SAML-IdP konfigurieren

Edge for Private Cloud v4.18.05

Wenn SAML aktiviert ist, fordert das Hauptkonto (ein Edge-UI-Nutzer) Zugriff auf den Dienstanbieter (Edge-SSO) an. Edge SSO fordert dann eine Identitätsbestätigung vom SAML-Identitätsanbieter (IDP) an und verwendet diese Bestätigung, um das OAuth2-Token zu erstellen, das für den Zugriff auf die Edge-Benutzeroberfläche erforderlich ist. Der Nutzer wird dann zur Edge-Benutzeroberfläche weitergeleitet.

Edge unterstützt viele IDPs, einschließlich Okta und Microsoft Active Directory Federation Services (ADFS). Informationen zum Konfigurieren von ADFS für die Verwendung mit Edge finden Sie unter Edge als vertrauende Partei in ADFS IDP konfigurieren. Informationen zu Okta finden Sie im folgenden Abschnitt.

Zum Konfigurieren Ihres SAML-IDP benötigt Edge eine E-Mail-Adresse, um den Nutzer zu identifizieren. Daher muss der Identitätsanbieter im Rahmen der Identitätsbestätigung eine E-Mail-Adresse zurückgeben.

Darüber hinaus benötigen Sie möglicherweise einige oder alle der folgenden Elemente:

Einstellung Beschreibung
Metadata URL (Metadaten-URL)

Der SAML-IdP benötigt möglicherweise die Metadaten-URL von Edge SSO. Die Metadaten-URL hat folgendes Format:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Beispiel:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL

Kann als Weiterleitungs-URL zurück zu Edge verwendet werden, nachdem der Nutzer seine IDP-Anmeldedaten eingegeben hat, im Format:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Beispiel:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL für die Einmalabmeldung

Sie können Edge-SSO so konfigurieren, dass die Einmalabmeldung unterstützt wird. Weitere Informationen finden Sie unter Single-Sign-Out über die Edge-Benutzeroberfläche konfigurieren. Die URL für die Einmalabmeldung von Edge SSO hat das folgende Format:

protocol://apigee_sso_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Beispiel:

http://apigee_sso_IP_DNS:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

Die SP-Entitäts-ID (oder Zielgruppen-URI)

Für Edge-SSO:

apigee-saml-login-opdk

Okta konfigurieren

So konfigurieren Sie Okta:

  1. Melden Sie sich bei Okta an.
  2. Wählen Sie Applications (Anwendungen) und dann Ihre SAML-Anwendung aus.
  3. Wählen Sie den Tab Zuweisungen aus, um der Anwendung Nutzer hinzuzufügen. Diese Nutzer können sich in der Edge-Benutzeroberfläche anmelden und Edge API-Aufrufe ausführen. Sie müssen jedoch zuerst jeden Nutzer einer Edge-Organisation hinzufügen und die Rolle des Nutzers angeben. Weitere Informationen finden Sie unter Neue Edge-Nutzer registrieren.
  4. Wählen Sie den Tab Sign on (Anmelden) aus, um die Metadaten-URL des Identitätsanbieters abzurufen. Speichern Sie diese URL, da Sie sie zum Konfigurieren von Edge benötigen.
  5. Wählen Sie den Tab Allgemein aus, um die Okta-Anwendung zu konfigurieren, wie in der folgenden Tabelle gezeigt:
Einstellung Beschreibung
URL zur Einmalanmeldung (SSO) Gibt die Weiterleitungs-URL zurück zu Edge an, die verwendet werden soll, nachdem der Nutzer seine Okta-Anmeldedaten eingegeben hat. Diese URL hat das folgende Format: 
http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

Wenn Sie TLS auf apigee-sso aktivieren möchten:

https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

Dabei ist apigee_sso_IP_DNS die IP-Adresse oder der DNS-Name des Knotens, der apigee-sso hostet.

Bei dieser URL wird die Groß- und Kleinschreibung berücksichtigt und SSO muss in Großbuchstaben angegeben werden.

Wenn Sie einen Load Balancer vor apigee-sso haben, geben Sie die IP-Adresse oder den DNS-Namen von apigee-sso an, wie über den Load Balancer referenziert.
Use this for Recipient URL and Destination URL (Für Empfänger-URL und Ziel-URL verwenden) Klicken Sie dieses Kästchen an.
Audience URI (SP Entity ID) Auf apigee-saml-login-opdk festgelegt
Standard-RelayState Kann leer gelassen werden.
Name-ID-Format Geben Sie EmailAddress an.
Nutzername für die Anwendung Geben Sie Okta username an.
Attributanweisungen (optional) Geben Sie FirstName, LastName und Email an, wie in der Abbildung unten dargestellt.

Das Dialogfeld für die SAML-Einstellungen sollte danach so aussehen: