เปิดใช้ SAML (เบต้า)

คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่เอกสารประกอบของ Apigee X info

ส่วนนี้จะอธิบายวิธีเปิดใช้ SAML สำหรับ Apigee Edge เพื่อให้สามารถมอบสิทธิ์การตรวจสอบสิทธิ์สำหรับสมาชิกในองค์กรของคุณไปยังบริการระบุตัวตนของคุณเองได้ ดูภาพรวมของ SAML และการจัดการโซนข้อมูลประจำตัวใน Edge ได้ที่ภาพรวมของ SAML

เกี่ยวกับบทบาท zoneadmin

คุณต้องเป็น zoneadmin จึงจะจัดการโซนข้อมูลประจำตัวใน Edge ได้ บทบาท zoneadmin มีขั้นตอน CRUD เต็มรูปแบบสำหรับการจัดการโซนข้อมูลประจำตัวเท่านั้น

หากต้องการมอบหมายบทบาท zoneadmin ให้กับบัญชี Apigee Edge โปรดติดต่อทีมสนับสนุนของ Apigee Edge

ก่อนเริ่มต้น

ก่อนที่จะเริ่มต้น ให้รับข้อมูลต่อไปนี้จากผู้ให้บริการข้อมูลประจำตัว SAML บุคคลที่สาม

• ใบรับรองสำหรับการยืนยันลายเซ็น (รูปแบบ PEM หรือ PKCSS) หากจำเป็น ให้แปลงใบรับรอง x509 เป็นรูปแบบ PEM

• ข้อมูลการกำหนดค่า (กำหนดไว้ในตารางต่อไปนี้)

  การกำหนดค่า	คำอธิบาย
  URL การลงชื่อเข้าใช้	URL ที่ระบบเปลี่ยนเส้นทางผู้ใช้ไปเพื่อลงชื่อเข้าใช้ผู้ให้บริการข้อมูลประจำตัว SAML
  URL สำหรับออกจากระบบ	URL ที่ระบบเปลี่ยนเส้นทางผู้ใช้ไปเพื่อลงชื่อออกจากผู้ให้บริการข้อมูลประจำตัว SAML
  รหัสเอนทิตีของ IdP	URL ที่ไม่ซ้ำกันสำหรับผู้ให้บริการข้อมูลประจำตัวนี้ เช่น https://idp.example.com/saml

นอกจากนี้ ให้กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML บุคคลที่สามด้วยการตั้งค่าต่อไปนี้

• ตรวจสอบว่าได้แมปแอตทริบิวต์ NameID กับอีเมลของผู้ใช้แล้ว อีเมลของผู้ใช้ทำหน้าที่เป็นตัวระบุที่ไม่ซ้ำกันของบัญชีนักพัฒนาแอป Edge ตัวอย่างต่อไปนี้แสดงการใช้ Okta ซึ่งฟิลด์รูปแบบรหัสชื่อจะกำหนดแอตทริบิวต์ NameID

  

• (ไม่บังคับ) ตั้งค่าระยะเวลาเซสชันที่ตรวจสอบสิทธิ์เป็น 15 วันเพื่อให้ตรงกับระยะเวลาเซสชันที่ตรวจสอบสิทธิ์ของ Edge UI

สำรวจหน้าการดูแลระบบโซน SSO ของ Edge

จัดการโซนข้อมูลประจำตัวสำหรับ Edge โดยใช้หน้าการดูแลระบบโซน SSO ของ Edge หน้าการดูแลระบบโซน SSO ของ Edge อยู่ภายนอกองค์กร ซึ่งช่วยให้คุณกำหนดองค์กรหลายแห่งให้กับโซนข้อมูลประจำตัวเดียวกันได้

วิธีเข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge

1. ลงชื่อเข้าใช้ https://apigee.com/edge โดยใช้บัญชีผู้ใช้ Apigee Edge ที่มีสิทธิ์ของ zoneadmin
   
2. เลือกผู้ดูแลระบบ > SSO ในแถบนำทางด้านซ้าย
   

หน้าการดูแลระบบโซน SSO ของ Edge จะแสดงขึ้น (ภายนอกองค์กร)

ดังที่ไฮไลต์ในรูปภาพ หน้าการดูแลระบบโซน SSO ของ Edge ช่วยให้คุณทำสิ่งต่อไปนี้ได้

• ดูโซนข้อมูลประจำตัวทั้งหมด
• ดู URL การเข้าสู่ระบบของแต่ละโซน
• เพิ่มและลบโซนข้อมูลประจำตัว
• กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML
• เชื่อมต่อองค์กร Edge กับโซนข้อมูลประจำตัว
• ลบโซนระบุตัวตนของพอร์ทัล

เพิ่มโซนระบุตัวตน

วิธีเพิ่มโซนข้อมูลประจำตัว

1. เข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge
2. ในส่วนโซนข้อมูลประจำตัว ให้คลิก +

3. ป้อนชื่อและคำอธิบายสำหรับโซนข้อมูลประจำตัว
   ชื่อโซนต้องไม่ซ้ำกันในองค์กร Edge ทั้งหมด

   หมายเหตุ: Apigee ขอสงวนสิทธิ์ในการนำชื่อโซนใดๆ ที่ถือว่าไม่มีเหตุผลออก

4. ป้อนสตริงที่จะต่อท้ายโดเมนย่อย หากจำเป็น
   ตัวอย่างเช่น หาก acme คือชื่อโซน คุณอาจต้องการกำหนดโซนการผลิต acme-prod และโซนทดสอบ acme-test
   หากต้องการสร้างโซนการผลิต ให้ป้อน prod เป็นคำต่อท้ายโดเมนย่อย ในกรณีนี้ URL ที่ใช้เพื่อเข้าถึง UI ของ Edge จะเป็น acme-prod.apigee.com ตามที่อธิบายไว้ในเข้าถึงองค์กรโดยใช้โซนข้อมูลประจำตัว

   หมายเหตุ: คำต่อท้ายโดเมนย่อยที่ต่อท้ายต้องไม่ซ้ำกันในทุกโซน

5. คลิกตกลง

6. กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML

กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML

กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML โดยทำตามขั้นตอนต่อไปนี้

1. กำหนดค่าการตั้งค่า SAML
2. อัปโหลดใบรับรองใหม่
   หากจำเป็น ให้แปลงใบรับรอง x509 เป็นรูปแบบ PEM

กำหนดการตั้งค่า SAML

วิธีกำหนดค่าการตั้งค่า SAML

1. เข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge
2. คลิกแถวของโซนข้อมูลประจำตัวที่ต้องการกำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML
3. คลิก ในส่วน SAML Settings

4. คลิกคัดลอกข้าง SP Metadata URL
   

5. กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML โดยใช้ข้อมูลในไฟล์ข้อมูลเมตาของผู้ให้บริการ (SP)

   สำหรับผู้ให้บริการข้อมูลประจำตัว SAML บางราย ระบบจะแจ้งให้คุณระบุเฉพาะ URL ของข้อมูลเมตา สำหรับรายการอื่นๆ คุณจะต้องดึงข้อมูลที่เฉพาะเจาะจงจากไฟล์ข้อมูลเมตาและป้อนลงในแบบฟอร์ม
   
   ในกรณีหลัง ให้วาง URL ลงในเบราว์เซอร์เพื่อดาวน์โหลดไฟล์ข้อมูลเมตา SP และดึงข้อมูลที่จำเป็น ตัวอย่างเช่น คุณสามารถดึงรหัสเอนทิตีหรือ URL การลงชื่อเข้าใช้จากองค์ประกอบต่อไปนี้ในไฟล์ข้อมูลเมตาของ SP

   หมายเหตุ: ในไฟล์ข้อมูลเมตาของ SP ระบบจะอ้างอิง URL การลงชื่อเข้าใช้เป็น URL ของ AssertionConsumerService (ACS)

   • <md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" ID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" entityID="diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login">
   • <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://diyyaumzqchrbui-a5vnmu1sp8qzekbd.portal-login.apigee.com/saml/SSO/alias/diyyaumzqchrbui-a5vnmu1sp8qzekbd.apigee-saml-login" index="0" isDefault="true"/>

   หมายเหตุ: หากผู้ให้บริการข้อมูลประจำตัว SAML กำหนด ให้ตั้งค่าการจำกัดกลุ่มเป้าหมายเป็น zoneID.apigee-saml-login ซึ่งคุณคัดลอกจากองค์ประกอบ entityID ในไฟล์ข้อมูลเมตาของ SP ได้ (แสดงอยู่ด้านบน)

6. กำหนดค่าการตั้งค่า SAML สำหรับผู้ให้บริการข้อมูลประจำตัว SAML

   ในส่วน SAML Settings ให้แก้ไขค่าต่อไปนี้ที่ได้จากไฟล์ข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัว SAML

   การตั้งค่า SAML	คำอธิบาย
   URL การลงชื่อเข้าใช้	URL ที่ระบบเปลี่ยนเส้นทางผู้ใช้ไปเพื่อลงชื่อเข้าใช้ผู้ให้บริการข้อมูลประจำตัวของพอร์ทัล SAML เช่น https://dev-431871.oktapreview.com/app/googledev431871_devportalsaml_1/exkhgdyponHIp97po0h7/sso/saml
   URL สำหรับออกจากระบบ	URL ที่ระบบเปลี่ยนเส้นทางผู้ใช้ไปเพื่อลงชื่อออกจากผู้ให้บริการข้อมูลประจำตัวของพอร์ทัล SAML หมายเหตุ: หากผู้ให้บริการข้อมูลประจำตัว SAML ไม่ได้ระบุ URL การลงชื่อออก ให้เว้นช่องนี้ว่างไว้ ในกรณีนี้ ระบบจะตั้งค่าเป็นค่าเดียวกับที่ใช้สำหรับ URL การลงชื่อเข้าใช้
   รหัสเอนทิตีของ IdP	URL ที่ไม่ซ้ำกันสำหรับผู้ให้บริการข้อมูลประจำตัว SAML เช่น http://www.okta.com/exkhgdyponHIp97po0h7 หมายเหตุ: ช่องนี้อาจมีชื่อแตกต่างกัน เช่น Entity ID, SP Entity ID, Audience URI เป็นต้น ขึ้นอยู่กับผู้ให้บริการข้อมูลประจำตัว SAML

   หมายเหตุ: Apigee SSO ไม่รองรับฟีเจอร์ 2 รายการต่อไปนี้

   • รีเฟรชใบรับรอง IdP โดยอัตโนมัติโดยใช้ URL ของข้อมูลเมตาของ IdP และดาวน์โหลดข้อมูลเมตาเป็นระยะๆ เพื่ออัปเดตการเปลี่ยนแปลงในฝั่งผู้ให้บริการ Apigee SSO
   • อัปโหลดไฟล์ XML ข้อมูลเมตาของ IdP ทั้งหมดหรือใช้ URL ข้อมูลเมตาของ IdP สำหรับการกำหนดค่า IdP อัตโนมัติ

7. คลิกบันทึก

จากนั้นอัปโหลดใบรับรองในรูปแบบ PEM หรือ PKCSS ตามที่อธิบายไว้ในส่วนถัดไป

อัปโหลดใบรับรองใหม่

วิธีอัปโหลดใบรับรองใหม่

1. ดาวน์โหลดใบรับรองสำหรับการยืนยันลายเซ็นจากผู้ให้บริการข้อมูลประจำตัว SAML

   หมายเหตุ: ใบรับรองต้องอยู่ในรูปแบบ PEM หรือ PKCSS หากจำเป็น ให้แปลงใบรับรอง x509 เป็นรูปแบบ PEM

2. เข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge

3. คลิกแถวของโซนข้อมูลประจำตัวที่คุณต้องการอัปโหลดใบรับรองใหม่

4. ในส่วนใบรับรอง ให้คลิก

5. คลิกเรียกดู แล้วไปที่ใบรับรองในไดเรกทอรีในเครื่อง

6. คลิกเปิดเพื่ออัปโหลดใบรับรองใหม่
   ระบบจะอัปเดตฟิลด์ข้อมูลใบรับรองให้สอดคล้องกับใบรับรองที่เลือก
   

7. ตรวจสอบว่าใบรับรองถูกต้องและยังไม่หมดอายุ

8. คลิกบันทึก

แปลงใบรับรอง x509 เป็นรูปแบบ PEM

หากดาวน์โหลดใบรับรอง x509 คุณจะต้องแปลงเป็นรูปแบบ PEM

วิธีแปลงใบรับรอง x509 เป็นรูปแบบ PEM

1. คัดลอกเนื้อหาของ ds:X509Certificate element จากไฟล์ข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัว SAML แล้ววางลงในโปรแกรมแก้ไขข้อความที่คุณชื่นชอบ
2. เพิ่มบรรทัดต่อไปนี้ที่ด้านบนของไฟล์
   -----BEGIN CERTIFICATE-----
3. เพิ่มบรรทัดต่อไปนี้ที่ด้านล่างของไฟล์
   -----END CERTIFICATE-----
4. บันทึกไฟล์โดยใช้นามสกุล .pem

ต่อไปนี้เป็นตัวอย่างเนื้อหาไฟล์ PEM

-----BEGIN CERTIFICATE-----
MIICMzCCAZygAwIBAgIJALiPnVsvq8dsMA0GCSqGSIb3DQEBBQUAMFMxCzAJBgNV
BAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNVBAcTA2ZvbzEMMAoGA1UEChMDZm9v
MQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2ZvbzAeFw0xMzAzMTkxNTQwMTlaFw0x
ODAzMTgxNTQwMTlaMFMxCzAJBgNVBAYTAlVTMQwwCgYDVQQIEwNmb28xDDAKBgNV
BAcTA2ZvbzEMMAoGA1UEChMDZm9vMQwwCgYDVQQLEwNmb28xDDAKBgNVBAMTA2Zv
bzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAzdGfxi9CNbMf1UUcvDQh7MYB
OveIHyc0E0KIbhjK5FkCBU4CiZrbfHagaW7ZEcN0tt3EvpbOMxxc/ZQU2WN/s/wP
xph0pSfsfFsTKM4RhTWD2v4fgk+xZiKd1p0+L4hTtpwnEw0uXRVd0ki6muwV5y/P
+5FHUeldq+pgTcgzuK8CAwEAAaMPMA0wCwYDVR0PBAQDAgLkMA0GCSqGSIb3DQEB
BQUAA4GBAJiDAAtY0mQQeuxWdzLRzXmjvdSuL9GoyT3BF/jSnpxz5/58dba8pWen
v3pj4P3w5DoOso0rzkZy2jEsEitlVM2mLSbQpMM+MUVQCQoiG6W9xuCFuxSrwPIS
pAqEAuV4DNoxQKKWmhVv+J0ptMWD25Pnpxeq5sXzghfJnslJlQND
-----END CERTIFICATE-----

เชื่อมต่อองค์กร Edge กับโซนข้อมูลประจำตัว

วิธีเชื่อมต่อองค์กร Edge กับโซนข้อมูลประจำตัว

1. เข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge
2. ในส่วนการแมปองค์กร ให้เลือกโซนข้อมูลประจำตัวในเมนูแบบเลื่อนลงโซนข้อมูลประจำตัวที่เชื่อมโยงกับองค์กรที่ต้องการกำหนดให้กับโซน
   เลือกไม่มี (ค่าเริ่มต้นของ Apigee) เพื่อเปิดใช้การตรวจสอบสิทธิ์พื้นฐานสำหรับองค์กร
3. คลิกยืนยันเพื่อยืนยันการเปลี่ยนแปลง

เข้าถึงองค์กรโดยใช้โซนข้อมูลประจำตัว

URL ที่คุณใช้เพื่อเข้าถึง UI ของ Edge จะกำหนดโดยชื่อของโซนข้อมูลประจำตัวของคุณ ดังนี้

https://zonename.apigee.com

ในทำนองเดียวกัน URL ที่คุณใช้เพื่อเข้าถึง UI ของ Edge แบบคลาสสิกคือ

https://zonename.enterprise.apigee.com

ตัวอย่างเช่น บริษัท Acme Inc. ต้องการใช้ SAML และเลือก "acme" เป็นชื่อโซน จากนั้นลูกค้าของ Acme Inc. จะเข้าถึง UI ของ Edge ได้ด้วย URL ต่อไปนี้

https://acme.apigee.com

โซนจะระบุองค์กร Edge ที่รองรับ SAML ตัวอย่างเช่น Acme Inc. มีองค์กร 3 แห่ง ได้แก่ OrgA, OrgB และ OrgC Acme สามารถเลือกที่จะเพิ่มองค์กรทั้งหมดลงในโซน SAML หรือเฉพาะ ชุดย่อย ส่วนองค์กรที่เหลือจะยังคงใช้โทเค็นการตรวจสอบสิทธิ์พื้นฐานหรือโทเค็น OAuth2 ที่สร้างจาก ข้อมูลเข้าสู่ระบบการตรวจสอบสิทธิ์พื้นฐาน

คุณกำหนดโซนข้อมูลประจำตัวได้หลายโซน จากนั้นจะกำหนดค่าโซนทั้งหมดให้ใช้ผู้ให้บริการข้อมูลประจำตัวเดียวกันได้

ตัวอย่างเช่น Acme อาจต้องการกำหนดโซนการผลิต "acme-prod" ที่มี OrgAProd และ OrgBProd รวมถึงโซนทดสอบ "acme-test" ที่มี OrgATest, OrgBTest, OrgADev และ OrgBDev

จากนั้นใช้ URL ต่อไปนี้เพื่อเข้าถึงโซนต่างๆ

https://acme-prod.apigee.com
https://acme-test.apigee.com

ลงทะเบียนผู้ใช้ Edge ด้วยการตรวจสอบสิทธิ์ SAML

หลังจากเปิดใช้ SAML สําหรับองค์กรแล้ว คุณต้องลงทะเบียนผู้ใช้ SAML ที่ยังไม่ได้ลงทะเบียนกับองค์กร ดูข้อมูลเพิ่มเติมได้ที่จัดการผู้ใช้ในองค์กร

อัปเดตสคริปต์เพื่อส่งโทเค็นเพื่อการเข้าถึง OAuth2

หลังจากเปิดใช้ SAML แล้ว ระบบจะปิดใช้การตรวจสอบสิทธิ์พื้นฐานสำหรับ Edge API สคริปต์ทั้งหมด (สคริปต์ Maven, สคริปต์ Shell, apigeetool และอื่นๆ) ที่อาศัยการเรียก Edge API ที่รองรับการตรวจสอบสิทธิ์พื้นฐานจะใช้งานไม่ได้อีกต่อไป คุณต้องอัปเดตการเรียก API และ สคริปต์ที่ใช้การตรวจสอบสิทธิ์แบบพื้นฐานเพื่อส่งโทเค็นเพื่อการเข้าถึง OAuth2 ในส่วนหัวของ Bearer ดูการใช้ SAML กับ Edge API

ลบโซนข้อมูลประจำตัว

วิธีลบโซนข้อมูลประจำตัว

1. เข้าถึงหน้าการดูแลระบบโซน SSO ของ Edge
2. วางเคอร์เซอร์เหนือแถวที่เชื่อมโยงกับโซนข้อมูลระบุตัวตนที่ต้องการลบเพื่อแสดงเมนูการดำเนินการ
3. คลิก
4. คลิกลบเพื่อยืนยันการดำเนินการลบ

ออกจากระบบหน้าการดูแลระบบโซน SSO ของ Edge

เนื่องจากคุณจัดการโซนข้อมูลประจำตัวของ Edge นอกองค์กร คุณจะต้องออกจากระบบหน้าการดูแลระบบโซน SSO ของ Edge แล้วลงชื่อเข้าใช้องค์กรเพื่อให้เข้าถึงฟีเจอร์อื่นๆ ของ Apigee Edge ได้