Edge for Private Cloud v. 4.17.09
In diesem Abschnitt wird beschrieben, wie Sie Edge-Systemverwaltungstools und -befehle nach der Aktivierung von SAML ausführen. Für viele Aufgaben in Edge sind Anmeldedaten für die Systemverwaltung erforderlich, z. B.:
- Organisationen und Umgebungen erstellen
- Edge-Komponenten hinzufügen und entfernen
- apigee-adminapi.sh-Befehle ausführen
- viele andere Aufgaben
Nachdem Sie SAML in Edge aktiviert haben, deaktivieren Sie jedoch in der Regel die Standardauthentifizierung, sodass die Authentifizierung nur über den SAML-IDP möglich ist. Daher müssen Sie dafür sorgen, dass Sie das Systemadministratorkonto Ihrem SAML-IdP hinzugefügt haben.
Edge-Verwaltungs-APIs als Systemadministrator aufrufen
Bei vielen Edge API-Aufrufen müssen Sie Anmeldedaten des Systemadministrators übergeben. SAML mit der Edge Management API verwenden enthält eine Anleitung zum Abrufen und Aktualisieren von Tokens beim Aufrufen der Edge Management API.
Dienstprogramm „apigee-adminapi.sh“ mit SAML-Authentifizierung verwenden
Mit dem Dienstprogramm apigee-adminapi.sh können Sie dieselben Edge-Konfigurationsaufgaben ausführen, die Sie auch durch Aufrufe der Edge Management API ausführen. Das Dienstprogramm apigee-adminapi.sh bietet folgende Vorteile:
- Einfache Befehlszeile verwenden
- Implementiert die Tab-basierte Befehlsvervollständigung
- Bietet Hilfe und Nutzungsinformationen
- Kann den entsprechenden API-Aufruf anzeigen, wenn Sie die API ausprobieren möchten
Weitere Informationen finden Sie unter apigee-ssoadminapi.sh verwenden.
Nachdem Sie die SAML-Authentifizierung aktiviert haben, haben Sie mehrere Möglichkeiten, die Anmeldedaten des Systemadministrators an das Dienstprogramm apigee-adminapi.sh zu übergeben.
Sie können alle Optionen für jeden apigee-adminapi.sh-Befehl aufrufen, einschließlich der Optionen zum Angeben von SAML-Anmeldedaten, indem Sie die Option „-h“ für den Befehl verwenden. Beispiel:
> apigee-adminapi.sh orgs list -h
Sie können beispielsweise die Anmeldedaten des Systemadministrators übergeben:
> apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow password_grant --admin adminEmail --oauth-password adminPword
Dabei gilt:
- sso-url gibt die URL des Edge-SSO-Moduls an. Ändern Sie den Port oder das Protokoll, wenn Sie sie von 9099 und HTTP geändert haben.
- oauth-flow gibt entweder passcode oder password_grant an. In diesem Beispiel geben Sie password_grant an.
- adminEmail ist die E-Mail-Adresse des Systemadministrators.
- oauth-password gibt das Passwort des Systemadministrators an.
Alternativ können Sie beim Aufrufen des Befehls einen Sicherheitscode verwenden:
> apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode --admin adminEmail --oauth-passcode passcode
Dabei gilt:
- oauth-flow gibt passcode an.
- oauth-passcode gibt den Sicherheitscode an, der von http://edge_sso_IP_DNS:9099/passcode abgerufen wurde.
Schließlich können Sie beim Aufrufen des Befehls ein Token verwenden:
> apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode --admin adminEmail --oauth-token token
Dabei gilt:
- oauth-flow gibt entweder passcode oder password_grant an, je nachdem, wie Sie das Token ursprünglich erhalten haben. In diesem Beispiel geben Sie passcode an, da Sie das Token ursprünglich mit get_token abgerufen haben. Weitere Informationen finden Sie unter SAML mit der Edge Management API verwenden.
- oauh_token enthält das Token.
Edge-Dienstprogramme mit SAML-Authentifizierung verwenden
Viele Edge-Dienstprogramme erfordern Systemadministrator-Anmeldedaten, z. B.:
- apigee-provision zum Erstellen von Organisationen, Umgebungen und virtuellen Hosts
- setup.sh zum Hinzufügen von Knoten zu einem vorhandenen System
- Alle anderen Dienstprogramme, bei denen Sie die Anmeldedaten des Systemadministrators in einer Konfigurationsdatei angeben müssen
Diese Dienstprogramme verwenden als Eingabe eine Konfigurationsdatei, in der die Anmeldedaten des Systemadministrators mithilfe der folgenden Attribute angegeben werden:
ADMIN_EMAIL="adminEmail" APIGEE_ADMINPW=adminPWord
Wenn Sie das Passwort weglassen, werden Sie dazu aufgefordert.
Nachdem Sie SAML aktiviert haben, verwenden Sie verschiedene Properties, um die Anmeldedaten des Systemadministrators anzugeben. Sie können beispielsweise die Anmeldedaten des Systemadministrators übergeben:
ADMIN_EMAIL="adminEmail" SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099 OAUTH_FLOW=password_grant OAUTH_ADMIN_PASSWORD=adminPWord
Dabei gilt:
- SSO_LOGIN_URL gibt die URL des Edge-SSO-Moduls an. Ändern Sie den Port oder das Protokoll, wenn Sie sie von 9099 und HTTP geändert haben.
- OAUTH_FLOW gibt entweder passcode oder password_grant an. In diesem Beispiel geben Sie password_grant an, da Sie das Passwort des Systemadministrators übergeben.
- OAUTH_ADMIN_PASSWORD gibt das Passwort des Systemadministrators an.
Alternativ können Sie die folgenden Properties verwenden, um die Anmeldedaten als Teil eines Sicherheitscode-Ablaufs anzugeben:
ADMIN_EMAIL="adminEmail" SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099 OAUTH_FLOW=passcode OAUTH_ADMIN_PASSCODE=passcode
Dabei gilt:
- OAUTH_FLOW gibt passcode an.
- OAUTH_ADMIN_PASSCODE gibt den Sicherheitscode an, der von http://edge_sso_IP_DNS:9099/passcode abgerufen wurde.
Schließlich können Sie ein Token verwenden,
ADMIN_EMAIL="adminEmail" SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099 OAUTH_FLOW=passcode OAUTH_BEARER_TOKEN=token
Dabei gilt:
- OAUTH_FLOW gibt entweder passcode oder password_grant an, je nachdem, wie Sie das Token ursprünglich erhalten haben. In diesem Beispiel geben Sie passcode an, da Sie das Token ursprünglich mit get_token abgerufen haben. Weitere Informationen finden Sie unter SAML mit der Edge Management API verwenden.
- OAUTH_BEARER_TOKEN enthält das Token.