Obsługa SAML w Edge dla chmury prywatnej

Edge dla chmury prywatnej w wersji 4.17.09

Interfejs użytkownika Edge i interfejs API zarządzania Edge działają przez wysyłanie żądań do serwera zarządzania Edge, który obsługuje te typy uwierzytelniania:

  • Uwierzytelnianie podstawowe – logowanie się w interfejsie Edge lub wysyłanie żądań do interfejsu API zarządzania Edge przez podanie nazwy użytkownika i hasła.
  • OAuth2 – wymień dane logowania uwierzytelniania podstawowego Edge na token dostępu i token odświeżania OAuth2. Wywołuj interfejs API zarządzania Google Analytics, przekazując token dostępu OAuth2 w nagłówku Bearer wywołania interfejsu API.

Edge obsługuje też standard SAML (Security Assertion Markup Language) 2.0 jako mechanizm uwierzytelniania. Po włączeniu SAML dostęp do interfejsu Edge i interfejsu API zarządzania Edge nadal korzysta z tokenów dostępu OAuth2. Teraz możesz jednak generować te tokeny z asercji SAML zwracanych przez dostawcę tożsamości SAML.

Uwaga: SAML jest obsługiwany tylko jako mechanizm uwierzytelniania. Nie jest obsługiwany w przypadku autoryzacji. Dlatego nadal używasz bazy danych Edge OpenLDAP do przechowywania informacji o autoryzacji. Więcej informacji znajdziesz w artykule o przypisywaniu ról.

SAML obsługuje środowisko logowania jednokrotnego (SSO). Korzystając z SAML z Edge, możesz obsługiwać logowanie jednokrotne w interfejsie i interfejsie API Edge, a także w innych usługach, które udostępniasz i które również obsługują SAML.

Dodaliśmy obsługę protokołu OAuth2 w Edge dla chmury prywatnej

Jak wspomniano powyżej, implementacja SAML w Edge opiera się na tokenach dostępu OAuth2.Dlatego do Edge dla chmury prywatnej dodano obsługę OAuth2. Więcej informacji znajdziesz w artykule Wprowadzenie do protokołu OAuth 2.0.

Zalety SAML

Uwierzytelnianie SAML ma kilka zalet. Dzięki SAML możesz:

  • Przejmij pełną kontrolę nad zarządzaniem użytkownikami. Gdy użytkownicy opuszczają organizację i są wyrejestrowywani centralnie, automatycznie tracą dostęp do Edge.
  • Kontrolowanie sposobu uwierzytelniania użytkowników w celu uzyskania dostępu do Edge. Możesz wybrać różne typy uwierzytelniania dla różnych organizacji Edge.
  • Zarządzanie zasadami uwierzytelniania. Dostawca SAML może obsługiwać zasady uwierzytelniania, które są bardziej zgodne ze standardami Twojej firmy.
  • Możesz monitorować logowania, wylogowania, nieudane próby logowania i działania wysokiego ryzyka we wdrożeniu Edge.

Korzystanie z SAML w Edge

Aby obsługiwać SAML w Edge, zainstaluj apigee-sso, moduł logowania jednokrotnego Edge. Ilustracja poniżej przedstawia logowanie jednokrotne Edge w instalacji Edge dla chmury prywatnej:

Moduł Edge SSO możesz zainstalować w tym samym węźle co interfejs użytkownika Edge i serwer zarządzania lub we własnym węźle. Upewnij się, że usługa Edge SSO ma dostęp do serwera zarządzania przez port 8080.

Port 9099 musi być otwarty w węźle Edge SSO, aby umożliwić dostęp do Edge SSO z przeglądarki, zewnętrznego dostawcy tożsamości SAML oraz serwera zarządzania i interfejsu Edge. Podczas konfigurowania logowania jednokrotnego Edge możesz określić, że połączenie zewnętrzne ma używać protokołu HTTP lub zaszyfrowanego protokołu HTTPS.

Edge SSO korzysta z bazy danych Postgres dostępnej na porcie 5432 w węźle Postgres. Zwykle możesz używać tego samego serwera Postgres, który został zainstalowany z Edge, czyli samodzielnego serwera Postgres lub 2 serwerów Postgres skonfigurowanych w trybie głównym/czuwania. Jeśli obciążenie serwera Postgres jest wysokie, możesz też utworzyć osobny węzeł Postgres tylko na potrzeby logowania jednokrotnego Edge.

Gdy protokół SAML jest włączony, dostęp do interfejsu Edge i interfejsu API zarządzania Google Analytics Edge jest możliwy za pomocą tokenów dostępu OAuth2. Te tokeny są generowane przez moduł logowania jednokrotnego Edge, który akceptuje asercje SAML zwracane przez dostawcę tożsamości.

Po wygenerowaniu z asercji SAML token OAuth jest ważny przez 30 minut, a token odświeżania przez 24 godziny. Twoje środowisko programistyczne może obsługiwać automatyzację typowych zadań programistycznych, takich jak automatyzacja testów czy tryb ciągłej integracji/ciągłe wdrażanie (CI/CD), które wymagają tokenów o dłuższym czasie ważności. Informacje o tworzeniu specjalnych tokenów do zadań automatycznych znajdziesz w artykule Korzystanie z SAML w zadaniach automatycznych.

Adresy URL interfejsu użytkownika i interfejsu API Edge

Adres URL, którego używasz do uzyskiwania dostępu do interfejsu Edge i interfejsu API zarządzania Edge, jest taki sam jak przed włączeniem SAML. W interfejsie Edge:

http://edge_ui_IP_DNS:9000
https://edge_ui_IP_DNS:9000

gdzie edge_ui_IP_DNS to adres IP lub nazwa DNS komputera, na którym działa interfejs użytkownika Edge. Podczas konfigurowania interfejsu Edge możesz określić, czy połączenie ma używać protokołu HTTP czy szyfrowanego protokołu HTTPS.

W przypadku interfejsu Edge Management API:

http://ms_IP_DNS:8080/v1  
https://ms_IP_DNS:8080/v1

gdzie ms_IP_DNS to adres IP lub nazwa DNS serwera zarządzania. W ramach konfigurowania interfejsu API możesz określić, że połączenie ma używać protokołu HTTP lub zaszyfrowanego protokołu HTTPS.

Konfigurowanie TLS w Edge SSO

Domyślnie połączenie z SSO Edge używa protokołu HTTP przez port 9099 na węźle hostującym apigee-sso, czyli moduł SSO Edge. W apigee-sso wbudowana jest instancja Tomcat, która obsługuje żądania HTTP i HTTPS.

Edge SSO i Tomcat obsługują 3 tryby połączenia:

  • DEFAULT – domyślna konfiguracja obsługuje żądania HTTP na porcie 9099.
  • SSL_TERMINATION – włącza dostęp TLS do logowania jednokrotnego Edge na wybranym porcie. W tym trybie musisz określić klucz i certyfikat TLS.
  • SSL_PROXY – konfiguruje SSO w Edge w trybie proxy, co oznacza, że przed apigee-sso zainstalowano system równoważenia obciążenia i zakończono TLS na systemie równoważenia obciążenia. Możesz określić port używany w apigee-sso do żądań z systemu równoważenia obciążenia.

Włączanie obsługi SAML w portalu usług dla programistów i w API BaaS

Po włączeniu obsługi SAML w Edge możesz opcjonalnie włączyć SAML dla:

W ramach konfigurowania portalu usług dla programistów i interfejsu API BaaS musisz podać adres URL modułu Edge SSO zainstalowanego z Edge:

Ponieważ Edge i API BaaS korzystają z tego samego modułu logowania jednokrotnego Edge, obsługują logowanie jednokrotne. Oznacza to, że zalogowanie się w Edge lub API BaaS powoduje zalogowanie się w obu tych usługach. Oznacza to również, że musisz utrzymywać tylko jedną lokalizację dla wszystkich danych logowania użytkowników.

Opcjonalnie możesz też skonfigurować pojedyncze wylogowanie. Zobacz Konfigurowanie pojedynczego wylogowania w interfejsie Edge.