Chính sách LDAP

Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến tài liệu về Apigee X. thông tin

Nội dung

Chính sách LDAP cung cấp:

• Xác thực: Thông tin xác thực của người dùng được cung cấp trong yêu cầu được xác thực theo thông tin xác thực của nhà cung cấp LDAP. Chính sách LDAP mang lại cho bạn tính linh hoạt cao trong việc xác thực, cho phép bạn sử dụng bất kỳ giá trị DN nào cùng với mật khẩu, ngay cả khi giá trị DN bạn muốn không có trong yêu cầu. Ví dụ: giả sử bạn cần sử dụng email / mật khẩu để xác thực. Bạn có thể sử dụng các lựa chọn sau:
  • Nếu email có trong yêu cầu, bạn chỉ cần sử dụng email đó với mật khẩu để xác thực LDAP.
  • Nếu email không có trong yêu cầu nhưng có một thuộc tính DN khác (chẳng hạn như số điện thoại), bạn có thể dùng số điện thoại này để nhận email tương ứng từ LDAP, sau đó dùng email/mật khẩu để xác thực.
• Tìm kiếm tên phân biệt (DN): Ngoài việc xác thực, bạn cũng có thể sử dụng Chính sách LDAP để xác định thuộc tính người dùng trong yêu cầu, chẳng hạn như email và thực hiện truy vấn để truy xuất các thuộc tính DN khác từ LDAP cho người dùng đó. DN được truy xuất được lưu trữ trong một biến.

Sử dụng Chính sách LDAP khi chỉ có quyền truy cập vào các tài nguyên được bảo vệ chỉ dành cho những người dùng trong nhà cung cấp LDAP – chẳng hạn như người dùng quản trị, người dùng trong tổ chức và nhà phát triển – đặc biệt khi quyền truy cập mã thông báo OAuth không cần thiết hoặc quá nặng. Chính sách này cũng được thiết kế cho việc truy xuất siêu dữ liệu tên miền để sử dụng trong các luồng proxy API.

Ví dụ: bạn có thể yêu cầu lệnh gọi API chỉ thực thi khi người dùng được xác thực thành công dựa trên LDAP; sau đó truy xuất các thuộc tính DN (Tên miền) cho người dùng sau khi xác thực thành công.

Để biết thêm thông tin, hãy xem:

• Quản lý chính sách mật khẩu LDAP mặc định để quản lý API
• "Thông tin quan trọng về chính sách mật khẩu của bạn" trong Cộng đồng API

Mẫu

<Ldap name="4GLdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <UserName ref="request.header.username"/>
       <Password ref="request.header.password"/>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
   <LdapResource>ldap1</LdapResource>
   <Authentication>
       <Password ref="request.header.password"/>
       <SearchQuery>mail={request.header.mail}</SearchQuery>
       <Scope>subtree</Scope>
       <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
    </Authentication>
 </Ldap>

<Ldap name="LdapPolicy">
    <!-- using a custom LDAP provider -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
    <LdapResource>MyLdap</LdapResource>
    <Search>
        <BaseDN ref="apigee.baseDN"></BaseDN> <!-- default is dc=apigee,dc=com -->
        <SearchQuery>mail={request.header.mail}</SearchQuery>
        <Attributes>
            <Attribute>address</Attribute>
            <Attribute>phone</Attribute>
            <Attribute>title</Attribute>
        </Attributes>
        <Scope></Scope> <!-- default is ‘subtree’ -->
    </Search>
</Ldap>

Tham chiếu phần tử

Sau đây là mô tả các phần tử và thuộc tính của Chính sách LDAP.

<Attributes>
  <Attribute>address</Attribute>
  <Attribute>phone</Attribute>
  <Attribute>title</Attribute>
</Attributes>

Lưu ý về cách sử dụng

Apigee Edge for Private Cloud cho phép bạn tận dụng nhà cung cấp LDAP trong các lệnh gọi API. Với Chính sách LDAP, ứng dụng có thể xác thực thông tin xác thực với người dùng được lưu trữ trong LDAP và bạn có thể truy xuất tên phân biệt (DN) từ LDAP – siêu dữ liệu hoặc thuộc tính liên kết với từng người dùng, chẳng hạn như email, địa chỉ và số điện thoại. DN được trả về sẽ được lưu trữ trong một biến để proxy API sử dụng thêm.

