Правила LDAP

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

Что

Правила LDAP позволяют:

• Аутентификация. Учетные данные пользователя, указанные в запросе, проверяются на соответствие учетным данным в поставщике LDAP. Правило LDAP предоставляет большую гибкость при аутентификации, позволяя использовать любое значение уникального имени вместе с паролем, даже если это значение уникального имени отсутствует в запросе. Например, вам нужно использовать для аутентификации адрес электронной почты и пароль. Возможны следующие варианты:
  • Если адрес электронной почты указан в запросе, вы можете использовать его вместе с паролем для аутентификации LDAP.
  • Если в запросе нет адреса электронной почты, но есть другой атрибут DN (например, номер телефона), вы можете использовать номер телефона, чтобы получить соответствующий адрес электронной почты из LDAP, а затем использовать адрес электронной почты и пароль для аутентификации.
• Поиск по уникальному имени (DN). Помимо аутентификации, вы можете использовать правила LDAP, чтобы определить атрибут пользователя в запросе, например адрес электронной почты, и выполнить запрос, который извлекает другие атрибуты DN из LDAP для этого пользователя. Извлеченное различающееся имя сохраняется в переменной.

Используйте правила LDAP, если доступ к защищенным ресурсам нужно ограничить пользователями поставщика LDAP, например администраторами, сотрудниками организации и разработчиками, особенно если доступ с помощью токена OAuth не нужен или слишком сложен. Правило также предназначено для получения метаданных доменного имени для использования в потоках прокси-сервера API.

Например, вы можете настроить выполнение вызова API только после успешной аутентификации пользователя в LDAP, а затем при необходимости получить атрибуты DN (доменного имени) для пользователя после успешной аутентификации.

Дополнительная информация:

• Как управлять правилами для паролей LDAP по умолчанию с помощью API
• "Важная информация о правилах в отношении паролей" в сообществе Apigee

Примеры

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Сведения об элементах

Ниже приведены описания элементов и атрибутов правил LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Примечания

Apigee Edge для частного облака позволяет использовать поставщика LDAP в вызовах API. С помощью правила LDAP приложения могут аутентифицировать учетные данные пользователей, хранящиеся в LDAP, а вы можете получать уникальные имена (DN) из LDAP – метаданные или атрибуты, связанные с каждым пользователем, например адрес электронной почты, адрес и номер телефона. Возвращенное различающееся имя хранится в переменной для дальнейшего использования прокси-сервером API.

Как создать ресурс LDAP

В политике LDAP используется ресурс LDAP, созданный в Apigee Edge. Ресурс LDAP содержит информацию о подключении к репозиторию LDAP.

Чтобы создать ресурсы LDAP и управлять ими, используйте следующие API и полезную нагрузку:

API

Чтобы создать ресурс LDAP (POST) или получить список всех ресурсов LDAP (GET), выполните следующие действия:

/v1/organizations/org_name/environments/environment/ldapresources

Чтобы получить подробную информацию о ресурсе LDAP, обновить его или удалить, нажмите на значок "Подробности" (GET), "Обновить" (POST) или "Удалить" (DELETE).

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Полезная нагрузка

Ниже приведен пример полезной нагрузки XML с комментариями по использованию.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

Пример curl: создание ресурса LDAP

В следующем примере создается ресурс LDAP с именем ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Коды ответов

Ниже приведены коды ответов HTML, которые возвращаются при успешном или неудачном выполнении правил:

• Успех: 200.
• Сбой: 401

Как использовать собственный поставщик LDAP в Edge для частного облака

Как использовать собственного поставщика LDAP

Apigee Edge для частного облака поставляется с поставщиком LDAP, который уже настроен на взаимодействие с правилами LDAP. Однако если вы используете настраиваемого поставщика LDAP, вам необходимо включить поддержку правила LDAP для него. Вот как это сделать:

1. В классе поставщика LDAP реализуйте интерфейс ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. В <LdapConnectorClass> конфигурации правил (см. следующие разделы) добавьте полное имя класса специального поставщика LDAP.
3. Скачайте файл custom-ldap.jar_.zip. (Возможно, вам потребуется нажать правой кнопкой мыши и выбрать Сохранить как.)
4. Распакуйте его.
5. Добавьте файл custom-ldap.jar в среду и убедитесь, что он находится в пути к классам.
6. Создайте ресурс среды для поставщика LDAP. Название ресурса среды будет использоваться в элементе <LdapResource> правила LDAP.

Использование UnboundID LDAP SDK для Java

Вы можете использовать UnboundID LDAP SDK с правилом LDAP, но сначала вам нужно скачать версию 2.3.1 и добавить ее в каждый путь к классам обработчика сообщений.

Чтобы использовать UnboundID LDAP SDK с правилами LDAP:

1. Откройте браузер и перейдите в репозиторий файлов Sourceforge для UnboundID LDAP SDK:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Найдите версию 2.3.1 (SE или Standard Edition) SDK и скачайте ZIP-файл для этой версии. Например, скачайте файл unboundid-ldapsdk-2.3.1-se.zip.
3. Извлеките JAR-файл из ZIP-файла SDK, как показано в следующем примере:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Эта команда извлекает только JAR-файл в каталог ~/tmp. Она удаляет структуру каталогов с помощью -j, хотя это необязательно.

4. На каждом узле Message Processor:
   1. Скопируйте JAR-файл в каталог /opt/apigee/edge-gateway/lib/thirdparty процессора сообщений.
   2. При необходимости предоставьте пользователю Apigee разрешение на доступ к JAR-файлу, чтобы процессор сообщений мог его использовать.

   Edge добавляет все сторонние библиотеки в каталоге /opt/apigee/edge-gateway/lib/thirdparty в путь к классам.

   3. Перезапустите Message Processor:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Переменные процесса

Ниже перечислены переменные правил LDAP, заполняемые SearchQuery.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Коды ошибок

Ошибки, возвращаемые правилами Edge, имеют единый формат, описанный в справочнике кодов ошибок.

Эта политика использует следующие коды ошибок: