إدارة المستخدمين والأدوار والأذونات

الإصدار 4.18.01 من Edge الخاص بخدمة Private Cloud

يحتوي موقع مستندات Apigee الإلكتروني على معلومات شاملة حول إدارة أدوار المستخدمين وأذوناتهم. يمكن إدارة المستخدمين باستخدام كل من واجهة مستخدم Edge وManagement API، ولا يمكن إدارة الأدوار والأذونات إلا باستخدام Management API.

للحصول على معلومات عن المستخدمين وإنشاء المستخدمين، راجع:

• لمحة عن المستخدمين في جميع أنحاء العالم
• إنشاء مستخدمين عالميين

إنّ العديد من العمليات التي تجريها لإدارة المستخدمين تتطلّب امتيازات مشرف النظام. في عملية تثبيت Edge المستنِدة إلى السحابة الإلكترونية، تعمل Apigee بدور مشرف النظام. في متصفح Edge الخاص بتثبيت Private Cloud، يجب على مشرف النظام لديك تنفيذ هذه المهام كما هو موضح أدناه.

إضافة مستخدم

يمكنك إنشاء حساب مستخدم إما باستخدام واجهة برمجة تطبيقات Edge أو واجهة مستخدم Edge أو أوامر Edge. يوضّح هذا القسم كيفية استخدام أوامر Edge API وEdge. للحصول على معلومات عن إنشاء المستخدمين في واجهة مستخدم Edge، يمكنك الاطّلاع على إنشاء مستخدمين عموميين.

بعد إنشاء مستخدم في مؤسسة، يجب تعيين دور للمستخدم. وتحدد الأدوار حقوق وصول المستخدم على Edge.

استخدِم الأمر التالي لإنشاء حساب مستخدم من خلال Edge API:

curl -H "Content-Type:application/xml" -u <sysAdminEmail>:<passwd> \
-X POST http://<ms_IP>:8080/v1/users \
-d '<User> \
   <FirstName>New</FirstName> \
   <LastName>User</LastName> \
   <Password>newUserPWord</Password> \
   <EmailId>foo@bar.com</EmailId> \
</User>'

أو استخدم أمر Edge التالي لإنشاء مستخدم:

> /opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

عندما يحتوي configFile على المعلومات اللازمة لإنشاء المستخدم:

APIGEE_ADMINPW=sysAdminPW    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="newUserPWord"
ORG_NAME=myorg  

يمكنك بعد ذلك استخدام هذه المكالمة لعرض معلومات عن المستخدم:

curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com

تعيين المستخدم لدور في مؤسسة

قبل أن يتمكن المستخدم الجديد من القيام بأي شيء، يجب أن يتم إسناده لدور في المؤسسة. ويمكنك إسناد أدوار مختلفة إلى المستخدم، من بينها: مشرف المؤسسة أو businessuser أو مدير العمليات أو المستخدم أو إلى دور مخصص محدّد في المؤسسة.

يؤدي تعيين مستخدم لدور في مؤسسة إلى إضافة هذا المستخدم تلقائيًا إلى المؤسسة. يمكنك تحديد مستخدم للعديد من المؤسسات من خلال منحه دورًا في كل مؤسسة.

استخدِم الأمر التالي لتعيين دور في مؤسسة للمستخدم:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" /
http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users?id=foo@bar.com /
-u <sysAdminEmail>:<passwd> 

تعرض هذه المكالمة جميع الأدوار التي تم تعيينها للمستخدم. إذا كنت تريد إضافة المستخدم مع عرض الدور الجديد فقط، استخدِم الطلب التالي:

curl -X POST -H "Content-Type: application/xml" /
http://<ms_IP>:8080/v1/o/<org_name>/users/foo@bar.com/userroles /
-d '<Roles><Role name="role"/></Roles>' /
-u <sysAdminEmail>:<passwd>

يمكنك الاطّلاع على أدوار المستخدِم باستخدام الأمر التالي:

curl -u <sysAdminEmail>:<passwd> /
http://<ms_IP>:8080/v1/users/foo@bar.com/userroles

ولإزالة مستخدم من مؤسسة، يمكنك إزالة جميع الأدوار في تلك المؤسسة من المستخدم. استخدِم الأمر التالي لإزالة دور من المستخدم:

curl -X DELETE -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/o/<org_name>/userroles/<role>/users/foo@bar.com

إضافة مشرف نظام

يمكن لمشرف النظام إجراء ما يلي:

• إنشاء مؤسسات
• إضافة أجهزة التوجيه ومعالِجات الرسائل ومكونات أخرى إلى إحدى عمليات تثبيت Edge
• تهيئة بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL)
• إنشاء مشرفين إضافيين للنظام
• تنفيذ جميع المهام الإدارية في Edge

يكون المستخدم التلقائي للمهام الإدارية هو مستخدم واحد فقط، ولكن يمكن أن يكون هناك أكثر من مشرف نظام واحد. يحصل أي مستخدم عضو في دور مسؤول إدارة النظم على أذونات كاملة لجميع الموارد.

يمكنك إنشاء حساب المستخدم لمشرف النظام إما من خلال واجهة مستخدم Edge أو واجهة برمجة التطبيقات. ومع ذلك، يجب استخدام واجهة برمجة تطبيقات Edge لتعيين المستخدم إلى دور مشرف النظام. لا يمكن إسناد مستخدم إلى دور مشرف النظام في واجهة مستخدم Edge.

لإضافة مشرف نظام:

1. أنشئ مستخدمًا في واجهة مستخدم أو واجهة برمجة تطبيقات Edge.
2. إضافة مستخدم إلى دور مسؤول إدارة النظم:
   curl -u <sysAdminEmail>:<passwd> \
   -X POST http://<ms_IP>:8080/v1/userroles/sysadmin/users \
   -d 'id=foo@bar.com'
3. تأكَّد من أنّ المستخدم الجديد في دور مشرف النظم:
   curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/userroles/sysadmin/users
   
   لعرض عنوان البريد الإلكتروني للمستخدم:
   [ " foo@bar.com " ]
4. تحقَّق من أذونات المستخدم الجديد:
   curl -u <sysAdminEmail>:<passwd> http://<ms_IP>:8080/v1/users/foo@bar.com/permissions
   
   المرتجعات:
   {
   "resourcePermission" : [ {
   "path" : "/",
   "permissions" : "/",
   "permissions" : "
   " }
5. بعد إضافة مشرف النظام الجديد، يمكنك إضافة المستخدم إلى أي مؤسسة.
   ملاحظة: لا يمكن للمستخدم مشرف النظام الجديد تسجيل الدخول إلى واجهة مستخدم Edge حتى تضيف المستخدم إلى مؤسسة واحدة على الأقل.
6. إذا أردت لاحقًا إزالة المستخدم من دور مشرف النظام، يمكنك استخدام واجهة برمجة التطبيقات التالية:
   curl -X DELETE -u <sysadminEmail:pword>
   http://<ms_IP>:8080/v1/userroles/sysadmin/users/foo@bar.com
   
   جدير بالذكر أنّ هذه الاستدعاء لا تؤدي إلى حذف المستخدم من الدور.

تغيير حساب مشرف النظام التلقائي

عند تثبيت Edge، يمكنك تحديد عنوان البريد الإلكتروني لمشرف النظام. ينشئ Edge مستخدمًا بعنوان البريد الإلكتروني هذا، ويضبط هذا المستخدم ليكون مشرف النظام التلقائي. يمكنك في وقت لاحق إضافة المزيد من مشرفي النظام كما هو موضّح أعلاه.

يشرح هذا القسم طريقة تغيير مشرف النظام التلقائي ليصبح مستخدمًا مختلفًا، وكيفية تغيير عنوان البريد الإلكتروني لحساب المستخدم الخاص بمشرف النظام التلقائي الحالي.

للاطّلاع على قائمة بالمستخدمين الذين تم ضبط إعداداتهم حاليًا كمشرفين للنظام، استخدِم طلب البيانات التالي من واجهة برمجة التطبيقات:

curl -u sysAdminEmail:passwd http://<ms_IP>:8080/v1/userroles/sysadmin/users

لتحديد مشرف النظام التلقائي الحالي، اطّلِع على الملف /opt/apigee/customer/defaults.sh. يتضمّن الملف السطر التالي الذي يعرض عنوان البريد الإلكتروني لمشرف النظام التلقائي الحالي:

ADMIN_EMAIL=foo@bar.com

لتغيير مشرف النظام التلقائي ليكون مستخدمًا مختلفًا:

1. أنشِئ مشرف نظام جديدًا كما هو موضّح أعلاه، أو احرص على أن يكون حساب المستخدم الخاص بمشرف النظام الجديد قد تم ضبطه على أنّه مشرف نظام.
2. عدِّل /opt/apigee/customer/defaults.sh لضبط ADMIN_EMAIL على عنوان البريد الإلكتروني لمشرف النظام الجديد.
3. عدِّل ملف الإعداد الصامت الذي استخدَمته لتثبيت واجهة مستخدم Edge لضبط السمات التالية:
   ADMIN_EMAIL=emailAddressOfNewSysAdmin
   APIGEE_ADMINPW=emailAddressOfNewSysAdmin
   SMTPHOST=smtp.gmail.com
   SMTPHOST=smtp.gmail.com
   SMTPHOST=smtp.gmail.com
   تحتوي على خصائص SMTP password=foo@gmail.com SMTPHOST=smtp.gmail.com
   
   
4. أعِد ضبط واجهة مستخدم Edge:
   > /opt/apigee/apigee-service/bin/apigee-service Edge-ui التعرّف
   > /opt/apigee/apigee-service/bin/apigee-service Edge-ui setup -f configFile
   > /opt/apigee/apigee-service/bin-apige

إذا أردت فقط تغيير عنوان البريد الإلكتروني لحساب المستخدم الخاص بمشرف النظام التلقائي الحالي، يجب أولاً تحديث حساب المستخدم لضبط عنوان البريد الإلكتروني الجديد، ثم تغيير عنوان البريد الإلكتروني التلقائي لمشرف النظام:

1. حدِّث حساب المستخدم الخاص بمشرف النظام التلقائي الحالي باستخدام عنوان بريد إلكتروني جديد :
   > curl -H content-type:application/json -X PUT /
   -u currentSysAdminEmail:passwd /
   http://<ms_IP>:8080/v1/users/currentSysAdminEmail" "first-adminId" /
   "currentSysAdminEmail", '
   
2. كرِّر الخطوات 2 و3. و4 من الإجراء السابق لتعديل ملف /opt/apigee/customer/defaults.sh وتعديل واجهة مستخدم Edge.

تحديد نطاق البريد الإلكتروني لمشرف النظام

كمستوى إضافي من الأمان، يمكنك تحديد نطاق البريد الإلكتروني المطلوب لمشرف نظام Edge. عند إضافة مشرف نظام، إذا لم يكن عنوان البريد الإلكتروني للمستخدم في النطاق المحدد، ستفشل إضافة المستخدم إلى دور مسؤول إدارة النظم.

يكون النطاق المطلوب فارغًا تلقائيًا، ما يعني أنّه يمكنك إضافة أي عنوان بريد إلكتروني إلى دور مشرف النظام.

لإعداد نطاق البريد الإلكتروني:

1. افتح في محرّر management-server.properties:
   vi /opt/apigee/customer/application/management-server.properties
   
   إذا لم يكن هذا الملف متوفّرًا، أنشئه.
2. اضبط السمة conf_security_rbac.global.roles.allowed.domains على قائمة النطاقات المسموح بها المفصولة بفواصل. على سبيل المثال:
   conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
3. احفظ التغييرات.
4. أعِد تشغيل خادم إدارة Edge:
   /opt/apigee/apigee-service/bin/apigee-service Edge-management-server إعادة تشغيل
   
   إذا حاولت الآن إضافة مستخدم إلى دور مشرف النظم، وكان عنوان البريد الإلكتروني للمستخدم ليس في أحد النطاقات المحددة، لن تنجح الإضافة.

حذف مستخدم

يمكنك إنشاء حساب مستخدم إما عن طريق استخدام واجهة برمجة تطبيقات Edge أو واجهة مستخدم Edge. ومع ذلك، لا يمكنك حذف المستخدم إلّا باستخدام واجهة برمجة التطبيقات.

للاطّلاع على قائمة المستخدمين الحاليين، بما في ذلك عنوان البريد الإلكتروني، استخدِم الأمر cURL التالي:

curl -u <sysAdminEmail>:<passwd> http://<ms-IP>:8080/v1/users

يمكنك استخدام أمر cURL التالي لحذف مستخدم:

curl -u <sysAdminEmail>:<passwd> -X DELETE http://<ms-IP>:8080/v1/users/<userEmail>