Edge for Private Cloud גרסה 4.17.09
קטע זה מסביר איך לקבל, להתקין ולהגדיר את הרכיבים הדרושים לשלב שירות LDAP חיצוני ב-Apigee Edge לצורך אימות משתמשים.
דרישות מוקדמות
- צריך להתקין Apigee Edge להתקנת ענן פרטי 4.17.09.
- צריכים להיות לכם פרטי כניסה גלובליים של אדמין ב-Apigee Edge בשביל ענן פרטי כדי מבצעים את ההתקנה הזו.
- אתם צריכים לדעת מהי ספריית הבסיס של Apigee Edge להתקנת ענן פרטי. ספריית הבסיס שמוגדרת כברירת מחדל היא /opt.
- עליך להוסיף את פרטי הכניסה של מנהל מערכת גלובלי ל-Edge
LDAP חיצוני. חשוב לזכור שכברירת מחדל, פרטי הכניסה של האדמין מאוחסנים ב-Edge.
LDAP פנימי. אחרי שתעברו אל ה-LDAP החיצוני, פרטי הכניסה של מנהל המערכת
יאומתו שם במקום זאת. לכן, צריך להקצות את פרטי הכניסה
למערכת החיצונית לפני שמפעילים אימות חיצוני ב-Edge.
לדוגמה, אם הגדרת והתקנת את Apigee Edge עבור ענן פרטי עם גישה גלובלית פרטי כניסה של אדמין בתור:
שם משתמש: edgeuser@mydomain.com
סיסמה: Secret123
לאחר מכן המשתמש edgeuser@mydomain.com עם סיסמה יש לציין גם את Secret123 ב-LDAP החיצוני. - אם מפעילים אשכול של שרת ניהול, חשוב לשים לב שעליך לבצע את כל השלבים במסמך הזה עבור כל שרת ניהול.
הגדרת אימות חיצוני
הפעילות העיקרית שתבצעו היא הגדרת הקובץ management-server.properties. הפעילות הזו כוללת עצירה והפעלה של שרת ניהול Edge, במטרה להחליט אם שרוצים להשתמש בקישור ישיר או עקיף, בהצפנת פרטי כניסה רגישים או למשימות סיווג.
- חשוב: צריך להחליט עכשיו אם בכוונתך להשתמש באופן עקיף או ישיר לשיטת האימות של הקישור. ההחלטה הזו תשפיע על היבטים מסוימים של ההגדרה. צפייה אימות חיצוני.
- חשוב: צריך לבצע את שלבי ההגדרה האלה בכל ניהול של Apigee Edge שרת (אם אתם מפעילים יותר מאישור אחד).
- פותחים את /opt/apigee/customer/application/management-server.properties בכלי לעריכת טקסט. אם הקובץ לא קיים, יוצרים אותו.
- מוסיפים את השורה הבאה. הערה: אין להוסיף רווחים בסוף
של השורה.
conf_security_authentication.user.store=externalized.authentication
השורה הזו מוסיפה את תכונת האימות החיצוני ל-Edge לענן פרטי בתהליך ההתקנה. - כדי להקל על השלב הזה, יצרנו שתי הגדרות לדוגמה עם תגובות טובות –
אחד לאימות ישיר והשני לאימות עקיף. דוגמאות של
את הקישור שבו רוצים להשתמש ומשלימים את ההגדרה:
תנועה ישירה דוגמה של הגדרות אישיות לקישור
עקיף דוגמה של הגדרות מחייבות - הפעלה מחדש של שרת הניהול:
> /opt/apigee/apigee-service/bin/apigee-service edge-management-server מחדש - יש לוודא שהשרת פועל:
> /opt/apigee/apigee-service/bin/apigee-all status - חשוב: צריך לקבוע הגדרות אישיות נוספות באחד מהשניים (או בשניהם) בנסיבות הבאות: (א) אם בכוונתך לאפשר למשתמשים להתחבר באמצעות שמות משתמש ולא כתובות אימייל. במקרה כזה, גם המשתמש ה-sysadmin יצטרך לבצע אימות באמצעות שם משתמש ו/או (ב) אם הסיסמה של חשבון המשתמש של מנהל המערכת בחשבון LDAP שונה מהסיסמה שהגדרת כשהתקנת לראשונה את Apigee Edge עבור ענן פרטי. למידע נוסף, אפשר לעיין בקטע נדרשת הגדרה עבור פרטי כניסה שונים של sysadmin.
קישור ישיר דגימת הגדרות אישיות
## The first property is always required to enable the external authorization feature. Do not change it.
conf_security_externalized.authentication.implementation.class=com.apigee.rbac.impl.LdapAuthenticatorImpl
## Identify the type of binding:
# Set to "true" for direct binding
# Set to "false" for indirect binding.
conf_security_externalized.authentication.bind.direct.type=true
## The next seven properties are needed regardless of direct or indirect binding. You need to configure these per your external authentication installation.
## The IP or domain for your external LDAP instance.
conf_security_externalized.authentication.server.url=ldap://localhost:389
## Your external LDAP server version.
conf_security_externalized.authentication.server.version=3
## The server timeout in milliseconds.
conf_security_externalized.authentication.server.conn.timeout=50000
## Change these baseDN values to match your external LDAP service. This attribute value will be provided by your external LDAP administrator, and may have more or fewer dc elements depending on your setup.
conf_security_externalized.authentication.user.store.baseDN=dc=apigee,dc=com
## Do not change this search string. It is used internally.
conf_security_externalized.authentication.user.store.search.query=(&(${userAttribute}=${userId}))
## Identifies the external LDAP property you want to bind against for Authentication. For example if you are binding against an email address, this would typically be in the userPrincipalName property in your external LDAP instance. Alternatively if you are binding against the user’s ID, this would typically be in the sAMAccountName property:
conf_security_externalized.authentication.user.store.user.attribute=userPrincipalName
## The LDAP attribute where the user email value is stored. For direct binding, set it to userPrincipalName.
conf_security_externalized.authentication.user.store.user.email.attribute=userPrincipalName
## ONLY needed for DIRECT binding.
## The direct.bind.user.directDN property defines the string that is used for the bind against the external authentication service. Ensure it is set as follows:
conf_security_externalized.authentication.direct.bind.user.directDN=${userDN}
חיוב עקיף דגימת הגדרות אישיות
## Required to enable the external authorization feature. Do not change it.
conf_security_externalized.authentication.implementation.class=com.apigee.rbac.impl.LdapAuthenticatorImpl
## Identifies the type of binding:
# Set to "true" for direct binding
# Set to "false" for indirect binding.
conf_security_externalized.authentication.bind.direct.type=false
## The next seven properties are needed regardless of direct or indirect binding. You need to configure these per your external LDAP installation.
## The IP or domain for your external LDAP instance.
conf_security_externalized.authentication.server.url=ldap://localhost:389
## Replace with your external LDAP server version.
conf_security_externalized.authentication.server.version=3
## Set the server timeout in milliseconds.
conf_security_externalized.authentication.server.conn.timeout=50000
## Change these baseDN values to match your external LDAP service. This attribute value will be provided by your external LDAP administrator, and may have more or fewer dc elements depending on your setup.
conf_security_externalized.authentication.user.store.baseDN=dc=apigee,dc=com
## Do not change this search string. It is used internally.
conf_security_externalized.authentication.user.store.search.query=(&(${userAttribute}=${userId}))
## Identifies the external LDAP property you want to bind against for Authentication. For example if you are binding against an email address, this would typically be in the userPrincipalName property in your external LDAP instance. Alternatively if you are binding against the user’s ID, this would typically be in the sAMAccountName property. See also "Configuration required for different sysadmin credentials".
conf_security_externalized.authentication.user.store.user.attribute=userPrincipalName
## Used by Apigee to perform the Authorization step and currently, Apigee only supports email address for Authorization. Make sure to set it to the attribute in your external LDAP that stores the user’s email address. Typically this will be in the userPrincipalName property.
conf_security_externalized.authentication.user.store.user.email.attribute=userPrincipalName
## The external LDAP username (for a user with search privileges on the external LDAP) and password and whether the password is encrypted. You must also set the attribute externalized.authentication.bind.direct.type to false.
## The password attribute can be encrypted or in plain text. See "Indirect binding only: Encrypting the external LDAP user’s password" for encryption instructions. Set the password.encrypted attribute to "true" if the password is encrypted. Set it to "false" if the password is in plain text.
conf_security_externalized.authentication.indirect.bind.server.admin.dn=myExtLdapUsername
conf_security_externalized.authentication.indirect.bind.server.admin.password=myExtLdapPassword
conf_security_externalized.authentication.indirect.bind.server.admin.password.encrypted=true
בדיקת ההתקנה
- יש לוודא שהשרת פועל:
> /opt/apigee/apigee-service/bin/apigee-all סטטוס - מריצים את הפקודה הזו, ומספקים קבוצה של אדמין מערכת גלובלי של Apigee Edge
פרטי כניסה לחשבון. את הקריאה ל-API שנבדוק אפשר לבצע רק באמצעות
sysadmin.
חשוב: פרטי הכניסה הזהים חייבים להיות בחשבון ה-LDAP החיצוני. אם לא, צריך להוסיף אותם עכשיו. שימו לב ששם המשתמש הוא בדרך כלל כתובת אימייל; עם זאת, תלוי באופן שבו הגדרתם אימות חיצוני, כפי שהוסבר קודם לכן מהמסמך.
> curl -v http://<management-server-ip>:8080/v1/o -u <שם משתמש של מנהל מערכת>
לדוגמה:
> curl -v http://192.168.52.100:8080/v1/o -u jdoe@mydomain.com - מזינים את הסיסמה כשמתבקשים לעשות זאת.
אם הפקודה מחזירה סטטוס 200 ורשימה של ארגונים, ההגדרה נכונה. הפקודה הזו מאמתת שהקריאה ל-API לשרת ניהול הקצה (Edge Management) הסתיימה בהצלחה שאומת באמצעות מערכת LDAP החיצונית.