Edge for Private Cloud เวอร์ชัน 4.17.09
Edge UI และ Edge Management API ทำงานโดยส่งคำขอไปยัง Edge Management Server ซึ่ง Management Server รองรับการตรวจสอบสิทธิ์ประเภทต่อไปนี้
- การตรวจสอบสิทธิ์พื้นฐาน เข้าสู่ระบบ Edge UI หรือส่งคำขอไปยัง API การจัดการ Edge โดยส่งชื่อผู้ใช้และรหัสผ่านของคุณ
- OAuth2 แลกเปลี่ยนข้อมูลเข้าสู่ระบบ Edge Basic Auth เป็นโทเค็นเพื่อการเข้าถึง OAuth2 และโทเค็นการรีเฟรช เรียกใช้ Edge Management API โดยส่งโทเค็นเพื่อการเข้าถึง OAuth2 ในส่วนหัว Bearer ของการเรียก API
นอกจากนี้ Edge ยังรองรับ ภาษามาร์กอัปเพื่อยืนยันความปลอดภัย (SAML) 2.0 เป็นกลไกการตรวจสอบสิทธิ์ด้วย เมื่อเปิดใช้ SAML การเข้าถึง Edge UI และ Edge Management API จะยังคงใช้โทเค็นเพื่อการเข้าถึง OAuth2 แต่ตอนนี้คุณสามารถสร้างโทเค็นเหล่านี้จากการยืนยัน SAML ที่ผู้ให้บริการข้อมูลประจำตัว SAML แสดงผลได้แล้ว
หมายเหตุ: ระบบรองรับ SAML เป็นกลไกการตรวจสอบสิทธิ์เท่านั้น ไม่รองรับการให้สิทธิ์ ดังนั้น คุณจึงยังคงใช้ฐานข้อมูล Edge OpenLDAP เพื่อเก็บรักษาข้อมูลการให้สิทธิ์ ดูข้อมูลเพิ่มเติมในการมอบหมายบทบาท
SAML รองรับสภาพแวดล้อมการลงชื่อเพียงครั้งเดียว (SSO) การใช้ SAML กับ Edge จะช่วยให้คุณรองรับ SSO สำหรับ Edge UI และ API นอกเหนือจากบริการอื่นๆ ที่คุณมีและรองรับ SAML ด้วย
เพิ่มการรองรับ OAuth2 ไปยัง Edge สำหรับ Private Cloud
ตามที่กล่าวไว้ข้างต้น การติดตั้งใช้งาน SAML ของ Edge จะอาศัยโทเค็นเพื่อการเข้าถึง OAuth2 ดังนั้นจึงมีการเพิ่มการรองรับ OAuth2 ลงใน Edge สำหรับ Private Cloud ดูข้อมูลเพิ่มเติมได้ที่ข้อมูลเบื้องต้นเกี่ยวกับ OAuth 2.0
ข้อดีของ SAML
การตรวจสอบสิทธิ์ SAML มีข้อดีหลายประการ การใช้ SAML ช่วยให้คุณทำสิ่งต่อไปนี้ได้
- ควบคุมการจัดการผู้ใช้อย่างเต็มรูปแบบ เมื่อผู้ใช้ออกจากองค์กรและถูกยกเลิกการจัดสรรจากส่วนกลาง ระบบจะปฏิเสธการเข้าถึง Edge โดยอัตโนมัติ
- ควบคุมวิธีที่ผู้ใช้ตรวจสอบสิทธิ์เพื่อเข้าถึง Edge คุณเลือกประเภทการตรวจสอบสิทธิ์ที่แตกต่างกันสำหรับองค์กร Edge ต่างๆ ได้
- ควบคุมนโยบายการตรวจสอบสิทธิ์ ผู้ให้บริการ SAML อาจรองรับนโยบายการตรวจสอบสิทธิ์ที่สอดคล้องกับมาตรฐานองค์กรของคุณมากกว่า
- คุณสามารถตรวจสอบการเข้าสู่ระบบ การออกจากระบบ การพยายามเข้าสู่ระบบที่ไม่สำเร็จ และกิจกรรมที่มีความเสี่ยงสูงในการติดตั้งใช้งาน Edge ได้
การใช้ SAML กับ Edge
หากต้องการรองรับ SAML ใน Edge ให้ติดตั้ง apigee-sso ซึ่งเป็นโมดูล Edge SSO รูปภาพต่อไปนี้แสดง Edge SSO ในการติดตั้ง Edge สำหรับ Private Cloud
คุณสามารถติดตั้งโมดูล Edge SSO ในโหนดเดียวกับ Edge UI และเซิร์ฟเวอร์การจัดการ หรือในโหนดของตัวเองก็ได้ ตรวจสอบว่า Edge SSO มีสิทธิ์เข้าถึงเซิร์ฟเวอร์การจัดการผ่านพอร์ต 8080
ต้องเปิดพอร์ต 9099 ในโหนด Edge SSO เพื่อรองรับการเข้าถึง Edge SSO จากเบราว์เซอร์, จาก IDP ของ SAML ภายนอก และจากเซิร์ฟเวอร์การจัดการและ Edge UI ในการกำหนดค่า Edge SSO คุณสามารถระบุได้ว่าการเชื่อมต่อภายนอกจะใช้โปรโตคอล HTTP หรือ HTTPS ที่เข้ารหัส
Edge SSO ใช้ฐานข้อมูล Postgres ที่เข้าถึงได้ในพอร์ต 5432 บนโหนด Postgres โดยปกติแล้ว คุณสามารถใช้เซิร์ฟเวอร์ Postgres เดียวกันกับที่ติดตั้งด้วย Edge ได้ ไม่ว่าจะเป็นเซิร์ฟเวอร์ Postgres แบบสแตนด์อโลนหรือเซิร์ฟเวอร์ Postgres 2 เครื่องที่กำหนดค่าในโหมดมาสเตอร์/สแตนด์บาย หากเซิร์ฟเวอร์ Postgres มีภาระงานสูง คุณยังเลือกสร้างโหนด Postgres แยกต่างหากสำหรับ Edge SSO โดยเฉพาะได้ด้วย
เมื่อเปิดใช้ SAML การเข้าถึง Edge UI และ Edge Management API จะใช้โทเค็นเพื่อการเข้าถึง OAuth2 โทเค็นเหล่านี้สร้างขึ้นโดยโมดูล Edge SSO ซึ่งยอมรับการยืนยัน SAML ที่ IDP ของคุณแสดงผล
เมื่อสร้างจากการยืนยัน SAML แล้ว โทเค็น OAuth จะใช้ได้เป็นเวลา 30 นาที และโทเค็นการรีเฟรชจะใช้ได้เป็นเวลา 24 ชั่วโมง สภาพแวดล้อมในการพัฒนาซอฟต์แวร์อาจรองรับการทำงานอัตโนมัติสำหรับงานพัฒนาทั่วไป เช่น การทดสอบอัตโนมัติหรือการรวมอย่างต่อเนื่อง/การติดตั้งใช้งานอย่างต่อเนื่อง (CI/CD) ซึ่งต้องใช้โทเค็นที่มีระยะเวลานานขึ้น ดูข้อมูลเกี่ยวกับการสร้างโทเค็นพิเศษสำหรับงานอัตโนมัติได้ที่หัวข้อการใช้ SAML กับงานอัตโนมัติ
URL ของ Edge UI และ API
URL ที่คุณใช้เข้าถึง Edge UI และ Edge Management API จะเหมือนกับ URL ที่ใช้ก่อนเปิดใช้ SAML สำหรับ Edge UI ให้ทำดังนี้
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
โดยที่ edge_ui_IP_DNS คือที่อยู่ IP หรือชื่อ DNS ของเครื่องที่โฮสต์ Edge UI ในขั้นตอนการกำหนดค่า Edge UI คุณสามารถระบุได้ว่าการเชื่อมต่อจะใช้โปรโตคอล HTTP หรือ HTTPS ที่เข้ารหัส
สำหรับ Edge Management API
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
โดยที่ ms_IP_DNS คือที่อยู่ IP หรือชื่อ DNS ของเซิร์ฟเวอร์การจัดการ ในขั้นตอนการกำหนดค่า API คุณสามารถระบุได้ว่าการเชื่อมต่อจะใช้ HTTP หรือโปรโตคอล HTTPS ที่เข้ารหัส
กำหนดค่า TLS ใน Edge SSO
โดยค่าเริ่มต้น การเชื่อมต่อกับ Edge SSO จะใช้ HTTP ผ่านพอร์ต 9099 ในโหนดที่โฮสต์ apigee-sso ซึ่งเป็นโมดูล Edge SSO อินสแตนซ์ Tomcat ที่จัดการคำขอ HTTP และ HTTPS จะติดตั้งมาใน apigee-sso
Edge SSO และ Tomcat รองรับโหมดการเชื่อมต่อ 3 โหมด ได้แก่
- DEFAULT - การกำหนดค่าเริ่มต้นรองรับคำขอ HTTP ในพอร์ต 9099
- SSL_TERMINATION - เปิดใช้การเข้าถึง TLS ไปยัง Edge SSO ในพอร์ตที่คุณเลือก คุณต้องระบุคีย์ TLS และใบรับรองสำหรับโหมดนี้
- SSL_PROXY - กำหนดค่า Edge SSO ในโหมดพร็อกซี ซึ่งหมายความว่าคุณได้ติดตั้งตัวจัดสรรภาระงานไว้หน้า apigee-sso และสิ้นสุด TLS บนตัวจัดสรรภาระงาน คุณสามารถระบุพอร์ตที่ใช้ใน apigee-sso สำหรับคำขอจาก Load Balancer ได้
เปิดใช้การรองรับ SAML สำหรับพอร์ทัล Developer Services และ API BaaS
หลังจากเปิดใช้การรองรับ SAML สำหรับ Edge แล้ว คุณจะเลือกเปิดใช้ SAML สำหรับรายการต่อไปนี้ได้
- API BaaS - ทั้งพอร์ทัล BaaS และสแต็ก BaaS รองรับ SAML สำหรับการตรวจสอบสิทธิ์ผู้ใช้ ดูข้อมูลเพิ่มเติมได้ที่การเปิดใช้ SAML สำหรับ API BaaS
- พอร์ทัลบริการสำหรับนักพัฒนาซอฟต์แวร์ - พอร์ทัลรองรับการตรวจสอบสิทธิ์ SAML เมื่อส่งคำขอไปยัง Edge โปรดทราบว่าการดำเนินการนี้แตกต่างจากการตรวจสอบสิทธิ์ SAML สำหรับการเข้าสู่ระบบพอร์ทัลของนักพัฒนาแอป คุณกำหนดค่าการตรวจสอบสิทธิ์ SAML สำหรับการเข้าสู่ระบบของนักพัฒนาแอปแยกต่างหาก ดูข้อมูลเพิ่มเติมได้ที่การกำหนดค่าพอร์ทัล Developer Services ให้ใช้ SAML เพื่อสื่อสารกับ Edge
ในการกำหนดค่าพอร์ทัลบริการสำหรับนักพัฒนาซอฟต์แวร์และ API BaaS คุณต้องระบุ URL ของโมดูล Edge SSO ที่ติดตั้งด้วย Edge ดังนี้
เนื่องจาก Edge และ API BaaS ใช้โมดูล Edge SSO เดียวกัน จึงรองรับการลงชื่อเพียงครั้งเดียว กล่าวคือ การเข้าสู่ระบบ Edge หรือ API BaaS จะเป็นการเข้าสู่ระบบทั้ง 2 อย่าง ซึ่งหมายความว่าคุณจะต้องดูแลรักษาตำแหน่งเดียวสำหรับข้อมูลเข้าสู่ระบบของผู้ใช้ทั้งหมด
นอกจากนี้ คุณยังกำหนดค่าการออกจากระบบครั้งเดียวได้ด้วย ดูหัวข้อกำหนดค่าการออกจากระบบครั้งเดียวจาก Edge UI