Edge for Private Cloud 4.18.05 版
本節說明如何將外部目錄服務整合至現有的 Apigee Edge 私有雲安裝。這項功能適用於任何支援 LDAP 的目錄服務，例如 Active Directory、OpenLDAP 等。這裡提供所有步驟，協助您讓 Apigee Edge 與 LDAP 服務搭配運作。
外部 LDAP 解決方案可讓系統管理員透過集中式目錄管理服務，管理使用者憑證，而該服務位於使用這些憑證的系統 (例如 Apigee Edge) 外部。本文所述的功能支援直接和間接繫結驗證。
目標對象
本文假設您是 Apigee Edge for Private Cloud 全域系統管理員，且擁有外部目錄服務帳戶。
總覽
根據預設，Apigee Edge 會使用內部 OpenLDAP 執行個體，儲存用於使用者驗證的憑證。不過，您可以將 Edge 設為使用外部驗證 LDAP 服務，而非內部服務。本文將說明這項外部設定的程序。
Edge 也會將角色型存取權授權憑證儲存在獨立的內部 LDAP 執行個體中。無論是否設定外部驗證服務，授權憑證一律會儲存在這個內部 LDAP 執行個體中。本文件說明如何將外部 LDAP 系統中的使用者新增至 Edge 授權 LDAP。
請注意，「驗證」是指驗證使用者身分，而「授權」則是指驗證已驗證使用者獲授予的 Apigee Edge 功能權限層級。
Edge 驗證與授權須知
建議您瞭解驗證與授權之間的差異，以及 Apigee Edge 如何管理這兩項活動。
關於驗證
無論是透過 UI 或 API 存取 Apigee Edge，使用者都必須經過驗證。根據預設，用於驗證的 Edge 使用者憑證會儲存在內部 OpenLDAP 執行個體中。一般來說，使用者必須註冊或受邀註冊 Apigee 帳戶，並在註冊時提供使用者名稱、電子郵件地址、密碼憑證和其他中繼資料。這項資訊會儲存在驗證 LDAP 中，並由其管理。
不過，如果您想使用外部 LDAP 代表 Edge 管理使用者憑證，可以將 Edge 設為使用外部 LDAP 系統，而非內部系統。設定外部 LDAP 後，系統會根據該外部儲存庫驗證使用者憑證，如本文件所述。
關於授權
Edge 組織管理員可以授予使用者特定權限，讓他們與 Apigee Edge 實體互動，例如 API Proxy、產品、快取、部署項目等。只要將角色指派給使用者，即可授予權限。Edge 包含多個內建角色，如有需要，組織管理員可以定義自訂角色。舉例來說，使用者可以透過角色獲得建立及更新 API Proxy 的授權，但無法將 Proxy 部署至正式環境。
Edge 授權系統使用的金鑰憑證是使用者的電子郵件地址。這項憑證 (以及其他中繼資料) 一律會儲存在 Edge 的內部授權 LDAP 中。這個 LDAP 與驗證 LDAP (無論是內部或外部) 完全分開。
透過外部 LDAP 驗證的使用者，也必須手動佈建到授權 LDAP 系統。詳情請參閱本文。
如要進一步瞭解授權和 RBAC，請參閱「管理組織使用者」和「指派角色」。
如要進一步瞭解，請參閱「瞭解 Edge 驗證和授權流程」。
瞭解直接和間接繫結驗證
外部授權功能支援透過外部 LDAP 系統進行直接和間接繫結驗證。
摘要：間接繫結驗證需要搜尋外部 LDAP，找出與使用者登入時提供的電子郵件地址、使用者名稱或其他 ID 相符的憑證。使用直接繫結驗證時，系統不會執行搜尋，而是直接將憑證傳送至 LDAP 服務並進行驗證。直接繫結驗證不涉及搜尋，因此效率較高。
關於間接繫結驗證
使用間接繫結驗證時，使用者會輸入憑證 (例如電子郵件地址、使用者名稱或其他屬性)，Edge 則會在驗證系統中搜尋這項憑證/值。如果搜尋結果成功，系統會從搜尋結果中擷取 LDAP DN，並搭配提供的密碼驗證使用者。
請注意，間接繫結驗證需要呼叫端 (例如 Apigee Edge) 提供外部 LDAP 管理員憑證，Edge 才能「登入」外部 LDAP 並執行搜尋。您必須在 Edge 設定檔中提供這些憑證，詳情請參閱本文後續章節。本文也會說明加密密碼憑證的步驟。
關於直接繫結驗證
使用直接繫結驗證時，Edge 會將使用者輸入的憑證直接傳送至外部驗證系統。在這種情況下，系統不會在外部系統執行搜尋。提供的憑證會成功或失敗 (例如，如果使用者不在外部 LDAP 中，或密碼不正確，登入就會失敗)。
直接繫結驗證不需要您在 Apigee Edge 中為外部驗證系統設定管理員憑證 (與間接繫結驗證相同)；不過，您必須執行簡單的設定步驟，詳情請參閱「設定外部驗證」。
存取 Apigee 社群
Apigee 社群是免費資源，您可以在這裡與 Apigee 和其他 Apigee 客戶聯絡，提出問題、分享訣竅及討論其他問題。在社群中發文前，請務必先搜尋現有貼文，確認是否已有相同問題的解答。