Edge dla chmury prywatnej w wersji 4.17.09
Ten dokument wyjaśnia, jak zintegrować zewnętrzną usługę katalogową z istniejącą instalacją Apigee Edge chmury prywatnej. Ta funkcja została zaprojektowana do współpracy z dowolną usługą katalogową obsługującą LDAP, taką jak Active Directory, OpenLDAP i inne. Znajdziesz tu wszystkie kroki, które należy wykonać, aby Apigee Edge działało z usługą LDAP.
Zewnętrzne rozwiązanie LDAP umożliwia administratorom systemów zarządzanie danymi logowania użytkowników z poziomu scentralizowanej usługi zarządzania katalogami, która jest zewnętrzna w stosunku do systemów takich jak Apigee Edge, które z nich korzystają. Funkcja opisana w tym dokumencie obsługuje zarówno uwierzytelnianie bezpośrednie, jak i pośrednie.
Odbiorcy
W tym dokumencie zakładamy, że jesteś administratorem systemu globalnego Apigee Edge dla chmury prywatnej i masz konto w zewnętrznej usłudze katalogowej.
Przegląd
Domyślnie Apigee Edge używa wewnętrznej instancji OpenLDAP do przechowywania danych logowania, które są używane do uwierzytelniania użytkowników. Możesz jednak skonfigurować Edge tak, aby używał zewnętrznej usługi LDAP uwierzytelniania zamiast wewnętrznej. Procedura tej konfiguracji zewnętrznej jest opisana w tym dokumencie.
Edge przechowuje też dane logowania do autoryzacji dostępu opartego na rolach w osobnej, wewnętrznej instancji LDAP. Niezależnie od tego, czy skonfigurujesz zewnętrzną usługę uwierzytelniania, dane uwierzytelniające są zawsze przechowywane w tej wewnętrznej instancji LDAP. W tym dokumencie opisano procedurę dodawania użytkowników, którzy istnieją w zewnętrznym systemie LDAP, do autoryzacyjnego systemu LDAP Edge.
Pamiętaj, że uwierzytelnianie odnosi się do sprawdzania tożsamości użytkownika, a autoryzacja – do sprawdzania poziomu uprawnień przyznanych uwierzytelnionemu użytkownikowi do korzystania z funkcji Apigee Edge.
Co musisz wiedzieć o uwierzytelnianiu i autoryzacji w Edge
Warto zrozumieć różnicę między uwierzytelnianiem a autoryzacją oraz to, jak Apigee Edge zarządza tymi 2 czynnościami.
Informacje o uwierzytelnianiu
Użytkownicy, którzy uzyskują dostęp do Apigee Edge za pomocą interfejsu użytkownika lub interfejsów API, muszą zostać uwierzytelnieni. Domyślnie dane logowania użytkownika Edge na potrzeby uwierzytelniania są przechowywane w wewnętrznej instancji OpenLDAP. Zwykle użytkownicy muszą się zarejestrować lub zostać poproszeni o zarejestrowanie konta Apigee, a następnie podać nazwę użytkownika, adres e-mail, hasło i inne metadane. Te informacje są przechowywane w LDAP uwierzytelniania i zarządzane przez tę usługę.
Jeśli jednak chcesz używać zewnętrznego serwera LDAP do zarządzania danymi logowania użytkowników w imieniu Edge, możesz to zrobić, konfigurując Edge tak, aby używał zewnętrznego systemu LDAP zamiast wewnętrznego. Gdy skonfigurowany jest zewnętrzny serwer LDAP, dane logowania użytkownika są weryfikowane w tym zewnętrznym magazynie, jak wyjaśniono w tym dokumencie.
Informacje o autoryzacji
Administratorzy organizacji Edge mogą przyznawać użytkownikom określone uprawnienia do interakcji z encjami Apigee Edge, takimi jak serwery proxy interfejsu API, usługi, pamięci podręczne, wdrożenia itp. Uprawnienia są przyznawane przez przypisanie ról użytkownikom. Edge zawiera kilka wbudowanych ról, a w razie potrzeby administratorzy organizacji mogą definiować role niestandardowe. Na przykład użytkownik może mieć uprawnienia (poprzez rolę) do tworzenia i aktualizowania serwerów proxy interfejsu API, ale nie do wdrażania ich w środowisku produkcyjnym.
Kluczowymi danymi logowania używanymi przez system autoryzacji Edge jest adres e-mail użytkownika. Te dane uwierzytelniające (wraz z innymi metadanymi) są zawsze przechowywane w wewnętrznym protokole LDAP autoryzacji Edge. Ten serwer LDAP jest całkowicie oddzielony od serwera LDAP uwierzytelniania (wewnętrznego lub zewnętrznego).
Użytkownicy uwierzytelnieni za pomocą zewnętrznego systemu LDAP muszą też zostać ręcznie dodani do systemu LDAP autoryzacji. Szczegółowe informacje znajdziesz w tym dokumencie.
Więcej informacji o autoryzacji i kontroli dostępu opartej na rolach znajdziesz w artykułach Zarządzanie użytkownikami organizacji i Przypisywanie ról.
Więcej informacji znajdziesz w artykule Informacje o procesach uwierzytelniania i autoryzacji w Edge.
Uwierzytelnianie przez powiązanie bezpośrednie i pośrednie
Funkcja autoryzacji zewnętrznej obsługuje uwierzytelnianie przez bezpośrednie i pośrednie powiązanie za pomocą zewnętrznego systemu LDAP.
Podsumowanie: uwierzytelnianie pośrednie wymaga wyszukania w zewnętrznej usłudze LDAP danych logowania, które pasują do adresu e-mail, nazwy użytkownika lub innego identyfikatora podanego przez użytkownika podczas logowania. W przypadku uwierzytelniania z bezpośrednim powiązaniem wyszukiwanie nie jest wykonywane – dane logowania są wysyłane bezpośrednio do usługi LDAP i przez nią weryfikowane. Uwierzytelnianie przez bezpośrednie powiązanie jest uważane za bardziej wydajne, ponieważ nie wymaga wyszukiwania.
Informacje o uwierzytelnianiu z powiązaniem pośrednim
W przypadku uwierzytelniania z powiązaniem pośrednim użytkownik podaje dane uwierzytelniające, takie jak adres e-mail, nazwa użytkownika lub inny atrybut, a Edge wyszukuje te dane lub wartość w systemie uwierzytelniania. Jeśli wynik wyszukiwania jest prawidłowy, system wyodrębnia z niego nazwę wyróżniającą LDAP i używa jej wraz z podanym hasłem do uwierzytelnienia użytkownika.
Najważniejsze jest to, że uwierzytelnianie przez powiązanie pośrednie wymaga od elementu wywołującego (np. Apigee Edge) podania zewnętrznych danych logowania administratora LDAP, aby usługa Edge mogła „zalogować się” do zewnętrznego serwera LDAP i przeprowadzić wyszukiwanie. Te dane logowania musisz podać w pliku konfiguracji Edge, który został opisany w dalszej części tego dokumentu. Opisujemy też, jak zaszyfrować dane logowania za pomocą hasła.
Informacje o uwierzytelnianiu przez bezpośrednie powiązanie
W przypadku uwierzytelniania z bezpośrednim wiązaniem Edge wysyła dane logowania wprowadzone przez użytkownika bezpośrednio do zewnętrznego systemu uwierzytelniania. W takim przypadku wyszukiwanie nie jest przeprowadzane w systemie zewnętrznym. Podane dane logowania zostaną zaakceptowane lub odrzucone (np. jeśli użytkownik nie istnieje w zewnętrznym katalogu LDAP lub hasło jest nieprawidłowe, logowanie się nie powiedzie).
Uwierzytelnianie z powiązaniem bezpośrednim nie wymaga konfigurowania danych logowania administratora dla zewnętrznego systemu uwierzytelniania w Apigee Edge (jak w przypadku uwierzytelniania z powiązaniem pośrednim). Musisz jednak wykonać prosty krok konfiguracji, który opisujemy w dalszej części tego dokumentu.