי ליצור ולנהל משאבי LDAP, משתמשים בממשק ה-API ובמטען הייעודי (payload) הבאים:

API

ליצור (POST) משאב LDAP או להציג רשימה (GET) של כל משאבי ה-LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

קבלת פרטים על (GET), עדכון (POST) ומחיקה (DELETE) של משאב LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

מטען ייעודי

בהמשך מופיע מטען ייעודי (payload) לדוגמה בפורמט XML עם הערות לגבי השימוש.

<LdapResource name="l>dap<1"
  >Conne<ction>
    Ho<sts
      !-- port is optional: defaults to 389 for ldap:// and 636 for l>daps://< --
      Host >port=&q<uot;6>36&qu<ot;foo>.com/<Host
    />Hosts<
    SSLEna>b<ledfalse/SSLEnabled !-- optional, >defau<lts to >f<alse --
> <   Version3/Version !-- optio>nal, <defaults to 3->-
    <Authentications>i<mple/Authentication !-- optional, only> simp<le supported --
  >  ConnectionPr<oviderjndi|unboundi>d</ConnectionProv>ider <!-- required >--
    ServerSetTypesingle|<round robin|fa>i<lover/ServerSetType !-- not ap>plica<ble for jndi --
    !-- If using a custom LDAP provider, the fully> qual<ified class: --
  >  LdapConnectorClasscom.cu<stom.ldap.MyProvide>r/L<dapConnecto>rCl<ass
  /Connection
  Connec>t<Pool enabled="true" !-- enabled is> opti<onal, d>efaul<ts to tr>u<e --
    Timeout30000/Timeout !-- optional, in milliseco>nds; <if not >se<t, no ti>m<eout --
    Maxsize50/Maxsize !-- optional; if >not s<et, no m>ax< connecti>o<ns --
    Prefsize30/Prefsize !-- optiona>l; if< not set><, no pref> <size --
    Initsize/Initsize !-- optional>; if <not set,>< defaults> <to 1 --
    Protocol/Protocol !-- optional; if not s>et,< defaults to> &#<39;ss>l pla<in>' --
  /ConnectPool
  A<dmi>n
   < DNcn=ma>nager,<dc=apigee>,dc<=com/D>N<
    Password>secret/Password
  /Admin
/LdapResource

דוגמה ל-curl: יצירת משאב LDAP

בדוגמה הבאה נוצר משאב LDAP בשם ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:passwor<d -d \
  'LdapResourc>e nam<e="ld>ap1&quo<t;
  >  Conne<ctio>n
     < Host>s
     < Hostf>oo.com/<Host
     > /Hos<ts
      SS>LEnable<dfalse/>S<SLEnable>d
     < Version3/Vers>ion
  <    Authenticat>ionsimp<le/Authentication
>      Con<nectionProviderunbo>undid/C<onnectionProv>ider
      <ServerSetTyper>ound <robin/Serve>rSetT<ype
    /Connection
    Co>nnectPo<ol enab>led=&<quot;tru>e"<
      >Ti<meout300>00/Time<out
    >  <Maxsize50>/Maxsiz<e
      ><Prefsize3>0/Prefs<ize
    ><  Initsiz>e/Ini<tsize
      >Proto<col/P>rotocol<
 >   /ConnectPool
    Admin
 <   >  DNcn=<manager,>dc=api<gee,dc=co>m/DN
<      >Pas<swordsecret/P>assword
    /Admin
  /LdapResource'

קודי תגובה

אלה קודי התגובה של ה-HTML שהמדיניות מחזירה להצלחה או לכישלון:

• Success: 200
• Failure: 401

שימוש בספק LDAP מותאם אישית ב-Edge for Private Cloud

שימוש בספק LDAP מותאם אישית

‫Apigee Edge for Private Cloud מגיע עם ספק LDAP שכבר מוגדר לאינטראקציה עם מדיניות LDAP. עם זאת, אם אתם משתמשים בספק LDAP בהתאמה אישית, אתם צריכים להפעיל את הספק כדי לתמוך במדיניות LDAP. לשם כך:

1. במחלקה של ספק ה-LDAP, מטמיעים את הממשק ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. ב<LdapConnectorClass> של הגדרת המדיניות (בקטעים הבאים), מוסיפים את שם המחלקה המלא של ספק ה-LDAP המותאם אישית.
3. מורידים את הקובץ custom-ldap.jar_.zip. (יכול להיות שתצטרכו ללחוץ לחיצה ימנית ולבחור באפשרות שמירה בשם).
4. מבטלים את הדחיסה.
5. מוסיפים את הקובץ custom-ldap.jar לסביבה ומוודאים שהוא נמצא בנתיב המחלקה.
6. יוצרים משאב סביבה עבור ספק ה-LDAP. תשתמשו בשם של משאב הסביבה ברכיב <LdapResource> של מדיניות ה-LDAP.

שימוש ב-UnboundID LDAP SDK for Java

אפשר להשתמש ב-UnboundID LDAP SDK עם מדיניות LDAP, אבל קודם צריך להוריד את גרסה 2.3.1 ולהוסיף אותה לכל נתיבי המחלקות של מעבד ההודעות.

כדי להשתמש ב-UnboundID LDAP SDK עם מדיניות LDAP:

1. פותחים דפדפן ועוברים למאגר הקבצים של Sourceforge עבור UnboundID LDAP SDK:

   https://sourceforge.net/projects/ldap-sdk/files/

2. מחפשים את גרסה 2.3.1 (SE או Standard Edition) של ה-SDK ומורידים את קובץ ה-ZIP של הגרסה הזו. לדוגמה, מורידים את הקובץ unboundid-ldapsdk-2.3.1-se.zip.
3. מחלצים את קובץ ה-JAR מקובץ ה-ZIP של ה-SDK, כמו בדוגמה הבאה:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   הפקודה הזו מחלצת רק את קובץ ה-JAR לספרייה ‎~/tmp. היא משמיטה את מבנה הספרייה עם -j, אבל זה אופציונלי.

4. בכל צומת של מעבד בקשות:
   1. מעתיקים את קובץ ה-JAR לספרייה /opt/apigee/edge-gateway/lib/thirdparty של Message Processor.
   2. אם צריך, נותנים למשתמש Apigee הרשאה בקובץ ה-JAR כדי שמעבד ההודעות יוכל לגשת אליו.

   דפדפן Edge מוסיף את כל הספריות של צד שלישי בספרייה /opt/apigee/edge-gateway/lib/thirdparty לנתיב המחלקה.

   3. מפעילים מחדש את מעבד ההודעות:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

משתני תהליך

בהמשך מפורטים משתני מדיניות LDAP שאוכלסו על ידי SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

קודי שגיאה

השגיאות שמוחזרות ממדיניות Edge הן בפורמט עקבי, כפי שמתואר בהפניה לקודי שגיאה.

המדיניות הזו משתמשת בקודי השגיאה הבאים: