Edge for Private Cloud v. 4.17.09
このドキュメントでは、外部ディレクトリ サービスを既存の Apigee Edge プライベート クラウド インストールに統合する方法について説明します。この機能は、Active Directory、OpenLDAP など、LDAP をサポートするすべてのディレクトリ サービスで動作するように設計されています。Apigee Edge を LDAP サービスと連携させるためのすべての手順が記載されています。
外部 LDAP ソリューションを使用すると、システム管理者は、Apigee Edge などの認証情報を使用するシステムとは別の、一元化されたディレクトリ管理サービスからユーザー認証情報を管理できます。このドキュメントで説明する機能は、直接バインディング認証と間接バインディング認証の両方をサポートしています。
オーディエンス
このドキュメントは、Apigee Edge for Private Cloud のグローバル システム管理者であり、外部ディレクトリ サービスのアカウントを持っていることを前提としています。
概要
デフォルトでは、Apigee Edge は内部 OpenLDAP インスタンスを使用して、ユーザー認証に使用される認証情報を保存します。ただし、内部の LDAP サービスではなく、外部認証 LDAP サービスを使用するように Edge を構成できます。この外部構成の手順については、このドキュメントで説明します。
Edge は、ロールベースのアクセス認証情報を別の内部 LDAP インスタンスに保存します。外部認証サービスを構成するかどうかに関係なく、認証情報は常にこの内部 LDAP インスタンスに保存されます。このドキュメントでは、外部 LDAP システムに存在するユーザーを Edge 認可 LDAP に追加する手順について説明します。
認証とは、ユーザーの ID を検証することです。一方、認可とは、認証されたユーザーに付与されている Apigee Edge 機能の使用権限レベルを検証することです。
Edge の認証と認可について知っておくべきこと
認証と認可の違い、および Apigee Edge がこれら 2 つのアクティビティを管理する方法を理解しておくと便利です。
認証について
UI または API を介して Apigee Edge にアクセスするユーザーは、認証を受ける必要があります。デフォルトでは、認証用の Edge ユーザー認証情報は内部の OpenLDAP インスタンスに保存されます。通常、ユーザーは Apigee アカウントに登録するか、登録を求められます。その際に、ユーザー名、メールアドレス、パスワード認証情報、その他のメタデータを指定します。この情報は、認証 LDAP に保存され、管理されます。
ただし、外部 LDAP を使用して Edge の代わりにユーザー認証情報を管理する場合は、内部 LDAP システムではなく外部 LDAP システムを使用するように Edge を構成します。外部 LDAP が構成されている場合、ユーザー認証情報は、このドキュメントで説明されているように、その外部ストアに照らして検証されます。
認可について
Edge 組織管理者は、API プロキシ、プロダクト、キャッシュ、デプロイなどの Apigee Edge エンティティを操作するための特定の権限をユーザーに付与できます。権限は、ユーザーにロールを割り当てることで付与されます。Edge にはいくつかの組み込みロールが含まれています。必要に応じて、組織管理者はカスタムロールを定義できます。たとえば、ユーザーに（ロールを介して）API プロキシの作成と更新の認可を付与し、本番環境へのデプロイは認可しないようにできます。
Edge 認可システムで使用される鍵認証情報は、ユーザーのメールアドレスです。この認証情報は（他のメタデータとともに）、常に Edge の内部認証 LDAP に保存されます。この LDAP は、認証 LDAP（内部または外部）とは完全に別個のものです。
外部 LDAP を介して認証されたユーザーは、認可 LDAP システムに手動でプロビジョニングする必要もあります。詳細については、このドキュメントで説明します。
認可と RBAC の詳細については、組織ユーザーの管理とロールの割り当てをご覧ください。
詳細については、Edge の認証フローと認可フローについてもご覧ください。
直接バインディング認証と間接バインディング認証について
外部認可機能は、外部 LDAP システムを介した直接バインディング認証と間接バインディング認証の両方をサポートしています。
概要: 間接バインディング認証では、ログイン時にユーザーが指定したメールアドレス、ユーザー名、またはその他の ID と一致する認証情報を外部 LDAP で検索する必要があります。直接バインディング認証では、検索は実行されません。認証情報は LDAP サービスに直接送信され、検証されます。直接バインディング認証は、検索を伴わないため、より効率的であると考えられています。
間接バインディング認証について
間接バインディング認証では、ユーザーがメールアドレス、ユーザー名、その他の属性などの認証情報を入力すると、Edge が認証システムでこの認証情報/値を検索します。検索結果が成功した場合、システムは検索結果から LDAP DN を抽出し、指定されたパスワードとともに使用してユーザーを認証します。
重要な点は、間接バインディング認証では、Edge が外部 LDAP に「ログイン」して検索を実行できるように、呼び出し元（Apigee Edge など）が外部 LDAP 管理者の認証情報を提供する必要があるということです。これらの認証情報は、Edge 構成ファイルで指定する必要があります。これについては、このドキュメントの後半で説明します。パスワード認証情報を暗号化する手順についても説明します。
直接バインディング認証について
直接バインディング認証では、Edge はユーザーが入力した認証情報を外部認証システムに直接送信します。この場合、外部システムでは検索は実行されません。指定された認証情報が成功するか、失敗します（たとえば、ユーザーが外部 LDAP に存在しない場合や、パスワードが正しくない場合、ログインは失敗します）。
直接バインディング認証では、Apigee Edge で外部認証システムの管理者認証情報を構成する必要はありません（間接バインディング認証と同様）。ただし、このドキュメントの後半で説明する簡単な構成手順を実行する必要があります。