การตรวจสอบสิทธิ์ภายนอก

Edge for Private Cloud เวอร์ชัน 4.17.09

เอกสารนี้อธิบายวิธีผสานรวมบริการไดเรกทอรีภายนอกเข้ากับการติดตั้ง Apigee Edge Private Cloud ที่มีอยู่ ฟีเจอร์นี้ออกแบบมาให้ทำงานร่วมกับบริการไดเรกทอรีที่รองรับ LDAP เช่น Active Directory, OpenLDAP และอื่นๆ ขั้นตอนทั้งหมดรวมอยู่ที่นี่เพื่อให้ Apigee Edge ทำงานร่วมกับบริการ LDAP ของคุณได้

โซลูชัน LDAP ภายนอกช่วยให้ผู้ดูแลระบบจัดการข้อมูลเข้าสู่ระบบของผู้ใช้จากบริการจัดการไดเรกทอรีแบบรวมศูนย์ซึ่งอยู่ภายนอกระบบ เช่น Apigee Edge ที่ใช้ข้อมูลเข้าสู่ระบบดังกล่าวได้ ฟีเจอร์ที่อธิบายไว้ในเอกสารนี้รองรับทั้งการตรวจสอบสิทธิ์การเชื่อมโยงโดยตรงและโดยอ้อม

กลุ่มเป้าหมาย

เอกสารนี้ถือว่าคุณเป็นผู้ดูแลระบบส่วนกลางของ Apigee Edge สำหรับ Private Cloud และคุณมีบัญชีบริการไดเรกทอรีภายนอก

ภาพรวม

โดยค่าเริ่มต้น Apigee Edge จะใช้อินสแตนซ์ OpenLDAP ภายในเพื่อจัดเก็บข้อมูลเข้าสู่ระบบที่ใช้สำหรับการตรวจสอบสิทธิ์ผู้ใช้ อย่างไรก็ตาม คุณสามารถกำหนดค่า Edge ให้ใช้บริการ LDAP การตรวจสอบสิทธิ์ภายนอกแทนบริการภายในได้ ขั้นตอนสำหรับการกำหนดค่าภายนอกนี้จะอธิบายไว้ในเอกสารนี้

นอกจากนี้ Edge ยังจัดเก็บข้อมูลเข้าสู่ระบบการให้สิทธิ์การเข้าถึงตามบทบาทไว้ในอินสแตนซ์ LDAP ภายในที่แยกต่างหากด้วย ไม่ว่าคุณจะกำหนดค่าบริการตรวจสอบสิทธิ์ภายนอกหรือไม่ก็ตาม ข้อมูลเข้าสู่ระบบการให้สิทธิ์จะจัดเก็บไว้ในอินสแตนซ์ LDAP ภายในนี้เสมอ เอกสารนี้จะอธิบายขั้นตอนการเพิ่มผู้ใช้ที่มีอยู่ในระบบ LDAP ภายนอกไปยัง LDAP การให้สิทธิ์ Edge

โปรดทราบว่าการตรวจสอบสิทธิ์หมายถึงการตรวจสอบตัวตนของผู้ใช้ ส่วนการให้สิทธิ์หมายถึงการยืนยันระดับสิทธิ์ที่ผู้ใช้ที่ผ่านการตรวจสอบสิทธิ์ได้รับเพื่อใช้ฟีเจอร์ Apigee Edge

สิ่งที่จำเป็นต้องทราบเกี่ยวกับการตรวจสอบสิทธิ์และการให้สิทธิ์ของ Edge

การทำความเข้าใจความแตกต่างระหว่างการตรวจสอบสิทธิ์และการให้สิทธิ์ รวมถึงวิธีที่ Apigee Edge จัดการกิจกรรมทั้ง 2 อย่างนี้จะมีประโยชน์อย่างยิ่ง

เกี่ยวกับการตรวจสอบสิทธิ์

ผู้ใช้ที่เข้าถึง Apigee Edge ผ่าน UI หรือ API ต้องได้รับการตรวจสอบสิทธิ์ โดยค่าเริ่มต้น ข้อมูลเข้าสู่ระบบของผู้ใช้ Edge สำหรับการตรวจสอบสิทธิ์จะจัดเก็บไว้ในอินสแตนซ์ OpenLDAP ภายใน โดยปกติแล้ว ผู้ใช้ต้องลงทะเบียนหรือได้รับคำขอให้ลงทะเบียนบัญชี Apigee และในขณะนั้นผู้ใช้จะต้องระบุชื่อผู้ใช้ อีเมล ข้อมูลเข้าสู่ระบบรหัสผ่าน และข้อมูลเมตาอื่นๆ ข้อมูลนี้จะจัดเก็บและจัดการโดย LDAP การตรวจสอบสิทธิ์

อย่างไรก็ตาม หากต้องการใช้ LDAP ภายนอกเพื่อจัดการข้อมูลเข้าสู่ระบบของผู้ใช้ในนามของ Edge คุณสามารถทำได้โดยกำหนดค่า Edge ให้ใช้ระบบ LDAP ภายนอกแทนระบบภายใน เมื่อกำหนดค่า LDAP ภายนอกแล้ว ระบบจะตรวจสอบข้อมูลเข้าสู่ระบบของผู้ใช้กับที่เก็บข้อมูลภายนอกนั้นตามที่อธิบายไว้ในเอกสารนี้

เกี่ยวกับการให้สิทธิ์

ผู้ดูแลระบบองค์กร Edge สามารถให้สิทธิ์เฉพาะแก่ผู้ใช้ในการโต้ตอบกับเอนทิตี Apigee Edge เช่น พร็อกซี API, ผลิตภัณฑ์, แคช, การติดตั้งใช้งาน และอื่นๆ สิทธิ์จะได้รับผ่านการมอบหมายบทบาทให้กับผู้ใช้ Edge มีบทบาทในตัวหลายบทบาท และหากจำเป็น ผู้ดูแลระบบขององค์กรสามารถกำหนดบทบาทที่กำหนดเองได้ เช่น ผู้ใช้อาจได้รับสิทธิ์ (ผ่านบทบาท) ในการสร้างและอัปเดตพร็อกซี API แต่ไม่สามารถทำให้ใช้งานได้ในสภาพแวดล้อมฮาร์ดแวร์และซอฟต์แวร์

ข้อมูลเข้าสู่ระบบของคีย์ที่ระบบการให้สิทธิ์ของ Edge ใช้คืออีเมลของผู้ใช้ ข้อมูลเข้าสู่ระบบนี้ (พร้อมกับข้อมูลเมตาอื่นๆ) จะจัดเก็บไว้ใน LDAP การให้สิทธิ์ภายในของ Edge เสมอ LDAP นี้แยกต่างหากจากการตรวจสอบสิทธิ์ LDAP (ไม่ว่าจะเป็นภายในหรือภายนอก) โดยสิ้นเชิง

ผู้ใช้ที่ตรวจสอบสิทธิ์ผ่าน LDAP ภายนอกจะต้องได้รับการจัดสรรด้วยตนเองในระบบ LDAP ที่ให้สิทธิ์ด้วย รายละเอียดจะอธิบายไว้ในเอกสารนี้

ดูข้อมูลเพิ่มเติมเกี่ยวกับการให้สิทธิ์และ RBAC ได้ที่การจัดการผู้ใช้ในองค์กรและการมอบหมายบทบาท

หากต้องการดูข้อมูลเชิงลึก โปรดดูหัวข้อทำความเข้าใจขั้นตอนการตรวจสอบสิทธิ์และการให้สิทธิ์ของ Edge ด้วย

ทำความเข้าใจการตรวจสอบสิทธิ์การเชื่อมโยงโดยตรงและโดยอ้อม

ฟีเจอร์การให้สิทธิ์ภายนอกรองรับการตรวจสอบสิทธิ์การเชื่อมโยงทั้งแบบโดยตรงและโดยอ้อมผ่านระบบ LDAP ภายนอก

สรุป: การตรวจสอบสิทธิ์การเชื่อมโยงทางอ้อมต้องมีการค้นหาใน LDAP ภายนอกเพื่อหาข้อมูลเข้าสู่ระบบที่ตรงกับอีเมล ชื่อผู้ใช้ หรือรหัสอื่นๆ ที่ผู้ใช้ระบุเมื่อเข้าสู่ระบบ การตรวจสอบสิทธิ์การเชื่อมโยงโดยตรงจะไม่ทำการค้นหา แต่จะส่งข้อมูลเข้าสู่ระบบไปยังบริการ LDAP และตรวจสอบความถูกต้องโดยตรง การตรวจสอบสิทธิ์การเชื่อมโยงโดยตรงถือว่ามีประสิทธิภาพมากกว่าเนื่องจากไม่มีการค้นหาเข้ามาเกี่ยวข้อง

เกี่ยวกับการตรวจสอบสิทธิ์การเชื่อมโยงทางอ้อม

ในการตรวจสอบสิทธิ์การเชื่อมโยงทางอ้อม ผู้ใช้จะป้อนข้อมูลเข้าสู่ระบบ เช่น อีเมล ชื่อผู้ใช้ หรือแอตทริบิวต์อื่นๆ และ Edge จะค้นหาระบบการตรวจสอบสิทธิ์สำหรับข้อมูลเข้าสู่ระบบ/ค่านี้ หากผลการค้นหาสำเร็จ ระบบจะดึงข้อมูล LDAP DN จากผลการค้นหาและใช้กับรหัสผ่านที่ระบุเพื่อตรวจสอบสิทธิ์ผู้ใช้

ประเด็นสำคัญที่ควรทราบคือการตรวจสอบสิทธิ์การเชื่อมโยงทางอ้อมกำหนดให้ผู้เรียก (เช่น Apigee Edge) ต้องระบุข้อมูลเข้าสู่ระบบของผู้ดูแลระบบ LDAP ภายนอกเพื่อให้ Edge สามารถ "เข้าสู่ระบบ" LDAP ภายนอกและทำการค้นหาได้ คุณต้องระบุข้อมูลเข้าสู่ระบบเหล่านี้ในไฟล์การกำหนดค่า Edge ซึ่งจะอธิบายไว้ในส่วนถัดไปของเอกสารนี้ นอกจากนี้ยังมีขั้นตอนการเข้ารหัสข้อมูลเข้าสู่ระบบด้วยรหัสผ่านด้วย

เกี่ยวกับการตรวจสอบสิทธิ์การเชื่อมโยงโดยตรง

เมื่อใช้การตรวจสอบสิทธิ์แบบเชื่อมโยงโดยตรง Edge จะส่งข้อมูลเข้าสู่ระบบที่ผู้ใช้ป้อนไปยังระบบการตรวจสอบสิทธิ์ภายนอกโดยตรง ในกรณีนี้ ระบบจะไม่ทำการค้นหาในระบบภายนอก ข้อมูลเข้าสู่ระบบที่ระบุอาจสำเร็จหรือไม่สำเร็จ (เช่น หากไม่มีผู้ใช้ใน LDAP ภายนอกหรือรหัสผ่านไม่ถูกต้อง การเข้าสู่ระบบจะไม่สำเร็จ)

การตรวจสอบสิทธิ์การเชื่อมโยงโดยตรงไม่จำเป็นต้องกำหนดค่าข้อมูลเข้าสู่ระบบของผู้ดูแลระบบสำหรับระบบการตรวจสอบสิทธิ์ภายนอกใน Apigee Edge (เช่นเดียวกับการตรวจสอบสิทธิ์การเชื่อมโยงโดยอ้อม) อย่างไรก็ตาม มีขั้นตอนการกำหนดค่าง่ายๆ ที่คุณต้องดำเนินการ ซึ่งจะอธิบายไว้ในเอกสารนี้ในภายหลัง