SAML (Beta) aktivieren

Sie lesen gerade die Dokumentation zu Apigee Edge.
Apigee X-Dokumentation aufrufen. info

In diesem Abschnitt wird beschrieben, wie Sie SAML für Apigee Edge aktivieren, damit die Authentifizierung für Mitglieder Ihrer Organisation(en) an Ihren eigenen Identitätsdienst delegiert werden kann. Eine Übersicht über SAML und die Verwaltung von Identitätszonen in Edge finden Sie unter SAML-Übersicht.

Video: Sehen Sie sich ein Kurzvideo an, um zu erfahren, wie Sie vor und nach der Aktivierung von Single Sign-On (SSO) mit SAML auf Apigee Edge APIs zugreifen.

Rolle „zoneadmin“

Sie müssen zoneadmin sein, um Identitätszonen in Edge zu verwalten. Die Rolle „zoneadmin“ bietet vollständige CRUD-Prozeduren nur für die Verwaltung von Identitätszonen.

Wenn Sie die Rolle „zoneadmin“ Ihrem Apigee Edge-Konto zuweisen lassen möchten, wenden Sie sich an den Apigee Edge-Support.

Hinweis

Bevor Sie beginnen, sollten Sie die folgenden Informationen von Ihrem SAML-Identitätsanbieter einholen:

  • Zertifikat für die Signaturprüfung (PEM- oder PKCSS-Format). Bei Bedarf x509-Zertifikat in das PEM-Format konvertieren

  • Konfigurationsinformationen (in der folgenden Tabelle definiert)

    Konfiguration Beschreibung
    Anmelde-URL URL, zu der Nutzer weitergeleitet werden, um sich beim SAML-Identitätsanbieter anzumelden.
    URL für Abmeldung URL, zu der Nutzer weitergeleitet werden, um sich vom SAML-Identitätsanbieter abzumelden.
    IdP-Entitäts-ID Eindeutige URL für diesen Identitätsanbieter. Beispiel: https://idp.example.com/saml

Konfigurieren Sie außerdem Ihren Drittanbieter-SAML-Identitätsanbieter mit den folgenden Einstellungen:

  • Achten Sie darauf, dass das Attribut NameID der E-Mail-Adresse des Nutzers zugeordnet ist. Die E‑Mail-Adresse des Nutzers dient als eindeutige Kennung des Edge-Entwicklerkontos. Das folgende Beispiel zeigt die Verwendung von Okta, wobei das Feld Name ID format (Format der Namens-ID) das Attribut NameID definiert.

  • Optional: Legen Sie die Sitzungsdauer für die Authentifizierung auf 15 Tage fest, um sie an die Sitzungsdauer für die Authentifizierung der Edge-Benutzeroberfläche anzupassen.

Seite „Edge SSO Zone Administration“

Identitätszonen für Edge können Sie auf der Seite „Edge SSO Zone Administration“ verwalten. Die Seite „Edge SSO Zone Administration“ befindet sich außerhalb Ihrer Organisation. So können Sie derselben Identitätszone mehrere Organisationen zuweisen.

So greifen Sie auf die Seite „Edge SSO Zone Administration“ zu:

  1. Melden Sie sich mit einem Apigee Edge-Nutzerkonto mit zoneadmin-Berechtigungen unter https://apigee.com/edge an.
  2. Wählen Sie in der linken Navigationsleiste Admin > SSO aus.

Die Seite „Edge SSO Zone Administration“ wird angezeigt (außerhalb Ihrer Organisation).

Wie in der Abbildung hervorgehoben, können Sie auf der Seite „Edge SSO Zone Administration“ Folgendes tun:

Identitätszone hinzufügen

So fügen Sie eine Identitätszone hinzu:

  1. Rufen Sie die Seite „Edge SSO Zone Administration“ auf.
  2. Klicken Sie im Bereich „Identitätszonen“ auf das Pluszeichen +.

  3. Geben Sie einen Namen und eine Beschreibung für die Identitätszone ein.
    Der Zonenname muss für alle Edge-Organisationen eindeutig sein.

    Hinweis: Apigee behält sich das Recht vor, Zonennamen zu entfernen, die als nicht gerechtfertigt gelten.

  4. Geben Sie bei Bedarf einen String ein, der an die Subdomain angehängt werden soll.
    Wenn acme beispielsweise der Zonenname ist, können Sie eine Produktionszone (acme-prod) und eine Testzone (acme-test) definieren.
    Geben Sie zum Erstellen der Produktionszone prod als Suffix der Subdomain ein. In diesem Fall wäre die URL für den Zugriff auf die Edge-UI acme-prod.apigee.com, wie unter Über die Identitätszone auf Ihre Organisation zugreifen beschrieben.

    Hinweis: Das angehängte Subdomain-Suffix muss für alle Ihre Zonen eindeutig sein.

