Edge for Private Cloud גרסה 4.17.09
ממשק המשתמש של Edge וה-Management API של Edge פועלים על ידי שליחת בקשות לשרת הניהול של Edge, שבו שרת הניהול תומך בסוגי האימות הבאים:
- אימות בסיסי התחברות לממשק המשתמש של Edge או שליחת בקשות ל-Edge management API באמצעות העברת שם המשתמש והסיסמה.
- OAuth2 החלפת פרטי הכניסה של Edge Basic Auth באסימון גישה ובאסימון רענון של OAuth2. שולחים קריאות ל-Edge management API על ידי העברת טוקן הגישה מסוג OAuth2 בכותרת Bearer של קריאה ל-API.
בנוסף, Edge תומך ב-Security Assertion Markup Language (SAML) 2.0 כמנגנון האימות. כשה-SAML מופעל, הגישה לממשק המשתמש של Edge ול-Edge management API עדיין מתבצעת באמצעות טוקני גישה של OAuth2. אבל עכשיו אפשר ליצור את האסימונים האלה מטענות נכונות (assertions) של SAML שמוחזרות על ידי ספק זהויות של SAML.
הערה: SAML נתמך רק כמנגנון האימות. הוא לא נתמך להרשאה. לכן, עדיין משתמשים במסד הנתונים של Edge OpenLDAP כדי לשמור את פרטי ההרשאות. למידע נוסף, קראו את המאמר הקצאת תפקידים.
SAML תומך בסביבת כניסה יחידה (SSO). כשמשתמשים ב-SAML עם Edge, אפשר לתמוך ב-SSO לממשק המשתמש ול-API של Edge, בנוסף לכל שירות אחר שאתם מספקים ושתומך גם ב-SAML.
נוספה תמיכה ב-OAuth2 ל-Edge for Private Cloud
כמו שצוין למעלה, ההטמעה של SAML ב-Edge מסתמכת על טוקני גישה של OAuth2.לכן, נוספה תמיכה ב-OAuth2 ל-Edge for Private Cloud. מידע נוסף זמין במאמר מבוא ל-OAuth 2.0.
היתרונות של SAML
לאימות SAML יש כמה יתרונות. באמצעות SAML אתם יכולים:
- שליטה מלאה בניהול המשתמשים. כשמשתמשים עוזבים את הארגון וניהול ההרשאות שלהם מבוטל באופן מרכזי, הגישה שלהם ל-Edge נדחית באופן אוטומטי.
- קובעים איך המשתמשים מאמתים את הזהות שלהם כדי לגשת ל-Edge. אפשר לבחור סוגי אימות שונים לארגונים שונים ב-Edge.
- לשלוט במדיניות האימות. יכול להיות שספק ה-SAML שלכם תומך במדיניות אימות שמתאימה יותר לסטנדרטים של הארגון.
- אתם יכולים לעקוב אחרי התחברויות, התנתקויות, ניסיונות התחברות שנכשלו ופעילויות בסיכון גבוה בפריסה של Edge.
שימוש ב-SAML עם Edge
כדי לתמוך ב-SAML ב-Edge, צריך להתקין את apigee-sso, מודול ה-SSO של Edge. בתמונה הבאה מוצג Edge SSO בהתקנה של Edge for Private Cloud:
אפשר להתקין את מודול ה-SSO של Edge באותו צומת שבו נמצאים ממשק המשתמש ושרת הניהול של Edge, או בצומת נפרד. מוודאים של-Edge SSO יש גישה לשרת הניהול דרך יציאה 8080.
יציאה 9099 צריכה להיות פתוחה בצומת Edge SSO כדי לתמוך בגישה ל-Edge SSO מדפדפן, מ-SAML IDP החיצוני ומשרת הניהול ומממשק המשתמש של Edge. כחלק מהגדרת Edge SSO, אתם יכולים לציין שהחיבור החיצוני ישתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
ב-Edge SSO נעשה שימוש במסד נתונים של Postgres שנגיש ביציאה 5432 בצומת Postgres. בדרך כלל אפשר להשתמש באותו שרת Postgres שהתקנתם עם Edge, או בשרת Postgres עצמאי או בשני שרתי Postgres שהוגדרו במצב מאסטר/המתנה. אם העומס על שרת Postgres גבוה, אתם יכולים גם ליצור צומת Postgres נפרד רק ל-Edge SSO.
כשה-SAML מופעל, הגישה לממשק המשתמש של Edge ול-Edge management API מתבצעת באמצעות טוקני גישה של OAuth2. האסימונים האלה נוצרים על ידי מודול ה-SSO של Edge, שמקבל טענות נכוֹנוּת (assertion) של SAML שמוחזרות על ידי ספק הזהויות.
אחרי שיוצרים את אסימון ה-OAuth מטענת נכוֹנוּת (assertion) של SAML, הוא תקף למשך 30 דקות ואסימון הרענון תקף למשך 24 שעות. יכול להיות שסביבת הפיתוח שלכם תומכת באוטומציה של משימות פיתוח נפוצות, כמו אוטומציה של בדיקות או אינטגרציה רציפה/פריסה רציפה (CI/CD), שדורשות אסימונים עם משך זמן ארוך יותר. במאמר שימוש ב-SAML עם משימות אוטומטיות מוסבר איך ליצור אסימונים מיוחדים למשימות אוטומטיות.
כתובות URL של ממשק המשתמש ושל ה-API של Edge
כתובת ה-URL שמשמשת לגישה לממשק המשתמש של Edge ול-Edge management API זהה לזו ששימשה לפני שהפעלתם את SAML. בממשק המשתמש של Edge:
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
כאשר edge_ui_IP_DNS הוא כתובת ה-IP או שם ה-DNS של המכונה שמארחת את ממשק המשתמש של Edge. כחלק מהגדרת ממשק המשתמש של Edge, אתם יכולים לציין שהחיבור ישתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
ל-Edge management API:
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
כאשר ms_IP_DNS הוא כתובת ה-IP או שם ה-DNS של שרת הניהול. כחלק מהגדרת ה-API, אתם יכולים לציין שהחיבור ישתמש בפרוטוקול HTTP או בפרוטוקול HTTPS המוצפן.
הגדרת TLS ב-Edge SSO
כברירת מחדל, החיבור ל-Edge SSO משתמש ב-HTTP דרך יציאה 9099 בצומת שמארח את apigee-sso, מודול Edge SSO. ב-apigee-sso מובנה מכונה של Tomcat שמטפלת בבקשות HTTP ו-HTTPS.
Edge SSO ו-Tomcat תומכים בשלושה מצבי חיבור:
- DEFAULT – הגדרת ברירת המחדל תומכת בבקשות HTTP ביציאה 9099.
- SSL_TERMINATION – הפעלת גישת TLS ל-Edge SSO ביציאה לבחירתכם. במצב הזה צריך לציין מפתח ואישור TLS.
- SSL_PROXY – מגדיר את Edge SSO במצב שרת proxy, כלומר התקנתם מאזן עומסים לפני apigee-sso וסגרתם את ה-TLS במאזן העומסים. אתם יכולים לציין את היציאה שמשמשת ב-apigee-sso לבקשות ממאזן העומסים.
הפעלת תמיכה ב-SAML בפורטל Developer Services וב-API BaaS
אחרי שמפעילים את התמיכה ב-SAML ב-Edge, אפשר להפעיל את SAML גם בשביל:
- API BaaS – גם פורטל BaaS וגם BaaS Stack תומכים ב-SAML לאימות משתמשים. מידע נוסף זמין במאמר הפעלת SAML ל-API BaaS.
- פורטל שירותי המפתחים – הפורטל תומך באימות SAML כששולחים בקשות ל-Edge. שימו לב שזה שונה מאימות SAML להתחברות של מפתחים לפורטל. אתם מגדירים אימות SAML להתחברות של מפתחים בנפרד. למידע נוסף, קראו את המאמר הגדרת פורטל שירותי המפתחים לשימוש ב-SAML לתקשורת עם Edge.
כחלק מהגדרת הפורטל של שירותי המפתחים ו-API BaaS, צריך לציין את כתובת ה-URL של מודול ה-SSO של Edge שהתקנתם עם Edge:
מכיוון ש-Edge ו-API BaaS משתפים את אותו מודול Edge SSO, הם תומכים בכניסה יחידה. כלומר, התחברות ל-Edge או ל-API BaaS מחברת אתכם לשניהם. זה גם אומר שצריך לתחזק רק מיקום אחד לכל פרטי הכניסה של המשתמשים.
אפשר גם להגדיר כניסה יחידה (SSO). אפשר לעיין במאמר הגדרת יציאה יחידה מממשק המשתמש של Edge.