ניהול משתמשים, תפקידים והרשאות

Edge for Private Cloud גרסה 4.18.05

אתר התיעוד של Apigee כולל מידע מקיף על ניהול תפקידי משתמשים הרשאות. ניתן לנהל את המשתמשים גם באמצעות ממשק המשתמש של Edge וגם באמצעות ה-Management API. תפקידים את ההרשאות ניתן לנהל רק באמצעות Management API.

למידע על משתמשים ויצירת משתמשים, ראו:

הרבה מהפעולות שמבצעים לניהול משתמשים מחייבות מנהל מערכת הרשאות. בהתקנה מבוססת ענן של Edge, Apigee פועלת בתפקיד של המערכת מנהל מערכת. ב-Edge להתקנת ענן פרטי, מנהל המערכת לבצע את המשימות האלה כפי שמתואר בהמשך.

הוספת משתמש

אפשר ליצור משתמשים באמצעות ה-API של Edge, ממשק המשתמש של Edge או הפקודות של Edge. הזה נסביר איך להשתמש בפקודות של Edge API ו-Edge. לקבלת מידע על יצירת משתמשים בממשק המשתמש של Edge, אפשר לעיין במאמר יצירה משתמשים גלובליים.

אחרי שיוצרים את המשתמש בארגון, צריך להקצות לו תפקיד. תפקידים קביעת זכויות הגישה של המשתמש ב-Edge.

כדי ליצור משתמש באמצעות Edge API, משתמשים בפקודה הבאה:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

או משתמשים בפקודה הבאה ב-Edge כדי ליצור משתמש:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

כאשר configFile יוצר את המשתמש, כפי שאפשר לראות בדוגמה הבאה:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

לאחר מכן אפשר להשתמש בשיחה כדי להציג מידע על המשתמש:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

להקצות את המשתמש לתפקיד בתפקיד ארגון

כדי שמשתמש חדש יכול לבצע פעולה כלשהי, צריך להקצות לו תפקיד בארגון. שלך יכול להקצות למשתמש תפקידים שונים, כולל: orgadmin, businessuser, opsadmin, user או לתפקיד בהתאמה אישית שהוגדר בארגון.

הקצאת משתמש לתפקיד בארגון מוסיפה אותו באופן אוטומטי של הארגון. להקצות משתמש לכמה ארגונים על ידי הקצאה של תפקיד בכל אחד מהם של הארגון.

כדי להקצות את המשתמש לתפקיד בארגון, משתמשים בפקודה הבאה:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

בשיחה הזו מוצגים כל התפקידים שהוקצו למשתמש. אם אתם רוצים להוסיף את המשתמש, להציג רק את התפקיד החדש, משתמשים בקריאה הבאה:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

כדי לראות את התפקידים של המשתמשים, משתמשים בפקודה הבאה:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

כדי להסיר משתמש מארגון, צריך להסיר מהמשתמש את כל התפקידים בארגון. כדי להסיר תפקיד ממשתמש, משתמשים בפקודה הבאה:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

הוספת מנהל מערכת

אדמינים יכולים:

  • יצירת ארגונים
  • הוספת נתבים, מעבדי הודעות ורכיבים אחרים להתקנת Edge
  • הגדרת TLS/SSL
  • יצירת אדמינים נוספים
  • ביצוע כל משימות הניהול של Edge

רק משתמש אחד הוא משתמש ברירת המחדל למשימות ניהול, אבל יכולות להיות מנהל מערכת אחד. כל משתמש החבר ב-sysadmin יש את כל הרשאות לכל המשאבים.

אפשר ליצור את המשתמש כאדמין באמצעות ממשק המשתמש של Edge או ה-API. אבל, לפעמים חייבים להשתמש ב-Edge API כדי להקצות למשתמש את התפקיד 'sysadmin'. הקצאת משתמש ל-sysadmin לא ניתן לבצע את התפקיד הזה בממשק המשתמש של Edge.

כדי להוסיף מנהל מערכת:

  1. יוצרים משתמש בממשק המשתמש או ב-API של Edge.
  2. הוספת המשתמש ל-sysadmin תפקיד: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
  3. מוודאים שהמשתמש החדש נמצא ב-sysadmin תפקיד: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

    הפונקציה מחזירה את כתובת האימייל של המשתמש:

    [ " foo@bar.com " ]
  4. בדיקת ההרשאות של משתמש חדש: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

    החזרות:

    {
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}
  5. אחרי שמוסיפים את מנהל המערכת החדש, אפשר להוסיף את המשתמש לכל הארגונים.
  6. אם רוצים להסיר את המשתמש מתפקיד אדמין בשלב מאוחר יותר, אפשר להשתמש ב-API הבא: 
    curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com

    הערה: הקריאה הזו מסירה את המשתמש רק מהתפקיד, ולא מוחקת את המשתמש.