  5. Klicken Sie auf OK.

  6. SAML-Identitätsanbieter konfigurieren

SAML-Identitätsanbieter konfigurieren

Konfigurieren Sie den SAML-Identitätsanbieter so:

  1. SAML-Einstellungen konfigurieren
  2. Neues Zertifikat hochladen
    Konvertieren Sie bei Bedarf ein x509-Zertifikat in das PEM-Format.

SAML-Einstellungen konfigurieren

So konfigurieren Sie die SAML-Einstellungen:

  1. Rufen Sie die Seite „Edge SSO Zone Administration“ auf.
  2. Klicken Sie auf die Zeile der Identitätszone, für die Sie den SAML-Identitätsanbieter konfigurieren möchten.
  3. Klicken Sie im Abschnitt mit den SAML-Einstellungen auf .

  4. Klicken Sie neben der Metadaten-URL des SP auf Kopieren.

  5. Konfigurieren Sie Ihren SAML-Identitätsanbieter mit den Informationen in der SP-Metadatendatei (Service Provider).

    Bei einigen SAML-Identitätsanbietern werden Sie nur zur Metadaten-URL aufgefordert. Bei anderen müssen Sie bestimmte Informationen aus der Metadatendatei extrahieren und in ein Formular einfügen.

    In letzterem Fall fügen Sie die URL in einen Browser ein, um die Metadatendatei für den Dienstanbieter herunterzuladen und die erforderlichen Informationen zu extrahieren. Zum Beispiel kann die Entitäts-ID oder die Anmelde-URL aus den folgenden Elementen der SP-Metadatendatei extrahiert werden:

    Hinweis: In der SP-Metadatendatei wird die Anmelde-URL als AssertionConsumerService-URL (ACS) bezeichnet.

    • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
    • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

    Hinweis: Wenn Ihr SAML-Identitätsanbieter dies erfordert, legen Sie die Zielgruppenbeschränkung auf zoneID.apigee-saml-login fest. Sie können sie aus dem entityID-Element in der SP-Metadatendatei (siehe oben) kopieren.

  6. Konfigurieren Sie die SAML-Einstellungen für den SAML-Identitätsanbieter.

    Bearbeiten Sie im Abschnitt SAML-Einstellungen die folgenden Werte, die aus der Metadatendatei des SAML-Identitätsanbieters abgerufen wurden:

    SAML-EinstellungBeschreibung
    Anmelde-URLURL, zu der Nutzer weitergeleitet werden, um sich beim SAML-Portal-Identitätsanbieter anzumelden.
    Beispiel: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
    URL für AbmeldungURL, zu der Nutzer weitergeleitet werden, um sich vom SAML-Portal-Identitätsanbieter abzumelden.
    Hinweis: Wenn Ihr SAML-Identitätsanbieter keine Abmelde-URL bereitstellt, lassen Sie dieses Feld leer. In diesem Fall wird der gleiche Wert wie für die Anmelde-URL festgelegt.
    IdP-Entitäts-IDEindeutige URL für den SAML-Identitätsanbieter.
    Beispiel: http://www.okta.com/exkhgdyponHIp97po0h7

    Hinweis:Je nach SAML-Identitätsanbieter kann dieses Feld einen anderen Namen haben, z. B. Entity ID, SP Entity ID oder Audience URI.

    Hinweis: Apigee SSO unterstützt die folgenden beiden Funktionen nicht:

    • Automatisches Aktualisieren von IDP-Zertifikaten mithilfe einer IDP-Metadaten-URL und periodisches Herunterladen der Metadaten, um Änderungen auf der Apigee SSO-Dienstanbieterseite zu aktualisieren.
    • Sie können eine vollständige XML-Datei mit IdP-Metadaten hochladen oder eine URL mit IdP-Metadaten für die automatische IdP-Konfiguration verwenden.

  7. Klicken Sie auf Speichern.

Als Nächstes laden Sie ein Zertifikat im PEM- oder PKCSS-Format hoch, wie im nächsten Abschnitt beschrieben.

Neues Zertifikat hochladen

So laden Sie ein neues Zertifikat hoch:

  1. Laden Sie das Zertifikat zur Signaturüberprüfung von Ihrem SAML-Identitätsanbieter herunter.

    Hinweis: Das Zertifikat muss im PEM- oder PKCSS-Format vorliegen. Falls erforderlich, konvertieren Sie ein X.509-Zertifikat in das PEM-Format.

  2. Rufen Sie die Seite „Edge SSO Zone Administration“ auf.

  3. Klicken Sie auf die Zeile mit der Identitätszone, für die Sie ein neues Zertifikat hochladen möchten.

  4. Klicken Sie im Abschnitt Zertifikat auf .

  5. Klicken Sie auf Durchsuchen und gehen Sie zum Zertifikat in Ihrem lokalen Verzeichnis.

  6. Klicken Sie auf Öffnen, um das neue Zertifikat hochzuladen.
    Die Felder mit den Zertifikatinformationen werden entsprechend dem ausgewählten Zertifikat aktualisiert.

