تفعيل SAML (تجريبي)

أنت الآن بصدد الاطّلاع على مستندات Apigee Edge.
انتقِل إلى مستندات Apigee X. info

يوضّح هذا القسم كيفية تفعيل SAML في Apigee Edge حتى يمكن تفويض مصادقة أعضاء مؤسستك إلى خدمة الهوية الخاصة بك. للحصول على نظرة عامة حول SAML وإدارة منطقة الهوية في Edge، يُرجى الاطّلاع على نظرة عامة حول SAML.

الفيديو: شاهِد فيديو قصيرًا للتعرّف على كيفية الوصول إلى واجهات برمجة التطبيقات في Apigee Edge قبل تفعيل الدخول المُوحَّد (SSO) باستخدام SAML وبعده.

لمحة عن دور zoneadmin

يجب أن تكون zoneadmin لإدارة مناطق الهوية في Edge. يوفّر دور zoneadmin إجراءات CRUD كاملة لإدارة مناطق الهوية فقط.

لتعيين دور zoneadmin لحسابك على Apigee Edge، يُرجى التواصل مع فريق دعم Apigee Edge.

قبل البدء

قبل البدء، احصل على المعلومات التالية من موفِّر هوية SAML التابع لجهة خارجية:

  • شهادة للتحقّق من التوقيع (بتنسيق PEM أو PKCSS) تحويل شهادة x509 إلى تنسيق PEM، إذا لزم الأمر

  • معلومات الإعدادات (محدّدة في الجدول التالي)

    التهيئة الوصف
    عنوان URL لتسجيل الدخول عنوان URL الذي تتم إعادة توجيه المستخدمين إليه لتسجيل الدخول إلى موفِّر الهوية عبر SAML.
    عنوان URL لتسجيل الخروج عنوان URL الذي تتم إعادة توجيه المستخدمين إليه لتسجيل الخروج من موفِّر الهوية عبر SAML.
    رقم تعريف جهة موفِّر الهوية عنوان URL فريد لموفِّر الهوية هذا مثلاً: https://idp.example.com/saml

بالإضافة إلى ذلك، اضبط موفِّر الهوية المستنِد إلى SAML التابع لجهة خارجية باستخدام الإعدادات التالية:

  • تأكَّد من ربط السمة NameID بعنوان البريد الإلكتروني للمستخدم. يعمل عنوان البريد الإلكتروني للمستخدم كمعرّف فريد لحساب المطوّر على Edge. يوضّح المثال التالي كيفية استخدام Okta، حيث يحدّد حقل تنسيق معرّف الاسم السمة NameID.

  • (اختياري) اضبط مدة الجلسة التي تمّت المصادقة عليها على 15 يومًا لتتطابق مع مدة جلسة Edge UI التي تمّت المصادقة عليها.

استكشاف صفحة "إدارة منطقة الدخول المُوحَّد (SSO) في Edge"

يمكنك إدارة مناطق الهوية في Edge باستخدام صفحة "إدارة مناطق الدخول المُوحَّد في Edge". تتوفّر صفحة "إدارة منطقة الدخول المُوحَّد" في Edge خارج مؤسستك، ما يتيح لك تعيين مؤسسات متعددة لمنطقة الهوية نفسها.

للوصول إلى صفحة "إدارة منطقة الدخول الموحّد في Edge"، اتّبِع الخطوات التالية:

  1. سجِّل الدخول إلى https://apigee.com/edge باستخدام حساب مستخدم Apigee Edge لديه امتيازات zoneadmin.
  2. انقر على المشرف > تسجيل الدخول الأحادي في شريط التنقّل الأيمن.

تظهر صفحة "إدارة منطقة الدخول الموحَّد (SSO) في Edge" (خارج مؤسستك).

كما هو موضّح في الشكل، تتيح لك صفحة "إدارة منطقة الدخول المُوحَّد (SSO) في Edge" ما يلي:

إضافة منطقة تحديد هوية

لإضافة منطقة تحديد هوية، اتّبِع الخطوات التالية:

  1. الوصول إلى صفحة إدارة منطقة الدخول المُوحَّد (SSO) في Edge
  2. في قسم "مناطق تحديد الهوية"، انقر على +.

  3. أدخِل اسمًا ووصفًا لمنطقة تحديد الهوية.
    يجب أن يكون اسم المنطقة فريدًا على مستوى جميع مؤسسات Edge.

    ملاحظة: تحتفظ Apigee بالحق في إزالة أي اسم منطقة يُعتبر غير مبرّر.

  4. أدخِل سلسلة لإضافتها إلى النطاق الفرعي، إذا لزم الأمر.
    على سبيل المثال، إذا كان acme هو اسم المنطقة، يمكنك تحديد منطقة إنتاج acme-prod ومنطقة اختبار acme-test.
    لإنشاء منطقة الإنتاج، أدخِل prod كلاحقة للنطاق الفرعي. في هذه الحالة، سيكون عنوان URL المستخدَم للوصول إلى واجهة مستخدم Edge هو: acme-prod.apigee.com، كما هو موضّح في الوصول إلى مؤسستك باستخدام منطقة الهوية.

    ملاحظة: يجب أن يكون لاحقة النطاق الفرعي الملحقة فريدة في جميع مناطقك.

  5. انقر على موافق.

  6. ضبط موفِّر الهوية المستنِد إلى SAML

ضبط موفِّر الهوية المستنِد إلى SAML

اضبط موفِّر الهوية المستنِد إلى SAML باتّباع الخطوات التالية:

  1. ضبط إعدادات SAML
  2. تحميل شهادة جديدة
    حوِّل شهادة x509 إلى تنسيق PEM إذا لزم الأمر.

ضبط إعدادات SAML

لضبط إعدادات SAML، اتّبِع الخطوات التالية:

  1. الوصول إلى صفحة إدارة منطقة الدخول المُوحَّد (SSO) في Edge
  2. انقر على صف منطقة الهوية التي تريد ضبط موفِّر هوية SAML لها.
  3. في قسم إعدادات SAML، انقر على .

  4. انقر على نسخ بجانب عنوان URL الخاص بالبيانات الوصفية لمقدّم الخدمة.

  5. اضبط موفِّر الهوية SAML باستخدام المعلومات الواردة في ملف البيانات الوصفية لمقدِّم الخدمة.

    بالنسبة إلى بعض موفّري هوية SAML، سيُطلب منك إدخال عنوان URL الخاص بالبيانات الوصفية فقط. بالنسبة إلى الآخرين، عليك استخراج معلومات محدّدة من ملف البيانات الوصفية وإدخالها في نموذج.

    في الحالة الأخيرة، ألصِق عنوان URL في المتصفّح لتنزيل ملف البيانات الوصفية لموفّر الخدمة واستخراج المعلومات المطلوبة. على سبيل المثال، يمكن استخراج رقم تعريف الجهة أو عنوان URL لتسجيل الدخول من العناصر التالية في ملف البيانات الوصفية لمقدّم الخدمة:

    ملاحظة: في ملف البيانات الوصفية لمقدّم الخدمة، يُشار إلى عنوان URL لتسجيل الدخول باسم عنوان URL لخدمة AssertionConsumerService (ACS).

    • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
    • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

    ملاحظة: إذا كان موفِّر هوية SAML يتطلّب ذلك، اضبط قيود الجمهور على zoneID.apigee-saml-login، ويمكنك نسخها من العنصر entityID في ملف البيانات الوصفية لمقدِّم الخدمة (الموضّح أعلاه).

  6. اضبط إعدادات SAML لموفِّر الهوية المستنِد إلى SAML.