שינוי של מנהל המערכת שמוגדר כברירת מחדל משתמש

כשאתם מתקינים את Edge, אתם צריכים לציין את כתובת האימייל של מנהל המערכת. קצה יוצר משתמש עם כתובת האימייל הזו ומגדיר את המשתמש הזה כמערכת ברירת המחדל מנהל מערכת. בהמשך תוכלו להוסיף עוד מנהלי מערכת, כפי שמתואר למעלה.

הקטע הזה מתאר איך לשנות את מנהל המערכת המוגדר כברירת מחדל למשתמש אחר, ואיך לשנות את כתובת האימייל של חשבון המשתמש עבור מערכת ברירת המחדל הנוכחית מנהל מערכת.

כדי להציג את רשימת המשתמשים שמוגדרים כרגע כמנהלי מערכת, צריך להשתמש בממשק ה-API הבא call:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

כדי לקבוע מיהו מנהל המערכת שמוגדר כברירת המחדל כרגע, אפשר לעיין קובץ /opt/apigee/customer/defaults.sh. הקובץ מכיל את השורה הבאה שמראה כתובת האימייל של מנהל המערכת הנוכחי המוגדר כברירת מחדל:

ADMIN_EMAIL=foo@bar.com

כדי לשנות את מנהל המערכת שמוגדר כברירת מחדל למשתמש אחר:

  1. צור מנהל מערכת חדש כפי שמתואר למעלה, או ודא שחשבון המשתמש של מנהל המערכת החדש כבר מוגדר כמנהל מערכת.
  2. עריכה של /opt/apigee/customer/defaults.sh לפי להגדיר את ADMIN_EMAIL לכתובת האימייל של מנהל המערכת החדש.
  3. עורכים את קובץ התצורה השקט שבו השתמשתם כדי להתקין את ממשק המשתמש של Edge כדי להגדיר את ההגדרות הבאות נכסים: 
    ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y

    שימו לב שצריך לכלול את מאפייני ה-SMTP כי כל המאפיינים בממשק המשתמש לאתחל.

  4. מגדירים מחדש את ממשק המשתמש של Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui start

אם רוצים רק לשנות את כתובת האימייל של חשבון המשתמש לכתובת ברירת המחדל הנוכחית מנהל מערכת, תחילה מעדכנים את חשבון המשתמש כדי להגדיר את כתובת האימייל החדשה, ואז משנים כתובת האימייל של מנהל המערכת המוגדרת כברירת מחדל:

  1. עדכון חשבון המשתמש של משתמש ברירת המחדל הנוכחי של מנהל המערכת בכתובת אימייל חדשה address: 
    curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'
  2. חוזרים על שלבים 2, 3. ו-4 מההליך הקודם כדי לעדכן את /opt/apigee/customer/defaults.sh ולעדכן את ממשק המשתמש של Edge.

ציון הדומיין של אימייל של מערכת אדמין

כאמצעי אבטחה נוסף, אפשר לציין את דומיין האימייל הנדרש במערכת Edge. מנהל מערכת. כשמוסיפים מנהל מערכת, אם כתובת האימייל של המשתמש לא שצוין, ולאחר מכן הוספת המשתמש ל-"sysadmin" נכשל.

כברירת מחדל, הדומיין הנדרש ריק. כלומר, אפשר להוסיף כל כתובת אימייל 'sysadmin' תפקיד.

כדי להגדיר את הדומיין של האימייל:

  1. פותחים את הקובץ management-server.properties בעורך: 
    vi /opt/apigee/customer/application/management-server.properties

    אם הקובץ הזה לא קיים, יוצרים אותו.

  2. הגדרת conf_security_rbac.global.roles.allowed.domains לרשימה המופרדת בפסיקים של דומיינים מורשים. לדוגמה: 
    conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
  3. שומרים את השינויים.
  4. מפעילים מחדש את שרת ניהול הקצה: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

    אם יתבצע עכשיו ניסיון להוסיף משתמש ל-sysadmin תפקיד וכתובת האימייל של המשתמש לא נמצא באחד מהדומיינים שצוינו, ההוספה תיכשל.

מחיקת משתמש

אפשר ליצור משתמשים באמצעות ה-API של Edge או באמצעות ממשק המשתמש של Edge. אבל אפשר רק מוחקים משתמש באמצעות ה-API.

כדי לראות את רשימת המשתמשים הנוכחיים, כולל כתובות האימייל שלהם, צריך להשתמש בשדות הבאים הפקודה curl:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

משתמשים בפקודה curl הבאה כדי למחוק משתמש:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL