Criterio LDAP

Stai visualizzando la documentazione di Apigee Edge.
Vai alla documentazione di Apigee X. informazioni

Cosa

Il criterio LDAP fornisce:

• Autenticazione: le credenziali utente fornite nella richiesta vengono convalidate in base alle credenziali del provider LDAP. Il criterio LDAP offre molta flessibilità nell'autenticazione, consentendo di utilizzare qualsiasi valore DN insieme alla password, anche se il valore DN desiderato non è incluso nella richiesta. Ad esempio, supponiamo che tu debba utilizzare email / password per l'autenticazione. Ecco le opzioni possibili:
  • Se l'indirizzo email è incluso nella richiesta, puoi semplicemente utilizzarlo con la password per l'autenticazione LDAP.
  • Se l'indirizzo email non è presente nella richiesta, ma un altro attributo DN è (ad esempio il numero di telefono), puoi utilizzare il numero di telefono per ricevere l'email corrispondente da LDAP e quindi utilizzare l'indirizzo email/password per l'autenticazione.
• Ricerca del nome distinto (DN): oltre all'autenticazione, puoi anche utilizzare il criterio LDAP per identificare un attributo utente nella richiesta, ad esempio email, ed eseguire una query che recupera altri attributi DN da LDAP per l'utente in questione. Il DN recuperato viene archiviato in una variabile.

Utilizza il criterio LDAP quando l'accesso alle risorse protette deve essere limitato agli utenti del tuo provider LDAP, ad esempio utenti amministratore, utenti dell'organizzazione e sviluppatori, soprattutto quando l'accesso al token OAuth non è necessario o è troppo pesante. Il criterio è progettato anche per recuperare i metadati dei nomi di dominio da utilizzare nei flussi del proxy API.

Ad esempio, puoi fare in modo che una chiamata API venga eseguita solo quando un utente viene autenticato con LDAP e, successivamente, recupera gli attributi DN (Domain Name) per l'utente dopo l'autenticazione.

Per ulteriori informazioni, consulta:

• Gestire i criteri predefiniti per le password LDAP per la gestione delle API
• "Informazioni importanti sui criteri relativi alle password" nella community di Apigee

Samples

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Riferimento elemento

Di seguito sono riportate le descrizioni degli elementi e degli attributi dei criteri LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Note sull'utilizzo

Apigee Edge per il cloud privato ti consente di utilizzare un provider LDAP nelle chiamate API. Con i criteri LDAP, le applicazioni possono autenticare le credenziali rispetto agli utenti archiviati in LDAP e tu puoi recuperare i nomi distinti (DN) da LDAP, ovvero i metadati o gli attributi associati a ciascun utente, come email, indirizzo e numero di telefono. Il DN restituito viene archiviato in una variabile per ulteriore utilizzo da parte del proxy API.

crea una risorsa LDAP

Il criterio LDAP utilizza una risorsa LDAP creata in Apigee Edge. Una risorsa LDAP fornisce le informazioni sulla connessione al repository LDAP.

Per creare e gestire le risorse LDAP, utilizza l'API e il payload seguenti:

API

Crea (POST) una risorsa LDAP o un elenco (GET) di tutte le risorse LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Ottieni i dettagli di (GET), aggiorna (POST) ed elimina (DELETE) una risorsa LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Payload

Di seguito è riportato un payload XML di esempio con commenti sull'utilizzo.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

Esempio di curl: creare una risorsa LDAP

L'esempio seguente crea una risorsa LDAP denominata ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Codici di risposta

Di seguito sono riportati i codici di risposta HTML restituiti dal criterio in caso di esito positivo o negativo:

• Operazione riuscita: 200
• Errore: 401

Utilizzo di un provider LDAP personalizzato in Edge per il cloud privato

Utilizzo di un provider LDAP personalizzato

Apigee Edge per il cloud privato viene fornito con un provider LDAP già configurato per l'interazione con il criterio LDAP. Tuttavia, se utilizzi un provider LDAP personalizzato, devi abilitare il provider in modo che supporti il criterio LDAP. Per farlo:

1. Nella classe del provider LDAP, implementa l'interfaccia ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. Nella sezione <LdapConnectorClass> della configurazione dei criteri (sezioni successive), aggiungi il nome completo della classe del provider LDAP personalizzato.
3. Scarica questo file: custom-ldap.jar_.zip. Potrebbe essere necessario fare clic con il tasto destro del mouse e selezionare Salva con nome.
4. Decomprimilo.
5. Aggiungi il file custom-ldap.jar al tuo ambiente e assicurati che sia incluso nel tuo classpath.
6. Crea una risorsa di ambiente per il tuo provider LDAP. Utilizzerai il nome della risorsa di ambiente nell'elemento <LdapResource> del criterio LDAP.

Utilizzo dell'SDK LDAP UnboundID per Java

Puoi utilizzare l'SDK LDAP UnboundID con il criterio LDAP, ma devi prima scaricare la versione 2.3.1 e aggiungerla a ciascun percorso di classe del processore di messaggi.

Per utilizzare l'SDK LDAP UnboundID con il criterio LDAP:

1. Apri un browser e vai al repository di file Sourceforge per l'SDK LDAP UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Trova la versione 2.3.1 (SE o Standard Edition) dell'SDK e scarica il file ZIP per quella versione. Ad esempio, scarica "unboundid-ldapsdk-2.3.1-se.zip".
3. Estrai il file JAR dal file ZIP dell'SDK, come illustrato nell'esempio seguente:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Questo comando estrae solo il file JAR nella directory ~/tmp. Elimina la struttura della directory con -j, anche se è facoltativo.

4. Su ciascun nodo del processore di messaggi:
   1. Copia il file JAR nella directory /opt/apigee/edge-gateway/lib/thirdparty del processore di messaggi.
   2. Se necessario, concedi l'autorizzazione utente Apigee per il file JAR in modo che il processore dei messaggi possa accedervi.

   Edge aggiunge tutte le librerie di terze parti nella directory /opt/apigee/edge-gateway/lib/thirdparty al classpath.

   3. Riavvia il processore di messaggi:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Variabili di flusso

Di seguito sono riportate le variabili dei criteri LDAP compilate da SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Codici di errore

Gli errori restituiti dai criteri perimetrali seguono un formato coerente, come descritto in Riferimento ai codici di errore.

Questo criterio utilizza i seguenti codici di errore: