Edge for Private Cloud نسخه ۴.۱۷.۰۹
این سند نحوه ادغام سرویس دایرکتوری خارجی در نصب موجود Apigee Edge Private Cloud را توضیح می‌دهد. این ویژگی برای کار با هر سرویس دایرکتوری‌ای که از ال‌دپ پشتیبانی می‌کند، مانند Active Directory، OpenLDAP، و غیره، طراحی شده است. همه مراحل در اینجا گنجانده شده است تا Apigee Edge با سرویس LDAP شما کار کند.
راهکار LDAP خارجی به سرپرستان سیستم اجازه می‌دهد تا اعتبارنامه‌های کاربر را از یک سرویس مدیریت دایرکتوری متمرکز، خارج از سیستم‌هایی مانند Apigee Edge که از آن‌ها استفاده می‌کنند، مدیریت کنند. ویژگی شرح‌داده‌شده در این سند از هر دو اصالت‌سنجی اتصال مستقیم و غیرمستقیم پشتیبانی می‌کند.
مخاطبان
این سند فرض می‌کند که شما سرپرست سامانه جهانی Apigee Edge برای Private Cloud هستید و حسابی در سرویس دایرکتوری خارجی دارید.
نمای کلی
به‌طور پیش‌فرض، Apigee Edge از یک نمونه OpenLDAP داخلی برای ذخیره اعتبارنامه‌هایی که برای اصالت‌سنجی کاربر استفاده می‌شود بهره می‌برد. بااین‌حال، می‌توانید Edge را برای استفاده از سرویس LDAP اصالت‌سنجی خارجی به‌جای سرویس داخلی پیکربندی کنید. روال این پیکربندی خارجی در این سند توضیح داده شده است.
Edge همچنین اعتبارنامه‌های مجوز دسترسی نقش‌مبنا را در یک نمونه LDAP داخلی جداگانه ذخیره می‌کند. چه سرویس اصالت‌سنجی خارجی را پیکربندی کنید چه نکنید، اعتبارنامه‌های مجوز همیشه در این نمونه LDAP داخلی ذخیره می‌شود. در این سند، روند افزودن کاربرانی که در سیستم LDAP خارجی وجود دارند به LDAP مجوز Edge توضیح داده شده است.
توجه داشته باشید که اصالت‌سنجی به اعتبارسنجی هویت کاربر اشاره دارد، درحالی‌که صدور مجوز به درستی‌سنجی سطح اجازه‌ای اشاره دارد که به کاربر اصالت‌سنجی‌شده برای استفاده از ویژگی‌های Apigee Edge اعطا شده است.
آنچه باید درباره اصالت‌سنجی و صدور مجوز Edge بدانید
مفید است که تفاوت بین اصالت‌سنجی و صدور مجوز و نحوه مدیریت این دو فعالیت توسط Apigee Edge را درک کنید.
درباره اصالت‌سنجی
کاربرانی که ازطریق واسط کاربر یا میاناهای برنامه‌سازی کاربردی به Apigee Edge دسترسی دارند باید اصالت‌سنجی شوند. به‌طور پیش‌فرض، اطلاعات اعتباری کاربر Edge برای اصالت‌سنجی در یک نمونه OpenLDAP داخلی ذخیره می‌شود. معمولاً کاربران باید برای حساب Apigee ثبت‌نام کنند یا از آن‌ها خواسته شود ثبت‌نام کنند، و در آن زمان نام کاربری، نشانی ایمیل، اطلاعات کاربری گذرواژه، و فراداده‌های دیگر را ارائه می‌دهند. این اطلاعات در LDAP اصالت‌سنجی ذخیره و توسط آن مدیریت می‌شود.
بااین‌حال، اگر می‌خواهید از LDAP خارجی برای مدیریت اطلاعات کاربری کاربر ازطرف Edge استفاده کنید، می‌توانید این کار را با پیکربندی Edge برای استفاده از سیستم LDAP خارجی به‌جای سیستم داخلی انجام دهید. وقتی LDAP خارجی پیکربندی می‌شود، اطلاعات اعتباری کاربر درمقابل آن فروشگاه خارجی اعتبارسنجی می‌شود، همان‌طور که در این سند توضیح داده شده است.
درباره مجوز
سرپرستان سازمان Edge می‌توانند اجازه‌های خاصی به کاربران اعطا کنند تا با نهادهای Apigee Edge مثل پراکسی‌های API، محصولات، حافظه‌های پنهان، استقرارها، و غیره تعامل داشته باشند. اجازه‌ها ازطریق واگذاری نقش‌ها به کاربران اعطا می‌شوند. Edge شامل چندین نقش داخلی است و درصورت نیاز، سرپرستان سازمان می‌توانند نقش‌های سفارشی تعریف کنند. برای مثال، می‌توان به کاربر اجازه داد (ازطریق نقش) پراکسی‌های میانای برنامه‌سازی کاربردی را ایجاد و به‌روز کند، اما نتواند آن‌ها را در محیط تولید مستقر کند.
اعتبارنامه کلیدی که سیستم مجوز Edge استفاده می‌کند، نشانی ایمیل کاربر است. این اعتبارنامه (به‌همراه برخی فراداده‌های دیگر) همیشه در LDAP مجوز داخلی Edge ذخیره می‌شود. این LDAP کاملاً از LDAP اصالت‌سنجی (چه داخلی و چه خارجی) جدا است.
کاربرانی که ازطریق LDAP خارجی اصالت‌سنجی می‌شوند باید به‌صورت دستی نیز در سیستم LDAP مجوزدهی تأمین شوند. جزئیات در این سند توضیح داده شده است.
برای اطلاعات بیشتر درباره مجوز و کنترل دسترسی نقش‌محور، به مدیریت کاربران سازمان و واگذاری نقش‌ها مراجعه کنید.
برای مشاهده عمیق‌تر، درک جریان‌های اصالت‌سنجی و صدور مجوز Edge را نیز ببینید.
آشنایی با اصالت‌سنجی اتصالی مستقیم و غیرمستقیم
ویژگی مجوزدهی خارجی از هر دو اصالت‌سنجی اتصال مستقیم و غیرمستقیم ازطریق سیستم LDAP خارجی پشتیبانی می‌کند.
خلاصه: اصالت‌سنجی اتصال غیرمستقیم مستلزم جستجو در LDAP خارجی برای اعتبارنامه‌هایی است که با نشانی ایمیل، نام کاربری، یا شناسه دیگری که کاربر هنگام ورود به سیستم ارائه کرده است مطابقت داشته باشد. با اصالت‌سنجی اتصال مستقیم، هیچ جستجویی انجام نمی‌شود--اعتبارنامه‌ها مستقیماً به سرویس LDAP ارسال و توسط آن اعتبارسنجی می‌شود. اصالت‌سنجی اتصال مستقیم کارآمدتر درنظر گرفته می‌شود زیرا هیچ جستجویی در آن انجام نمی‌شود.
درباره اصالت‌سنجی اتصال غیرمستقیم
با اصالت‌سنجی اتصال غیرمستقیم، کاربر اطلاعات اعتباری مانند نشانی ایمیل، نام کاربری، یا ویژگی دیگری را وارد می‌کند و Edge سیستم اصالت‌سنجی را برای این اطلاعات اعتباری/مقدار جستجو می‌کند. اگر نتیجه جستجو موفقیت‌آمیز باشد، سیستم LDAP DN را از نتایج جستجو استخراج می‌کند و از آن با گذرواژه ارائه‌شده برای اصالت‌سنجی کاربر استفاده می‌کند.
نکته کلیدی که باید بدانید این است که اصالت‌سنجی اتصال غیرمستقیم مستلزم آن است که فراخواننده (برای مثال، Apigee Edge) اطلاعات کاربری سرپرست LDAP خارجی را ارائه دهد تا Edge بتواند به LDAP خارجی «وارد سیستم شود» و جستجو را انجام دهد. باید این اعتبارنامه‌ها را در فایل پیکربندی Edge ارائه دهید، که بعداً در این سند شرح داده شده است. مراحل رمزگذاری اعتبارنامه گذرواژه نیز شرح داده شده است.
درباره اصالت‌سنجی اتصال مستقیم
با اصالت‌سنجی اتصال مستقیم، Edge اطلاعات اعتباری واردشده توسط کاربر را مستقیماً به سیستم اصالت‌سنجی خارجی ارسال می‌کند. در این حالت، هیچ جستجویی در سیستم خارجی انجام نمی‌شود. اعتبارنامه ارائه‌شده یا موفق می‌شود یا ناموفق (برای مثال، اگر کاربر در LDAP خارجی وجود نداشته باشد یا گذرواژه نادرست باشد، ورود به سیستم ناموفق خواهد بود).
اصالت‌سنجی اتصال مستقیم نیازی به پیکربندی اعتبارنامه سرپرست برای سیستم اصالت‌سنجی خارجی در Apigee Edge ندارد (مانند اصالت‌سنجی اتصال غیرمستقیم)؛ بااین‌حال، یک مرحله پیکربندی ساده وجود دارد که باید انجام دهید، که در ادامه این سند توضیح داده شده است.