Edge pour Private Cloud v. 4.17.09
L'UI Edge et l'API de gestion Edge fonctionnent en envoyant des requêtes au serveur de gestion Edge, qui accepte les types d'authentification suivants :
- Authentification de base : connectez-vous à l'interface utilisateur Edge ou envoyez des requêtes à l'API de gestion Edge en transmettant votre nom d'utilisateur et votre mot de passe.
- OAuth2 : échangez vos identifiants d'authentification de base Edge contre un jeton d'accès et un jeton d'actualisation OAuth2. Effectuez des appels à l'API Management Edge en transmettant le jeton d'accès OAuth2 dans l'en-tête Bearer d'un appel d'API.
Edge est également compatible avec le langage SAML (Security Assertion Markup Language) 2.0 en tant que mécanisme d'authentification. Lorsque SAML est activé, l'accès à l'interface utilisateur Edge et à l'API de gestion Edge utilise toujours des jetons d'accès OAuth2. Toutefois, vous pouvez désormais générer ces jetons à partir d'assertions SAML renvoyées par un fournisseur d'identité SAML.
Remarque : SAML n'est accepté qu'en tant que mécanisme d'authentification. Il n'est pas compatible avec l'autorisation. Par conséquent, vous utilisez toujours la base de données OpenLDAP Edge pour conserver les informations d'autorisation. Pour en savoir plus, consultez Attribuer des rôles.
SAML est compatible avec un environnement d'authentification unique (SSO). En utilisant SAML avec Edge, vous pouvez prendre en charge l'authentification unique pour l'interface utilisateur et l'API Edge, en plus de tous les autres services que vous fournissez et qui sont également compatibles avec SAML.
Ajout de la compatibilité avec OAuth2 pour Edge for Private Cloud
Comme indiqué ci-dessus, l'implémentation SAML d'Edge repose sur les jetons d'accès OAuth2.Par conséquent, la compatibilité avec OAuth2 a été ajoutée à Edge for Private Cloud. Pour en savoir plus, consultez Présentation d'OAuth 2.0.
Avantages de SAML
L'authentification SAML offre plusieurs avantages. Avec SAML, vous pouvez effectuer les opérations suivantes :
- Prenez le contrôle total de la gestion des utilisateurs. Lorsque des utilisateurs quittent votre organisation et que leur compte est déprovisionné de manière centralisée, l'accès à Edge leur est automatiquement refusé.
- Contrôlez la façon dont les utilisateurs s'authentifient pour accéder à Edge. Vous pouvez choisir différents types d'authentification pour différentes organisations Edge.
- Contrôler les règles d'authentification Votre fournisseur SAML peut accepter des règles d'authentification plus conformes aux normes de votre entreprise.
- Vous pouvez surveiller les connexions, les déconnexions, les tentatives de connexion infructueuses et les activités à haut risque sur votre déploiement Edge.
Utiliser SAML avec Edge
Pour prendre en charge SAML sur Edge, vous devez installer apigee-sso, le module d'authentification unique Edge. L'image suivante montre l'authentification unique Edge dans une installation Edge for Private Cloud :
Vous pouvez installer le module d'authentification unique Edge sur le même nœud que l'UI Edge et le serveur de gestion, ou sur son propre nœud. Assurez-vous qu'Edge SSO a accès au serveur de gestion via le port 8080.
Le port 9099 doit être ouvert sur le nœud d'authentification unique Edge pour permettre l'accès à l'authentification unique Edge à partir d'un navigateur, du fournisseur d'identité SAML externe, du serveur de gestion et de l'interface utilisateur Edge. Lors de la configuration de l'authentification unique Edge, vous pouvez spécifier que la connexion externe utilise le protocole HTTP ou le protocole HTTPS chiffré.
L'authentification unique Edge utilise une base de données Postgres accessible sur le port 5432 du nœud Postgres. En règle générale, vous pouvez utiliser le même serveur Postgres que celui que vous avez installé avec Edge, soit un serveur Postgres autonome, soit deux serveurs Postgres configurés en mode maître/veille. Si la charge sur votre serveur Postgres est élevée, vous pouvez également choisir de créer un nœud Postgres distinct uniquement pour l'authentification unique Edge.
Lorsque SAML est activé, l'accès à l'UI Edge et à l'API de gestion Edge utilise des jetons d'accès OAuth2. Ces jetons sont générés par le module SSO Edge, qui accepte les assertions SAML renvoyées par votre IdP.
Une fois généré à partir d'une assertion SAML, le jeton OAuth est valide pendant 30 minutes et le jeton d'actualisation est valide pendant 24 heures. Votre environnement de développement peut prendre en charge l'automatisation des tâches de développement courantes, telles que l'automatisation des tests ou l'intégration/le déploiement continus (CI/CD), qui nécessitent des jetons d'une durée plus longue. Consultez Utiliser SAML avec des tâches automatisées pour en savoir plus sur la création de jetons spéciaux pour les tâches automatisées.
URL de l'UI et de l'API Edge
L'URL que vous utilisez pour accéder à l'interface utilisateur Edge et à l'API de gestion Edge est la même que celle utilisée avant l'activation de SAML. Pour l'interface utilisateur Edge :
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
où edge_ui_IP_DNS est l'adresse IP ou le nom DNS de la machine hébergeant l'UI Edge. Lors de la configuration de l'interface utilisateur Edge, vous pouvez spécifier que la connexion utilise le protocole HTTP ou le protocole HTTPS chiffré.
Pour l'API de gestion Edge :
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
où ms_IP_DNS est l'adresse IP ou le nom DNS du serveur de gestion. Lors de la configuration de l'API, vous pouvez spécifier que la connexion utilise le protocole HTTP ou le protocole HTTPS chiffré.
Configurer TLS sur l'authentification unique Edge
Par défaut, la connexion à l'authentification unique Edge utilise HTTP sur le port 9099 sur le nœud hébergeant apigee-sso, le module d'authentification unique Edge. Une instance Tomcat est intégrée à apigee-sso pour gérer les requêtes HTTP et HTTPS.
Edge SSO et Tomcat sont compatibles avec trois modes de connexion :
- DEFAULT : la configuration par défaut accepte les requêtes HTTP sur le port 9099.
- SSL_TERMINATION : active l'accès TLS à l'authentification unique Edge sur le port de votre choix. Vous devez spécifier une clé et un certificat TLS pour ce mode.
- SSL_PROXY : configure l'authentification unique Edge en mode proxy, ce qui signifie que vous avez installé un équilibreur de charge devant apigee-sso et arrêté TLS sur l'équilibreur de charge. Vous pouvez spécifier le port utilisé sur apigee-sso pour les requêtes provenant de l'équilibreur de charge.
Activer la compatibilité SAML pour le portail des services de développement et pour API BaaS
Après avoir activé la compatibilité SAML pour Edge, vous pouvez éventuellement activer SAML pour :
- API BaaS : le portail BaaS et la pile BaaS sont compatibles avec SAML pour l'authentification des utilisateurs. Pour en savoir plus, consultez Activer SAML pour API BaaS.
- Portail Developer Services : le portail est compatible avec l'authentification SAML lors de l'envoi de requêtes à Edge. Notez que cette authentification est différente de l'authentification SAML pour la connexion des développeurs au portail. Vous configurez l'authentification SAML pour la connexion des développeurs séparément. Pour en savoir plus, consultez la section Configurer le portail des services des développeurs pour utiliser SAML afin de communiquer avec Edge.
Lors de la configuration du portail Developer Services et d'API BaaS, vous devez spécifier l'URL du module d'authentification unique Edge que vous avez installé avec Edge :
Étant donné qu'Edge et API BaaS partagent le même module d'authentification unique Edge, ils sont compatibles avec l'authentification unique. En d'autres termes, la connexion à Edge ou à l'API BaaS vous connecte aux deux. Cela signifie également que vous n'avez qu'un seul emplacement à gérer pour tous les identifiants utilisateur.
Vous pouvez également configurer la déconnexion unique. Consultez Configurer la déconnexion unique à partir de l'interface utilisateur Edge.