Tạo tài nguyên LDAP

Chính sách LDAP sử dụng một tài nguyên LDAP mà bạn tạo trong Apigee Edge. Tài nguyên LDAP cung cấp thông tin kết nối đến kho lưu trữ LDAP.

Để tạo và quản lý tài nguyên LDAP, hãy sử dụng API và tải trọng sau:

API

Tạo (POST) tài nguyên hoặc danh sách LDAP (GET) tất cả tài nguyên LDAP:

/v1/organizations/org_name/environments/environment/ldapresources

Nhận thông tin chi tiết về (GET), Cập nhật (POST) và Xoá (DELETE) một tài nguyên LDAP:

/v1/organizations/org_name/environments/environment/ldapresources/ldap_resource_name

Dung lượng

Dưới đây là tải trọng XML mẫu cùng với nhận xét về việc sử dụng.

<LdapResource name="ldap1">
  <Connection>
    <Hosts>
      <!-- port is optional: defaults to 389 for ldap:// and 636 for ldaps:// -->
      <Host port="636">foo.com</Host>
    </Hosts>
    <SSLEnabled>false</SSLEnabled> <!-- optional, defaults to false -->
    <Version>3</Version> <!-- optional, defaults to 3-->
    <Authentication>simple</Authentication> <!-- optional, only simple supported -->
    <ConnectionProvider>jndi|unboundid</ConnectionProvider> <!-- required -->
    <ServerSetType>single|round robin|failover</ServerSetType> <!-- not applicable for jndi -->
    <!-- If using a custom LDAP provider, the fully qualified class: -->
    <LdapConnectorClass>com.custom.ldap.MyProvider</LdapConnectorClass>
  </Connection>
  <ConnectPool enabled="true"> <!-- enabled is optional, defaults to true -->
    <Timeout>30000</Timeout> <!-- optional, in milliseconds; if not set, no timeout -->
    <Maxsize>50</Maxsize> <!-- optional; if not set, no max connections -->
    <Prefsize>30</Prefsize> <!-- optional; if not set, no pref size -->
    <Initsize></Initsize> <!-- optional; if not set, defaults to 1 -->
    <Protocol></Protocol> <!-- optional; if not set, defaults to 'ssl plain' -->
  </ConnectPool>
  <Admin>
    <DN>cn=manager,dc=apigee,dc=com</DN>
    <Password>secret</Password>
  </Admin>
</LdapResource>

ví dụ về curl: Tạo tài nguyên LDAP

Ví dụ sau đây tạo một tài nguyên LDAP có tên ldap1.

curl -X POST -H "Content-Type: application/xml" \
  https://api.enterprise.apigee.com/v1/organizations/myorg/environments/test/ldapresources \
  -u apigee_email:password -d \
  '<LdapResource name="ldap1">
    <Connection>
      <Hosts>
      <Host>foo.com</Host>
      </Hosts>
      <SSLEnabled>false</SSLEnabled>
      <Version>3</Version>
      <Authentication>simple</Authentication>
      <ConnectionProvider>unboundid</ConnectionProvider>
      <ServerSetType>round robin</ServerSetType>
    </Connection>
    <ConnectPool enabled="true">
      <Timeout>30000</Timeout>
      <Maxsize>50</Maxsize>
      <Prefsize>30</Prefsize>
      <Initsize></Initsize>
      <Protocol></Protocol>
    </ConnectPool>
    <Admin>
      <DN>cn=manager,dc=apigee,dc=com</DN>
      <Password>secret</Password>
    </Admin>
  </LdapResource>'

Mã phản hồi

Sau đây là các mã phản hồi HTML mà chính sách trả về khi thành công hoặc không thành công:

• Thành công: 200
• Không thành công: 401

Sử dụng nhà cung cấp LDAP tuỳ chỉnh trong Edge cho Đám mây riêng tư

Sử dụng nhà cung cấp LDAP tuỳ chỉnh

Apigee Edge for Private Cloud đi kèm với một nhà cung cấp LDAP đã được định cấu hình để tương tác với Chính sách LDAP. Tuy nhiên, nếu đang sử dụng nhà cung cấp LDAP tuỳ chỉnh, bạn phải bật nhà cung cấp này để hỗ trợ Chính sách LDAP. Để thực hiện việc này:

