Edge for Private Cloud v4.18.01
Apigee のドキュメント サイトには、ユーザーのロールと権限の管理に関する詳細な情報が掲載されています。ユーザーは Edge UI と Management API の両方を使用して管理できます。ロールと権限は Management API でのみ管理できます。
ユーザーとユーザーの作成については、以下をご覧ください。
ユーザーを管理するために実行するオペレーションの多くは、システム管理者権限を必要とします。クラウドベースの Edge インストールでは、Apigee がシステム管理者の役割を果たします。Edge for プライベート クラウド のインストールでは、システム管理者が以下のようにこれらのタスクを実行する必要があります。
ユーザーを追加する
ユーザーを作成するには、Edge API、Edge UI、Edge コマンドのいずれかを使用します。このセクションでは、Edge API と Edge コマンドの使用方法について説明します。Edge UI でユーザーを作成する方法については、グローバル ユーザーの作成をご覧ください。
組織にユーザーを作成したら、ユーザーにロールを割り当てる必要があります。ロールによって、Edge でのユーザーのアクセス権が決まります。
Edge API を使用してユーザーを作成するには、次のコマンドを使用します。
curl -H "Content-Type:application/xml" -u <sysAdminEmail>:<passwd> \ -X POST http://<ms_IP>:8080/v1/users \ -d '<User> \ <FirstName>New</FirstName> \ <LastName>User</LastName> \ <Password>newUserPWord</Password> \ <EmailId>foo@bar.com</EmailId> \ </User>'
または、次の Edge コマンドを使用してユーザーを作成します。
> /opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile
ここで、configFile には、ユーザーの作成に必要な情報が含まれています。
APIGEE_ADMINPW=sysAdminPW # If omitted, you will be prompted. USER_NAME=foo@bar.com FIRST_NAME=New LAST_NAME=User USER_PWD="newUserPWord" ORG_NAME=myorg
この呼び出しを使用して、ユーザーに関する情報を表示できます。
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com
組織内のロールにユーザーを割り当てる
新しいユーザーが何らかの操作を行うには、組織内のロールに割り当てられている必要があります。ユーザーには、orgadmin、businessuser、opsadmin、user などのさまざまなロールや、組織で定義されたカスタムロールを割り当てることができます。
組織内のロールにユーザーを割り当てると、そのユーザーは自動的に組織に追加されます。ユーザーを複数の組織に割り当てるには、各組織のロールにユーザーを割り当てます。
次のコマンドを使用して、ユーザーを組織内のロールに割り当てます。
curl -X POST -H "Content-Type:application/x-www-form-urlencoded" / http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users?id=foo@bar.com / -u <sysAdminEmail>:<passwd>
この呼び出しにより、ユーザーに割り当てられているすべてのロールが表示されます。ユーザーを追加するものの、新しいロールのみを表示する場合は、次の呼び出しを使用します。
curl -X POST -H "Content-Type: application/xml" / http://<ms_IP>:8080/v1/o/<org_name>/users/foo@bar.com/userroles / -d '<Roles><Role name="role"/></Roles>' / -u <sysAdminEmail>:<passwd>
ユーザーのロールを表示するには、次のコマンドを使用します。
curl -u <sysAdminEmail>:<passwd> / http://<ms_IP>:8080/v1/users/foo@bar.com/userroles
組織からユーザーを削除するには、その組織のすべてのロールをユーザーから削除します。ユーザーからロールを削除するには、次のコマンドを使用します。
curl -X DELETE -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users/foo@bar.com
システム管理者を追加する
システム管理者は次のことができます。
- 組織を作成する
- Edge インストールに Router、Message Processor、その他のコンポーネントを追加する
- TLS / SSL を構成する
- 追加のシステム管理者を作成する
- すべての Edge 管理タスクを実行する
管理タスクのデフォルト ユーザーは 1 人のみですが、システム管理者は複数存在できます。sysadmin ロールのメンバーであるユーザーは、すべてのリソースに対する完全な権限を持ちます。
システム管理者のユーザーは、Edge UI または API で作成できます。ただし、ユーザーに sysadmin のロールを割り当てるには、Edge API を使用する必要があります。Edge UI でユーザーに sysadmin ロールを割り当てることはできません。
システム管理者を追加するには:
- Edge UI または API でユーザーを作成します。
- ユーザーを sysadmin ロールに追加します。
curl -u <sysAdminEmail>:<passwd> \
-X POST http://<ms_IP>:8080/v1/userroles/sysadmin/users \
-d 'id=foo@bar.com' - 新規ユーザーが sysadmin ロールに属していることを確認します。
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/userroles/sysadmin/users
ユーザーのメールアドレスが返されます。
[ " foo@bar.com " ] - 新規ユーザーの権限を確認します。
curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com/permissions
戻り値:
{
"resourcePermission" : [ {
"path" : "/",
"permissions" : [ "get", "put", "delete" ]
} ]
} - 新しいシステム管理者が追加されたら、そのユーザーを任意の組織に追加できます。
注: 新しいシステム管理者ユーザーは、少なくとも 1 つの組織に追加されるまで Edge UI にログインできません。 - 後でユーザーをシステム管理者ロールから削除する場合は、次の API を使用できます。
curl -X DELETE -u <sysadminEmail:pword>
http://<ms_IP>:8080/v1/userroles/sysadmin/users/foo@bar.com
この呼び出しは、ユーザーをロールから削除するだけで、ユーザーを削除するわけではありません。
デフォルトのシステム管理者ユーザーの変更
Edge をインストールするときに、システム管理者のメールアドレスを指定します。Edge は、そのメールアドレスを持つユーザーを作成し、そのユーザーをデフォルトのシステム管理者として設定します。後で、上記のようにシステム管理者をさらに追加できます。
このセクションでは、デフォルトのシステム管理者を別のユーザーに変更する方法と、現在のデフォルトのシステム管理者のユーザー アカウントのメールアドレスを変更する方法について説明します。
現在システム管理者として構成されているユーザーのリストを表示するには、次の API 呼び出しを使用します。
curl -u sysAdminEmail:passwd http://<ms_IP>:8080/v1/userroles/sysadmin/users
現在のデフォルトのシステム管理者を確認するには、/opt/apigee/customer/defaults.sh ファイルを表示します。このファイルには、現在のデフォルトのシステム管理者のメールアドレスを示す次の行が含まれています。
ADMIN_EMAIL=foo@bar.com
デフォルトのシステム管理者を別のユーザーに変更するには:
- 上記のように新しいシステム管理者を作成するか、新しいシステム管理者のユーザー アカウントがシステム管理者としてすでに構成されていることを確認します。
- /opt/apigee/customer/defaults.sh を編集して、ADMIN_EMAIL を新しいシステム管理者のメールアドレスに設定します。
- Edge UI のインストールに使用したサイレント構成ファイルを編集して、次のプロパティを設定します。
ADMIN_EMAIL=emailAddressOfNewSysAdmin
APIGEE_ADMINPW=pwOfNewSysAdmin
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
UI のすべてのプロパティがリセットされるため、SMTP プロパティを含める必要があります。 - Edge UI を再構成します。
> /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
> /opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
> /opt/apigee/apigee-service/bin/apigee-service edge-ui start
現在のデフォルトのシステム管理者のユーザー アカウントのメールアドレスのみを変更する場合は、まずユーザー アカウントを更新して新しいメールアドレスを設定してから、デフォルトのシステム管理者のメールアドレスを変更します。
- 現在のデフォルトのシステム管理者ユーザーのユーザー アカウントを新しいメールアドレスで更新します。
> curl -H content-type:application/json -X PUT /
-u currentSysAdminEmail:passwd /
http://<ms_IP>:8080/v1/users/currentSysAdminEmail /
-d '{"emailId": "newSysAdminEmail", "lastName": "admin", "firstName": "admin"}' - 前の手順のステップ 2、3、4 を繰り返して、/opt/apigee/customer/defaults.sh ファイルを更新し、Edge UI を更新します。
システム管理者のメールドメインを指定する
セキュリティを強化するために、Edge システム管理者の必須のメールドメインを指定できます。システム管理者の追加時に、ユーザーのメールアドレスが指定されたドメインにない場合、ユーザーを sysadmin ロールに追加できません。
デフォルトでは、必須ドメインは空です。つまり、任意のメールアドレスを sysadmin ロールに追加できます。
メールドメインを設定するには:
- エディタで management-server.properties を開きます。
vi /opt/apigee/customer/application/management-server.properties
このファイルが存在しない場合は作成します。 - conf_security_rbac.global.roles.allowed.domains プロパティを、許可されるドメインのカンマ区切りのリストに設定します。例:
conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com - 変更を保存します。
- Edge Management Server を再起動します。
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
この状態で sysadmin ロールにユーザーを追加しようとしたときに、ユーザーのメールアドレスが指定されたドメインに属していない場合、追加は失敗します。
ユーザーの削除
ユーザーは、Edge API または Edge UI を使用して作成できます。ただし、ユーザーを削除するには API を使用する必要があります。
メールアドレスを含む現在のユーザーのリストを表示するには、次の cURL コマンドを使用します。
curl -u <sysAdminEmail>:<passwd> http://<ms-IP>:8080/v1/users
ユーザーを削除するには、次の cURL コマンドを使用します。
curl -u <sysAdminEmail>:<passwd> -X DELETE http://<ms-IP>:8080/v1/users/<userEmail>