Edge for Private Cloud v. 4.16.09
In diesem Dokument wird erläutert, wie Sie einen externen Verzeichnisdienst in eine vorhandene Apigee Edge Private Cloud-Installation einbinden. Diese Funktion ist für alle Verzeichnisdienste konzipiert, die LDAP unterstützen, z. B. Active Directory und OpenLDAP. Hier finden Sie alle Schritte, die erforderlich sind, damit Apigee Edge mit Ihrem LDAP-Dienst funktioniert.
Mit einer externen LDAP-Lösung können Systemadministratoren Nutzeranmeldedaten über einen zentralen Verzeichnisverwaltungsdienst verwalten, der sich außerhalb von Systemen wie Apigee Edge befindet, die diese verwenden. Die in diesem Dokument beschriebene Funktion unterstützt sowohl die direkte als auch die indirekte Bindungsauthentifizierung.
Zielgruppe
In diesem Dokument wird davon ausgegangen, dass Sie ein globaler Systemadministrator für Apigee Edge for Private Cloud sind und ein Konto beim externen Verzeichnisdienst haben.
Übersicht
Standardmäßig verwendet Apigee Edge eine interne OpenLDAP-Instanz, um Anmeldedaten zu speichern, die für die Nutzerauthentifizierung verwendet werden. Sie können Edge jedoch so konfigurieren, dass anstelle des internen ein externer LDAP-Authentifizierungsdienst verwendet wird. Das Verfahren für diese externe Konfiguration wird in diesem Dokument erläutert.
Edge speichert auch rollenbasierte Anmeldedaten für die Zugriffsautorisierung in einer separaten, internen LDAP-Instanz. Unabhängig davon, ob Sie einen externen Authentifizierungsdienst konfigurieren, werden Autorisierungsanmeldedaten immer in dieser internen LDAP-Instanz gespeichert. In diesem Dokument wird beschrieben, wie Sie Nutzer, die im externen LDAP-System vorhanden sind, dem Edge-Autorisierungs-LDAP hinzufügen.
Beachten Sie, dass sich die Authentifizierung auf die Validierung der Identität eines Nutzers bezieht, während sich die Autorisierung auf die Überprüfung der Berechtigungsstufe bezieht, die einem authentifizierten Nutzer zur Verwendung von Apigee Edge-Features gewährt wird.
Wissenswertes über die Edge-Authentifizierung und -Autorisierung
Es ist hilfreich, den Unterschied zwischen Authentifizierung und Autorisierung zu kennen und zu wissen, wie Apigee Edge diese beiden Aktivitäten verwaltet.
Authentifizierung
Nutzer, die über die Benutzeroberfläche oder APIs auf Apigee Edge zugreifen, müssen authentifiziert werden. Standardmäßig werden Edge-Nutzeranmeldedaten für die Authentifizierung in einer internen OpenLDAP-Instanz gespeichert. In der Regel müssen sich Nutzer für ein Apigee-Konto registrieren oder werden dazu aufgefordert. Dabei geben sie ihren Nutzernamen, ihre E-Mail-Adresse, ihre Passwortanmeldedaten und andere Metadaten an. Diese Informationen werden im Authentifizierungs-LDAP gespeichert und von diesem verwaltet.
Wenn Sie jedoch ein externes LDAP verwenden möchten, um Nutzeranmeldedaten im Namen von Edge zu verwalten, können Sie Edge so konfigurieren, dass das externe LDAP-System anstelle des internen verwendet wird. Wenn ein externes LDAP konfiguriert ist, werden die Nutzeranmeldedaten mit diesem externen Speicher abgeglichen, wie in diesem Dokument erläutert.
Informationen zur Autorisierung
Edge-Organisationsadministratoren können Nutzern bestimmte Berechtigungen für die Interaktion mit Apigee Edge-Entitäten wie API-Proxys, Produkten, Caches, Bereitstellungen usw. gewähren. Berechtigungen werden durch die Zuweisung von Rollen an Nutzer gewährt. Edge enthält mehrere integrierte Rollen. Bei Bedarf können Organisationsadministratoren benutzerdefinierte Rollen definieren. Beispielsweise kann einem Nutzer (über eine Rolle) die Autorisierung erteilt werden, API-Proxys zu erstellen und zu aktualisieren, aber nicht, sie in einer Produktionsumgebung bereitzustellen.
Die vom Edge-Autorisierungssystem verwendeten Schlüsselanmeldedaten sind die E-Mail-Adresse des Nutzers. Diese Anmeldedaten werden (zusammen mit einigen anderen Metadaten) immer im internen Autorisierungs-LDAP von Edge gespeichert. Dieses LDAP ist vollständig vom Authentifizierungs-LDAP (intern oder extern) getrennt.
Nutzer, die über ein externes LDAP authentifiziert werden, müssen auch manuell im Autorisierungs-LDAP-System bereitgestellt werden. Details werden in diesem Dokument erläutert.
Weitere Informationen zur Autorisierung und RBAC finden Sie unter Organisationsnutzer verwalten und Rollen zuweisen.
Weitere Informationen finden Sie unter Edge-Authentifizierungs- und Autorisierungsabläufe.
Direkte und indirekte Bindungsauthentifizierung
Die externe Autorisierung unterstützt sowohl die direkte als auch die indirekte Bindungsauthentifizierung über das externe LDAP-System.
Zusammenfassung: Für die Authentifizierung mit indirekter Bindung ist eine Suche im externen LDAP nach Anmeldedaten erforderlich, die mit der E-Mail-Adresse, dem Nutzernamen oder einer anderen ID übereinstimmen, die der Nutzer bei der Anmeldung angegeben hat. Bei der Authentifizierung mit direkter Bindung wird keine Suche durchgeführt. Die Anmeldedaten werden direkt an den LDAP-Dienst gesendet und von diesem validiert. Die Authentifizierung mit direkter Bindung gilt als effizienter, da keine Suche erforderlich ist.
Informationen zur Authentifizierung mit indirekter Bindung
Bei der Authentifizierung mit indirekter Bindung gibt der Nutzer Anmeldedaten wie eine E-Mail-Adresse, einen Nutzernamen oder ein anderes Attribut ein und Edge sucht im Authentifizierungssystem nach diesen Anmeldedaten bzw. diesem Wert. Wenn das Suchergebnis erfolgreich ist, extrahiert das System den LDAP-DN aus den Suchergebnissen und verwendet ihn mit einem angegebenen Passwort, um den Nutzer zu authentifizieren.
Der wichtigste Punkt ist, dass für die Authentifizierung mit indirekter Bindung der Aufrufer (z.B. Apigee Edge) externe LDAP-Administratoranmeldedaten bereitstellen muss, damit sich Edge beim externen LDAP „anmelden“ und die Suche durchführen kann. Sie müssen diese Anmeldedaten in einer Edge-Konfigurationsdatei angeben, die später in diesem Dokument beschrieben wird. Außerdem werden die Schritte zum Verschlüsseln der Passwort-Anmeldedaten beschrieben.
Authentifizierung mit direkter Bindung
Bei der Authentifizierung mit direkter Bindung sendet Edge die von einem Nutzer eingegebenen Anmeldedaten direkt an das externe Authentifizierungssystem. In diesem Fall wird keine Suche im externen System durchgeführt. Entweder sind die angegebenen Anmeldedaten korrekt oder nicht. Wenn der Nutzer beispielsweise nicht im externen LDAP vorhanden ist oder das Passwort falsch ist, schlägt die Anmeldung fehl.
Bei der Authentifizierung mit direkter Bindung müssen Sie keine Administrator-Anmeldedaten für das externe Authentifizierungssystem in Apigee Edge konfigurieren (wie bei der Authentifizierung mit indirekter Bindung). Es gibt jedoch einen einfachen Konfigurationsschritt, den Sie ausführen müssen und der später in diesem Dokument beschrieben wird.