Konfigurowanie portalu pod kątem korzystania z SAML do komunikacji z Edge

Edge for Private Cloud w wersji 4.18.05

Portal usług dla programistów Apigee (lub portal) działa jako klient Apigee Edge. Oznacza to, że portal nie działa jako samodzielny system. Zamiast tego większość informacji używanych przez portal jest w rzeczywistości przechowywana w Edge. W razie potrzeby portal wysyła żądanie pobrania informacji z Edge lub wysłania ich do Edge.

Portal jest zawsze powiązany z jedną organizacją Edge. Podczas konfigurowania portalu możesz podać podstawowe dane uwierzytelniające (nazwę użytkownika i hasło) konta w organizacji, za pomocą którego portal będzie używać go do komunikacji z Edge.

Jeśli włączysz SAML na potrzeby uwierzytelniania brzegowego, możesz skonfigurować portal tak, aby używał uwierzytelniania SAML podczas wysyłania żądań do Edge. Skonfigurowanie portalu do używania SAML powoduje automatyczne utworzenie w organizacji brzegowej nowego konta użytkownika maszyny, za pomocą którego portal będzie używać go do wysyłania żądań do Edge. Więcej informacji o użytkownikach komputerów znajdziesz w artykule na temat używania SAML do wykonywania zadań automatycznych.

Obsługa SAML w portalu wymaga zainstalowania i skonfigurowania modułu logowania jednokrotnego na serwerach brzegowych w węźle serwera zarządzania brzegiem sieci. Ogólny proces włączania SAML w portalu:

  1. Skonfiguruj SAML w Edge zgodnie z opisem w artykule Instalacja i konfiguracja SAML dla przeglądarki Edge. Uwaga: aby można było zainstalować portal, w Edge nadal musi być włączone uwierzytelnianie podstawowe. Nie wyłączaj uwierzytelniania podstawowego w Edge, dopóki nie skonfigurujesz portalu do używania SAML.
  2. Zainstaluj portal i upewnij się, że instalacja działa prawidłowo. Zobacz Instalowanie portalu Edge for Private Cloud.
  3. Skonfiguruj SAML w portalu.
  4. Możesz teraz wyłączyć uwierzytelnianie podstawowe w Edge.

Tworzenie użytkownika maszyny dla portalu

Gdy SAML jest włączona, Edge obsługuje automatyczne generowanie tokenów OAuth2 za pomocą użytkowników maszyn. Użytkownik komputera może uzyskać tokeny OAuth2 bez konieczności podawania kodu dostępu. Oznacza to, że możesz całkowicie zautomatyzować proces uzyskiwania i odświeżania tokenów OAuth2.

Proces konfiguracji SAML dla portalu automatycznie tworzy użytkownika komputera w organizacji powiązanej z portalem. Portal używa następnie tego konta użytkownika maszyny do łączenia się z Edge. Więcej informacji o użytkownikach komputerów znajdziesz w artykule na temat używania SAML do wykonywania zadań automatycznych.

Informacje o uwierzytelnianiu kont dewelopera portalu

Gdy skonfigurujesz portal do korzystania z SAML, włączysz w portalu używanie SAML do uwierzytelniania w Edge. Dzięki temu portal będzie mógł wysyłać żądania do Edge. Portal obsługuje też jednak użytkowników o nazwie developers.

Programiści tworzą społeczność użytkowników, którzy tworzą aplikacje za pomocą interfejsów API. Deweloperzy aplikacji mogą w nim korzystać z portalu, aby poznawać interfejsy API, rejestrować aplikacje korzystające z Twoich interfejsów API, wchodzić w interakcje ze społecznością deweloperów oraz wyświetlać w panelu informacje statystyczne o korzystaniu z aplikacji.

Gdy deweloper loguje się w portalu, to portal odpowiada za uwierzytelnianie dewelopera i egzekwowanie uprawnień opartych na rolach. Portal nadal używa uwierzytelniania podstawowego u deweloperów nawet po włączeniu SAML między portalem a Edge. Więcej informacji znajdziesz w artykule o komunikacji między portalem a Edge.

Możesz też skonfigurować portal tak, aby używał SAML do uwierzytelniania deweloperów. Przykład włączania SAML przy użyciu modułów Drupal innych firm znajdziesz w artykule Integracja logowania jednokrotnego przez SAML z portalem dla programistów.

Skonfiguruj SAML w portalu, aby komunikować się z Edge

Aby skonfigurować SAML w portalu, musisz utworzyć plik konfiguracyjny:

# IP address of Edge Management Server and apigee-sso node.
IP1=22.222.22.222

# URL of Edge management API.
MGMT_URL=http://$IP1:8080/v1

# Org associated with the portal.
EDGE_ORG=myorg

# Information about apigee-sso.
# Externally accessible IP or DNS of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP1
SSO_PUBLIC_URL_PORT=9099
# Default is http. Set to https if you enabled TLS on apigee-sso.
SSO_PUBLIC_URL_SCHEME=http

# SSO admin credentials as set when you installed apigee-sso.
SSO_ADMIN_NAME=ssoadmin
SSO_ADMIN_SECRET=Secret123

# Default is "n" to disable SAML support.
DEVPORTAL_SSO_ENABLED=y

# The name of the OAuth client used to connect to apigee-sso. 
# The default client name is portalcli.
PORTALCLI_SSO_CLIENT_NAME=portalcli
# Oauth client password using uppercase, lowercase, number, and special chars. 
PORTALCLI_SSO_CLIENT_SECRET=Abcdefg@1

# Email address and user info for the machine user created in 
# the Edge org specified above by EDGE_ORG. 
# This account is used by the portal to make requests to Edge.
# Add this email as an org admin before configuring the portal to use SAML. 
DEVPORTAL_ADMIN_EMAIL=DevPortal_SAML@google.com
DEVPORTAL_ADMIN_FIRSTNAME=DevPortal
DEVPORTAL_ADMIN_LASTNAME=SAMLAdmin
DEVPORTAL_ADMIN_PWD=Abcdefg@1

# If set, the existing portal OAuth client is deleted and new one is created.
# The default value is "n".
# Set to "y" when you configure SAML and change the value of 
# any of the PORTALCLI_* properties.
PORTALCLI_SSO_CLIENT_OVERWRITE=y

Aby włączyć obsługę SAML w portalu:

  1. W interfejsie użytkownika Edge dodaj użytkownika określonego przez DEVPORTAL_ADMIN_EMAIL do organizacji powiązanej z portalem jako administrator organizacji.
  2. Uruchom to polecenie, aby skonfigurować SAML w portalu: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f samlConfigFile

    Gdzie samlConfigFile to plik konfiguracyjny SAML.

  3. Zaloguj się w portalu jako administrator.
  4. W głównym menu Drupal wybierz Configuration > Dev Portal (Konfiguracja > Portal dla programistów). Pojawi się ekran konfiguracji portalu z ustawieniami SAML:

    Pole Ta organizacja obsługuje SAML jest zaznaczone, punkt końcowy modułu logowania na serwerach brzegowych jest wypełniony, pola Klucz interfejsu API i Tajny klucz klienta dla klienta protokołu OAuth portalu są wypełnione, a pod przyciskiem Testuj połączenie pojawia się komunikat Połączenie zakończone.

  5. W każdej chwili możesz nacisnąć przycisk Test Connection (Testuj połączenie), aby ponownie sprawdzić połączenie.

Aby później zmienić te wartości, zaktualizuj plik konfiguracyjny i ponownie uruchom polecenie.

Wyłącz SAML w portalu

Jeśli wyłączysz SAML na potrzeby komunikacji między portalem a Edge, portal nie będzie już mógł wysyłać żądań do Edge. Deweloperzy mogą zalogować się w portalu, ale nie będą mogli wyświetlać usług ani tworzyć aplikacji.

Aby wyłączyć SAML w portalu:

  1. Edytuj plik konfiguracyjny użyty do skonfigurowania narzędzia SAM na potrzeby ustawienia: 
    DEVPORTAL_SSO_ENABLED=n
  2. Skonfiguruj portal: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f configFile