Chính sách LDAP

Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến Tài liệu về Apigee X. thông tin

Nội dung

Chính sách LDAP cung cấp:

• Xác thực: Thông tin xác thực của người dùng được cung cấp trong yêu cầu đã được xác thực với thông tin xác thực trong trình cung cấp LDAP. Chính sách LDAP cho phép bạn linh hoạt hơn với xác thực, cho phép bạn sử dụng bất kỳ giá trị DN nào cùng với mật khẩu, ngay cả khi giá trị DN đó mà mình muốn không có trong yêu cầu. Ví dụ: giả sử bạn cần sử dụng email / mật khẩu cho xác thực. Bạn có thể chọn các phương án sau:
  • Nếu email có trong yêu cầu, bạn chỉ cần sử dụng email đó với mật khẩu cho Giao thức truy cập thư mục hạng nhẹ (LDAP) xác thực.
  • Nếu email không có trong yêu cầu nhưng có một thuộc tính DN khác (chẳng hạn như số điện thoại), bạn có thể sử dụng số điện thoại để nhận email tương ứng từ Giao thức truy cập thư mục hạng nhẹ (LDAP), sau đó sử dụng email / để xác thực.
• Tìm kiếm tên phân biệt (DN): Ngoài phương pháp xác thực, bạn có thể bạn cũng có thể sử dụng Chính sách LDAP để xác định thuộc tính người dùng trong yêu cầu, chẳng hạn như email và thực hiện truy vấn để truy xuất các thuộc tính DN khác từ LDAP cho người dùng đó. DN được truy xuất là được lưu trữ trong biến.

Sử dụng chính sách LDAP khi quyền truy cập vào các tài nguyên được bảo vệ phải được giới hạn ở những người dùng trong LDAP nhà cung cấp—chẳng hạn như người dùng quản trị, người dùng tổ chức và nhà phát triển—đặc biệt khi Quyền truy cập vào mã thông báo OAuth là không cần thiết hoặc quá nặng. Chính sách này cũng được thiết kế để truy xuất siêu dữ liệu tên miền để sử dụng trong luồng proxy API.

Ví dụ: bạn có thể yêu cầu một lệnh gọi API chỉ thực thi khi người dùng được xác thực thành công chống lại LDAP; rồi truy xuất các thuộc tính DN (Tên miền) cho người dùng nếu muốn xác thực thành công.

Để biết thêm thông tin, hãy xem:

• Quản lý chính sách mật khẩu LDAP mặc định để quản lý API
• "Thông tin quan trọng về chính sách mật khẩu của bạn" trong Cộng đồng Apigee

Mẫu

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Tham chiếu phần tử

Sau đây là nội dung mô tả về các phần tử và thuộc tính của Chính sách LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Lưu ý về cách sử dụng

Apigee Edge dành cho Cloud riêng tư giúp bạn tận dụng nhà cung cấp LDAP trong các lệnh gọi API. Sử dụng Giao thức truy cập thư mục hạng nhẹ (LDAP) Chính sách, các ứng dụng có thể xác thực thông tin xác thực chống lại người dùng được lưu trữ trong LDAP và bạn có thể truy xuất tên phân biệt (DN) từ LDAP—siêu dữ liệu hoặc các thuộc tính được liên kết với từng người dùng, chẳng hạn như email, địa chỉ và số điện thoại. DN trả về được lưu trữ trong một biến cho để proxy API tiếp tục sử dụng.

Tạo tài nguyên LDAP

Chính sách LDAP sử dụng tài nguyên LDAP mà bạn tạo trong Apigee Edge. Tài nguyên LDAP cung cấp thông tin kết nối với kho lưu trữ LDAP.

Để tạo và quản lý các tài nguyên LDAP, hãy sử dụng API và tải trọng sau đây:

API

Tạo (POST) một danh sách hoặc tài nguyên LDAP (GET) tất cả các tài nguyên LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Xem thông tin chi tiết về (GET), Cập nhật (POST) và Xoá (DELETE) tài nguyên LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Dung lượng

Dưới đây là một tải trọng XML mẫu kèm theo nhận xét về việc sử dụng.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

ví dụ về curl: Tạo tài nguyên LDAP

Ví dụ sau đây sẽ tạo một tài nguyên LDAP có tên ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Mã phản hồi

Sau đây là các mã phản hồi HTML mà chính sách trả về cho trạng thái thành công hoặc không thành công:

• Thành công: 200
• Không thành công: 401

Sử dụng nhà cung cấp LDAP tuỳ chỉnh trong Edge cho Đám mây riêng tư

Sử dụng thuộc tính tuỳ chỉnh nhà cung cấp LDAP

Apigee Edge cho Cloud riêng tư đi kèm với một nhà cung cấp Giao thức truy cập thư mục hạng nhẹ (LDAP) đã được định cấu hình để tương tác với Chính sách LDAP. Tuy nhiên, nếu bạn đang sử dụng một nhà cung cấp LDAP tuỳ chỉnh, bạn phải bật nhà cung cấp hỗ trợ Chính sách LDAP. Để thực hiện việc này:

1. Trong lớp trình cung cấp LDAP, hãy triển khai giao diện ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. Trong <LdapConnectorClass> của phần cấu hình chính sách (các phần tiếp theo), hãy thêm tên lớp đủ điều kiện cho nhà cung cấp LDAP tuỳ chỉnh của bạn.
3. Tải tệp này xuống: custom-ldap.jar_.zip. (Bạn có thể phải nhấp chuột phải rồi chọn Lưu dưới dạng.)
4. Giải nén.
5. Thêm tệp custom-ldap.jar vào môi trường của bạn và đảm bảo rằng tệp này có trong classpath của bạn.
6. Tạo tài nguyên môi trường cho nhà cung cấp LDAP. Bạn sẽ sử dụng tài nguyên môi trường tên trong phần tử <LdapResource> của chính sách Giao thức truy cập thư mục hạng nhẹ (LDAP).

Sử dụng SDK LDAP không liên kết cho Java

Bạn có thể sử dụng SDK LDAP UnboundID cùng với chính sách LDAP, nhưng trước tiên bạn phải tải phiên bản xuống 2.3.1 và thêm vào từng đường dẫn lớp ( classpath) của Bộ xử lý tin nhắn.

Cách sử dụng SDK LDAP UnboundID bằng chính sách LDAP:

1. Mở trình duyệt và chuyển đến kho lưu trữ tệp Sourceforge cho SDK LDAP UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Tìm phiên bản 2.3.1 (SE hoặc Standard Edition) của SDK và tải tệp ZIP xuống cho phiên bản đó. Ví dụ: tải "unboundid-ldapsdk-2.3.1-se.zip".
3. Trích xuất tệp JAR từ tệp ZIP SDK, như trong ví dụ sau:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Lệnh này chỉ trích xuất tệp JAR vào thư mục ~/tmp. Thao tác này sẽ xoá thư mục cấu trúc với -j, mặc dù điều này là không bắt buộc.

4. Trên mỗi nút Trình xử lý thông báo:
   1. Sao chép tệp JAR vào thư của Trình xử lý thư Thư mục /opt/apigee/edge-gateway/lib/thirdparty.
   2. Nếu cần, hãy cấp quyền cho người dùng Apigee đối với tệp JAR để trình xử lý tin nhắn có thể truy cập vào tệp đó.

   Edge sẽ thêm tất cả thư viện của bên thứ ba vào Thư mục /opt/apigee/edge-gateway/lib/thirdparty vào đường dẫn lớp.

   3. Khởi động lại Trình xử lý thư:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Biến luồng

Sau đây là các biến Chính sách LDAP do SearchQuery điền sẵn.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Mã lỗi

Các lỗi do chính sách của Edge trả về sẽ có một định dạng nhất quán như mô tả trong phần Tài liệu tham khảo về mã lỗi.

Chính sách này sử dụng những mã lỗi sau: