Edge para nuvem privada v. 4.17.09
O site de documentação da Apigee tem informações abrangentes sobre como gerenciar papéis e permissões de usuário. Os usuários podem ser gerenciados usando a IU do Edge e a API Management. Os papéis e as permissões só podem ser gerenciados com a API Management.
Para informações sobre usuários e como criá-los, consulte:
Muitas das operações que você realiza para gerenciar usuários exigem privilégios de administrador do sistema. Em uma instalação do Edge baseada na nuvem, a Apigee funciona como administrador do sistema. Em uma instalação do Edge para nuvem privada, o administrador do sistema precisa realizar essas tarefas conforme descrito abaixo.
Adicionar um usuário
É possível criar um usuário usando a API Edge, a IU do Edge ou os comandos do Edge. Nesta seção, descrevemos como usar a API Edge e os comandos do Edge. Para informações sobre como criar usuários na interface do Edge, consulte Como criar usuários globais.
Depois de criar o usuário em uma organização, atribua um papel a ele. As funções determinam os direitos de acesso do usuário no Edge.
Use o seguinte comando para criar um usuário com a API Edge:
curl -H "Content-Type:application/xml" -u <sysAdminEmail>:<passwd> \ -X POST http://<ms_IP>:8080/v1/users \ -d '<User> \ <FirstName>New</FirstName> \ <LastName>User</LastName> \ <Password>newUserPWord</Password> \ <EmailId>foo@bar.com</EmailId> \ </User>'
Ou use o seguinte comando do Edge para criar um usuário:
> /opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile
Em que configFile contém as informações necessárias para criar o usuário:
APIGEE_ADMINPW=sysAdminPW # If omitted, you will be prompted. USER_NAME=foo@bar.com FIRST_NAME=New LAST_NAME=User USER_PWD="newUserPWord" ORG_NAME=myorg
Em seguida, use essa chamada para ver informações sobre o usuário:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com
Atribuir o usuário a um papel em uma organização
Antes de um novo usuário poder fazer qualquer coisa, ele precisa ser atribuído a um papel em uma organização. É possível atribuir o usuário a diferentes papéis, incluindo: orgadmin, businessuser, opsadmin, user ou a um papel personalizado definido na organização.
Atribuir um usuário a um papel em uma organização o adiciona automaticamente à organização. Atribua um usuário a várias organizações atribuindo-o a um papel em cada organização.
Use o comando a seguir para atribuir o usuário a um papel em uma organização:
curl -X POST -H "Content-Type:application/x-www-form-urlencoded" / http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users?id=foo@bar.com / -u <sysAdminEmail>:<passwd>
Essa chamada mostra todas as funções atribuídas ao usuário. Se você quiser adicionar o usuário, mas exibir apenas o novo papel, use a seguinte chamada:
curl -X POST -H "Content-Type: application/xml" / http://<ms_IP>:8080/v1/o/<org_name>/users/foo@bar.com/userroles / -d '<Roles><Role name="role"/></Roles>' / -u <sysAdminEmail>:<passwd>
Para ver os papéis do usuário, use o seguinte comando:
curl -u <sysAdminEmail>:<passwd> / http://<ms_IP>:8080/v1/users/foo@bar.com/userroles
Para remover um usuário de uma organização, remova todos os papéis dele nessa organização. Use o seguinte comando para remover um papel de um usuário:
curl -X DELETE -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users/foo@bar.com
Adicionar um administrador do sistema
Um administrador do sistema pode:
- Criar organizações
- Adicionar roteadores, processadores de mensagens e outros componentes a uma instalação do Edge
- Configurar TLS/SSL
- Criar outros administradores do sistema
- Realizar todas as tarefas administrativas do Edge
Embora apenas um usuário seja o padrão para tarefas administrativas, pode haver mais de um administrador do sistema. Qualquer usuário que seja membro do papel sysadmin tem permissões completas para todos os recursos.
É possível criar o usuário para o administrador do sistema na IU ou na API do Edge. No entanto, você precisa usar a API Edge para atribuir o usuário ao papel de sysadmin. Não é possível atribuir um usuário ao papel de sysadmin na IU do Edge.
Para adicionar um administrador do sistema:
- Crie um usuário na API ou na IU do Edge.
- Adicione o usuário ao papel sysadmin:
curl -u <sysAdminEmail>:<passwd> \
-X POST http://<ms_IP>:8080/v1/userroles/sysadmin/users \
-d 'id=foo@bar.com' - Verifique se o novo usuário está no papel sysadmin:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/userroles/sysadmin/users
Retorna o endereço de e-mail do usuário:
[ " foo@bar.com " ] - Verifique as permissões do novo usuário:
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com/permissions
Retorna:
{
"resourcePermission" : [ {
"path" : "/",
"permissions" : [ "get", "put", "delete" ]
} ]
} - Depois de adicionar o novo administrador do sistema, você pode adicionar o usuário a qualquer organização.
Observação: o novo usuário administrador do sistema não poderá fazer login na IU do Edge até que você o adicione a pelo menos uma organização. - Se você quiser remover o usuário do papel de administrador do sistema, use a
seguinte API:
curl -X DELETE -u <sysadminEmail:pword>
http://<ms_IP>:8080/v1/userroles/sysadmin/users/foo@bar.com
Essa chamada remove apenas o usuário do papel, não o exclui.
Como mudar o usuário administrador do sistema padrão
Ao instalar o Edge, você especifica o endereço de e-mail do administrador do sistema. O Edge cria um usuário com esse endereço de e-mail e o define como o administrador do sistema padrão. Depois, é possível adicionar outros administradores do sistema, conforme descrito acima.
Nesta seção, descrevemos como alterar o administrador do sistema padrão para ser um usuário diferente e como alterar o endereço de e-mail da conta de usuário do administrador do sistema padrão atual.
Para ver a lista de usuários configurados como administradores do sistema, use a seguinte chamada de API:
curl -u sysAdminEmail:passwd http://<ms_IP>:8080/v1/userroles/sysadmin/users
Para determinar o administrador do sistema padrão atual, consulte o arquivo /opt/apigee/customer/defaults.sh. O arquivo contém a seguinte linha que mostra o endereço de e-mail do administrador do sistema padrão atual:
ADMIN_EMAIL=foo@bar.com
Para mudar o administrador do sistema padrão para outro usuário:
- Crie um novo administrador do sistema conforme descrito acima ou verifique se a conta de usuário do novo administrador do sistema já está configurada como administrador do sistema.
- Edite /opt/apigee/customer/defaults.sh para definir ADMIN_EMAIL como o endereço de e-mail do novo administrador do sistema.
- Edite o arquivo de configuração silenciosa que você usou para instalar a IU do Edge para definir as seguintes
propriedades:
ADMIN_EMAIL=emailAddressOfNewSysAdmin
APIGEE_ADMINPW=pwOfNewSysAdmin
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
É preciso incluir as propriedades SMTP porque todas as propriedades na IU são redefinidas. - Reconfigure a IU do Edge:
> /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
> /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
> /opt/apigee/apigee-service/bin/apigee-service edge-ui start
Se você quiser apenas alterar o endereço de e-mail da conta de usuário do administrador do sistema padrão atual, primeiro atualize a conta de usuário para definir o novo endereço de e-mail e, em seguida, altere o endereço de e-mail do administrador do sistema padrão:
- Atualize a conta de usuário do administrador do sistema padrão atual com um novo endereço de e-mail:
> curl -H content-type:application/json -X PUT /
-u currentSysAdminEmail:passwd /
http://<ms_IP>:8080/v1/users/currentSysAdminEmail /
-d '{"emailId": "newSysAdminEmail", "lastName": "admin", "firstName": "admin"}' - Repita as etapas 2, 3 e 4 do procedimento anterior para atualizar o arquivo /opt/apigee/customer/defaults.sh e a IU do Edge.
Especificar o domínio de e-mail de um administrador do sistema
Como um nível extra de segurança, é possível especificar o domínio de e-mail obrigatório de um administrador do sistema do Edge. Ao adicionar um administrador do sistema, se o endereço de e-mail do usuário não estiver no domínio especificado, a adição do usuário ao papel sysadmin vai falhar.
Por padrão, o domínio obrigatório fica vazio, o que significa que você pode adicionar qualquer endereço de e-mail ao papel de sysadmin.
Para definir o domínio de e-mail:
- Abra management-server.properties em um editor:
vi /opt/apigee/customer/application/management-server.properties
Se esse arquivo não existir, crie-o. - Defina a propriedade conf_security_rbac.global.roles.allowed.domains
como a lista separada por vírgulas de domínios permitidos. Por exemplo:
conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com - Salve as alterações.
- Reinicie o servidor de gerenciamento do Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
Se você tentar adicionar um usuário ao papel de sysadmin e o endereço de e-mail do usuário não estiver em um dos domínios especificados, a adição falhará.
Como excluir um usuário
É possível criar um usuário usando a API Edge ou a IU do Edge. No entanto, só é possível excluir um usuário usando a API.
Para ver a lista de usuários atuais, incluindo o endereço de e-mail, use o seguinte comando cURL:
curl -u <sysAdminEmail>:<passwd> http://<ms-IP>:8080/v1/users
Use o seguinte comando cURL para excluir um usuário:
curl -u <sysAdminEmail>:<passwd> -X DELETE http://<ms-IP>:8080/v1/users/<userEmail>