Edge for Private Cloud v. 4.17.05
Questo documento spiega come integrare un servizio di directory esterno in un'installazione esistente di Apigee Edge Private Cloud. Questa funzionalità è progettata per funzionare con qualsiasi servizio di directory che supporti LDAP, come Active Directory, OpenLDAP e altri. Qui sono inclusi tutti i passaggi per far funzionare Apigee Edge con il tuo servizio LDAP.
Una soluzione LDAP esterna consente agli amministratori di sistema di gestire le credenziali utente da un servizio di gestione delle directory centralizzato, esterno ai sistemi come Apigee Edge che le utilizzano. La funzionalità descritta in questo documento supporta l'autenticazione con associazione diretta e indiretta.
Pubblico
Questo documento presuppone che tu sia un amministratore di sistema globale di Apigee Edge for Private Cloud e che tu abbia un account per il servizio di directory esterno.
Panoramica
Per impostazione predefinita, Apigee Edge utilizza un'istanza OpenLDAP interna per archiviare le credenziali utilizzate per l'autenticazione degli utenti. Tuttavia, puoi configurare Edge in modo che utilizzi un servizio LDAP di autenticazione esterno anziché quello interno. La procedura per questa configurazione esterna è spiegata in questo documento.
Edge archivia anche le credenziali di autorizzazione di accesso basato sui ruoli in un'istanza LDAP interna separata. Indipendentemente dal fatto che tu configuri o meno un servizio di autenticazione esterno, le credenziali di autorizzazione vengono sempre archiviate in questa istanza LDAP interna. La procedura per aggiungere utenti presenti nel sistema LDAP esterno all'LDAP di autorizzazione Edge è spiegata in questo documento.
Tieni presente che l'autenticazione si riferisce alla convalida dell'identità di un utente, mentre l'autorizzazione si riferisce alla verifica del livello di autorizzazione concesso a un utente autenticato per l'utilizzo delle funzionalità di Apigee Edge.
Informazioni importanti sull'autenticazione e l'autorizzazione di Edge
È utile comprendere la differenza tra autenticazione e autorizzazione e il modo in cui Apigee Edge gestisce queste due attività.
Informazioni sull'autenticazione
Gli utenti che accedono ad Apigee Edge tramite l'interfaccia utente o le API devono essere autenticati. Per impostazione predefinita, le credenziali utente di Edge per l'autenticazione vengono archiviate in un'istanza OpenLDAP interna. In genere, gli utenti devono registrarsi o essere invitati a registrarsi per un account Apigee e, in quel momento, forniscono il proprio nome utente, indirizzo email, credenziali della password e altri metadati. Queste informazioni vengono archiviate e gestite dall'LDAP di autenticazione.
Tuttavia, se vuoi utilizzare un LDAP esterno per gestire le credenziali utente per conto di Edge, puoi farlo configurando Edge in modo che utilizzi il sistema LDAP esterno anziché quello interno. Quando è configurato un LDAP esterno, le credenziali utente vengono convalidate rispetto a questo archivio esterno, come spiegato in questo documento.
Informazioni sull'autorizzazione
Gli amministratori dell'organizzazione Edge possono concedere agli utenti autorizzazioni specifiche per interagire con le entità Apigee Edge, come proxy API, prodotti, cache, deployment e così via. Le autorizzazioni vengono concesse tramite l'assegnazione di ruoli agli utenti. Edge include diversi ruoli integrati e, se necessario, gli amministratori dell'organizzazione possono definire ruoli personalizzati. Ad esempio, a un utente può essere concessa l'autorizzazione (tramite un ruolo) per creare e aggiornare i proxy API, ma non per eseguirne il deployment in un ambiente di produzione.
La credenziale chiave utilizzata dal sistema di autorizzazione Edge è l'indirizzo email dell'utente. Questa credenziale (insieme ad altri metadati) viene sempre archiviata nell'LDAP di autorizzazione interno di Edge. Questo LDAP è completamente separato dall'LDAP di autenticazione (interno o esterno).
Gli utenti autenticati tramite un LDAP esterno devono anche essere sottoposti manualmente a provisioning nel sistema LDAP di autorizzazione. I dettagli sono spiegati in questo documento.
Per ulteriori informazioni sull'autorizzazione e sul controllo dell'accesso basato sui ruoli (RBAC), consulta Gestione degli utenti dell'organizzazione e Assegnazione dei ruoli.
Per una visione più approfondita, consulta anche Informazioni sui flussi di autenticazione e autorizzazione di Edge.
Informazioni sull'autenticazione con associazione diretta e indiretta
La funzionalità di autorizzazione esterna supporta l'autenticazione con binding sia diretto sia indiretto tramite il sistema LDAP esterno.
Riepilogo: l'autenticazione con associazione indiretta richiede una ricerca nell'LDAP esterno per trovare le credenziali corrispondenti all'indirizzo email, al nome utente o ad un altro ID fornito dall'utente al momento dell'accesso. Con l'autenticazione con associazione diretta, non viene eseguita alcuna ricerca: le credenziali vengono inviate e convalidate direttamente dal servizio LDAP. L'autenticazione con associazione diretta è considerata più efficiente perché non comporta alcuna ricerca.
Informazioni sull'autenticazione con associazione indiretta
Con l'autenticazione con associazione indiretta, l'utente inserisce una credenziale, ad esempio un indirizzo email, un nome utente o un altro attributo, ed Edge cerca questa credenziale/questo valore nel sistema di autenticazione. Se il risultato della ricerca ha esito positivo, il sistema estrae il DN LDAP dai risultati di ricerca e lo utilizza con una password fornita per autenticare l'utente.
Il punto chiave da sapere è che l'autenticazione con associazione indiretta richiede che il chiamante (ad es. Apigee Edge) fornisca credenziali di amministratore LDAP esterno in modo che Edge possa "accedere" all'LDAP esterno ed eseguire la ricerca. Devi fornire queste credenziali in un file di configurazione di Edge, descritto più avanti in questo documento. Vengono inoltre descritti i passaggi per criptare la credenziale della password.
Informazioni sull'autenticazione con associazione diretta
Con l'autenticazione con associazione diretta, Edge invia le credenziali inserite da un utente direttamente al sistema di autenticazione esterno. In questo caso, non viene eseguita alcuna ricerca nel sistema esterno. Le credenziali fornite possono essere accettate o rifiutate (ad esempio, se l'utente non è presente nel server LDAP esterno o se la password non è corretta, l'accesso non andrà a buon fine).
L'autenticazione con associazione diretta non richiede la configurazione delle credenziali di amministratore per il sistema di autenticazione esterno in Apigee Edge (come con l'autenticazione con associazione indiretta). Tuttavia, è necessario eseguire un semplice passaggio di configurazione, descritto più avanti in questo documento.