Descripción general de la autenticación externa de IdP (nueva IU de Edge)

La IU de Edge y la API de administración de Edge operan mediante solicitudes al servidor de administración de Edge, en el que el servidor de administración admite los siguientes tipos de autenticación:

  • Autenticación básica: Accede a la IU de Edge o pasa tu nombre de usuario y contraseña para realizar solicitudes a la API de Edge Management.
  • OAuth2: intercambia tus credenciales de autenticación básica de Edge por un token de acceso de OAuth2 y un token de actualización. Realiza llamadas a la API de Edge Management. Para ello, pasa el token de acceso de OAuth2 en el encabezado del portador de una llamada a la API.

Edge admite el uso de los siguientes proveedores de identificación externos (IdP) para la autenticación:

  • Lenguaje de marcado para confirmaciones de seguridad (SAML) 2.0:Genera acceso de OAuth a partir de las aserciones de SAML que muestra un proveedor de identidad de SAML.
  • Protocolo ligero de acceso a directorios (LDAP): Usa los métodos de autenticación de búsqueda y vinculación de LDAP o de vinculación simple para generar tokens de acceso OAuth.

Tanto los IdP de SAML como los IdP de LDAP admiten un entorno de inicio de sesión único (SSO). Si usas un IdP externo con Edge, puedes admitir el SSO para la IU y la API de Edge, además de cualquier otro servicio que proporciones y que también admita el IdP externo.

Las instrucciones de esta sección para habilitar la compatibilidad con IdP externo difieren de la autenticación externa en los siguientes aspectos:

  • En esta sección, se agrega la compatibilidad con el SSO
  • Esta sección está destinada a los usuarios de la IU de Edge (no de la IU clásica)
  • Esta sección solo es compatible con la versión 4.19.06 y posteriores.

Acerca del SSO de Apigee

Para admitir SAML o LDAP en Edge, instala apigee-sso, el módulo de SSO de Apigee. En la siguiente imagen, se muestra el SSO de Apigee en una instalación de Edge para nube privada:

Uso de puertos para SSO de Apigee

Puedes instalar el módulo de SSO de Apigee en el mismo nodo que la IU y el servidor de administración de Edge, o bien en su propio nodo. Asegúrate de que el SSO de Apigee tenga acceso al servidor de administración a través del puerto 8080.

El puerto 9099 debe estar abierto en el nodo SSO de Apigee para admitir el acceso al SSO de Apigee desde un navegador, desde el IdP externo de SAML o LDAP, y desde el servidor de administración y la IU de Edge. Como parte de la configuración del SSO de Apigee, puedes especificar que la conexión externa use HTTP o el protocolo HTTPS encriptado.

El SSO de Apigee usa una base de datos de Postgres a la que se puede acceder en el puerto 5432 del nodo de Postgres. Por lo general, puedes usar el mismo servidor Postgres que instalaste con Edge, ya sea un servidor Postgres independiente o dos servidores Postgres configurados en modo principal/en espera. Si la carga en tu servidor de Postgres es alta, también puedes crear un nodo de Postgres independiente solo para el SSO de Apigee.

Se agregó compatibilidad con OAuth2 para Edge en la nube privada

Como se mencionó antes, la implementación de Edge de SAML se basa en tokens de acceso de OAuth2.Por lo tanto, se agregó compatibilidad con OAuth2 a Edge para la nube privada. Para obtener más información, consulta Introducción a OAuth 2.0.

Acerca de SAML

La autenticación de SAML ofrece varias ventajas. Si utiliza SAML, puede hacer lo siguiente:

  • Toma el control total de la administración de usuarios. Cuando los usuarios abandonan la organización y se desaprovisionan de forma centralizada, se les niega el acceso a Edge automáticamente.
  • Controla cómo se autentican los usuarios para acceder a Edge. Puedes elegir diferentes tipos de autenticación para distintas organizaciones de Edge.
  • Controla las políticas de autenticación. Es posible que tu proveedor de SAML admita políticas de autenticación que estén más alineadas con los estándares de tu empresa.
  • Puedes supervisar los accesos, las salidas, los intentos de acceso fallidos y las actividades de alto riesgo en la implementación de Edge.

Cuando SAML está habilitado, el acceso a la IU de Edge y a la API de Edge Management usa tokens de acceso de OAuth2. El módulo de SSO de Apigee genera estos tokens, que acepta aserciones de SAML que muestra el IdP.

Una vez generado a partir de una aserción de SAML, el token de OAuth es válido por 30 minutos, y el token de actualización es válido por 24 horas. Tu entorno de desarrollo puede admitir la automatización para tareas de desarrollo comunes, como la automatización de pruebas o la integración continua/implementación continua (CI/CD), que requieren tokens con una duración más larga. Consulta Usa SAML con tareas automatizadas si quieres obtener información sobre la creación de tokens especiales para tareas automatizadas.

Acerca de LDAP

El Protocolo ligero de acceso a directorios (LDAP) es un protocolo de aplicación estándar de la industria abierto para acceder a servicios de información de directorio distribuido y mantenerlos. Los servicios de directorio pueden proporcionar cualquier conjunto organizado de registros, a menudo con una estructura jerárquica, como un directorio de correo electrónico corporativo.

La autenticación LDAP dentro del SSO de Apigee usa el módulo LDAP de Spring Security. Como resultado, los métodos de autenticación y las opciones de configuración para la compatibilidad con LDAP del SSO de Apigee se correlacionan directamente con los que se encuentran en el LDAP de Spring Security.

LDAP con Edge para la nube privada admite los siguientes métodos de autenticación en un servidor compatible con LDAP:

  • Búsqueda y vinculación (vinculación indirecta)
  • Enlace simple (vinculación directa)

El SSO de Apigee intenta recuperar la dirección de correo electrónico del usuario y actualizar su registro de usuario interno con ella para que haya una dirección de correo electrónico actual registrada, ya que Edge usa este correo electrónico con fines de autorización.

URLs de IU y API de Edge

La URL que usas para acceder a la IU de Edge y a la API de Edge Management es la misma que se usó antes de habilitar SAML o LDAP. Para la IU de Edge:

http://edge_UI_IP_DNS:9000
https://edge_UI_IP_DNS:9000

En el ejemplo anterior, edge_UI_IP_DNS es la dirección IP o el nombre de DNS de la máquina que aloja la IU de Edge. Como parte de la configuración de la IU de Edge, puedes especificar que la conexión use HTTP o el protocolo HTTPS encriptado.

Para la API de Edge Management, haz lo siguiente:

http://ms_IP_DNS:8080/v1
https://ms_IP_DNS:8080/v1

En el ejemplo anterior, ms_IP_DNS es la dirección IP o el nombre de DNS del servidor de administración. Como parte de la configuración de la API, puedes especificar que la conexión use HTTP o el protocolo HTTPS encriptado.

Configura TLS en el SSO de Apigee

De forma predeterminada, la conexión al SSO de Apigee usa HTTP a través del puerto 9099 en el nodo que aloja apigee-sso, el módulo del SSO de Apigee. Una instancia de Tomcat integrada en apigee-sso controla las solicitudes HTTP y HTTPS.

El SSO de Apigee y Tomcat admiten tres modos de conexión:

  • PREDETERMINADO: La configuración predeterminada admite solicitudes HTTP en el puerto 9099.
  • SSL_TERMINATION: Se habilitó el acceso TLS al SSO de Apigee en el puerto que elijas. Debes especificar una clave y un certificado de TLS para este modo.
  • SSL_PROXY: configura el SSO de Apigee en modo proxy, lo que significa que instalaste un balanceador de cargas frente a apigee-sso y finalizaste TLS en el balanceador de cargas. Puedes especificar el puerto que se usa en apigee-sso para las solicitudes del balanceador de cargas.

Habilitar la compatibilidad del IdP externo para el portal

Después de habilitar la compatibilidad con IdP externo para Edge, puedes habilitarla de manera opcional para el portal de servicios para desarrolladores de Apigee (o simplemente, el portal). El portal admite la autenticación SAML y LDAP cuando se realizan solicitudes a Edge. Ten en cuenta que esta opción es diferente de la autenticación SAML y LDAP para el acceso de los desarrolladores al portal. Debes configurar la autenticación de IdP externo para el acceso del desarrollador por separado. Consulta Configura el portal para usar IdP para obtener más información.

Como parte de la configuración del portal, debes especificar la URL del módulo de SSO de Apigee que instalaste con Edge:

El flujo de solicitud/respuesta con tokens