الإصدار 4.18.01 من Edge for Private Cloud
يتيح لك ربط الأدوار الخارجية ربط مجموعاتك أو أدوارك بالتحكّم في الوصول على أساس الدور. (RBAC) الأدوار والمجموعات التي تم إنشاؤها على Apigee Edge. لا تتوفَّر هذه الميزة إلا مع Edge Private. السحابة الإلكترونية
الميزات الجديدة
تتوفر في خدمة "تخطيط الأدوار الخارجية" لإصدارات Edge for Private Cloud قبل الإصدار 4.18.01 نهائيًا. الإصدار 4.18.01 من "ربط الأدوار الخارجي" هو إصدار محدَّث تم إصلاح أخطاء فيه والميزات الجديدة المضافة:
- تم إصلاح المشكلة المتمثلة في تلقيك ردودًا محظورة على المصادقة 403 عند المصادقة مع المستخدمين الذين ينبغي أن يكون لديهم حق الوصول.
- X-Apigee-Current-User الآن في تعيين الأدوار الخارجي. يمكن الآن للمستخدمين الذين لديهم إذن وصول مناسب (مسؤول إدارة النظم) عرض الأدوار المعينة لمستخدم آخر.
المتطلبات الأساسية
- يجب أن تكون مشرفًا في نظام Apigee Private Cloud وأن تكون مشرفًا لنظام عام. بيانات الاعتماد لإجراء هذه التهيئة.
-
عليك معرفة الدليل الجذري لتثبيت Apigee Edge Private Cloud. تشير رسالة الأشكال البيانية الدليل الجذر التلقائي هو /opt.
مثال على الإعداد خطوة بخطوة
عرض هذه المقالة حول منتديات Apigee للاطّلاع على مثال مفصَّل حول إعداد أدوات خارجية تحديد الأدوار.
الإعدادات التلقائية
يتم إيقاف ربط الأدوار الخارجية تلقائيًا.
تفعيل ربط الأدوار الخارجي
- قبل أن تتمكن من إكمال التهيئة التالية، يجب عليك إنشاء فئة Java
تنفيذ واجهة ExternalRoleMapperServiceV2 وتضمينها في
مسار الفئة في خادم الإدارة:
/opt/apigee/edge-management-server/lib/thirdparty/
للحصول على تفاصيل حول هذا التنفيذ، يمكنك الاطلاع على القسم حول ExternalRoleMapperImpl نموذج التنفيذ لاحقًا في هذا المستند. - سجِّل الدخول إلى خادم إدارة Apigee Edge ثم أوقِف خادم الإدارة.
المعالجة:
> /opt/apigee/apigee-service/bin/apigee-service إيقاف إدارة شبكة Edge - افتح /opt/apigee/customer/application/management-server.properties في محرر النصوص. إذا لم يكن هذا الملف متوفّرًا، أنشئه.
- عدِّل ملف الخصائص لتطبيق الإعدادات التالية:
# متجر المستخدم المطلوب استخدامه المصادقة.
# استخدام "externalized.authentication" لمتجر مستخدمي LDAP.
# لاحظ أنه للحصول على التفويض، نستمر في استخدام LDAP.
# راجع تفعيل المصادقة الخارجية المزيد حول تفعيل المصادقة الخارجية.
conf_security_authentication.user.store=externalized.authentication
#تفعيل مصمم خرائط الأدوار الخارجي للتفويضات.
conf_security_externalized.authentication.role.mapper.enabled=true conf_security_externalized.authentication.role.mapper.implementation.class=com.customer.authorization.impl.ExternalRoleMapperImpl
ملاحظة مهمة: فئة التنفيذ واسم الحزمة المشار إليهما في الإعدادات أعلاه (ExternalRoleMapperImpl) ليست سوى أمثلة -- فهي فئة يجب تنفيذها يمكنك تسمية الفئة والحزمة كما تريد. لمزيد من التفاصيل حول تنفيذ هذا صف، راجع حول نموذج لفئة تنفيذ ExternalRoleMapperImpl أدناه. هذه هي الفئة التي يجب تنفيذها لتعكس مجموعاتك الخاصة. - احفظ الملف management-server.properties.
- التأكُّد من أنّ management-server.properties تعود إلى
المستخدم المتداخل:؟
> تشون apigee:apigee /opt/apigee/customer/application/management-server.properties - بدء خادم الإدارة:
> /opt/apigee/apigee-service/bin/apigee-service بدء خادم إدارة الحافة
إيقاف التفويض الخارجي
لإيقاف المصادقة الخارجية:
- افتح /opt/apigee/customer/application/management-server.properties في محرر النصوص. إذا لم يكن الملف متوفّرًا، أنشئه.
- تغيير متجر مستخدم المصادقة إلى ldap:
conf_security_authentication.user.store=ldap - اضبط هذه السمة على "خطأ":
conf_security_externalized.authentication.role.mapper.enabled=false - إعادة تشغيل خادم الإدارة:
> /opt/apigee/apigee-service/bin/apigee-service بدء خادم إدارة الحافة
لمحة عن ExternalRoleMapperImpl نموذج التنفيذ
في ملف إعداد Security.properties الموضّح سابقًا في قسم تفعيل ربط الأدوار الخارجية، يُرجى ملاحظة السطر التالي:
externalized.authentication.role.mapper.implementation.class=com.customer.authorization.impl.ExternalRoleMapperImpl
تنفِّذ هذه الفئة الواجهة ExternalRoleMapperServiceV2، وهي مطلوبة. عليك إجراء ما يلي: يجب إنشاء طريقة التنفيذ الخاصة بك لهذا الصف والتي تعكس مجموعاتك الخاصة. عند الانتهاء، وضع الفئة التي تم تجميعها في JAR ووضعها في مسار فئة خادم الإدارة في:
/opt/apigee/edge-management-server/lib/thirdparty/
يمكنك تسمية الفئة وحزمة المحتوى الذي تريده ما دامت متوفّرة. يمكن الوصول إلى ExternalRoleMapperServiceV2 في مسار الفئة الخاص بك، وتتم الإشارة إليها بشكل صحيح في management-server.properties.
نعرض في ما يلي نموذج تنفيذ قَيْد التعليق لفئة ExternalRoleMapperImpl.
package com.customer.authorization.impl;
import com.apigee.authentication.*;
import com.apigee.authorization.namespace.OrganizationNamespace;
import com.apigee.authorization.namespace.SystemNamespace;
import java.util.Collection;
import java.util.HashSet;
import javax.naming.NamingEnumeration;
import javax.naming.NamingException;
import javax.naming.directory.Attributes;
import javax.naming.directory.DirContext;
import javax.naming.directory.InitialDirContext;
import javax.naming.directory.SearchControls;
import javax.naming.directory.SearchResult;
/** *
* Sample Implementation constructed with dummy roles with expected namespaces.
*/
public class ExternalRoleMapperImpl
implements ExternalRoleMapperServiceV2 {
InitialDirContext dirContext = null;
@Override
public void start(ConfigBean arg0) throws ConnectionException {
try {
// Customer Specific Implementation will override the
// ImplementDirContextCreationLogicForSysAdmin method implementation.
// Create InitialDirContext based on the system admin user credentials.
dirContext = ImplementDirContextCreationLogicForSysAdmin();
} catch (NamingException e) {
// TODO Auto-generated catch block
throw new ConnectionException(e);
}
}
@Override
public void stop() throws Exception {
}
/**
* This method should be replaced with customer's implementation
* For given roleName under expectedNamespace, return all users that belongs to this role
* @param roleName
* @param expectedNamespace
* @return All users that belongs to this role. For each user, please return the username/email that is stored in Apigee LDAP
* @throws ExternalRoleMappingException
*/
@Override
public Collection<String> getUsersForRole(String roleName, NameSpace expectedNamespace) throws ExternalRoleMappingException {
Collection<String> users = new HashSet<>();
if (expectedNamespace instanceof SystemNamespace) {
// If requesting all users with sysadmin role
if (roleName.equalsIgnoreCase("sysadmin")) {
// Add sysadmin's email to results
users.add("sysadmin@wacapps.net");
}
} else {
String orgName = ((OrganizationNamespace) expectedNamespace).getOrganization();
// If requesting all users of engRole in Apigee LDAP
if (roleName.equalsIgnoreCase("engRole")) {
// Get all users in corresponding groups in customer's LDAP. In this case looking for 'engGroup';
SearchControls controls = new SearchControls();
controls.setSearchScope(1);
try {
NamingEnumeration<SearchResult> res = dirContext.search("ou=groups,dc=corp,dc=wacapps,dc=net",
"cn=engGroup", new Object[]{"",""}, controls);
while (res.hasMoreElements()) {
SearchResult sr = res.nextElement();
// Add all users into return
users.addAll(sr.getAttributes().get("users").getAll());
}
} catch (NamingException e) {
// Customer needs to handle the exception here
}
}
}
return users;
}
/**
*
* This method would be implemented by the customer and would be invoked
* while including using X-Apigee-Current-User header in request.
*
* X-Apigee-Current-User allows the customer to login as another user
*
* Below is the basic example.
*
* If User has sysadmin role then it's expected to set SystemNameSpace
* along with the expected NameSpace. Otherwise role's expectedNameSpace
* to be set for the NameSpacedRole.
*
* Collection<NameSpacedRole> results = new HashSet<NameSpacedRole>();
*
* NameSpacedRole sysNameSpace = new NameSpacedRole("sysadmin",
* SystemNamespace.get());
*
* String orgName =
* ((OrganizationNamespace) expectedNameSpace).getOrganization();
*
* NameSpacedRole orgNameSpace = new NameSpacedRole ("orgadmin",
* expectedNameSpace);
*
* results.add(sysNameSpace);
*
* results.add(orgNameSpace);
*
*
* @param username UserA's username
* @param password UserA's password
* @param requestedUsername UserB's username. Allow UserA to request UserB's userroles with
* UserA's credentials when requesting UserB as X-Apigee-Current-User
* @param expectedNamespace
* @return
* @throws ExternalRoleMappingException
*/
@Override
public Collection<NameSpacedRole> getUserRoles(String username, String password, String requestedUsername, NameSpace expectedNamespace) throws ExternalRoleMappingException {
/************************************************************/
/******************** Authenticate UserA ********************/
/************************************************************/
// Customer Specific Implementation will override the
// ImplementDnameLookupLogic method implementation.
// obtain dnName for given username.
String dnName = ImplementDnNameLookupLogic(username);
// Obtain dnName for given requestedUsername.
String requestedDnName = ImplementDnNameLookupLogic(requestedUsername);
if (dnName == null || requestedDnName == null) {
System.out.println("Error ");
}
DirContext dirContext = null;
try {
// Customer Specific Implementation will override the
// ImplementDirectoryContextCreationLogic method implementation
// Create a directory context with dnName or requestedDnName and password
dirContext = ImplementDirectoryContextCreationLogic();
/************************************************/
/*** Map internal groups to apigee-edge roles ***/
/************************************************/
return apigeeEdgeRoleMapper(dirContext, requestedDnName, expectedNamespace);
} catch (Exception ex) {
ex.printStackTrace();
System.out.println("Error in authenticating User: {}" + new Object[] { username });
} finally {
// Customer implementation to close
// ActiveDirectory/LDAP context.
}
return null;
}
/**
*
* This method would be implemented by the customer and would be invoked
* wihle using username and password for authentication and without the
* X-Apigee-Current-User header
*
* The customer can reuse implementations in
* getUserRoles(String username, String password, String requestedUsername, NameSpace expectedNamespace)
* by
* return getUserRoles(username, password, username, expectedNamespace)
* in implementations.
*
* or the customer can provide new implementations as shown below.
*/
@Override
public Collection<NameSpacedRole> getUserRoles(String username, String password, NameSpace expectedNamespace) throws ExternalRoleMappingException {
/*************************************************************/
/****************** Authenticate Given User ******************/
/*************************************************************/
// Customer Specific Implementation will override the
// ImplementDnameLookupLogic implementation.
// Obtain dnName for given username or email address.
String dnName = ImplementDnNameLookupLogic(username);
if (dnName == null) {
System.out.println("Error ");
}
DirContext dirContext = null;
try {
// Create a directory context with username or dnName and password
dirContext = ImplementDirectoryContextCreationLogic();
/************************************************/
/*** Map internal groups to apigee-edge roles ***/
/************************************************/
return apigeeEdgeRoleMapper(dirContext, dnName, expectedNamespace);
} catch (Exception ex) {
ex.printStackTrace();
System.out.println("Error in authenticating User: {}" + new Object[] { username });
} finally {
// Customer implementation to close
// ActiveDirectory/LDAP context.
}
return null;
}
/**
*
* This method would be implemented by the customer and would be invoked
* while using security token or access token as authentication credentials.
*
*/
@Override
public Collection<NameSpacedRole> getUserRoles(String username, NameSpace expectedNamespace) throws ExternalRoleMappingException {
/*************************************************************/
/****************** Authenticate Given User ******************/
/*************************************************************/
// Customer Specific Implementation will override the
// ImplementDnameLookupLogic implementation.
// Obtain dnName for given username or email address.
String dnName = ImplementDnNameLookupLogic(username);
if (dnName == null) {
System.out.println("Error ");
}
DirContext dirContext = null;
try {
// Create a directory context with username or dnName and password
dirContext = ImplementDirectoryContextCreationLogic();
/************************************************/
/*** Map internal groups to apigee-edge roles ***/
/************************************************/
return apigeeEdgeRoleMapper(dirContext, dnName, expectedNamespace);
} catch (Exception ex) {
ex.printStackTrace();
System.out.println("Error in authenticating User: {}" + new Object[] { username });
} finally {
// Customer implementation to close
// ActiveDirectory/LDAP context.
}
return null;
}
/**
* This method should be replaced with Customer Specific Implementations
*
* Provided as a sample Implementation of mapping user groups to apigee-edge roles
*/
private Collection<NameSpacedRole> apigeeEdgeRoleMapper(DirContext dirContext, String dnName, NameSpace expectedNamespace) throws Exception {
Collection<NameSpacedRole> results = new HashSet<NameSpacedRole>();
/****************************************************/
/************ Fetch internal groups *****************/
/****************************************************/
String groupDN = "OU=Groups,DC=corp,DC=wacapps,DC=net";
String userFilter = "(user=userDnName)";
SearchControls controls = new SearchControls();
controls.setSearchScope(SearchControls.ONELEVEL_SCOPE);
// Looking for all groups the user belongs to in customer's LDAP
NamingEnumeration<SearchResult> groups = dirContext.search(groupDN,userFilter.replace("userDnName", dnName), new Object[] { "", "" }, controls);
if (groups.hasMoreElements()) {
while (groups.hasMoreElements()) {
SearchResult searchResult = groups.nextElement();
Attributes attributes = searchResult.getAttributes();
String groupName = attributes.get("name").get().toString();
/************************************************/
/*** Map internal groups to apigee-edge roles ***/
/************************************************/
if (groupName.equals("BusDev")) {
results.add(new NameSpacedRole("businessAdmin",SystemNamespace.get()));
} else if (groupName.equals("Engineering")) {
if (expectedNamespace instanceof OrganizationNamespace) {
String orgName = ((OrganizationNamespace) expectedNamespace).getOrganization();
results.add(new NameSpacedRole("orgadmin", new OrganizationNamespace(orgName)));
}
} else if (groupName.equals("Marketing")) {
results.add(new NameSpacedRole("marketAdmin",SystemNamespace.get()));
} else {
results.add(new NameSpacedRole("readOnly",SystemNamespace.get()));
}
}
} else {
// In case of no group found or exception found we throw empty roles.
System.out.println(" !!!!! NO GROUPS FOUND !!!!!");
}
return results;
}
/**
* The customer need to replace with own implementations for getting dnName for given user
*/
private String ImplementDnNameLookupLogic(String username) {
// Connect to the customer's own LDAP to fetch user dnName
return customerLDAP.getDnName(username);
}
/**
* The customer need to replace with own implementations for creating DirContext
*/
private DirContext ImplementDirectoryContextCreationLogic() {
// Connect to the customer's own LDAP to create DirContext for given user
return customerLDAP.createLdapContextUsingCredentials();
}
}