Supporto di SAML su Edge per cloud privato

Edge for Private Cloud v4.18.05

La UI di Edge e l'API di gestione Edge funzionano inviando richieste al server di gestione Edge, che supporta i seguenti tipi di autenticazione:

  • Autenticazione di base Accedi alla UI di Edge o invia richieste all'API di gestione di Edge passando il tuo nome utente e la tua password.
  • OAuth2 Scambia le tue credenziali di autenticazione di base di Edge con un token di accesso OAuth2 e un token di aggiornamento. Effettua chiamate all'API di gestione Edge passando il token di accesso OAuth2 nell'intestazione Bearer di una chiamata API.

Edge supporta anche SAML (Security Assertion Markup Language) 2.0 come meccanismo di autenticazione. Con SAML abilitato, l'accesso alla UI di Edge e all'API di gestione di Edge utilizza ancora i token di accesso OAuth2. Tuttavia, ora puoi generare questi token dalle asserzioni SAML restituite da un provider di identità SAML.

SAML supporta un ambiente Single Sign-On (SSO). Utilizzando SAML con Edge, puoi supportare il servizio SSO per l'interfaccia utente e l'API Edge, oltre a tutti gli altri servizi che fornisci e che supportano anche SAML.

Aggiunto il supporto per OAuth2 a Edge for Private Cloud

Come accennato in precedenza, l'implementazione di SAML in Edge si basa sui token di accesso OAuth2.Pertanto, il supporto di OAuth2 è stato aggiunto a Edge for Private Cloud. Per saperne di più, consulta Introduzione a OAuth 2.0.

Vantaggi di SAML

L'autenticazione SAML offre diversi vantaggi. Utilizzando SAML puoi:

  • Assumi il controllo completo della gestione degli utenti. Quando gli utenti lasciano l'organizzazione e viene eseguito il deprovisioning centralmente, l'accesso a Edge viene negato automaticamente.
  • Controlla il modo in cui gli utenti si autenticano per accedere a Edge. Puoi scegliere diversi tipi di autenticazione per diverse organizzazioni Edge.
  • Controllare le policy di autenticazione. Il tuo provider SAML potrebbe supportare criteri di autenticazione più in linea con gli standard della tua azienda.
  • Puoi monitorare gli accessi, le disconnessioni, i tentativi di accesso non riusciti e le attività ad alto rischio nel tuo deployment di Edge.

Utilizzo di SAML con Edge

Per supportare SAML su Edge, devi installare apigee-sso, il modulo SSO di Edge. L'immagine seguente mostra Edge SSO in un'installazione di Edge for Private Cloud:

Puoi installare il modulo Edge SSO sullo stesso nodo dell'interfaccia utente di Edge e del server di gestione o sul proprio nodo. Assicurati che Edge SSO abbia accesso al server di gestione tramite la porta 8080.

La porta 9099 deve essere aperta sul nodo Edge SSO per supportare l'accesso a Edge SSO da un browser, dall'IDP SAML esterno e dal server di gestione e dall'interfaccia utente Edge. Durante la configurazione di Edge SSO, puoi specificare che la connessione esterna utilizzi il protocollo HTTP o HTTPS criptato.

Edge SSO utilizza un database Postgres accessibile sulla porta 5432 del nodo Postgres. In genere puoi utilizzare lo stesso server Postgres che hai installato con Edge, un server Postgres autonomo o due server Postgres configurati in modalità master/standby. Se il carico sul server Postgres è elevato, puoi anche scegliere di creare un nodo Postgres separato solo per Edge SSO.

Con SAML abilitato, l'accesso alla UI di Edge e all'API di gestione di Edge utilizza i token di accesso OAuth2. Questi token vengono generati dal modulo Edge SSO, che accetta le asserzioni SAML restituite dal tuo IdP.

Una volta generato da un'asserzione SAML, il token OAuth è valido per 30 minuti e il token di aggiornamento è valido per 24 ore. Il tuo ambiente di sviluppo potrebbe supportare l'automazione per le attività di sviluppo comuni, come l'automazione dei test o l'integrazione continua/deployment continuo (CI/CD), che richiedono token con una durata maggiore. Per informazioni sulla creazione di token speciali per le attività automatizzate, consulta Utilizzo di SAML con le attività automatizzate.

URL della UI e dell'API Edge

L'URL che utilizzi per accedere alla UI di Edge e all'API di gestione di Edge è lo stesso utilizzato prima di abilitare SAML. Per la UI di Edge:

http://edge_ui_IP_DNS:9000
https://edge_ui_IP_DNS:9000

dove edge_ui_IP_DNS è l'indirizzo IP o il nome DNS della macchina che ospita la UI Edge. Durante la configurazione della UI Edge, puoi specificare che la connessione utilizzi HTTP o il protocollo HTTPS criptato.

Per l'API di gestione Edge:

http://ms_IP_DNS:8080/v1
https://ms_IP_DNS:8080/v1

dove ms_IP_DNS è l'indirizzo IP o il nome DNS del server di gestione. Durante la configurazione dell'API, puoi specificare che la connessione utilizzi il protocollo HTTP o il protocollo HTTPS criptato.

Configura TLS su Edge SSO

Per impostazione predefinita, la connessione a Edge SSO utilizza HTTP sulla porta 9099 del nodo che ospita apigee-sso, il modulo Edge SSO. In apigee-sso è integrata un'istanza Tomcat che gestisce le richieste HTTP e HTTPS.

Edge SSO e Tomcat supportano tre modalità di connessione:

  • DEFAULT: la configurazione predefinita supporta le richieste HTTP sulla porta 9099.
  • SSL_TERMINATION: accesso TLS abilitato a Edge SSO sulla porta scelta. Per questa modalità, devi specificare una chiave e un certificato TLS.
  • SSL_PROXY: configura Edge SSO in modalità proxy, il che significa che hai installato un bilanciatore del carico davanti a apigee-sso e hai terminato TLS sul bilanciatore del carico. Puoi specificare la porta utilizzata su apigee-sso per le richieste provenienti dal bilanciatore del carico.

Abilita il supporto SAML per il portale

Dopo aver abilitato il supporto SAML per Edge, puoi facoltativamente abilitare SAML per il portale Apigee Developer Services (o semplicemente il portale). Il portale supporta l'autenticazione SAML quando effettua richieste a Edge. Tieni presente che questa autenticazione è diversa dall'autenticazione SAML per l'accesso degli sviluppatori al portale. L'autenticazione SAML per l'accesso degli sviluppatori viene configurata separatamente. Per saperne di più, consulta Configurazione del portale per l'utilizzo di SAML per comunicare con Edge.

Durante la configurazione del portale, devi specificare l'URL del modulo Edge SSO che hai installato con Edge: