คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่
เอกสารประกอบของ Apigee X info
SAML อนุญาตให้ผู้ดูแลระบบบางรายควบคุมวิธีที่สมาชิกทั้งหมดในองค์กรตรวจสอบสิทธิ์ เมื่อใช้ Apigee Edge โดยการมอบสิทธิ์ให้กับเซิร์ฟเวอร์การลงชื่อเพียงครั้งเดียว (SSO) การใช้ SAML กับ Edge จะช่วยให้คุณรองรับ SSO สำหรับ UI และ API ของ Edge นอกเหนือจากบริการอื่นๆ ที่คุณให้บริการและรองรับ SAML ด้วย
หากต้องการเปิดใช้ SSO โดยใช้ SAML สำหรับพอร์ทัลแบบผสานรวม โปรดดูหัวข้อ กำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML
ทำความเข้าใจการจัดการโซนข้อมูลประจำตัวใน Edge
โซนข้อมูลประจำตัว คือขอบเขตการตรวจสอบสิทธิ์ที่กำหนด ผู้ให้บริการข้อมูลประจำตัวที่ใช้สำหรับการตรวจสอบสิทธิ์ และการกำหนดค่าที่กำหนดเองของประสบการณ์การลงทะเบียนและการลงชื่อเข้าใช้ของผู้ใช้ ผู้ใช้จะเข้าถึงเอนทิตีที่กำหนดขอบเขตไว้ในโซนข้อมูลประจำตัวได้ก็ต่อเมื่อตรวจสอบสิทธิ์กับผู้ให้บริการข้อมูลประจำตัวแล้วเท่านั้น
Apigee Edge รองรับประเภทการตรวจสอบสิทธิ์ที่อธิบายไว้ในตารางต่อไปนี้
| ประเภทการตรวจสอบสิทธิ์ | คำอธิบาย |
| ค่าเริ่มต้น | สร้างบัญชี Apigee Edge และลงชื่อเข้าใช้ UI ของ Edge โดยใช้ชื่อผู้ใช้และรหัสผ่าน เมื่อใช้ Edge API คุณจะใช้ข้อมูลเข้าสู่ระบบเดียวกันกับการตรวจสอบสิทธิ์พื้นฐานของ HTTP เพื่อให้สิทธิ์การเรียก |
| SAML | ภาษามาร์กอัปเพื่อยืนยันความปลอดภัย (SAML) เป็นโปรโตคอลมาตรฐานสำหรับสภาพแวดล้อมการลงชื่อเพียงครั้งเดียว (SSO) การตรวจสอบสิทธิ์ SSO โดยใช้ SAML ช่วยให้คุณลงชื่อเข้าใช้ Apigee Edge โดยใช้ข้อมูลเข้าสู่ระบบที่มีอยู่ได้โดยไม่ต้องสร้างบัญชีใหม่ |
หากต้องการรองรับการตรวจสอบสิทธิ์ SAML ให้สร้างโซนข้อมูลประจำตัวใหม่และกำหนดค่าผู้ให้บริการข้อมูลประจำตัว SAML ตามที่อธิบายไว้ในหัวข้อเปิดใช้ SAML
ข้อดีของการตรวจสอบสิทธิ์ SAML
การตรวจสอบสิทธิ์ SAML มีข้อดีหลายประการ การใช้ SAML ช่วยให้คุณทำสิ่งต่อไปนี้ได้
- ควบคุมการจัดการผู้ใช้ได้อย่างเต็มที่: เชื่อมต่อเซิร์ฟเวอร์ SAML ของบริษัทกับ Edge เมื่อผู้ใช้ออกจากองค์กร และถูกยกเลิกการจัดสรรทรัพยากรจากส่วนกลาง ระบบจะปฏิเสธการเข้าถึง Edge โดยอัตโนมัติ
- ควบคุมวิธีที่ผู้ใช้ตรวจสอบสิทธิ์เพื่อเข้าถึง Edge: เลือกประเภทการตรวจสอบสิทธิ์ที่แตกต่างกันสำหรับองค์กร Edge
- ควบคุมนโยบายการตรวจสอบสิทธิ์: ผู้ให้บริการ SAML อาจรองรับ นโยบายการตรวจสอบสิทธิ์ที่สอดคล้องกับมาตรฐานขององค์กรมากขึ้น
- ตรวจสอบการเข้าสู่ระบบ การออกจากระบบ การพยายามเข้าสู่ระบบที่ไม่สำเร็จ และกิจกรรมที่มีความเสี่ยงสูง ในการติดตั้งใช้งาน Edge
ข้อควรพิจารณา
ก่อนตัดสินใจใช้ SAML คุณควรพิจารณาข้อกำหนดต่อไปนี้
- ผู้ใช้ที่มีอยู่: คุณต้องเพิ่มผู้ใช้ทั้งหมดในองค์กรที่มีอยู่ลงในผู้ให้บริการข้อมูลประจำตัว SAML
- พอร์ทัล: หากคุณใช้พอร์ทัลนักพัฒนาซอฟต์แวร์ที่อิงตาม Drupal พอร์ทัลจะใช้ OAuth เพื่อเข้าถึง Edge และอาจต้องกำหนดค่าใหม่ก่อนจึงจะใช้งานได้
- การตรวจสอบสิทธิ์พื้นฐานจะถูกปิดใช้: คุณจะต้องแทนที่การตรวจสอบสิทธิ์พื้นฐานด้วย OAuth สำหรับสคริปต์ทั้งหมด
- ต้องแยก OAuth และ SAML ออกจากกัน: หากคุณใช้ทั้ง OAuth 2.0 และ SAML คุณต้องใช้เซสชันเทอร์มินัลแยกกันสำหรับขั้นตอน OAuth 2.0 และโฟลว์ SAML
วิธีที่ SAML ทำงานร่วมกับ Edge
ข้อกำหนดของ SAML กำหนดเอนทิตี 3 รายการ ได้แก่
- Principal (ผู้ใช้ UI ของ Edge)
- ผู้ให้บริการ (SSO ของ Edge)
- ผู้ให้บริการข้อมูลประจำตัว (ส่งคืนการยืนยันสิทธิ์ SAML)
เมื่อเปิดใช้ SAML แล้ว Principal (ผู้ใช้ UI ของ Edge) จะขอสิทธิ์เข้าถึงผู้ให้บริการ (SSO ของ Edge) จากนั้น SSO ของ Edge (ในบทบาทผู้ให้บริการ SAML) จะขอและรับการยืนยันสิทธิ์จากผู้ให้บริการข้อมูลประจำตัว SAML และใช้การยืนยันสิทธิ์ดังกล่าวเพื่อสร้างโทเค็น OAuth 2.0 ที่จำเป็นสำหรับการเข้าถึง UI ของ Edge จากนั้นระบบจะเปลี่ยนเส้นทางผู้ใช้ไปยัง UI ของ Edge
กระบวนการนี้แสดงไว้ด้านล่าง
ในแผนภาพนี้
- ผู้ใช้พยายามเข้าถึง UI ของ Edge โดยส่งคำขอไปยังโดเมนเข้าสู่ระบบสำหรับ SSO ของ Edge
ซึ่งรวมถึงชื่อโซน เช่น
https://zonename.login.apigee.com - ระบบจะเปลี่ยนเส้นทางคำขอที่ไม่ได้ตรวจสอบสิทธิ์ไปยัง
https://zonename.login.apigee.comไปยังผู้ให้บริการข้อมูลประจำตัว SAML ของลูกค้า เช่นhttps://idp.example.com - หากลูกค้าไม่ได้เข้าสู่ระบบผู้ให้บริการข้อมูลประจำตัว ระบบจะแจ้งให้ลูกค้าเข้าสู่ระบบ
- ผู้ให้บริการข้อมูลประจำตัว SAML จะตรวจสอบสิทธิ์ผู้ใช้ ผู้ให้บริการข้อมูลประจำตัว SAML จะสร้างและส่งคืนการยืนยันสิทธิ์ SAML 2.0 ไปยัง SSO ของ Edge
- SSO ของ Edge จะตรวจสอบการยืนยันสิทธิ์ แยกข้อมูลประจำตัวผู้ใช้ออกจากข้อมูลการยืนยันสิทธิ์ สร้าง
โทเค็นการตรวจสอบสิทธิ์ OAuth 2.0 สำหรับ UI ของ Edge และเปลี่ยนเส้นทางผู้ใช้ไปยังหน้า UI หลักของ Edge
ที่
https://zonename.apigee.com/platform/orgName
โดยที่ orgName คือชื่อองค์กร Edge
ดูเพิ่มเติมได้ที่หัวข้อเข้าถึง Edge API ด้วย SAML