Edge for Private Cloud версии 4.17.05
В этом документе объясняется, как интегрировать внешнюю службу каталогов в существующую установку Apigee Edge Private Cloud. Эта функция совместима с любой службой каталогов, поддерживающей LDAP, например Active Directory, OpenLDAP и т. д. Здесь приведены все шаги, необходимые для того, чтобы Apigee Edge работал с вашим сервисом LDAP.
Внешнее решение LDAP позволяет системным администраторам управлять учетными данными пользователей из централизованной службы управления каталогами, внешней по отношению к системам, которые их используют, например Apigee Edge. Функция, описанная в этом документе, поддерживает аутентификацию как с прямой, так и с косвенной привязкой.
Аудитория
Предполагается, что вы являетесь глобальным системным администратором Apigee Edge для частного облака и у вас есть аккаунт внешней службы каталогов.
Обзор
По умолчанию Apigee Edge использует внутренний экземпляр OpenLDAP для хранения учетных данных, которые используются для аутентификации пользователей. Однако вы можете настроить Edge для использования внешнего сервиса аутентификации LDAP вместо внутреннего. Процедура этой внешней конфигурации описана в этом документе.
Edge также хранит учетные данные авторизации для доступа на основе ролей в отдельном внутреннем экземпляре LDAP. Независимо от того, настроите ли вы внешний сервис аутентификации, учетные данные для авторизации всегда хранятся в этом внутреннем экземпляре LDAP. В этом документе объясняется, как добавить пользователей, которые существуют во внешней системе LDAP, в LDAP авторизации Edge.
Обратите внимание, что аутентификация – это проверка личности пользователя, а авторизация – это проверка уровня разрешений, предоставленных аутентифицированному пользователю для использования функций Apigee Edge.
Что нужно знать об аутентификации и авторизации в Edge
Важно понимать разницу между аутентификацией и авторизацией и то, как Apigee Edge управляет этими двумя действиями.
Об аутентификации
Пользователи, которые получают доступ к Apigee Edge через интерфейс или API, должны пройти аутентификацию. По умолчанию учетные данные пользователей Edge для аутентификации хранятся во внутреннем экземпляре OpenLDAP. Обычно пользователям необходимо зарегистрироваться или получить запрос на регистрацию аккаунта Apigee, указав имя пользователя, адрес электронной почты, пароль и другие метаданные. Эта информация хранится в LDAP-каталоге аутентификации и управляется им.
Однако если вы хотите использовать внешний LDAP для управления учетными данными пользователей от имени Edge, вы можете сделать это, настроив Edge на использование внешней системы LDAP вместо внутренней. Если настроен внешний LDAP, учетные данные пользователей проверяются по этому внешнему хранилищу, как описано в этом документе.
Об авторизации
Администраторы организации Edge могут предоставлять пользователям определенные разрешения на взаимодействие с объектами Apigee Edge, такими как прокси-серверы API, продукты, кеши, развертывания и т. д. Разрешения предоставляются путем назначения ролей пользователям. В Edge есть несколько встроенных ролей, а при необходимости администраторы организации могут создавать собственные роли. Например, пользователю может быть предоставлено разрешение (через роль) на создание и обновление прокси-серверов API, но не на их развертывание в рабочей среде.
Ключевыми учетными данными, используемыми системой авторизации Edge, является адрес электронной почты пользователя. Эти учетные данные (вместе с некоторыми другими метаданными) всегда хранятся во внутреннем LDAP-каталоге авторизации Edge. Этот LDAP-сервер полностью отделен от LDAP-сервера аутентификации (внутреннего или внешнего).
Пользователи, прошедшие аутентификацию через внешний LDAP, также должны быть вручную добавлены в систему авторизации LDAP. Подробная информация приведена в этом документе.
Дополнительные сведения об авторизации и RBAC можно найти в статьях Управление пользователями организации и Назначение ролей.
Подробную информацию вы найдете в статье Общие сведения о процессах аутентификации и авторизации в Edge.
Прямая и косвенная аутентификация с привязкой
Функция внешней авторизации поддерживает как прямую, так и косвенную аутентификацию с привязкой через внешнюю систему LDAP.
Общие сведения. При аутентификации с косвенным связыванием требуется выполнить поиск во внешнем каталоге LDAP учетных данных, соответствующих адресу электронной почты, имени пользователя или другому идентификатору, указанному пользователем при входе. При аутентификации с прямой привязкой поиск не выполняется – учетные данные отправляются в сервис LDAP и проверяются им напрямую. Аутентификация с прямым связыванием считается более эффективной, поскольку не требует поиска.
Об аутентификации с косвенной привязкой
При аутентификации с косвенной привязкой пользователь вводит учетные данные, например адрес электронной почты, имя пользователя или другой атрибут, и Edge ищет эти учетные данные или значение в системе аутентификации. Если поиск выполнен успешно, система извлекает различающееся имя LDAP из результатов поиска и использует его с предоставленным паролем для аутентификации пользователя.
Ключевой момент, который необходимо знать, заключается в том, что аутентификация с косвенной привязкой требует, чтобы вызывающая сторона (например, Apigee Edge) предоставила учетные данные внешнего администратора LDAP, чтобы Edge мог «войти» во внешний LDAP и выполнить поиск. Эти учетные данные необходимо указать в файле конфигурации Edge, который описан далее в этом документе. Также описаны шаги по шифрованию учетных данных пароля.
Об аутентификации с прямой привязкой
При аутентификации с прямой привязкой Edge отправляет учетные данные, введенные пользователем, непосредственно во внешнюю систему аутентификации. В этом случае поиск во внешней системе не выполняется. Вход будет выполнен, если учетные данные верны. Если пользователя нет во внешнем каталоге LDAP или пароль указан неправильно, войти не удастся.
При прямой привязке не требуется настраивать учетные данные администратора для внешней системы аутентификации в Apigee Edge (как при косвенной привязке), однако необходимо выполнить простой шаг настройки, описанный далее в этом документе.