Konfigurowanie portalu pod kątem korzystania z SAML do komunikacji z Edge

Edge dla chmury prywatnej w wersji 4.18.05

Portal usług dla programistów Apigee (lub po prostu portal) działa jako klient Apigee Edge. Oznacza to, że portal nie działa jako samodzielny system. Zamiast tego wiele informacji używanych przez portal jest przechowywanych w Edge. W razie potrzeby portal wysyła żądanie pobrania informacji z Edge lub wysłania informacji do Edge.

Portal jest zawsze powiązany z jedną organizacją Edge. Podczas konfigurowania portalu możesz określić podstawowe dane uwierzytelniające (nazwę użytkownika i hasło) konta w organizacji, którego portal używa do komunikacji z Edge.

Jeśli zdecydujesz się włączyć SAML na potrzeby uwierzytelniania Edge, możesz skonfigurować portal tak, aby używał uwierzytelniania SAML podczas wysyłania żądań do Edge. Skonfigurowanie portalu do korzystania z SAML automatycznie tworzy nowe konto użytkownika komputera w organizacji Edge, którego portal używa do wysyłania żądań do Edge. Więcej informacji o użytkownikach maszynowych znajdziesz w artykule Korzystanie z SAML w zadaniach automatycznych.

Obsługa SAML w portalu wymaga zainstalowania i skonfigurowania modułu logowania jednokrotnego Edge w węźle serwera zarządzania Edge. Ogólny proces włączania SAML w portalu wygląda tak:

  1. Skonfiguruj SAML w Edge zgodnie z opisem w artykule Instalacja i konfiguracja SAML w Edge. Uwaga: aby zainstalować portal, musisz mieć włączone uwierzytelnianie podstawowe w Edge. Nie wyłączaj uwierzytelniania podstawowego w Edge, dopóki nie skonfigurujesz portalu do korzystania z SAML.
  2. Zainstaluj portal i upewnij się, że instalacja działa prawidłowo. Zobacz Instalowanie portalu Edge dla chmury prywatnej.
  3. Skonfiguruj SAML w portalu.
  4. Możesz teraz wyłączyć uwierzytelnianie podstawowe w Edge.

Tworzenie użytkownika komputera na potrzeby portalu

Gdy protokół SAML jest włączony, Edge obsługuje automatyczne generowanie tokenów OAuth2 przy użyciu użytkowników maszynowych. Użytkownik komputera może uzyskać tokeny OAuth2 bez konieczności podawania hasła. Oznacza to, że możesz całkowicie zautomatyzować proces uzyskiwania i odświeżania tokenów OAuth2.

Proces konfiguracji SAML dla portalu automatycznie tworzy użytkownika komputera w organizacji powiązanej z portalem. Następnie portal używa tego konta użytkownika komputera do połączenia się z Edge. Więcej informacji o użytkownikach maszynowych znajdziesz w artykule Korzystanie z SAML w zadaniach automatycznych.

Uwierzytelnianie na kontach deweloperów portalu

Gdy skonfigurujesz portal do korzystania z SAML, umożliwisz mu używanie SAML do uwierzytelniania w Edge, dzięki czemu portal będzie mógł wysyłać żądania do Edge. Portal obsługuje jednak również typ użytkownika o nazwie programista.

Deweloperzy tworzą społeczność użytkowników, którzy tworzą aplikacje za pomocą Twoich interfejsów API. Deweloperzy aplikacji używają portalu, aby dowiedzieć się więcej o Twoich interfejsach API, zarejestrować aplikacje, które z nich korzystają, komunikować się ze społecznością deweloperów i wyświetlać w panelu informacje statystyczne o korzystaniu z aplikacji.

Gdy deweloper loguje się w portalu, to portal odpowiada za uwierzytelnianie dewelopera i egzekwowanie uprawnień opartych na rolach. Portal nadal używa podstawowego uwierzytelniania w przypadku deweloperów, nawet po włączeniu SAML między portalem a Edge. Więcej informacji znajdziesz w artykule Komunikacja między portalem a Edge.

Można też skonfigurować portal tak, aby używał SAML do uwierzytelniania deweloperów. Przykład włączania SAML za pomocą modułów Drupal innych firm znajdziesz w artykule Integracja logowania jednokrotnego przez SAML z portalem dla programistów.

Konfigurowanie SAML w portalu na potrzeby komunikacji z Edge

Aby skonfigurować SAML dla portalu, musisz utworzyć plik konfiguracji:

# IP address of Edge Management Server and apigee-sso node.
IP1=22.222.22.222

# URL of Edge management API.
MGMT_URL=http://$IP1:8080/v1

# Org associated with the portal.
EDGE_ORG=myorg

# Information about apigee-sso.
# Externally accessible IP or DNS of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP1
SSO_PUBLIC_URL_PORT=9099
# Default is http. Set to https if you enabled TLS on apigee-sso.
SSO_PUBLIC_URL_SCHEME=http

# SSO admin credentials as set when you installed apigee-sso.
SSO_ADMIN_NAME=ssoadmin
SSO_ADMIN_SECRET=Secret123

# Default is "n" to disable SAML support.
DEVPORTAL_SSO_ENABLED=y

# The name of the OAuth client used to connect to apigee-sso. 
# The default client name is portalcli.
PORTALCLI_SSO_CLIENT_NAME=portalcli
# Oauth client password using uppercase, lowercase, number, and special chars. 
PORTALCLI_SSO_CLIENT_SECRET=Abcdefg@1

# Email address and user info for the machine user created in 
# the Edge org specified above by EDGE_ORG. 
# This account is used by the portal to make requests to Edge.
# Add this email as an org admin before configuring the portal to use SAML. 
DEVPORTAL_ADMIN_EMAIL=DevPortal_SAML@google.com
DEVPORTAL_ADMIN_FIRSTNAME=DevPortal
DEVPORTAL_ADMIN_LASTNAME=SAMLAdmin
DEVPORTAL_ADMIN_PWD=Abcdefg@1

# If set, the existing portal OAuth client is deleted and new one is created.
# The default value is "n".
# Set to "y" when you configure SAML and change the value of 
# any of the PORTALCLI_* properties.
PORTALCLI_SSO_CLIENT_OVERWRITE=y

Aby włączyć obsługę SAML w portalu:

  1. W interfejsie Edge dodaj konto użytkownika komputera określone przez DEVPORTAL_ADMIN_EMAIL do organizacji powiązanej z portalem jako administrator organizacji.
  2. Aby skonfigurować SAML w portalu, uruchom to polecenie: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f samlConfigFile

    Gdzie samlConfigFile to plik konfiguracji SAML.

  3. Zaloguj się w portalu jako administrator portalu.
  4. W menu głównym Drupal wybierz Configuration > Dev Portal (Konfiguracja > Portal dla programistów). Pojawi się ekran konfiguracji portalu, w tym ustawienia SAML:

    Zwróć uwagę, że pole This org is SAML-enabled (Ta organizacja obsługuje SAML) jest zaznaczone, punkt końcowy modułu logowania jednokrotnego Edge jest wypełniony, pola API key (Klucz interfejsu API) i Consumer secret (Tajny klucz klienta) klienta OAuth portalu są wypełnione, a pod przyciskiem Test Connection (Testuj połączenie) wyświetla się komunikat Connection Successful (Połączenie nawiązane).

  5. W każdej chwili możesz kliknąć przycisk Test Connection (Testuj połączenie), aby ponownie przetestować połączenie.

Aby później zmienić te wartości, zaktualizuj plik konfiguracji i ponownie uruchom polecenie.

Wyłączanie SAML w portalu

Jeśli zdecydujesz się wyłączyć SAML na potrzeby komunikacji między portalem a Edge, portal nie będzie już mógł wysyłać żądań do Edge. Deweloperzy mogą logować się w portalu, ale nie mogą wyświetlać usług ani tworzyć aplikacji.

Aby wyłączyć SAML w portalu:

  1. Zmodyfikuj plik konfiguracji użyty do skonfigurowania SAM, aby ustawić: 
    DEVPORTAL_SSO_ENABLED=n
  2. Skonfiguruj portal: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f configFile