    في قسم إعدادات SAML، عدِّل القيم التالية التي تم الحصول عليها من ملف البيانات الوصفية لموفِّر الهوية على SAML:

    إعدادات SAMLالوصف
    عنوان URL لتسجيل الدخولعنوان URL الذي تتم إعادة توجيه المستخدمين إليه لتسجيل الدخول إلى موفِّر الهوية في بوابة SAML
    على سبيل المثال: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
    عنوان URL لتسجيل الخروجعنوان URL الذي تتم إعادة توجيه المستخدمين إليه لتسجيل الخروج من موفِّر الهوية في بوابة SAML
    ملاحظة: إذا كان موفِّر الهوية في بوابة SAML لا يوفّر عنوان URL لتسجيل الخروج، اترك هذا الحقل فارغًا. في هذه الحالة، سيتم ضبطها على القيمة نفسها المستخدَمة لعنوان URL الخاص بتسجيل الدخول.
    رقم تعريف جهة موفِّر الهويةعنوان URL فريد لموفّر هوية SAML
    مثلاً: http://www.okta.com/exkhgdyponHIp97po0h7

    ملاحظة: استنادًا إلى موفّر هوية SAML، قد يكون لهذا الحقل اسم مختلف، مثل Entity ID وSP Entity ID وAudience URI وما إلى ذلك.

    ملاحظة: لا تتوافق خدمة "الدخول الموحَّد" من Apigee مع الميزتَين التاليتَين:

    • إعادة تحميل شهادة موفِّر الهوية تلقائيًا من خلال استخدام عنوان URL للبيانات الوصفية لموفِّر الهوية وتنزيل البيانات الوصفية بشكل دوري لتعديل التغييرات على جهة مقدِّم خدمة الدخول المُوحَّد في Apigee.
    • تحميل ملف XML كامل للبيانات الوصفية لموفِّر الهوية أو استخدام عنوان URL للبيانات الوصفية لموفِّر الهوية من أجل إعداد موفِّر الهوية تلقائيًا

  7. انقر على حفظ.

بعد ذلك، حمِّل شهادة بتنسيق PEM أو PKCSS، كما هو موضَّح في القسم التالي.

تحميل شهادة جديدة

لتحميل شهادة جديدة، اتّبِع الخطوات التالية:

  1. نزِّل شهادة التحقّق من التوقيع من موفِّر هوية SAML.

    ملاحظة: يجب أن تكون الشهادة بتنسيق PEM أو PKCSS. حوِّل شهادة x509 إلى تنسيق PEM إذا لزم الأمر.

  2. الوصول إلى صفحة إدارة منطقة الدخول المُوحَّد (SSO) في Edge

  3. انقر على صف منطقة تحديد الهوية التي تريد تحميل شهادة جديدة لها.

  4. في قسم الشهادة، انقر على .

  5. انقر على تصفُّح وانتقِل إلى الشهادة في الدليل المحلي.

  6. انقر على فتح لتحميل الشهادة الجديدة.
    يتم تعديل حقول معلومات الشهادة لتعكس الشهادة المحدّدة.

  7. تأكَّد من أنّ الشهادة صالحة ولم تنتهِ صلاحيتها.

  8. انقر على حفظ.

تحويل شهادة x509 إلى تنسيق PEM

إذا نزّلت شهادة x509، عليك تحويلها إلى تنسيق PEM.

لتحويل شهادة x509 إلى تنسيق PEM، اتّبِع الخطوات التالية:

  1. انسخ محتوى ds:X509Certificate element من ملف البيانات الوصفية لموفِّر الهوية المستند إلى SAML والصِقه في محرِّر النصوص المفضّل لديك.
  2. أضِف السطر التالي في أعلى الملف:
    -----BEGIN CERTIFICATE-----
  3. أضِف السطر التالي في أسفل الملف:
    -----END CERTIFICATE-----
  4. احفظ الملف باستخدام الامتداد .pem.

في ما يلي مثال على محتوى ملف PEM:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

ربط مؤسسة Edge بمنطقة هوية

لربط مؤسسة Edge بمنطقة هوية، اتّبِع الخطوات التالية:

  1. الوصول إلى صفحة إدارة منطقة الدخول المُوحَّد (SSO) في Edge
  2. في قسم ربط المؤسسة، اختَر منطقة هوية من القائمة المنسدلة منطقة الهوية المرتبطة بالمؤسسة التي تريد تعيينها إلى منطقة.
    اختَر بلا (الإعداد التلقائي في Apigee) لتفعيل المصادقة الأساسية للمؤسسة.
  3. انقر على تأكيد لتأكيد التغيير.

