設定 Developers 入口網站，以使用 SAML 與 Edge 進行通訊

Edge for Private Cloud 4.18.01 版

開發人員服務入口網站是 Apigee Edge 的用戶端。也就是說，入口網站無法做為獨立系統運作。入口網站使用的大部分資訊實際上都儲存在 Edge 上。必要時，入口網站會提出要求，從 Edge 擷取資訊或將資訊傳送至 Edge。

入口網站一律與單一 Edge 組織建立關聯。設定入口網站時，您可以為機構中的帳戶指定基本驗證憑證 (使用者名稱和密碼)，入口網站會使用該帳戶與 Edge 通訊。

如果您選擇為 Edge 驗證啟用 SAML，則可設定入口網站，在向 Edge 提出要求時使用 SAML 驗證。將入口網站設為使用 SAML 後，系統會自動在 Edge 機構中建立新的機器使用者帳戶，入口網站會使用該帳戶向 Edge 提出要求。如要進一步瞭解機器使用者，請參閱「搭配自動化工作使用 SAML」。

如要讓入口網站支援 SAML，您必須先在 Edge 管理伺服器節點上安裝並設定 Edge SSO 模組。為入口網站啟用 SAML 的一般程序如下：

  1. 按照「安裝及設定 Edge 的 SAML」一文所述，在 Edge 上設定 SAML。注意：Edge 仍須啟用基本驗證，才能安裝入口網站。請先將入口網站設為使用 SAML，再停用 Edge 的基本驗證。
  2. 安裝入口網站，並確認安裝作業正常運作。請參閱「安裝 Edge for Private Cloud Developer Services 入口網站」。
  3. 在入口網站設定 SAML。
  4. 您現在可以在 Edge 停用基本驗證。

為入口網站建立機器使用者

啟用 SAML 後，Edge 支援透過機器使用者自動產生 OAuth2 權杖。機器使用者不需指定密碼，即可取得 OAuth2 權杖。也就是說，您可以完全自動化取得及重新整理 OAuth2 權杖的程序。

入口網站的 SAML 設定程序會自動在與入口網站相關聯的組織中建立機器使用者。入口網站會使用這個機器使用者帳戶連線至 Edge。如要進一步瞭解機器使用者，請參閱「搭配自動化工作使用 SAML」。

入口網站開發人員帳戶驗證簡介

將入口網站設為使用 SAML 後，入口網站就能使用 SAML 向 Edge 進行驗證，以便向 Edge 提出要求。不過，入口網站也支援稱為「開發人員」的使用者類型。

開發人員社群是由使用 API 建構應用程式的使用者組成。應用程式開發人員可透過入口網站瞭解 API、註冊使用 API 的應用程式、與開發人員社群互動，以及在資訊主頁查看應用程式用量的統計資訊。

開發人員登入入口網站時，入口網站會負責驗證開發人員，並強制執行角色型權限。即使您在入口網站和 Edge 之間啟用 SAML，入口網站仍會繼續使用基本驗證與開發人員進行驗證。詳情請參閱「在入口網站和 Edge 之間通訊」。

您也可以將入口網站設為使用 SAML 驗證開發人員。如需使用第三方 Drupal 模組啟用 SAML 的範例，請參閱 https://community.apigee.com/articles/29201/sso-integration-via-saml-with-developer-portal.html。

在入口網站上設定 SAML，以便與 Edge 通訊

如要為入口網站設定 SAML，您必須建立設定檔來設定入口網站：

# IP address of Edge Management Server and apigee-sso node.
IP1=22.222.22.222

# URL of Edge management API.
MGMT_URL=http://$IP1:8080/v1

# Org associated with the portal.
EDGE_ORG=myorg

# Information about apigee-sso.
# Externally accessible IP or DNS of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP1
SSO_PUBLIC_URL_PORT=9099
# Default is http. Set to https if you enabled TLS on apigee-sso.
SSO_PUBLIC_URL_SCHEME=http

# SSO admin credentials as set when you installed apigee-sso.
SSO_ADMIN_NAME=ssoadmin
SSO_ADMIN_SECRET=Secret123

# Default is "n" to disable SAML support.
DEVPORTAL_SSO_ENABLED=y

# The name of the OAuth client used to connect to apigee-sso. 
# The default client name is portalcli.
PORTALCLI_SSO_CLIENT_NAME=portalcli
# Oauth client password using uppercase, lowercase, number, and special chars. 
PORTALCLI_SSO_CLIENT_SECRET=Abcdefg@1

# Email address and user info for the machine user created in 
# the Edge org specified above by EDGE_ORG. 
# This account is used by the portal to make requests to Edge.
# Add this email as an org admin before configuring the portal to use SAML. 
DEVPORTAL_ADMIN_EMAIL=DevPortal_SAML@google.com
DEVPORTAL_ADMIN_FIRSTNAME=DevPortal
DEVPORTAL_ADMIN_LASTNAME=SAMLAdmin
DEVPORTAL_ADMIN_PWD=Abcdefg@1

# If set, the existing portal OAuth client is deleted and new one is created.
# The default value is "n".
# Set to "y" when you configure SAML and change the value of 
# any of the PORTALCLI_* properties.
PORTALCLI_SSO_CLIENT_OVERWRITE=y

如要在入口網站啟用 SAML 支援，請按照下列步驟操作：

  1. 在 Edge UI 中，將 DEVPORTAL_ADMIN_EMAIL 指定的機器使用者，新增至與入口網站相關聯的組織，並指派「組織管理員」角色。
    注意：機器使用者尚不存在，但會在下一個步驟中自動建立。
  2. 執行下列指令，在入口網站上設定 SAML：
    > /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f samlConfigFile

    其中 samlConfigFile 是 SAML 設定檔。
  3. 以入口網站管理員身分登入入口網站。
  4. 在 Drupal 主選單中，依序選取「Configuration」>「Dev Portal」。入口網站設定畫面隨即顯示，其中包含 SAML 設定：

    請注意，「This org is SAML-enabled」方塊已勾選，Edge SSO 模組的端點已填入，入口網站 OAuth 用戶端的「API 金鑰」和「Consumer secret」欄位已填入，且「Test Connection」按鈕下方會顯示「Connection Successful」訊息。

  5. 您隨時可以按下「Test Connection」按鈕，重新測試連線。

如要日後變更這些值，請更新設定檔並再次執行指令。

在入口網站停用 SAML

如果選擇停用入口網站和 Edge 之間的 SAML 通訊，入口網站就無法再向 Edge 提出要求。開發人員可以登入入口網站，但無法查看產品或建立應用程式。

注意：如果停用 SAML，請重新設定入口網站，改用 SAML。如果 Edge 仍設為支援基本驗證，請將入口網站設為使用基本驗證與 Edge 通訊。如要進一步瞭解如何使用基本驗證，請參閱「在入口網站和 Edge 之間通訊」。

如要在入口網站停用 SAML，請按照下列步驟操作：

  1. 編輯用於設定 SAM 的設定檔，設定：
    DEVPORTAL_SSO_ENABLED=n
  2. 設定入口網站：
    > /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f configFile