Basisauthentifizierung für Edge deaktivieren

Edge for Private Cloud v4.18.01

Nachdem Sie SAML in Edge aktiviert haben, können Sie die Standardauthentifizierung deaktivieren. Bevor Sie die Standardauthentifizierung deaktivieren, sollten Sie jedoch Folgendes tun:

  • Achten Sie darauf, dass Sie alle Edge-Nutzer, einschließlich Systemadministratoren, zu Ihrem SAML-IdP hinzugefügt haben.
  • Prüfen Sie, ob Sie die SAML-Authentifizierung in der Edge-Benutzeroberfläche und der Edge Management API gründlich getestet haben.
  • Wenn Sie auch API BaaS verwenden, konfigurieren und testen Sie SAML in API BaaS. Weitere Informationen finden Sie unter SAML für API BaaS aktivieren.
  • Wenn Sie das Developer Services-Portal verwenden, konfigurieren und testen Sie SAML im Portal, um sicherzustellen, dass das Portal eine Verbindung zu Edge herstellen kann. Weitere Informationen finden Sie unter Entwicklerportal für die Verwendung von SAML zur Kommunikation mit Edge konfigurieren.

Aktuelles Sicherheitsprofil ansehen

Sie können das Edge-Sicherheitsprofil aufrufen, um die aktuelle Konfiguration zu ermitteln und festzustellen, ob die Standardauthentifizierung und SAML derzeit aktiviert sind. Verwenden Sie den folgenden Edge Management API-Aufruf auf dem Edge Management Server, um das aktuelle Sicherheitsprofil aufzurufen, das von Edge verwendet wird:

> curl -H "accept:application/xml" http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord

Wenn Sie SAML noch nicht konfiguriert haben, sieht die Antwort so aus, d. h. die Standardauthentifizierung ist aktiviert:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    </UserAccessControl>
</SecurityProfile>

Wenn Sie SAML bereits aktiviert haben, wird in der Ausgabe das Tag <ssoserver> angezeigt:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
        <SSOServer>
            <BasicAuthEnabled>true</BasicAuthEnabled>
            <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
            <ServerUrl>http://35.197.37.220:9099</ServerUrl>
        </SSOServer>
    </UserAccessControl>
</SecurityProfile>

Beachten Sie, dass die Version mit aktiviertem SAML auch <BasicAuthEnabled>true</BasicAuthEnabled> anzeigt, was bedeutet, dass die Standardauthentifizierung weiterhin aktiviert ist.

Basisauthentifizierung deaktivieren

Verwenden Sie den folgenden Edge Management API-Aufruf auf dem Edge Management Server, um die Standardauthentifizierung zu deaktivieren. Beachten Sie, dass Sie das im vorherigen Abschnitt zurückgegebene XML-Objekt als Nutzlast übergeben. Der einzige Unterschied besteht darin, dass Sie <BasicAuthEnabled>false</BasicAuthEnabled> festlegen:

> curl -H "Content-Type: application/xml"
http://localhost:8080/v1/securityprofile  -u sysAdminEmail:pWord -d
 '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
    <SSOServer>
      <BasicAuthEnabled>false</BasicAuthEnabled>
      <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
      <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
 </UserAccessControl>
</SecurityProfile>'

Nachdem Sie die Standardauthentifizierung deaktiviert haben, wird bei jedem Edge Management API-Aufruf, der Anmeldedaten für die Standardauthentifizierung übergibt, der folgende Fehler zurückgegeben:

<Error>
    <Code>security.SecurityProfileBasicAuthDisabled</Code>
    <Message>Basic Authentication scheme not allowed</Message>
    <Contexts/>
</Error>

Basisauthentifizierung wieder aktivieren

Wenn Sie die Standardauthentifizierung aus irgendeinem Grund wieder aktivieren müssen, gehen Sie so vor:

Achtung: Wenn Sie die Standardauthentifizierung wieder aktivieren, müssen Sie alle Authentifizierungen in Edge, einschließlich SAML, vorübergehend deaktivieren.

  1. Melden Sie sich bei einem beliebigen Edge ZooKeeper-Knoten an.
  2. Führen Sie das folgende Bash-Skript aus, um alle Sicherheitsfunktionen zu deaktivieren:
    Achtung: Mit diesem Schritt wird die gesamte Authentifizierung in Edge deaktiviert, einschließlich SAML.

    #! /bin/bash
    /opt/apigee/apigee-zookeeper/bin/zkCli.sh -server localhost:2181 <<EOF
    set /system/securityprofile <SecurityProfile></SecurityProfile>
    quit
    EOF

    Die Ausgabe sieht so aus:
    Connecting to localhost:2181
    Welcome to ZooKeeper!
    JLine support is enabled
    WATCHER::
    WatchedEvent state:SyncConnected type:None path:null
    [zk: localhost:2181(CONNECTED) 0] set /system/securityprofile <SecurityProfile></SecurityProfile>
    cZxid = 0x89
    ...
    [zk: localhost:2181(CONNECTED) 1] quit
    Quitting…
  3. Aktivieren Sie die Basisauthentifizierung und die SAML-Authentifizierung wieder:

    > curl -H "Content-Type: application/xml"
    http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord -d
    '<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    <SSOServer>
    <BasicAuthEnabled>true</BasicAuthEnabled>
    <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
    <ServerUrl>http://35.197.37.220:9099</ServerUrl>
    </SSOServer>
    </UserAccessControl>
    </SecurityProfile>'

    Sie können die Standardauthentifizierung jetzt wieder verwenden.