خط‌مشی LDAP

درحال مشاهده اسناد Apigee Edge هستید.
به اسناد Apigee X بروید. اطلاعات

چه

«خط‌مشی LDAP» موارد زیر را ارائه می‌دهد:

• اصالت‌سنجی: اطلاعات اعتباری کاربر که در درخواست ارائه شده است دربرابر اطلاعات اعتباری در فراهم‌کننده LDAP تأیید اعتبار می‌شود. خط‌مشی LDAP به شما انعطاف‌پذیری زیادی در اصالت‌سنجی می‌دهد و به شما امکان می‌دهد از هر مقدار DN همراه با گذرواژه استفاده کنید، حتی اگر آن مقدار DN موردنظر شما در درخواست نباشد. برای مثال، فرض کنید برای اصالت‌سنجی باید از ایمیل / گذرواژه استفاده کنید. گزینه‌های زیر امکان‌پذیر است:
  • اگر ایمیل در درخواست باشد، می‌توانید به‌سادگی از آن همراه با گذرواژه برای اصالت‌سنجی LDAP استفاده کنید.
  • اگر ایمیل در درخواست وجود ندارد، اما مشخصه DN دیگری وجود دارد (مثلاً شماره تلفن)، می‌توانید از شماره تلفن برای دریافت ایمیل مربوطه از LDAP استفاده کنید، سپس از ایمیل / گذرواژه برای اصالت‌سنجی استفاده کنید.
• جستجوی نام متمایز (DN): علاوه‌بر اصالت‌سنجی، می‌توانید از «خط‌مشی LDAP» نیز برای شناسایی مشخصه کاربر در درخواست، مثل ایمیل، استفاده کنید و پُرسمانی انجام دهید که مشخصه‌های DN دیگر را از LDAP برای آن کاربر بازیابی کند. ‫DN بازیابی‌شده در متغیری ذخیره می‌شود.

وقتی دسترسی به منابع محافظت‌شده باید به کاربران ارائه‌دهنده LDAP شما محدود شود، از «خط‌مشی LDAP» استفاده کنید—برای مثال، کاربران سرپرست، کاربران سازمان، و توسعه‌دهندگان—به‌ویژه وقتی دسترسی به ژتون OAuth یا غیرضروری است یا بیش‌ازحد سنگین است. این خط‌مشی همچنین برای بازیابی فراداده نام دامنه برای استفاده در جریان‌های پراکسی میانای برنامه‌سازی کاربردی طراحی شده است.

برای مثال، می‌توانید فراخوانی API را فقط زمانی اجرا کنید که کاربر دربرابر LDAP باموفقیت اصالت‌سنجی شود؛ و سپس به‌صورت اختیاری، پس‌از موفقیت‌آمیز بودن اصالت‌سنجی، مشخصه‌های DN (نام دامنه) را برای کاربر بازیابی کنید.

برای اطلاعات بیشتر، به اینجا مراجعه کنید:

• مدیریت خط‌مشی گذرواژه پیش‌فرض LDAP برای مدیریت میانای برنامه‌سازی کاربردی
• «اطلاعات مهم درباره خط‌مشی گذرواژه» در انجمن Apigee

نمونه‌ها

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

مرجع عنصر

در زیر شرح عناصر و مشخصه‌های «خط‌مشی LDAP» آمده است.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

یادداشت‌های استفاده

‫Apigee Edge for Private Cloud به شما امکان می‌دهد از ارائه‌دهنده LDAP در فراخوانی‌های API استفاده کنید. با «خط‌مشی LDAP»، برنامه‌ها می‌توانند اطلاعات اعتباری را دربرابر کاربران ذخیره‌شده در LDAP اصالت‌سنجی کنند و می‌توانید نام‌های متمایز (DN) را از LDAP بازیابی کنید—فراداده‌ها یا مشخصه‌های مرتبط با هر کاربر، مثل ایمیل، نشانی، و شماره تلفن. ‫DN برگشتی در متغیری برای استفاده بیشتر توسط پراکسی API ذخیره می‌شود.

ایجاد منبع LDAP

خط‌مشی LDAP از منبع LDAP که در Apigee Edge ایجاد می‌کنید استفاده می‌کند. منبع LDAP اطلاعات اتصال به مخزن LDAP شما را ارائه می‌دهد.

