إدارة المستخدمين والأدوار والأذونات

الإصدار 4.17.09 من Edge for Private Cloud

يحتوي موقع مستندات Apigee على معلومات شاملة حول إدارة أدوار المستخدمين وأذوناتهم. يمكن إدارة المستخدمين باستخدام كل من واجهة مستخدم Edge وManagement API، بينما يمكن إدارة الأدوار والأذونات باستخدام Management API فقط.

للحصول على معلومات عن المستخدمين وإنشاء المستخدمين، يُرجى الاطّلاع على:

• لمحة عن المستخدمين العالميين
• إضافة مستخدمين عالميين

تتطلّب العديد من العمليات التي تجريها لإدارة المستخدمين امتيازات مشرف النظام. في عملية تثبيت Edge المستندة إلى السحابة الإلكترونية، تعمل Apigee في دور مشرف النظام. في عملية تثبيت Edge for Private Cloud، على مشرف النظام تنفيذ هذه المهام كما هو موضّح أدناه.

إضافة مستخدم

يمكنك إنشاء مستخدم باستخدام Edge API أو واجهة مستخدم Edge أو أوامر Edge. يصف هذا القسم كيفية استخدام Edge API وأوامر Edge. للحصول على معلومات حول إنشاء مستخدمين في واجهة مستخدم Edge، يُرجى الاطّلاع على إنشاء مستخدمين عالميين.

بعد إنشاء المستخدم في مؤسسة، عليك إسناد دور إليه. تحدّد الأدوار حقوق وصول المستخدم على Edge.

استخدِم الأمر التالي لإنشاء مستخدم باستخدام Edge API:

curl -H "Content-Type:application/xml" -u <sysAdminEmail>:<passwd> \
-X POST http://<ms_IP>:8080/v1/users \
-d '<User> \
   <FirstName>New</FirstName> \
   <LastName>User</LastName> \
   <Password>newUserPWord</Password> \
   <EmailId>foo@bar.com</EmailId> \
</User>'

أو استخدِم أمر Edge التالي لإنشاء مستخدم:

> /opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

حيث يحتوي configFile على المعلومات اللازمة لإنشاء المستخدم:

APIGEE_ADMINPW=sysAdminPW    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="newUserPWord"
ORG_NAME=myorg  

يمكنك بعد ذلك استخدام هذا الطلب لعرض معلومات عن المستخدم:

curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com

إسناد دور للمستخدم في مؤسسة

قبل أن يتمكّن مستخدم جديد من تنفيذ أي إجراء، يجب إسناد دور له في مؤسسة. يمكنك إسناد أدوار مختلفة إلى المستخدم، بما في ذلك: orgadmin أو businessuser أو opsadmin أو user أو إلى دور مخصّص محدّد في المؤسسة.

يؤدي تعيين مستخدم لدور في مؤسسة إلى إضافة هذا المستخدم تلقائيًا إلى المؤسسة. يمكنك تعيين مستخدم إلى مؤسسات متعددة من خلال تعيينه إلى دور في كل مؤسسة.

استخدِم الأمر التالي لإسناد دور إلى المستخدم في مؤسسة:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" /
http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users?id=foo@bar.com /
-u <sysAdminEmail>:<passwd> 

يعرض هذا الطلب جميع الأدوار التي تم إسنادها إلى المستخدم. إذا أردت إضافة المستخدم، ولكن عرض الدور الجديد فقط، استخدِم الطلب التالي:

curl -X POST -H "Content-Type: application/xml" /
http://<ms_IP>:8080/v1/o/<org_name>/users/foo@bar.com/userroles /
-d '<Roles><Role name="role"/></Roles>' /
-u <sysAdminEmail>:<passwd>

يمكنك الاطّلاع على أدوار المستخدم باستخدام الأمر التالي:

curl -u <sysAdminEmail>:<passwd> /
http://<ms_IP>:8080/v1/users/foo@bar.com/userroles

لإزالة مستخدم من مؤسسة، عليك إزالة جميع الأدوار في تلك المؤسسة من المستخدم. استخدِم الأمر التالي لإزالة دور من مستخدم:

curl -X DELETE -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users/foo@bar.com

إضافة مشرف نظام

يمكن لمشرف النظام إجراء ما يلي:

• إنشاء مؤسسات
• إضافة أجهزة توجيه ومعالجات رسائل ومكونات أخرى إلى تثبيت Edge
• ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL)
• إنشاء مشرفي نظام إضافيين
• تنفيذ جميع المهام الإدارية في Edge

على الرغم من أنّ مستخدمًا واحدًا فقط هو المستخدم التلقائي للمهام الإدارية، يمكن أن يكون هناك أكثر من مشرف نظام واحد. أي مستخدم عضو في دور sysadmin لديه أذونات كاملة لجميع الموارد.

يمكنك إنشاء مستخدم لمشرف النظام في واجهة مستخدم Edge أو واجهة برمجة التطبيقات. ومع ذلك، يجب استخدام Edge API لتعيين المستخدم لدور sysadmin. لا يمكن إسناد دور sysadmin إلى مستخدم في واجهة مستخدم Edge.

لإضافة مشرف نظام:

1. أنشئ مستخدمًا في واجهة مستخدم Edge أو واجهة برمجة التطبيقات.
2. أضِف المستخدم إلى دور sysadmin:
   curl -u <sysAdminEmail>:<passwd> \
   -X POST http://<ms_IP>:8080/v1/userroles/sysadmin/users \
   -d 'id=foo@bar.com'
3. تأكَّد من أنّ المستخدم الجديد لديه دور مشرف النظام:
   curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/userroles/sysadmin/users
   
   يتم عرض عنوان البريد الإلكتروني للمستخدم:
   [ " foo@bar.com " ]
4. التحقّق من أذونات المستخدم الجديد:
   curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com/permissions
   
   النتيجة:
   {
   "resourcePermission" : [ {
   "path" : "/",
   "permissions" : [ "get", "put", "delete" ]
   } ]
   }
5. بعد إضافة مشرف النظام الجديد، يمكنك إضافة المستخدم إلى أي مؤسسات.
   ملاحظة: لا يمكن لمستخدم مشرف النظام الجديد تسجيل الدخول إلى واجهة مستخدم Edge حتى تضيف المستخدم إلى مؤسسة واحدة على الأقل.
6. إذا أردت لاحقًا إزالة المستخدم من دور مشرف النظام، يمكنك استخدام واجهة برمجة التطبيقات التالية:
   curl -X DELETE -u <sysadminEmail:pword>
   http://<ms_IP>:8080/v1/userroles/sysadmin/users/foo@bar.com
   
   يُرجى العِلم أنّ هذا الطلب يزيل المستخدم من الدور فقط، ولا يحذفه.

تغيير مستخدم مشرف النظام التلقائي

عند تثبيت Edge، عليك تحديد عنوان البريد الإلكتروني لمشرف النظام. ينشئ Edge مستخدمًا بعنوان البريد الإلكتروني هذا، ويضبط هذا المستخدم ليكون مشرف النظام التلقائي. ويمكنك لاحقًا إضافة مشرفي نظام آخرين كما هو موضّح أعلاه.

يوضّح هذا القسم كيفية تغيير مشرف النظام التلقائي ليصبح مستخدمًا مختلفًا، وكيفية تغيير عنوان البريد الإلكتروني لحساب المستخدم الخاص بمشرف النظام التلقائي الحالي.

للاطّلاع على قائمة المستخدمين الذين تم ضبطهم حاليًا كمشرفي نظام، استخدِم طلب البيانات التالي من واجهة برمجة التطبيقات:

curl -u sysAdminEmail:passwd http://<ms_IP>:8080/v1/userroles/sysadmin/users

لتحديد مشرف النظام التلقائي الحالي، اطّلِع على الملف /opt/apigee/customer/defaults.sh. يحتوي الملف على السطر التالي الذي يعرض عنوان البريد الإلكتروني لمشرف النظام التلقائي الحالي:

ADMIN_EMAIL=foo@bar.com

لتغيير مشرف النظام التلقائي إلى مستخدم آخر:

1. أنشئ مشرف نظام جديدًا كما هو موضّح أعلاه، أو تأكَّد من أنّ حساب المستخدم الخاص بمشرف النظام الجديد تم ضبطه كمشرف نظام.
2. عدِّل /opt/apigee/customer/defaults.sh لضبط ADMIN_EMAIL على عنوان البريد الإلكتروني لمشرف النظام الجديد.
3. عدِّل ملف الإعداد الصامت الذي استخدمته لتثبيت واجهة مستخدم Edge لضبط السمات التالية:
   ADMIN_EMAIL=emailAddressOfNewSysAdmin
   APIGEE_ADMINPW=pwOfNewSysAdmin
   SMTPHOST=smtp.gmail.com
   SMTPPORT=465
   SMTPUSER=foo@gmail.com
   SMTPPASSWORD=bar
   SMTPSSL=y
   يُرجى العِلم أنّه عليك تضمين سمات SMTP لأنّه تتم إعادة ضبط جميع السمات في واجهة المستخدم.
4. أعِد ضبط واجهة مستخدم Edge:
   > /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
   > /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
   > /opt/apigee/apigee-service/bin/apigee-service edge-ui start

إذا أردت فقط تغيير عنوان البريد الإلكتروني لحساب المستخدم الخاص بمشرف النظام التلقائي الحالي، عليك أولاً تعديل حساب المستخدم لضبط عنوان البريد الإلكتروني الجديد، ثم تغيير عنوان البريد الإلكتروني لمشرف النظام التلقائي:

1. عدِّل حساب المستخدم الخاص بمشرف النظام التلقائي الحالي باستخدام عنوان بريد إلكتروني جديد:
   > curl -H content-type:application/json -X PUT /
   -u currentSysAdminEmail:passwd /
   http://<ms_IP>:8080/v1/users/currentSysAdminEmail /
   -d '{"emailId": "newSysAdminEmail", "lastName": "admin", "firstName": "admin"}'
2. كرِّر الخطوات 2 و3 و4 من الإجراء السابق لتعديل ملف /opt/apigee/customer/defaults.sh وتعديل واجهة مستخدم Edge.

تحديد نطاق البريد الإلكتروني لمشرف النظام

كإجراء أمان إضافي، يمكنك تحديد نطاق البريد الإلكتروني المطلوب لمشرف نظام Edge. عند إضافة مشرف نظام، إذا لم يكن عنوان البريد الإلكتروني للمستخدم في النطاق المحدّد، ستتعذّر إضافة المستخدم إلى دور sysadmin.

يكون النطاق المطلوب فارغًا تلقائيًا، ما يعني أنّه يمكنك إضافة أي عنوان بريد إلكتروني إلى دور sysadmin.

لضبط نطاق البريد الإلكتروني:

1. افتح ملف management-server.properties في محرِّر:
   vi /opt/apigee/customer/application/management-server.properties
   
   إذا لم يكن هذا الملف متوفّرًا، أنشئه.
2. اضبط السمة conf_security_rbac.global.roles.allowed.domains على قائمة قيم مفصولة بفاصلة للنطاقات المسموح بها. على سبيل المثال:
   conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
3. احفظ التغييرات.
4. أعِد تشغيل Edge Management Server:
   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
   
   إذا حاولت الآن إضافة مستخدم إلى دور مشرف النظام، ولم يكن عنوان البريد الإلكتروني للمستخدم في أحد النطاقات المحدّدة، ستتعذّر الإضافة.

حذف مستخدم

يمكنك إنشاء مستخدم إما باستخدام Edge API أو واجهة مستخدم Edge. ومع ذلك، يمكنك فقط حذف مستخدم باستخدام واجهة برمجة التطبيقات.

للاطّلاع على قائمة المستخدمين الحاليين، بما في ذلك عنوان البريد الإلكتروني، استخدِم أمر cURL التالي:

curl -u <sysAdminEmail>:<passwd> http://<ms-IP>:8080/v1/users

استخدِم أمر cURL التالي لحذف مستخدم:

curl -u <sysAdminEmail>:<passwd> -X DELETE http://<ms-IP>:8080/v1/users/<userEmail>