  7. Prüfen Sie, ob das Zertifikat gültig und nicht abgelaufen ist.

  8. Klicken Sie auf Speichern.

x509-Zertifikat in das PEM-Format konvertieren

Wenn Sie ein x509-Zertifikat herunterladen, müssen Sie es in das PEM-Format konvertieren.

So konvertieren Sie ein x509-Zertifikat in das PEM-Format:

  1. Kopieren Sie den Inhalt der Datei ds:X509Certificate element aus der Metadatendatei des SAML-Identitätsanbieters und fügen Sie ihn in Ihren bevorzugten Texteditor ein.
  2. Fügen Sie am Ende der Datei die folgende Zeile hinzu:
    -----BEGIN CERTIFICATE-----
  3. Fügen Sie am Ende der Datei die folgende Zeile hinzu:
    -----END CERTIFICATE-----
  4. Speichern Sie die Datei mit der Erweiterung .pem.

Hier sehen Sie ein Beispiel für den Inhalt der PEM-Datei:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Edge-Organisation mit einer Identitätszone verbinden

So verbinden Sie eine Edge-Organisation mit einer Identitätszone:

  1. Rufen Sie die Seite „Edge SSO Zone Administration“ auf.
  2. Wählen Sie im Bereich Organisationszuordnung im Drop-down-Menü Identitätszone eine Identitätszone aus, die der Organisation zugewiesen werden soll.
    Wählen Sie None (Apigee default) (Keine (Apigee-Standard)) aus, um die grundlegende Authentifizierung für die Organisation zu aktivieren.
  3. Klicken Sie auf Bestätigen, um die Änderung zu bestätigen.

Über die Identitätszone auf Ihre Organisation zugreifen

Die URL, die Sie für den Zugriff auf die Edge-UI verwenden, wird durch den Namen Ihrer Identitätszone definiert:

https://zonename.apigee.com

Die URL, über die Sie auf die klassische Edge-UI zugreifen, lautet:

https://zonename.enterprise.apigee.com

Beispiel: Acme Inc. möchte SAML verwenden und wählt „acme“ als Zonenname aus. Kunden von Acme Inc. greifen dann über die folgende URL auf die Edge-Benutzeroberfläche zu:

https://acme.apigee.com

Die Zone gibt die Edge-Organisationen an, die SAML unterstützen. Beispiel: Acme Inc. hat drei Organisationen: OrgA, OrgB und OrgC. Acme kann entscheiden, ob alle Organisationen oder nur eine Teilmenge der SAML-Zone hinzugefügt werden sollen. Die verbleibenden Organisationen verwenden weiterhin die Basisauthentifizierung oder OAuth2-Tokens, die aus Anmeldedaten für die Basisauthentifizierung generiert wurden.

Sie können mehrere Identitätszonen definieren. Alle Zonen können dann so konfiguriert werden, dass sie denselben Identitätsanbieter verwenden.

Acme möchte beispielsweise eine Produktionszone „acme-prod“ mit OrgAProd und OrgBProd sowie eine Testzone „acme-test“ mit OrgATest, OrgBTest, OrgADev und OrgBDev definieren.

Anschließend können Sie über die folgenden URLs auf die verschiedenen Zonen zugreifen:

https://acme-prod.apigee.com
https://acme-test.apigee.com

Edge-Nutzer mit SAML-Authentifizierung registrieren

Nachdem Sie SAML für eine Organisation aktiviert haben, müssen Sie die SAML-Nutzer registrieren, die noch nicht bei Ihrer Organisation registriert sind. Weitere Informationen finden Sie unter Organisationsnutzer verwalten.

Skripts aktualisieren, um OAuth2-Zugriffstokens zu übergeben

Nachdem Sie SAML aktiviert haben, wird die einfache Authentifizierung für die Edge API deaktiviert. Alle Skripts (Maven-Skripts, Shell-Skripts, apigeetool usw.), die auf Edge API-Aufrufen mit Unterstützung für die einfache Authentifizierung basieren, funktionieren nicht mehr. Sie müssen API-Aufrufe und ‑Scripts, die die Basisauthentifizierung verwenden, so aktualisieren, dass OAuth2-Zugriffstokens im Bearer-Header übergeben werden. Weitere Informationen finden Sie unter SAML mit der Edge API verwenden.

Identitätszone löschen

So löschen Sie eine Identitätszone:

  1. Rufen Sie die Seite „Edge SSO Zone Administration“ auf.
  2. Bewegen Sie den Mauszeiger auf die Zeile, die der Identitätszone entspricht, die Sie löschen möchten, um das Aktionsmenü einzublenden.
  3. Klicken Sie auf .
  4. Klicken Sie auf Delete, um den Löschvorgang zu bestätigen.

Von der Seite „Edge SSO Zone Administration“ abmelden

Da Sie Edge-Identitätszonen außerhalb Ihrer Organisation verwalten, müssen Sie sich von der Seite „Edge SSO Zone Administration“ abmelden und dann in Ihrer Organisation anmelden, um auf andere Funktionen von Apigee Edge zugreifen zu können.