خط مشی LDAP

شما در حال مشاهده اسناد Apigee Edge هستید.
به مستندات Apigee X بروید . اطلاعات

چی

خط مشی LDAP ارائه می دهد:

• احراز هویت : اعتبارنامه های کاربر ارائه شده در درخواست در برابر اعتبارنامه های ارائه دهنده LDAP تأیید می شود. خط‌مشی LDAP انعطاف‌پذیری زیادی با احراز هویت به شما می‌دهد و به شما امکان می‌دهد از هر مقدار DN همراه با رمز عبور استفاده کنید، حتی اگر مقدار DN مورد نظر در درخواست نباشد. به عنوان مثال، بگویید که باید از ایمیل / رمز عبور برای احراز هویت استفاده کنید. گزینه های زیر ممکن است:
  • اگر ایمیل در درخواست وجود دارد، می توانید به سادگی از آن با رمز عبور برای احراز هویت LDAP استفاده کنید.
  • اگر ایمیل در درخواست نیست، اما ویژگی DN دیگری است (مانند شماره تلفن)، می‌توانید از شماره تلفن برای دریافت ایمیل مربوطه از LDAP استفاده کنید، سپس از ایمیل / رمز عبور برای احراز هویت استفاده کنید.
• جستجوی نام متمایز (DN) : علاوه بر احراز هویت، می‌توانید از خط‌مشی LDAP برای شناسایی یک ویژگی کاربر در درخواست، مانند ایمیل، استفاده کنید و پرس و جوی انجام دهید که سایر ویژگی‌های DN را از LDAP برای آن کاربر بازیابی کند. DN بازیابی شده در یک متغیر ذخیره می شود.

از خط‌مشی LDAP زمانی استفاده کنید که دسترسی به منابع محافظت‌شده باید محدود به کاربران ارائه‌دهنده LDAP شما باشد - مانند کاربران سرپرست، کاربران سازمان و توسعه‌دهندگان - به‌ویژه زمانی که دسترسی توکن OAuth غیرضروری یا بسیار سنگین باشد. این خط‌مشی همچنین برای بازیابی فراداده نام دامنه برای استفاده در جریان‌های پروکسی API طراحی شده است.

به عنوان مثال، شما می توانید یک فراخوانی API را تنها زمانی اجرا کنید که یک کاربر با موفقیت در برابر LDAP احراز هویت شود. و سپس به صورت اختیاری ویژگی های DN (نام دامنه) را برای کاربر پس از موفقیت در احراز هویت بازیابی کنید.

برای اطلاعات بیشتر، نگاه کنید به:

• مدیریت خط مشی رمز عبور پیش فرض LDAP برای مدیریت API
• " اطلاعات مهم در مورد خط مشی رمز عبور " در انجمن Apigee

نمونه ها

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

مرجع عنصر

در زیر توضیحاتی در مورد عناصر و ویژگی های خط مشی LDAP ارائه شده است.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

نکات استفاده

Apigee Edge for Private Cloud به شما امکان می دهد از یک ارائه دهنده LDAP در تماس های API استفاده کنید. با خط‌مشی LDAP، برنامه‌ها می‌توانند اعتبارنامه‌ها را در برابر کاربران ذخیره‌شده در LDAP احراز هویت کنند، و می‌توانید نام‌های متمایز (DN) را از LDAP بازیابی کنید - فراداده یا ویژگی‌های مرتبط با هر کاربر، مانند ایمیل، آدرس و شماره تلفن. DN برگشتی در یک متغیر برای استفاده بیشتر توسط پراکسی API ذخیره می شود.

یک منبع LDAP ایجاد کنید

خط مشی LDAP از یک منبع LDAP استفاده می کند که در Apigee Edge ایجاد می کنید. یک منبع LDAP اطلاعات اتصال به مخزن LDAP شما را فراهم می کند.

برای ایجاد و مدیریت منابع LDAP، از API و payload زیر استفاده کنید:

API

ایجاد ( POST ) یک منبع LDAP یا فهرست ( GET ) همه منابع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

دریافت جزئیات برای ( GET )، به روز رسانی ( POST ) و حذف ( DELETE ) یک منبع LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

بار

در زیر نمونه ای از محموله XML همراه با نظرات استفاده آمده است.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

مثال curl: یک منبع LDAP ایجاد کنید

مثال زیر یک منبع LDAP به نام ldap1 ایجاد می کند.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

کدهای پاسخگویی

کدهای پاسخ HTML که خط مشی برای موفقیت یا شکست برمی گرداند در زیر آمده است:

• موفقیت : 200
• شکست : 401

استفاده از یک ارائه دهنده LDAP سفارشی در Edge برای Private Cloud

با استفاده از یک ارائه دهنده LDAP سفارشی

Apigee Edge for Private Cloud دارای یک ارائه دهنده LDAP است که از قبل برای تعامل با خط مشی LDAP پیکربندی شده است. با این حال، اگر از یک ارائه دهنده LDAP سفارشی استفاده می کنید، باید ارائه دهنده را فعال کنید تا از خط مشی LDAP پشتیبانی کند. برای انجام این کار:

1. در کلاس ارائه دهنده LDAP خود، رابط ExternalLdapConProvider را پیاده سازی کنید.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. در <LdapConnectorClass> پیکربندی خط مشی (بخش های بعدی)، نام کلاس کاملاً واجد شرایط ارائه دهنده LDAP سفارشی خود را اضافه کنید.
3. این فایل را دانلود کنید: custom-ldap.jar_.zip . (شاید مجبور باشید کلیک راست کرده و Save As را انتخاب کنید.)
4. آن را از حالت فشرده خارج کنید.
5. فایل custom-ldap.jar را به محیط خود اضافه کنید و مطمئن شوید که در مسیر کلاس شما قرار دارد.
6. یک منبع محیطی برای ارائه دهنده LDAP خود ایجاد کنید. شما از نام منبع محیطی در عنصر <LdapResource> خط مشی LDAP استفاده خواهید کرد.

استفاده از UnboundID LDAP SDK برای جاوا

می توانید از UnboundID LDAP SDK با خط مشی LDAP استفاده کنید، اما ابتدا باید نسخه 2.3.1 را دانلود کرده و آن را به هر یک از مسیرهای کلاس پردازشگر پیام خود اضافه کنید.

برای استفاده از UnboundID LDAP SDK با خط مشی LDAP:

1. یک مرورگر باز کنید و به مخزن فایل Sourceforge برای UnboundID LDAP SDK بروید:

   https://sourceforge.net/projects/ldap-sdk/files/

2. نسخه 2.3.1 (SE یا نسخه استاندارد ) SDK را پیدا کنید و فایل ZIP آن نسخه را دانلود کنید. به عنوان مثال، "unboundid-ldapsdk-2.3.1-se.zip" را دانلود کنید.
3. همانطور که در مثال زیر نشان داده شده است، فایل JAR را از فایل SDK ZIP استخراج کنید:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   این دستور فقط فایل JAR را به دایرکتوری ~/tmp استخراج می کند. ساختار دایرکتوری را با -j حذف می کند، اگرچه این اختیاری است.

4. در هر گره پردازشگر پیام:
   1. فایل JAR را در /opt/apigee/edge-gateway/lib/thirdparty پردازنده پیام کپی کنید.
   2. در صورت لزوم، به کاربر Apigee در مورد فایل JAR اجازه دهید تا پردازشگر پیام بتواند به آن دسترسی داشته باشد.

   Edge تمام کتابخانه های شخص ثالث را در پوشه /opt/apigee/edge-gateway/lib/thirdparty به مسیر کلاس اضافه می کند.

   3. پردازشگر پیام را مجددا راه اندازی کنید:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

متغیرهای جریان

در زیر متغیرهای خط مشی LDAP هستند که توسط یک SearchQuery پر شده اند.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

کدهای خطا

خطاهایی که از خط‌مشی‌های Edge برگردانده می‌شوند از یک قالب ثابت پیروی می‌کنند که در مرجع کد خطا توضیح داده شده است.

این خط مشی از کدهای خطای زیر استفاده می کند: