Edge for Private Cloud v. 4.16.09
Auf der Apigee-Dokumentationswebsite finden Sie ausführliche Informationen zum Verwalten von Nutzerrollen und Berechtigungen. Nutzer können sowohl über die Edge-Benutzeroberfläche als auch über die Management API verwaltet werden. Rollen und Berechtigungen können nur mit der Management API verwaltet werden.
Informationen zu Nutzern und zum Erstellen von Nutzern finden Sie hier:
Für viele der Vorgänge, die Sie zur Verwaltung von Nutzern ausführen, sind Systemadministratorberechtigungen erforderlich. In einer cloudbasierten Installation von Edge fungiert Apigee als Systemadministrator. In einer Edge for Private Cloud-Installation muss Ihr Systemadministrator diese Aufgaben wie unten beschrieben ausführen.
Nutzer hinzufügen
Sie können einen Nutzer entweder mit der Edge API, der Edge-Benutzeroberfläche oder Edge-Befehlen erstellen. In diesem Abschnitt wird beschrieben, wie Sie die Edge API und Edge-Befehle verwenden. Informationen zum Erstellen von Nutzern in der Edge-Benutzeroberfläche finden Sie unter Globale Nutzer erstellen.
Nachdem Sie den Nutzer in einer Organisation erstellt haben, müssen Sie ihm eine Rolle zuweisen. Rollen bestimmen die Zugriffsrechte des Nutzers in Edge.
Verwenden Sie den folgenden Befehl, um einen Nutzer mit der Edge API zu erstellen:
curl -H "Content-Type:application/xml" -u <sysAdminEmail>:<passwd> \ -X POST http://<ms_IP>:8080/v1/users \ -d '<User> \ <FirstName>New</FirstName> \ <LastName>User</LastName> \ <Password>newUserPWord</Password> \ <EmailId>foo@bar.com</EmailId> \ </User>'
Oder verwenden Sie den folgenden Edge-Befehl, um einen Nutzer zu erstellen:
> /<inst_root>/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile
Dabei enthält die configFile die Informationen, die zum Erstellen des Nutzers erforderlich sind:
APIGEE_ADMINPW=sysAdminPW # If omitted, you will be prompted. USER_NAME=foo@bar.com FIRST_NAME=New LAST_NAME=User USER_PWD="newUserPWord" ORG_NAME=myorg
Mit diesem Aufruf können Sie dann Informationen zum Nutzer abrufen:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com
Nutzer einer Rolle in einer Organisation zuweisen
Bevor ein neuer Nutzer etwas tun kann, muss ihm eine Rolle in einer Organisation zugewiesen werden. Sie können dem Nutzer verschiedene Rollen zuweisen, darunter: orgadmin, businessuser, opsadmin, user oder eine benutzerdefinierte Rolle, die in der Organisation definiert ist.
Wenn Sie einem Nutzer eine Rolle in einer Organisation zuweisen, wird er automatisch der Organisation hinzugefügt. Sie können einen Nutzer mehreren Organisationen zuweisen, indem Sie ihm in jeder Organisation eine Rolle zuweisen.
Verwenden Sie den folgenden Befehl, um den Nutzer einer Rolle in einer Organisation zuzuweisen:
curl -X POST -H "Content-Type:application/x-www-form-urlencoded" / http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users?id=foo@bar.com / -u <sysAdminEmail>:<passwd>
Mit dem folgenden Befehl können Sie die Rollen des Nutzers aufrufen:
curl -u <sysAdminEmail>:<passwd> / http://<ms_IP>:8080/v1/users/foo@bar.com/userroles
Wenn Sie einen Nutzer aus einer Organisation entfernen möchten, entfernen Sie alle Rollen in dieser Organisation für den Nutzer. Verwenden Sie den folgenden Befehl, um einem Nutzer eine Rolle zu entziehen:
curl -X DELETE -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users/foo@bar.com
Systemadministrator hinzufügen
Ein Systemadministrator kann:
- Organisationen erstellen
- Router, Message Processors und andere Komponenten zu einer Edge-Installation hinzufügen
- TLS/SSL konfigurieren
- Zusätzliche Systemadministratoren erstellen
- Alle Edge-Verwaltungsaufgaben ausführen
Es gibt zwar nur einen Standardnutzer für Verwaltungsaufgaben, aber es kann mehr als einen Systemadministrator geben. Jeder Nutzer, der Mitglied der Rolle sysadmin ist, hat uneingeschränkte Berechtigungen für alle Ressourcen.
Sie können den Nutzer für den Systemadministrator entweder in der Edge-Benutzeroberfläche oder über die API erstellen. Sie müssen jedoch die Edge API verwenden, um den Nutzer der Rolle sysadmin zuzuweisen. Die Zuweisung eines Nutzers zur Rolle sysadmin kann nicht in der Edge-Benutzeroberfläche erfolgen.
So fügen Sie einen Systemadministrator hinzu:
- Erstellen Sie einen Nutzer in der Edge-Benutzeroberfläche oder über die API.
- Fügen Sie den Nutzer der Rolle sysadmin hinzu:
curl -u <sysAdminEmail>:<passwd> \
-X POST http://<ms_IP>:8080/v1/userroles/sysadmin/users \
-d 'id=foo@bar.com' - Prüfen Sie, ob der neue Nutzer die Rolle „sysadmin“ hat:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/userroles/sysadmin/users
Gibt die E-Mail-Adresse des Nutzers zurück:
[ " foo@bar.com " ] - Prüfen Sie die Berechtigungen des neuen Nutzers:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com/permissions
Gibt Folgendes zurück:
{
"resourcePermission" : [ {
"path" : "/",
"permissions" : [ "get", "put", "delete" ]
} ]
} - Nachdem Sie den neuen Systemadministrator hinzugefügt haben, können Sie den Nutzer zu beliebigen Organisationen hinzufügen.
Hinweis: Der neue Systemadministrator kann sich erst in der Edge-Benutzeroberfläche anmelden, wenn Sie ihn mindestens einer Organisation hinzugefügt haben. - Wenn Sie den Nutzer später aus der Rolle des Systemadministrators entfernen möchten, können Sie die folgende API verwenden:
curl -X DELETE -u <sysadminEmail:pword>
http://<ms_IP>:8080/v1/userroles/sysadmin/users/foo@bar.com
Beachten Sie, dass dieser Aufruf den Nutzer nur aus der Rolle entfernt, aber nicht löscht.
E-Mail-Domain eines Systemadministrators angeben
Als zusätzliche Sicherheitsstufe können Sie die erforderliche E-Mail-Domain eines Edge-Systemadministrators angeben. Wenn Sie einen Systemadministrator hinzufügen und die E-Mail-Adresse des Nutzers nicht in der angegebenen Domain liegt, schlägt das Hinzufügen des Nutzers zur Rolle sysadmin fehl.
Standardmäßig ist die erforderliche Domain leer. Das bedeutet, dass Sie der Rolle sysadmin eine beliebige E‑Mail-Adresse hinzufügen können.
So legen Sie die E‑Mail-Domain fest:
- Öffnen Sie management-server.properties in einem Editor:
vi /<inst_root>/apigee/customer/application/management-server.properties
Wenn diese Datei nicht vorhanden ist, erstellen Sie sie. - Legen Sie für das Attribut conf_security_rbac.global.roles.allowed.domains die durch Kommas getrennte Liste der zulässigen Domains fest. Beispiel:
conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com - Speichern Sie die Änderungen.
- Starten Sie den Edge Management Server neu:
/<inst_root>/apigee/apigee-service/bin/apigee-service edge-management-server restart
Wenn Sie jetzt versuchen, einen Nutzer zur Rolle „sysadmin“ hinzuzufügen, und die E-Mail-Adresse des Nutzers nicht in einer der angegebenen Domains enthalten ist, schlägt das Hinzufügen fehl.
Nutzer löschen
Sie können einen Nutzer entweder über die Edge API oder die Edge-Benutzeroberfläche erstellen. Sie können einen Nutzer jedoch nur über die API löschen.
Verwenden Sie den folgenden cURL-Befehl, um die Liste der aktuellen Nutzer einschließlich E-Mail-Adresse aufzurufen:
curl -u <sysAdminEmail>:<passwd> http://<ms-IP>:8080/v1/users
Verwenden Sie den folgenden cURL-Befehl, um einen Nutzer zu löschen:
curl -u <sysAdminEmail>:<passwd> -X DELETE http://<ms-IP>:8080/v1/users/<userEmail>