Edge for Private Cloud גרסה 4.17.09
במאמר הזה מוסבר איך לשלב שירות ספריות חיצוני בהתקנה קיימת של Apigee Edge ענן פרטי. התכונה הזו נועדה לפעול עם כל שירות ספריות שתומך ב-LDAP, כמו Active Directory, OpenLDAP ואחרים. כאן מפורטים כל השלבים להפעלת Apigee Edge עם שירות ה-LDAP שלכם.
פתרון LDAP חיצוני מאפשר למנהלי מערכת לנהל את פרטי הכניסה של המשתמשים משירות ניהול ספריות מרכזי, שהוא חיצוני למערכות כמו Apigee Edge שמשתמשות בהם. התכונה שמתוארת במסמך הזה תומכת גם באימות קישור ישיר וגם באימות קישור עקיף.
קהל
המסמך הזה מניח שאתם אדמינים של מערכת גלובלית ב-Apigee Edge for Private Cloud, ושיש לכם חשבון בשירות הספריות החיצוני.
סקירה כללית
כברירת מחדל, Apigee Edge משתמש במכונה פנימית של OpenLDAP כדי לאחסן את פרטי הכניסה שמשמשים לאימות המשתמשים. עם זאת, אתם יכולים להגדיר את Edge כך שישתמש בשירות LDAP חיצוני לאימות במקום בשירות הפנימי. התהליך להגדרה החיצונית הזו מוסבר במסמך הזה.
בנוסף, ב-Edge מאוחסנים פרטי הכניסה לאימות של גישה מבוססת-תפקיד במכונה פנימית נפרדת של LDAP. גם אם מגדירים שירות אימות חיצוני, פרטי הכניסה לאימות תמיד מאוחסנים במכונה הפנימית הזו של LDAP. במסמך הזה מוסבר איך להוסיף משתמשים שקיימים במערכת ה-LDAP החיצונית ל-LDAP של הרשאות Edge.
שימו לב שאימות מתייחס לאימות הזהות של המשתמש, ואילו הרשאה מתייחסת לאימות רמת ההרשאה שניתנה למשתמש מאומת כדי להשתמש בתכונות של Apigee Edge.
מה שצריך לדעת על אימות והרשאה ב-Edge
חשוב להבין את ההבדל בין אימות לבין הרשאה, ואיך Apigee Edge מנהל את שתי הפעילויות האלה.
מידע על אימות
משתמשים שניגשים ל-Apigee Edge דרך ממשק המשתמש או ממשקי ה-API צריכים לעבור אימות. כברירת מחדל, פרטי הכניסה של משתמשי Edge לאימות מאוחסנים במכונה פנימית של OpenLDAP. בדרך כלל, המשתמשים צריכים להירשם או שהם מתבקשים להירשם לחשבון Apigee, ובשלב הזה הם מספקים את שם המשתמש, כתובת האימייל, פרטי הכניסה של הסיסמה ומטא-נתונים אחרים. המידע הזה מאוחסן ב-LDAP לאימות ומנוהל על ידו.
עם זאת, אם אתם רוצים להשתמש ב-LDAP חיצוני כדי לנהל את פרטי הכניסה של המשתמשים בשם Edge, אתם יכולים להגדיר את Edge כך שישתמש במערכת ה-LDAP החיצונית במקום במערכת הפנימית. כשמגדירים LDAP חיצוני, פרטי הכניסה של המשתמשים מאומתים מול המאגר החיצוני הזה, כמו שמוסבר במסמך הזה.
מידע על הרשאה
אדמינים של ארגונים ב-Edge יכולים להעניק למשתמשים הרשאות ספציפיות לאינטראקציה עם ישויות של Apigee Edge, כמו שרתי proxy ל-API, מוצרים, מטמונים, פריסות וכו'. ההרשאות ניתנות באמצעות הקצאת תפקידים למשתמשים. ב-Edge יש כמה תפקידים מובנים, ואם צריך, אדמינים של הארגון יכולים להגדיר תפקידים בהתאמה אישית. לדוגמה, אפשר לתת למשתמש הרשאה (באמצעות תפקיד) ליצור ולעדכן שרתי proxy ל-API, אבל לא לפרוס אותם בסביבת ייצור.
פרטי הכניסה העיקריים שמשמשים את מערכת ההרשאות של Edge הם כתובת האימייל של המשתמש. פרטי הכניסה האלה (יחד עם מטא-נתונים אחרים) תמיד מאוחסנים ב-LDAP הפנימי של Edge להרשאות. ה-LDAP הזה נפרד לחלוטין מה-LDAP של האימות (בין אם הוא פנימי או חיצוני).
משתמשים שמאומתים באמצעות LDAP חיצוני צריכים גם להתווסף באופן ידני למערכת ההרשאות של LDAP. הפרטים מוסברים במסמך הזה.
למידע נוסף על הרשאות ו-RBAC, קראו את המאמרים ניהול משתמשים בארגון והקצאת תפקידים.
למידע נוסף, קראו את המאמר הסבר על תהליכי האימות וההרשאה של Edge.
הסבר על אימות קישור ישיר ואימות קישור עקיף
תכונת ההרשאה החיצונית תומכת באימות קישור ישיר ועקיף דרך מערכת ה-LDAP החיצונית.
סיכום: אימות קישור עקיף דורש חיפוש ב-LDAP החיצוני של פרטי כניסה שתואמים לכתובת האימייל, לשם המשתמש או למזהה אחר שהמשתמש סיפק בכניסה. באימות עם קישור ישיר, לא מתבצע חיפוש – פרטי הכניסה נשלחים ישירות לשירות ה-LDAP ומאומתים על ידו. אימות באמצעות קישור ישיר נחשב ליעיל יותר כי הוא לא כולל חיפוש.
מידע על אימות קישור עקיף
באימות עם קישור עקיף, המשתמש מזין פרטי כניסה, כמו כתובת אימייל, שם משתמש או מאפיין אחר, ו-Edge מחפש את פרטי הכניסה או הערך האלה במערכת האימות. אם תוצאת החיפוש מוצלחת, המערכת מחלצת את ה-DN של ה-LDAP מתוצאות החיפוש ומשתמשת בו עם סיסמה שסופקה כדי לאמת את המשתמש.
הנקודה החשובה שצריך לדעת היא שאימות קישור עקיף דורש מהמבצע הקריאה (למשל, Apigee Edge) לספק פרטי כניסה חיצוניים של אדמין ב-LDAP כדי ש-Edge יוכל "להתחבר" ל-LDAP החיצוני ולבצע את החיפוש. אתם צריכים לספק את פרטי הכניסה האלה בקובץ תצורה של Edge, שמתואר בהמשך המסמך. השלבים מתארים גם איך להצפין את פרטי הכניסה של הסיסמה.
מידע על אימות באמצעות קישור ישיר
באימות עם קישור ישיר, Edge שולח את פרטי הכניסה שהמשתמש הזין ישירות למערכת האימות החיצונית. במקרה כזה, לא מתבצע חיפוש במערכת החיצונית. פרטי הכניסה שסופקו יכולים להיות נכונים או שגויים (לדוגמה, אם המשתמש לא קיים ב-LDAP החיצוני או אם הסיסמה שגויה, הכניסה תיכשל).
אימות קישור ישיר לא דורש מכם להגדיר פרטי כניסה של אדמין למערכת האימות החיצונית ב-Apigee Edge (כמו באימות קישור עקיף). עם זאת, יש שלב הגדרה פשוט שצריך לבצע, שמתואר בהמשך המסמך הזה.