Obsługa SAML w Edge dla chmury prywatnej

Edge dla chmury prywatnej w wersji 4.18.05

Interfejs użytkownika Edge i interfejs API zarządzania Edge działają przez wysyłanie żądań do serwera zarządzania Edge, który obsługuje te typy uwierzytelniania:

  • Uwierzytelnianie podstawowe – zaloguj się w interfejsie Edge lub wysyłaj żądania do interfejsu API zarządzania Edge, podając nazwę użytkownika i hasło.
  • OAuth2 – wymień dane logowania uwierzytelniania podstawowego Edge na token dostępu i token odświeżania OAuth2. Wywołuj interfejs API zarządzania Google Analytics, przekazując token dostępu OAuth2 w nagłówku Bearer wywołania interfejsu API.

Edge obsługuje też standard SAML (Security Assertion Markup Language) 2.0 jako mechanizm uwierzytelniania. Po włączeniu SAML dostęp do interfejsu Edge i interfejsu API zarządzania Edge nadal korzysta z tokenów dostępu OAuth2. Teraz możesz jednak generować te tokeny z asercji SAML zwracanych przez dostawcę tożsamości SAML.

SAML obsługuje środowisko logowania jednokrotnego (SSO). Korzystając z SAML z Edge, możesz obsługiwać logowanie jednokrotne w interfejsie i interfejsie API Edge, a także w innych usługach, które udostępniasz i które również obsługują SAML.

Dodaliśmy obsługę protokołu OAuth2 w Edge dla chmury prywatnej

Jak wspomniano powyżej, implementacja SAML w Edge opiera się na tokenach dostępu OAuth2.Dlatego do Edge dla chmury prywatnej dodano obsługę OAuth2. Więcej informacji znajdziesz w artykule Wprowadzenie do OAuth 2.0.

Zalety SAML

Uwierzytelnianie SAML ma kilka zalet. Dzięki SAML możesz:

  • Przejmij pełną kontrolę nad zarządzaniem użytkownikami. Gdy użytkownicy opuszczają organizację i są centralnie wyrejestrowywani, automatycznie tracą dostęp do Edge.
  • Kontrolowanie sposobu uwierzytelniania użytkowników w celu uzyskania dostępu do Edge. Możesz wybrać różne typy uwierzytelniania dla różnych organizacji Edge.
  • Zarządzanie zasadami uwierzytelniania. Dostawca SAML może obsługiwać zasady uwierzytelniania, które są bardziej zgodne ze standardami Twojej firmy.
  • Możesz monitorować logowania, wylogowania, nieudane próby logowania i działania wysokiego ryzyka we wdrożeniu Edge.

Korzystanie z SAML w Edge

Aby obsługiwać SAML w Edge, zainstaluj apigee-sso, moduł logowania jednokrotnego Edge. Ilustracja poniżej przedstawia logowanie jednokrotne Edge w instalacji Edge dla chmury prywatnej:

Moduł Edge SSO możesz zainstalować w tym samym węźle co interfejs użytkownika Edge i serwer zarządzania lub we własnym węźle. Upewnij się, że usługa Edge SSO ma dostęp do serwera zarządzania przez port 8080.

Port 9099 musi być otwarty w węźle Edge SSO, aby umożliwić dostęp do Edge SSO z przeglądarki, zewnętrznego dostawcy tożsamości SAML oraz serwera zarządzania i interfejsu Edge. Podczas konfigurowania logowania jednokrotnego Edge możesz określić, że połączenie zewnętrzne ma używać protokołu HTTP lub zaszyfrowanego protokołu HTTPS.

Edge SSO korzysta z bazy danych Postgres dostępnej na porcie 5432 w węźle Postgres. Zwykle możesz używać tego samego serwera Postgres, który został zainstalowany z Edge, czyli samodzielnego serwera Postgres lub 2 serwerów Postgres skonfigurowanych w trybie głównym/czuwania. Jeśli obciążenie serwera Postgres jest wysokie, możesz też utworzyć osobny węzeł Postgres tylko na potrzeby logowania jednokrotnego Edge.

Gdy protokół SAML jest włączony, dostęp do interfejsu Edge i interfejsu API zarządzania Google Analytics Edge jest możliwy za pomocą tokenów dostępu OAuth2. Te tokeny są generowane przez moduł logowania jednokrotnego Edge, który akceptuje asercje SAML zwracane przez dostawcę tożsamości.

Po wygenerowaniu z asercji SAML token OAuth jest ważny przez 30 minut, a token odświeżania przez 24 godziny. Twoje środowisko programistyczne może obsługiwać automatyzację typowych zadań programistycznych, takich jak automatyzacja testów czy tryb ciągłej integracji/ciągłe wdrażanie (CI/CD), które wymagają tokenów o dłuższym czasie ważności. Informacje o tworzeniu specjalnych tokenów do zadań automatycznych znajdziesz w artykule Korzystanie z SAML w zadaniach automatycznych.

Adresy URL interfejsu użytkownika i interfejsu API Edge

Adres URL, którego używasz do uzyskiwania dostępu do interfejsu Edge i interfejsu API zarządzania Edge, jest taki sam jak przed włączeniem SAML. W interfejsie Edge:

http://edge_ui_IP_DNS:9000
https://edge_ui_IP_DNS:9000

gdzie edge_ui_IP_DNS to adres IP lub nazwa DNS komputera, na którym znajduje się interfejs Edge. Podczas konfigurowania interfejsu Edge możesz określić, czy połączenie ma używać protokołu HTTP czy szyfrowanego protokołu HTTPS.

W przypadku interfejsu Edge Management API:

http://ms_IP_DNS:8080/v1
https://ms_IP_DNS:8080/v1

gdzie ms_IP_DNS to adres IP lub nazwa DNS serwera zarządzania. W ramach konfigurowania interfejsu API możesz określić, że połączenie ma używać protokołu HTTP lub zaszyfrowanego protokołu HTTPS.

Konfigurowanie TLS w Edge SSO

Domyślnie połączenie z Edge SSO używa protokołu HTTP na porcie 9099 w węźle hostującym moduł Edge SSO apigee-sso. W apigee-sso wbudowana jest instancja Tomcat, która obsługuje żądania HTTP i HTTPS.

Edge SSO i Tomcat obsługują 3 tryby połączenia:

  • DEFAULT – domyślna konfiguracja obsługuje żądania HTTP na porcie 9099.
  • SSL_TERMINATION – włączony dostęp TLS do logowania jednokrotnego Edge na wybranym porcie. W tym trybie musisz określić klucz i certyfikat TLS.
  • SSL_PROXY – konfiguruje logowanie jednokrotne Edge w trybie proxy, co oznacza, że przed apigee-sso zainstalowano system równoważenia obciążenia i zakończono TLS na systemie równoważenia obciążenia. Możesz określić port używany w apigee-sso na potrzeby żądań z systemu równoważenia obciążenia.

Włączanie obsługi SAML w portalu

Po włączeniu obsługi SAML w Edge możesz opcjonalnie włączyć SAML w portalu usług dla programistów Apigee (lub po prostu portalu). Portal obsługuje uwierzytelnianie SAML podczas wysyłania żądań do Edge. Pamiętaj, że różni się to od uwierzytelniania SAML na potrzeby logowania dewelopera w portalu. Uwierzytelnianie SAML na potrzeby logowania deweloperów konfiguruje się osobno. Więcej informacji znajdziesz w artykule o konfigurowaniu portalu do używania SAML do komunikacji z Edge.

Podczas konfigurowania portalu musisz podać adres URL modułu logowania jednokrotnego Edge zainstalowanego z Edge: