SAML'yi (Beta) etkinleştir

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Bu bölümde, kuruluşunuzdaki üyelerin kimlik doğrulamasının kendi kimlik hizmetinize devredilebilmesi için Apigee Edge'de SAML'nin nasıl etkinleştirileceği açıklanmaktadır. Edge'de SAML ve kimlik bölgesi yönetimine genel bakış için SAML'ye genel bakış başlıklı makaleyi inceleyin.

Video: SAML kullanarak tek oturum açma (TOA) özelliğini etkinleştirmeden önce ve sonra Apigee Edge API'lerine nasıl erişeceğinizi öğrenmek için kısa bir video izleyin.

Bölge yöneticisi rolü hakkında

Edge'de kimlik bölgelerini yönetmek için zoneadmin olmanız gerekir. zoneadmin rolü, yalnızca kimlik bölgelerini yönetmek için tam CRUD prosedürleri sağlar.

zoneadmin rolünün Apigee Edge hesabınıza atanması için Apigee Edge Destek Ekibi ile iletişime geçin.

Başlamadan önce

Başlamadan önce üçüncü taraf SAML kimlik sağlayıcınızdan aşağıdaki bilgileri edinin:

  • İmza doğrulama sertifikası (PEM veya PKCSS biçiminde). Gerekirse x509 sertifikasını PEM biçimine dönüştürün.

  • Yapılandırma bilgileri (aşağıdaki tabloda tanımlanmıştır)

    Yapılandırma Açıklama
    Oturum açma URL'si Kullanıcıların SAML kimlik sağlayıcıda oturum açmak için yönlendirildiği URL.
    Oturum kapatma URL'si Kullanıcıların SAML kimlik sağlayıcıdan çıkış yapmak için yönlendirildiği URL.
    IDP varlık kimliği Bu kimlik sağlayıcının benzersiz URL'si. Örneğin: https://idp.example.com/saml

Ayrıca, üçüncü taraf SAML kimlik sağlayıcınızı aşağıdaki ayarlarla yapılandırın:

  • NameID özelliğinin kullanıcının e-posta adresiyle eşlendiğinden emin olun. Kullanıcının e-posta adresi, Edge geliştirici hesabının benzersiz tanımlayıcısı olarak kullanılır. Aşağıda, Name ID format alanının NameID özelliğini tanımladığı Okta'nın kullanıldığı bir örnek gösterilmektedir.

  • (İsteğe bağlı) Kimliği doğrulanmış oturum süresini, Edge kullanıcı arayüzü kimliği doğrulanmış oturum süresiyle eşleşecek şekilde 15 gün olarak ayarlayın.

Edge TOA Bölgesi Yönetimi sayfasını keşfedin

Edge için kimlik bölgelerini Edge TOA Bölge Yönetimi sayfasını kullanarak yönetin. Edge TOA Bölgesi Yönetimi sayfası kuruluşunuzun dışında yer alır. Bu sayede, aynı kimlik bölgesine birden fazla kuruluş atayabilirsiniz.

Edge TOA Bölgesi Yönetimi sayfasına erişmek için:

  1. zoneadmin ayrıcalıklarına sahip bir Apigee Edge kullanıcı hesabı kullanarak https://apigee.com/edge adresinde oturum açın.
  2. Soldaki gezinme çubuğunda Yönetici > SSO'yu seçin.

Edge TOA Bölgesi Yönetimi sayfası (kuruluşunuzun dışında) gösterilir.

Şekilde vurgulandığı gibi, Edge TOA Bölgesi Yönetimi sayfası şunları yapmanızı sağlar:

Kimlik bölgesi ekleme

Kimlik bölgesi eklemek için:

  1. Edge TOA Bölgesi Yönetimi sayfasına erişin.
  2. Kimlik bölgeleri bölümünde + simgesini tıklayın.

  3. Kimlik bölgesi için bir ad ve açıklama girin.
    Bölge adı, tüm Edge kuruluşlarında benzersiz olmalıdır.

    Not: Apigee, haklı bulunmayan tüm bölge adlarını kaldırma hakkını saklı tutar.

  4. Gerekirse alt alan adına eklenecek bir dize girin.
    Örneğin, acme bölge adıysa bir üretim bölgesi (acme-prod) ve bir test bölgesi (acme-test) tanımlamak isteyebilirsiniz.
    Üretim bölgesini oluşturmak için alt alan adı soneki olarak prod değerini girin. Bu durumda, Edge kullanıcı arayüzüne erişmek için kullanılan URL, Kimlik bölgesi kullanarak kuruluşunuza erişme bölümünde açıklandığı gibi acme-prod.apigee.com olur.

    Not: Eklenen alt alan adı soneki, tüm bölgelerinizde benzersiz olmalıdır.

  5. Tamam'ı tıklayın.

  6. SAML kimlik sağlayıcısını yapılandırın.

SAML kimlik sağlayıcısını yapılandırma

Aşağıdaki adımları uygulayarak SAML kimlik sağlayıcısını yapılandırın:

  1. SAML ayarlarını yapılandırın.
  2. Yeni bir sertifika yükleyin.
    Gerekirse x509 sertifikasını PEM biçimine dönüştürün.

SAML ayarlarını yapılandırma

SAML ayarlarını yapılandırmak için:

  1. Edge TOA Bölgesi Yönetimi sayfasına erişin.
  2. SAML kimlik sağlayıcısını yapılandırmak istediğiniz kimlik bölgesinin satırını tıklayın.
  3. SAML Settings (SAML Ayarları) bölümünde simgesini tıklayın.

  4. SP meta veri URL'si'nin yanındaki Kopyala'yı tıklayın.

  5. SAML kimlik sağlayıcınızı, servis sağlayıcı (SP) meta veri dosyasındaki bilgileri kullanarak yapılandırın.

    Bazı SAML kimlik sağlayıcıları için yalnızca meta veri URL'si istenir. Diğerleri için meta veri dosyasından belirli bilgileri ayıklayıp bir forma girmeniz gerekir.

    İkinci durumda, SP meta veri dosyasını indirmek ve gerekli bilgileri ayıklamak için URL'yi bir tarayıcıya yapıştırın. Örneğin, varlık kimliği veya oturum açma URL'si, SP meta veri dosyasındaki aşağıdaki öğelerden çıkarılabilir:

    Not: SP meta veri dosyasında, giriş URL'si AssertionConsumerService (ACS) URL'si olarak adlandırılır.

    • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
    • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

    Not: SAML kimlik sağlayıcınız gerektiriyorsa kitle kısıtlamasını zoneID.apigee-saml-login olarak ayarlayın. Bu değeri, yukarıda gösterilen SS meta veri dosyasındaki entityID öğesinden kopyalayabilirsiniz.

  6. SAML kimlik sağlayıcısı için SAML ayarlarını yapılandırın.

    SAML Ayarları bölümünde, SAML kimlik sağlayıcı meta veri dosyanızdan alınan aşağıdaki değerleri düzenleyin:

    SAML ayarıAçıklama
    Oturum açma URL'siKullanıcıların SAML portalı kimlik sağlayıcısında oturum açmak için yönlendirildiği URL.
    Örneğin: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
    Oturum kapatma URL'siKullanıcıların SAML portalı kimlik sağlayıcıdan oturum kapatmak için yönlendirildiği URL.
    Not: SAML kimlik sağlayıcınız oturum kapatma URL'si sağlamıyorsa bu alanı boş bırakın. Bu durumda, oturum açma URL'si için kullanılan değerle aynı değere ayarlanır.
    IDP varlık kimliğiSAML kimlik sağlayıcısının benzersiz URL'si.
    Örneğin: http://www.okta.com/exkhgdyponHIp97po0h7

    Not: Bu alan, SAML kimlik sağlayıcıya bağlı olarak farklı şekilde adlandırılabilir (ör. Entity ID, SP Entity ID, Audience URI vb.).

    Not: Apigee TOA aşağıdaki 2 özelliği desteklemez:

    • IdP meta veri URL'si kullanarak ve Apigee TOA hizmet sağlayıcı tarafındaki değişiklikleri güncellemek için meta verileri düzenli olarak indirerek otomatik IdP sertifikası yenileme.
    • Otomatik IdP yapılandırması için tam bir IdP meta veri XML dosyası yükleme veya IdP meta veri URL'si kullanma.

  7. Kaydet'i tıklayın.

Ardından, bir sonraki bölümde açıklandığı şekilde PEM veya PKCSS biçiminde sertifika yükleyin.

Yeni bir sertifika yükle

Yeni bir sertifika yüklemek için:

  1. SAML kimlik sağlayıcınızdan imza doğrulama sertifikasını indirin.

    Not: Sertifika PEM veya PKCSS biçiminde olmalıdır. Gerekirse x509 sertifikasını PEM biçimine dönüştürün.

  2. Edge TOA Bölgesi Yönetimi sayfasına erişin.

  3. Yeni bir sertifika yüklemek istediğiniz kimlik bölgesi satırını tıklayın.

  4. Sertifika bölümünde simgesini tıklayın.

  5. Göz at'ı tıklayın ve yerel dizininizdeki sertifikaya gidin.

  6. Yeni sertifikayı yüklemek için Aç'ı tıklayın.
    Sertifika bilgileri alanları, seçilen sertifikayı yansıtacak şekilde güncellenir.

  7. Sertifikanın geçerli olduğunu ve süresinin dolmadığını doğrulayın.

  8. Kaydet'i tıklayın.

x509 sertifikasını PEM biçimine dönüştürme

Bir x509 sertifikası indirirseniz bunu PEM biçimine dönüştürmeniz gerekir.

x509 sertifikasını PEM biçimine dönüştürmek için:

  1. SAML kimlik sağlayıcı meta veri dosyasındaki ds:X509Certificate element içeriğini kopyalayın ve tercih ettiğiniz metin düzenleyiciye yapıştırın.
  2. Dosyanın en üstüne şu satırı ekleyin:
    -----BEGIN CERTIFICATE-----
  3. Dosyanın en altına aşağıdaki satırı ekleyin:
    -----END CERTIFICATE-----
  4. Dosyayı .pem uzantısıyla kaydedin.

Aşağıda, PEM dosyası içeriğine dair bir örnek verilmiştir:

-----BEGIN CERTIFICATE-----
MIICMzCCAZygAwIBAgIJALiPnVsvq8dsMA0GCSqGSIb3DQEBBQUAMFMxCzAJBgNV
BAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNVBAcTA2ZvbzEMMAoGA1UEChMDZm9v
MQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2ZvbzAeFw0xMzAzMTkxNTQwMTlaFw0x
ODAzMTgxNTQwMTlaMFMxCzAJBgNVBAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNV
BAcTA2ZvbzEMMAoGA1UEChMDZm9vMQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2Zv
bzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAzdGfxi9CNbMf1UUcvDQh7MYB
OveIHyc0E0KIbhjK5FkCBU4CiZrbfHagaW7ZEcN0tt3EvpbOMxxc/ZQU2WN/s/wP
xph0pSfsfFsTKM4RhTWD2v4fgk+xZiKd1p0+L4hTtpwnEw0uXRVd0ki6muwV5y/P
+5FHUeldq+pgTcgzuK8CAwEAAaMPMA0wCwYDVR0PBAQDAgLkMA0GCSqGSIb3DQEB
BQUAA4GBAJiDAAtY0mQQeuxWdzLRzXmjvdSuL9GoyT3BF/jSnpxz5/58dba8pWen
v3pj4P3w5DoOso0rzkZy2jEsEitlVM2mLSbQpMM+MUVQCQoiG6W9xuCFuxSrwPIS
pAqEAuV4DNoxQKKWmhVv+J0ptMWD25Pnpxeq5sXzghfJnslJlQND
-----END CERTIFICATE-----

Bir Edge kuruluşunu kimlik bölgesine bağlama

Bir Edge kuruluşunu kimlik bölgesine bağlamak için:

  1. Edge TOA Bölgesi Yönetimi sayfasına erişin.
  2. Kuruluş eşleme bölümündeki Kimlik bölgesi açılır menüsünde, bir bölgeye atamak istediğiniz kuruluşla ilişkili bir kimlik bölgesi seçin.
    Kuruluş için temel kimlik doğrulamayı etkinleştirmek üzere Yok (Apigee varsayılanı)'ı seçin.
  3. Değişikliği onaylamak için Onayla'yı tıklayın.

