Włącz SAML (beta)

Wyświetlasz dokumentację Apigee Edge.
Otwórz dokumentację Apigee X. info

W tej sekcji opisano, jak włączyć SAML w Apigee Edge, aby uwierzytelnianie członków organizacji można było przekazać do własnej usługi tożsamości. Omówienie SAML i zarządzania strefami tożsamości w Edge znajdziesz w artykule Omówienie SAML.

Film: obejrzyj krótki film, aby dowiedzieć się, jak uzyskać dostęp do interfejsów API Apigee Edge przed włączeniem logowania jednokrotnego (SSO) za pomocą SAML i po jego włączeniu.

Informacje o roli zoneadmin

Aby zarządzać strefami tożsamości w Edge, musisz mieć rolę zoneadmin. Rola zoneadmin zapewnia pełne procedury CRUD do zarządzania tylko strefami tożsamości.

Aby przypisać rolę zoneadmin do konta Apigee Edge, skontaktuj się z zespołem pomocy Apigee Edge.

Zanim zaczniesz

Zanim zaczniesz, uzyskaj te informacje od zewnętrznego dostawcy tożsamości SAML:

  • Certyfikat do weryfikacji podpisu (w formacie PEM lub PKCSS). W razie potrzeby przekonwertuj certyfikat x509 na format PEM.

  • Informacje o konfiguracji (zdefiniowane w tabeli poniżej)

    Konfiguracja Opis
    Adres URL logowania Adres URL, na który użytkownicy są przekierowywani, aby zalogować się u dostawcy tożsamości SAML.
    URL strony wylogowania Adres URL, na który użytkownicy są przekierowywani, aby wylogować się u dostawcy tożsamości SAML.
    Identyfikator jednostki dostawcy tożsamości Unikalny adres URL tego dostawcy tożsamości. Na przykład: https://idp.example.com/saml

Dodatkowo skonfiguruj zewnętrznego dostawcę tożsamości SAML, używając tych ustawień:

  • Sprawdź, czy atrybut NameID jest zmapowany na adres e-mail użytkownika. Adres e-mail użytkownika jest unikalnym identyfikatorem konta dewelopera Edge. Poniżej znajdziesz przykład z użyciem Okty, w którym pole Format identyfikatora nazwy określa atrybut NameID.

  • (Opcjonalnie) Ustaw czas trwania uwierzytelnionej sesji na 15 dni, aby był zgodny z czasem trwania uwierzytelnionej sesji w interfejsie Edge.

Otwórz stronę administracyjną strefy logowania jednokrotnego Edge

Zarządzaj strefami tożsamości na potrzeby Edge na stronie Administracja strefą logowania jednokrotnego Edge. Strona administracji strefą logowania jednokrotnego Edge znajduje się poza Twoją organizacją, co umożliwia przypisanie wielu organizacji do tej samej strefy tożsamości.

Aby otworzyć stronę administracji strefą logowania jednokrotnego Edge:

  1. Zaloguj się na stronie https://apigee.com/edge za pomocą konta użytkownika Apigee Edge z uprawnieniami administratora strefy.
  2. Na pasku nawigacyjnym po lewej stronie wybierz Administracja > SSO.

Wyświetli się strona administracji strefą logowania jednokrotnego Edge (spoza organizacji).

Jak widać na ilustracji, strona Administracja strefą SSO Edge umożliwia:

Dodawanie strefy tożsamości

Aby dodać strefę tożsamości:

  1. Otwórz stronę administracji strefą logowania jednokrotnego Edge.
  2. W sekcji Strefy tożsamości kliknij +.

  3. Wpisz nazwę i opis strefy tożsamości.
    Nazwa strefy musi być unikalna we wszystkich organizacjach Edge.

    Uwaga: Apigee zastrzega sobie prawo do usunięcia każdej nazwy strefy, która zostanie uznana za nieuzasadnioną.

  4. W razie potrzeby wpisz ciąg znaków, który chcesz dodać do subdomeny.
    Jeśli na przykład acme to nazwa strefy, możesz zdefiniować strefę produkcyjną acme-prod i strefę testową acme-test.
    Aby utworzyć strefę produkcyjną, wpisz prod jako sufiks subdomeny. W takim przypadku adres URL używany do uzyskiwania dostępu do interfejsu Edge to acme-prod.apigee.com, jak opisano w artykule Uzyskiwanie dostępu do organizacji za pomocą strefy tożsamości.

    Uwaga: dodany sufiks subdomeny musi być unikalny we wszystkich strefach.

  5. Kliknij OK.

  6. Skonfiguruj dostawcę tożsamości SAML.

Konfigurowanie dostawcy tożsamości SAML

Skonfiguruj dostawcę tożsamości SAML, wykonując te czynności:

  1. Skonfiguruj ustawienia SAML.
  2. Prześlij nowy certyfikat.
    W razie potrzeby przekonwertuj certyfikat x509 na format PEM.

Konfigurowanie ustawień SAML

Aby skonfigurować ustawienia SAML:

  1. Otwórz stronę administracji strefą logowania jednokrotnego Edge.
  2. Kliknij wiersz strefy tożsamości, dla której chcesz skonfigurować dostawcę tożsamości SAML.
  3. W sekcji SAML Settings (Ustawienia SAML) kliknij .

  4. Kliknij Kopiuj obok pola URL metadanych dostawcy usług.

  5. Skonfiguruj dostawcę tożsamości SAML, korzystając z informacji w pliku metadanych dostawcy usług.

    W przypadku niektórych dostawców tożsamości SAML pojawi się tylko prośba o podanie adresu URL metadanych. W przypadku innych musisz wyodrębnić określone informacje z pliku metadanych i wpisać je w formularzu.

    W tym drugim przypadku wklej adres URL w przeglądarce, aby pobrać plik metadanych dostawcy usług, i wyodrębnij wymagane informacje. Na przykład identyfikator jednostki lub adres URL logowania można wyodrębnić z tych elementów w pliku metadanych dostawcy usług:

    Uwaga: w pliku metadanych dostawcy usług adres URL logowania jest określany jako adres URL AssertionConsumerService (ACS).

    • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
    • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

    Uwaga: jeśli jest to wymagane przez dostawcę tożsamości SAML, ustaw ograniczenie odbiorców na zoneID.apigee-saml-login. Możesz skopiować tę wartość z elementu entityID w pliku metadanych dostawcy usługi (pokazanym powyżej).

  6. Skonfiguruj ustawienia SAML dla dostawcy tożsamości SAML.

    W sekcji SAML Settings (Ustawienia SAML) edytuj te wartości uzyskane z pliku metadanych dostawcy tożsamości SAML:

    Ustawienie SAMLOpis
    Adres URL logowaniaAdres URL, na który użytkownicy są przekierowywani, aby zalogować się u dostawcy tożsamości portalu SAML.
    Przykład: https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
    URL strony wylogowaniaAdres URL, na który użytkownicy są przekierowywani, aby wylogować się z portalu dostawcy tożsamości SAML.
    Uwaga: jeśli dostawca tożsamości SAML nie udostępnia adresu URL wylogowania, pozostaw to pole puste. W tym przypadku będzie ona miała taką samą wartość jak adres URL logowania.
    Identyfikator jednostki dostawcy tożsamościUnikalny adres URL dostawcy tożsamości SAML.
    Przykład: http://www.okta.com/exkhgdyponHIp97po0h7

    Uwaga: w zależności od dostawcy tożsamości SAML to pole może mieć inną nazwę, np. Entity ID, SP Entity ID, Audience URI itd.

    Uwaga: logowanie jednokrotne Apigee nie obsługuje tych 2 funkcji:

    • Automatyczne odświeżanie certyfikatu dostawcy tożsamości za pomocą adresu URL metadanych dostawcy tożsamości i okresowe pobieranie metadanych w celu aktualizowania zmian po stronie dostawcy usługi logowania jednokrotnego Apigee.
    • Przesyłanie całego pliku XML metadanych dostawcy tożsamości lub używanie adresu URL metadanych dostawcy tożsamości do automatycznej konfiguracji dostawcy tożsamości.

  7. Kliknij Zapisz.

Następnie prześlij certyfikat w formacie PEM lub PKCSS zgodnie z opisem w następnej sekcji.

Prześlij nowy certyfikat

Aby przesłać nowy certyfikat:

  1. Pobierz certyfikat do weryfikacji podpisu od dostawcy tożsamości SAML.

    Uwaga: certyfikat musi być w formacie PEM lub PKCSS. W razie potrzeby przekonwertuj certyfikat x509 na format PEM.

  2. Otwórz stronę administracji strefą logowania jednokrotnego Edge.

  3. Kliknij wiersz strefy tożsamości, do której chcesz przesłać nowy certyfikat.

  4. W sekcji Certyfikat kliknij .

  5. Kliknij Przeglądaj i przejdź do certyfikatu w katalogu lokalnym.

  6. Kliknij Otwórz, aby przesłać nowy certyfikat.
    Pola informacji o certyfikacie zostaną zaktualizowane zgodnie z wybranym certyfikatem.

  7. Sprawdź, czy certyfikat jest ważny i nie stracił ważności.

  8. Kliknij Zapisz.

Konwertowanie certyfikatu x509 do formatu PEM

Jeśli pobierzesz certyfikat x509, musisz przekonwertować go na format PEM.

Aby przekonwertować certyfikat x509 na format PEM:

  1. Skopiuj zawartość elementu ds:X509Certificate element z pliku metadanych dostawcy tożsamości SAML i wklej ją do ulubionego edytora tekstu.
  2. Na początku pliku dodaj ten wiersz:
    -----BEGIN CERTIFICATE-----
  3. Na dole pliku dodaj ten wiersz:
    -----END CERTIFICATE-----
  4. Zapisz plik z rozszerzeniem .pem.

Oto przykład zawartości pliku PEM:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Łączenie organizacji Edge ze strefą tożsamości

Aby połączyć organizację Edge ze strefą tożsamości:

  1. Otwórz stronę administracji strefą logowania jednokrotnego Edge.
  2. W sekcji Mapowanie organizacji w menu Strefa tożsamości wybierz strefę tożsamości powiązaną z organizacją, którą chcesz przypisać do strefy.
    Aby włączyć uwierzytelnianie podstawowe w organizacji, wybierz Brak (domyślne ustawienie Apigee).
  3. Aby potwierdzić zmianę, kliknij Potwierdź.

Dostęp do organizacji za pomocą strefy tożsamości

Adres URL, którego używasz do uzyskiwania dostępu do interfejsu Edge, jest określony przez nazwę strefy tożsamości:

https://zonename.apigee.com

Podobnie adres URL, którego używasz do uzyskiwania dostępu do klasycznego interfejsu Edge, wygląda tak:

https://zonename.enterprise.apigee.com

Na przykład firma Acme Inc. chce używać SAML i wybiera „acme” jako nazwę strefy. Klienci firmy Acme Inc. uzyskują dostęp do interfejsu Edge pod tym adresem URL:

https://acme.apigee.com

Strefa określa organizacje Edge, które obsługują SAML. Załóżmy, że firma Acme Inc. ma 3 organizacje: OrgA, OrgB i OrgC. Firma Acme może zdecydować, czy chce dodać do strefy SAML wszystkie organizacje, czy tylko ich podzbiór. Pozostałe organizacje nadal używają uwierzytelniania podstawowego lub tokenów OAuth2 wygenerowanych na podstawie danych logowania uwierzytelniania podstawowego.

Możesz zdefiniować wiele stref tożsamości. Wszystkie strefy można skonfigurować tak, aby korzystały z tego samego dostawcy tożsamości.

Na przykład firma Acme może zdefiniować strefę produkcyjną „acme-prod” zawierającą OrgAProd i OrgBProd oraz strefę testową „acme-test” zawierającą OrgATest, OrgBTest, OrgADev i OrgBDev.

Aby uzyskać dostęp do różnych stref, użyj tych adresów URL:

https://acme-prod.apigee.com
https://acme-test.apigee.com

Rejestrowanie użytkowników Edge za pomocą uwierzytelniania SAML

Po włączeniu SAML w organizacji musisz zarejestrować użytkowników SAML, którzy nie są jeszcze zarejestrowani w Twojej organizacji. Więcej informacji znajdziesz w artykule Zarządzanie użytkownikami organizacji.

Aktualizowanie skryptów w celu przekazywania tokenów dostępu OAuth2

Po włączeniu protokołu SAML uwierzytelnianie podstawowe jest wyłączone w przypadku interfejsu Edge API. Wszystkie skrypty (skrypty Maven, skrypty powłoki, apigeetool itp.), które korzystają z wywołań interfejsu Edge API obsługujących uwierzytelnianie podstawowe, przestaną działać. Musisz zaktualizować wywołania interfejsu API i skrypty, które korzystają z uwierzytelniania podstawowego, aby przekazywać tokeny dostępu OAuth2 w nagłówku Bearer. Więcej informacji znajdziesz w artykule Korzystanie z SAML w interfejsie Edge API.

Usuwanie strefy tożsamości

Aby usunąć strefę tożsamości:

  1. Otwórz stronę administracji strefą logowania jednokrotnego Edge.
  2. Umieść kursor na wierszu powiązanym ze strefą tożsamości, którą chcesz usunąć, aby wyświetlić menu działań.
  3. Kliknij .
  4. Aby potwierdzić usunięcie, kliknij Usuń.

Wylogowywanie się ze strony administracyjnej strefy SSO Edge

Ponieważ strefami tożsamości Edge zarządzasz poza organizacją, musisz wylogować się ze strony administracji strefą SSO Edge, a potem zalogować się w organizacji, aby mieć dostęp do innych funkcji Apigee Edge.