برای ایجاد و مدیریت منابع LDAP، از API و داده‌بار زیر استفاده کنید:

میانای برنامه‌سازی کاربردی

ایجاد (POST) منبع LDAP یا فهرست کردن (GET) همه منابع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

دریافت جزئیات (GET)، به‌روزرسانی (POST)، و حذف (DELETE) منبع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

پایه‌بار

در زیر نمونه‌ای از محتوای XML با نظرات استفاده آورده شده است.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

مثال curl: ایجاد منبع LDAP

مثال زیر منبع LDAP به‌نام ldap1 را ایجاد می‌کند.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

کدهای پاسخ

در زیر کدهای پاسخ HTML آورده شده است که خط‌مشی برای موفقیت یا عدم موفقیت برمی‌گرداند:

• موفقیت‌آمیز: ۲۰۰
• عدم موفقیت: ۴۰۱

استفاده از ارائه‌دهنده سفارشی LDAP در Edge برای «ابر خصوصی»

استفاده از ارائه‌دهنده سفارشی LDAP

‫Apigee Edge for Private Cloud با ارائه‌دهنده LDAP ارائه می‌شود که ازقبل برای تعامل با «خط‌مشی LDAP» پیکربندی شده است. بااین‌حال، اگر از ارائه‌دهنده LDAP سفارشی استفاده می‌کنید، باید ارائه‌دهنده را فعال کنید تا از «خط‌مشی LDAP» پشتیبانی کند. برای انجام این کار:

1. در کلاس ارائه‌دهنده LDAP، میانای ExternalLdapConProvider را پیاده‌سازی کنید.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. در <LdapConnectorClass> پیکربندی خط‌مشی (بخش‌های بعدی)، نام کلاس کاملاً واجدشرایط ارائه‌دهنده LDAP سفارشی‌تان را اضافه کنید.
3. این فایل را بارگیری کنید: custom-ldap.jar_.zip. (ممکن است لازم باشد کلیک راست کنید و ذخیره به‌عنوان را انتخاب کنید.)
4. آن را از حالت فشرده خارج کنید.
5. فایل custom-ldap.jar را به محیطتان اضافه کنید و مطمئن شوید که در مسیر کلاس شما قرار دارد.
6. برای ارائه‌دهنده LDAP خود، منبع محیط ایجاد کنید. از نام منبع محیط در عنصر <LdapResource> خط‌مشی LDAP استفاده خواهید کرد.

استفاده از UnboundID LDAP SDK برای Java

می‌توانید از «کیت توسعه نرم‌افزار UnboundID LDAP» با خط‌مشی LDAP استفاده کنید، اما ابتدا باید نسخه ۲.۳.۱ را بارگیری کنید و آن را به هریک از مسیرهای کلاس «پردازشگر پیام» اضافه کنید.

برای استفاده از UnboundID LDAP SDK با خط‌مشی LDAP:

1. مرورگری را باز کنید و به مخزن فایل Sourceforge برای UnboundID LDAP SDK پیمایش کنید:

   https://sourceforge.net/projects/ldap-sdk/files/

2. نسخه ۲.۳.۱ (SE یا نسخه استاندارد) کیت توسعه نرم‌افزار را پیدا کنید و فایل ZIP برای آن نسخه را بارگیری کنید. برای مثال، «unboundid-ldapsdk-2.3.1-se.zip» را بارگیری کنید.
3. فایل JAR را از فایل ZIP کیت توسعه نرم‌افزار استخراج کنید، همان‌طور که در مثال زیر نشان داده شده است:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   این فرمان فقط فایل JAR را در پوشه ‎~/tmp استخراج می‌کند. ساختار دایرکتوری را با -j حذف می‌کند، اگرچه این اختیاری است.

4. در هر گره «پردازشگر پیام»:
   1. فایل JAR را در /opt/apigee/edge-gateway/lib/thirdparty دایرکتوری «پردازشگر پیام» کپی کنید.
   2. درصورت لزوم، به کاربر Apigee اجازه دهید به فایل JAR دسترسی داشته باشد تا پردازشگر پیام بتواند به آن دسترسی پیدا کند.

   ‫Edge همه کتابخانه‌های طرف سوم را در دایرکتوری /opt/apigee/edge-gateway/lib/thirdparty به مسیر کلاس اضافه می‌کند.

   3. بازراه‌اندازی «پردازشگر پیام»:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

متغیرهای جریان

متغیرهای «خط‌مشی LDAP» که توسط SearchQuery تکمیل شده است در زیر آمده است.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

کدهای خطا

خطاهای برگشتی از خط‌مشی‌های Edge از قالب یکسانی که در مرجع کد خطا توضیح داده شده است پیروی می‌کنند.

این خط مشی از کدهای خطای زیر استفاده می کند: