Edge for Private Cloud 4.18.01 版
Edge UI 和 Edge Management API 的運作方式是向 Edge Management Server 提出要求，而 Management Server 支援下列驗證類型：
- 基本驗證：登入 Edge UI，或傳送使用者名稱和密碼，向 Edge Management API 發出要求。
- OAuth2：將 Edge 基本驗證憑證換成 OAuth2 存取權杖和更新權杖。在 API 呼叫的 Bearer 標頭中傳遞 OAuth2 存取權杖，呼叫 Edge Management API。
Edge 也支援安全宣告標記語言 (SAML) 2.0 做為驗證機制。啟用 SAML 後，Edge UI 和 Edge Management API 的存取權仍會使用 OAuth2 存取權杖。不過，現在您可以透過 SAML 識別資訊提供者傳回的 SAML 宣告，產生這些權杖。
注意：SAML 僅支援做為驗證機制。不支援授權。因此，您仍會使用 Edge OpenLDAP 資料庫維護授權資訊。詳情請參閱「指派角色」。
SAML 支援單一登入 (SSO) 環境。搭配使用 SAML 與 Edge，即可為 Edge UI 和 API，以及您提供且支援 SAML 的任何其他服務支援 SSO。
新增對 OAuth2 to Edge for Private Cloud 的支援
如上所述，SAML 的 Edge 實作依賴 OAuth2 存取權杖。因此，Edge for Private Cloud 已新增 OAuth2 支援。詳情請參閱「OAuth 2.0 簡介」。
SAML 的優點
SAML 驗證有多項優點。使用 SAML 可讓您：
- 全面控管使用者管理。當使用者離開貴機構，並由中央系統取消佈建時，系統會自動拒絕他們存取 Edge。
- 控管使用者存取 Edge 的驗證方式。您可以為不同的 Edge 組織選擇不同的驗證類型。
- 控管驗證政策。SAML 供應商可能支援更符合企業標準的驗證政策。
- 您可以監控 Edge 部署作業的登入、登出、登入失敗和高風險活動。
搭配使用 SAML 與 Edge
如要在 Edge 上支援 SAML，請安裝 Edge SSO 模組 apigee-sso。下圖顯示 Edge for Private Cloud 安裝中的 Edge SSO：
您可以將 Edge SSO 模組安裝在與 Edge UI 和管理伺服器相同的節點上，也可以安裝在專屬節點上。確認 Edge SSO 可透過通訊埠 8080 存取管理伺服器。
Edge SSO 節點必須開啟通訊埠 9099，才能支援從瀏覽器、外部 SAML IDP、管理伺服器和 Edge UI 存取 Edge SSO。設定 Edge SSO 時，您可以指定外部連線使用 HTTP 或加密的 HTTPS 通訊協定。
Edge SSO 使用的 Postgres 資料庫，可透過 Postgres 節點上的通訊埠 5432 存取。一般來說，您可以使用與 Edge 一起安裝的 Postgres 伺服器，無論是獨立 Postgres 伺服器，還是以主/待機模式設定的兩部 Postgres 伺服器。如果 Postgres 伺服器的負載很高，您也可以選擇建立獨立的 Postgres 節點，專門用於 Edge SSO。
啟用 SAML 後，系統會使用 OAuth2 存取權杖存取 Edge UI 和 Edge Management API。這些權杖是由 Edge SSO 模組產生，該模組會接受 IDP 傳回的 SAML 聲明。
OAuth 權杖從 SAML 斷言產生後，有效期限為 30 分鐘，更新權杖的有效期限則為 24 小時。您的開發環境可能支援常見開發工作的自動化，例如測試自動化或持續整合/持續部署 (CI/CD)，這些工作需要效期較長的權杖。如要瞭解如何為自動化工作建立特殊權杖，請參閱「搭配自動化工作使用 SAML」。
Edge UI 和 API 網址
您用來存取 Edge UI 和 Edge Management API 的網址，與啟用 SAML 前使用的網址相同。Edge UI：
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
其中 edge_ui_IP_DNS 是託管 Edge UI 的機器 IP 位址或 DNS 名稱。設定 Edge UI 時，您可以指定連線使用 HTTP 或加密的 HTTPS 通訊協定。
Edge Management API：
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
其中 ms_IP_DNS 是管理伺服器的 IP 位址或 DNS 名稱。設定 API 時，您可以指定連線使用 HTTP 或加密的 HTTPS 通訊協定。
在 Edge SSO 上設定 TLS
根據預設，連至 Edge SSO 的連線會使用 HTTP，透過託管 apigee-sso (Edge SSO 模組) 的節點上的通訊埠 9099 進行。apigee-sso 內建 Tomcat 執行個體，可處理 HTTP 和 HTTPS 要求。
Edge SSO 和 Tomcat 支援三種連線模式：
- DEFAULT：預設設定支援通訊埠 9099 上的 HTTP 要求。
- SSL_TERMINATION：在所選通訊埠上啟用 Edge SSO 的 TLS 存取權。您必須為這個模式指定 TLS 金鑰和憑證。
- SSL_PROXY：在 Proxy 模式下設定 Edge SSO，也就是在 apigee-sso 前方安裝負載平衡器，並在負載平衡器上終止 TLS。您可以指定 apigee-sso 用於負載平衡器要求的通訊埠。
為開發人員服務入口網站和 API BaaS 啟用 SAML 支援
為 Edge 啟用 SAML 支援後，您可以視需要為下列項目啟用 SAML：
- API BaaS：BaaS 入口網站和 BaaS Stack 都支援 SAML 使用者驗證。詳情請參閱「為 API BaaS 啟用 SAML」。
- 開發人員服務入口網站：向 Edge 提出要求時，入口網站支援 SAML 驗證。請注意，這與開發人員登入入口網站的 SAML 驗證不同。您需要另外設定開發人員登入的 SAML 驗證。詳情請參閱「設定開發人員服務入口網站，使用 SAML 與 Edge 通訊」。
設定開發人員服務入口網站和 API BaaS 時，您必須指定與 Edge 一併安裝的 Edge SSO 模組網址：
由於 Edge 和 API BaaS 共用同一個 Edge SSO 模組，因此支援單一登入。也就是說，登入 Edge 或 API BaaS 時，系統會同時登入這兩項服務。這也表示您只需要維護一個位置，即可管理所有使用者憑證。
您也可以視需要設定單一登出功能。請參閱「透過 Edge UI 設定單一登出」。