الوصول إلى مؤسستك باستخدام منطقة الهوية

يتم تحديد عنوان URL الذي تستخدمه للوصول إلى واجهة مستخدم Edge من خلال اسم منطقة الهوية:

https://zonename.apigee.com

وبالمثل، يكون عنوان URL الذي تستخدمه للوصول إلى واجهة مستخدم Classic Edge على النحو التالي:

https://zonename.enterprise.apigee.com

على سبيل المثال، تريد شركة Acme Inc. استخدام SAML وتختار "acme" كاسم للمنطقة. يمكن لعملاء شركة Acme Inc. الوصول إلى واجهة مستخدم Edge من خلال عنوان URL التالي:

https://acme.apigee.com

تحدّد المنطقة مؤسسات Edge المتوافقة مع SAML. على سبيل المثال، لدى شركة Acme Inc. ثلاث مؤسسات: OrgA وOrgB وOrgC. يمكن لشركة Acme أن تقرّر إضافة جميع المؤسسات إلى منطقة SAML أو مجموعة فرعية فقط. تواصل المؤسسات المتبقية استخدام المصادقة الأساسية أو رموز OAuth2 المميزة التي تم إنشاؤها من بيانات اعتماد المصادقة الأساسية.

يمكنك تحديد مناطق هوية متعددة. يمكن بعد ذلك ضبط جميع المناطق لاستخدام موفّر تعريف الهوية نفسه.

على سبيل المثال، قد تريد شركة Acme تحديد منطقة إنتاج باسم "acme-prod" تحتوي على OrgAProd وOrgBProd، ومنطقة اختبار باسم "acme-test" تحتوي على OrgATest وOrgBTest وOrgADev وOrgBDev.

يمكنك بعد ذلك استخدام عناوين URL التالية للوصول إلى المناطق المختلفة:

https://acme-prod.apigee.com
https://acme-test.apigee.com

تسجيل مستخدمي Edge باستخدام مصادقة SAML

بعد تفعيل SAML لمؤسسة، عليك تسجيل مستخدمي SAML غير المسجَّلين حاليًا في مؤسستك. لمزيد من المعلومات، يُرجى الاطّلاع على إدارة مستخدمي المؤسسة.

تعديل البرامج النصية لتمرير رموز الدخول عبر OAuth2

بعد تفعيل SAML، يتم إيقاف المصادقة الأساسية لواجهة Edge API. لن تعمل بعد ذلك جميع النصوص البرمجية (نصوص Maven البرمجية ونصوص shell البرمجية وapigeetool وما إلى ذلك) التي تعتمد على طلبات بيانات من واجهة Edge API التي تتيح المصادقة الأساسية. عليك تعديل طلبات البيانات من واجهة برمجة التطبيقات والنصوص البرمجية التي تستخدم المصادقة الأساسية لتمرير رموز الدخول المميزة OAuth2 في عنوان Bearer. اطّلِع على استخدام SAML مع Edge API.

حذف منطقة هوية

لحذف منطقة تحديد الهوية، اتّبِع الخطوات التالية:

  1. الوصول إلى صفحة إدارة منطقة الدخول المُوحَّد (SSO) في Edge
  2. ضَع مؤشر الماوس فوق الصف المرتبط بمنطقة الهوية التي تريد حذفها لعرض قائمة الإجراءات.
  3. انقر على .
  4. انقر على حذف لتأكيد عملية الحذف.

تسجيل الخروج من صفحة "إدارة منطقة الدخول المُوحَّد (SSO) في Edge"

بما أنّك تدير مناطق تعريف Edge خارج مؤسستك، عليك تسجيل الخروج من صفحة "إدارة منطقة الدخول المُوحَّد (SSO) في Edge" ثم تسجيل الدخول إلى مؤسستك لتتمكّن من الوصول إلى ميزات أخرى في Apigee Edge.