Kimlik bölgesiyle kuruluşunuza erişme

Edge kullanıcı arayüzüne erişmek için kullandığınız URL, kimlik bölgenizin adıyla tanımlanır:

https://zonename.apigee.com

Benzer şekilde, Klasik Edge kullanıcı arayüzüne erişmek için kullandığınız URL aşağıdaki gibidir:

https://zonename.enterprise.apigee.com

Örneğin, Acme Inc. SAML kullanmak istiyor ve bölge adı olarak "acme"yi seçiyor. Acme Inc. müşterileri daha sonra aşağıdaki URL ile Edge kullanıcı arayüzüne erişir:

https://acme.apigee.com

Bölge, SAML'yi destekleyen Edge kuruluşlarını tanımlar. Örneğin, Acme Inc. şirketinin üç kuruluşu var: KuruluşA, KuruluşB ve KuruluşC. Acme, tüm kuruluşları veya yalnızca bir alt grubu SAML bölgesine eklemeye karar verebilir. Diğer kuruluşlar, Temel Kimlik Doğrulama kimlik bilgilerinden oluşturulan Temel Kimlik Doğrulama veya OAuth2 jetonlarını kullanmaya devam ediyor.

Birden fazla kimlik bölgesi tanımlayabilirsiniz. Ardından tüm bölgeler aynı kimlik sağlayıcıyı kullanacak şekilde yapılandırılabilir.

Örneğin, Acme; OrgAProd ve OrgBProd'u içeren "acme-prod" adlı bir üretim bölgesi ve OrgATest, OrgBTest, OrgADev ve OrgBDev'i içeren "acme-test" adlı bir test bölgesi tanımlamak isteyebilir.

Daha sonra farklı bölgelere erişmek için aşağıdaki URL'leri kullanırsınız:

https://acme-prod.apigee.com
https://acme-test.apigee.com

Edge kullanıcılarını SAML kimlik doğrulamasıyla kaydetme

Bir kuruluş için SAML'yi etkinleştirdikten sonra, kuruluşunuza henüz kayıtlı olmayan SAML kullanıcılarını kaydetmeniz gerekir. Daha fazla bilgi için Kuruluş kullanıcılarını yönetme başlıklı makaleyi inceleyin.

OAuth2 erişim jetonlarını iletmek için komut dosyalarını güncelleme

SAML'yi etkinleştirdikten sonra Edge API için Temel Kimlik Doğrulama devre dışı bırakılır. Temel kimlik doğrulamayı destekleyen Edge API çağrılarını kullanan tüm komut dosyaları (Maven komut dosyaları, kabuk komut dosyaları, apigeetool vb.) artık çalışmayacak. Temel kimlik doğrulama kullanan API çağrılarını ve komut dosyalarını, OAuth2 erişim jetonlarını Bearer üstbilgisinde iletecek şekilde güncellemeniz gerekir. Edge API ile SAML kullanma başlıklı makaleyi inceleyin.

Kimlik bölgesi silme

Kimlik bölgesini silmek için:

  1. Edge TOA Bölgesi Yönetimi sayfasına erişin.
  2. İmlecinizi, silmek istediğiniz kimlik bölgesiyle ilişkili satırın üzerine getirerek işlemler menüsünü görüntüleyin.
  3. simgesini tıklayın.
  4. Silme işlemini onaylamak için Sil'i tıklayın.

Edge TOA Bölge Yönetimi sayfasında oturumu kapatma

Edge kimlik bölgelerini kuruluşunuzun dışında yönettiğiniz için Edge TOA Bölge Yönetimi sayfasından oturumu kapatmanız ve ardından Apigee Edge'in diğer özelliklerine erişebilmek için kuruluşunuza giriş yapmanız gerekir.