1. Trong lớp nhà cung cấp LDAP, hãy triển khai giao diện ExternalLdapConProvider.

   public interface ExternalLdapConProvider {
     void doAuthentication(LdapBean LlapBean, String userDN, String password, String baseDN);
   
     void doSearchAndAuthentication(LdapBean LlapBean, String password, String baseDN, String query, int scope);
   
     Collection<Map<String, String[]>> doSearch(LdapBean LlapBean, String query,
       String baseDN, Collection<String> requiredAttributes, int scope);
   
     void closeConnections();
   }

2. Trong <LdapConnectorClass> của cấu hình chính sách (các phần tiếp theo), hãy thêm tên lớp đủ điều kiện của nhà cung cấp LDAP tùy chỉnh của bạn.
3. Tải tệp này xuống: custom-ldap.jar_.zip. (Bạn có thể phải nhấp chuột phải rồi chọn Lưu dưới dạng.)
4. Giải nén.
5. Thêm tệp custom-ldap.jar vào môi trường của bạn và đảm bảo rằng tệp này nằm trong classpath.
6. Tạo tài nguyên môi trường cho nhà cung cấp LDAP. Bạn sẽ sử dụng tên tài nguyên môi trường trong phần tử <LdapResource> của chính sách LDAP.

Sử dụng SDK LDAP UnboundID cho Java

Bạn có thể sử dụng SDK LDAP UnboundID với chính sách LDAP, nhưng trước tiên, bạn phải tải xuống phiên bản 2.3.1 rồi thêm phiên bản này vào từng classpath của Bộ xử lý thông báo.

Cách sử dụng SDK LDAP UnboundID với chính sách LDAP:

1. Mở trình duyệt rồi chuyển đến kho lưu trữ tệp Sourceforge của SDK LDAP UnboundID:

   https://sourceforge.net/projects/ldap-sdk/files/

2. Tìm phiên bản 2.3.1 (SE hoặc Standard Edition) của SDK và tải tệp ZIP xuống cho phiên bản đó. Ví dụ: tải xuống "unboundid-ldapsdk-2.3.1-se.zip".
3. Trích xuất tệp JAR từ tệp ZIP của SDK như ví dụ sau:

   unzip -j -d ~/tmp ~/Downloads/unboundid-ldapsdk-2.3.1-se.zip unboundid-ldapsdk-2.3.1-se/unboundid-ldapsdk-se.jar

   Lệnh này chỉ trích xuất tệp JAR vào thư mục ~/tmp. Thao tác này sẽ bỏ cấu trúc thư mục bằng -j, mặc dù thao tác này là không bắt buộc.

4. Trên mỗi nút Bộ xử lý thông báo:
   1. Sao chép tệp JAR vào thư mục /opt/apigee/edge-gateway/lib/thirdparty của Trình xử lý thông báo.
   2. Nếu cần, hãy cấp cho người dùng Apigee quyền truy cập vào tệp JAR để trình xử lý thông báo có thể truy cập tệp đó.

   Edge thêm tất cả thư viện của bên thứ ba trong thư mục /opt/apigee/edge-gateway/lib/thirdparty vào classpath.

   3. Khởi động lại bộ xử lý thư:

      /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

Biến luồng

Sau đây là các biến Chính sách LDAP do SearchQuery điền sẵn.

ldap.policyName.execution.success

ldap.policyName.search.result[index].
  attribute.attrName[index]=value

ldap.policyName.search.result.attribute.address
ldap.policyName.search.result.attribute.phone
ldap.policyName.search.result.attribute.email

ldap.policyName.search.result[3].attribute.address

ldap.policyName.search.result.attribute.mail[2]

Mã lỗi

Lỗi được trả về từ chính sách Edge theo một định dạng nhất quán như mô tả trong Tài liệu tham khảo mã lỗi.

Chính sách này sử dụng những mã lỗi sau: