Edge-Dienstprogramme und APIs nach der Aktivierung von SAML verwenden

Edge for Private Cloud v4.18.05

In diesem Abschnitt wird beschrieben, wie Sie Edge-Systemverwaltungstools und -befehle nach der Aktivierung von SAML ausführen. Für viele Aufgaben in Edge sind Anmeldedaten für die Systemverwaltung erforderlich, z. B.:

  • Organisationen und Umgebungen erstellen
  • Edge-Komponenten hinzufügen und entfernen
  • apigee-adminapi.sh-Befehle ausführen

Nachdem Sie SAML in Edge aktiviert haben, deaktivieren Sie jedoch in der Regel die Standardauthentifizierung, sodass die Authentifizierung nur über den SAML-IDP möglich ist. Daher müssen Sie dafür sorgen, dass Sie das Systemadministratorkonto Ihrem SAML-IdP hinzugefügt haben.

Edge-Verwaltungs-APIs als Systemadministrator aufrufen

Bei vielen Edge API-Aufrufen müssen Sie Anmeldedaten des Systemadministrators übergeben. SAML mit der Edge Management API verwenden enthält eine Anleitung zum Abrufen und Aktualisieren von Tokens beim Aufrufen der Edge Management API.

Dienstprogramm „apigee-adminapi.sh“ mit SAML-Authentifizierung verwenden

Mit dem Dienstprogramm apigee-adminapi.sh können Sie dieselben Edge-Konfigurationsaufgaben ausführen, die Sie auch durch Aufrufe der Edge Management API ausführen. Der Vorteil des Dienstprogramms apigee-adminapi.sh besteht darin, dass es:

  • Einfache Befehlszeile verwenden
  • Implementiert die Tab-basierte Befehlsvervollständigung
  • Bietet Hilfe und Nutzungsinformationen
  • Kann den entsprechenden API-Aufruf anzeigen, wenn Sie die API ausprobieren möchten

Weitere Informationen finden Sie unter apigee-ssoadminapi.sh verwenden.

Nachdem Sie die SAML-Authentifizierung aktiviert haben, gibt es mehrere Möglichkeiten, die Anmeldedaten des Systemadministrators an das Dienstprogramm apigee-adminapi.sh zu übergeben.

Sie können alle Optionen für jeden apigee-adminapi.sh-Befehl, einschließlich der Optionen zum Angeben von SAML-Anmeldedaten, mit der Option „-h“ des Befehls aufrufen. Beispiel:

apigee-adminapi.sh orgs list -h

Sie können beispielsweise die Anmeldedaten des Systemadministrators übergeben:

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow password_grant \
  --admin adminEmail --oauth-password adminPword

Wobei:

  • Die Option sso-url gibt die URL des Edge-SSO-Moduls an. Ändern Sie den Port oder das Protokoll, wenn Sie sie von 9099 und HTTP geändert haben.
  • oauth-flow gibt entweder passcode oder password_grant an. In diesem Beispiel geben Sie password_grant an.
  • adminEmail ist die E-Mail-Adresse des Systemadministrators.
  • oauth-password gibt das Passwort des Systemadministrators an.

Alternativ können Sie beim Aufrufen des Befehls einen Sicherheitscode verwenden:

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode \
  --admin adminEmail --oauth-passcode passcode

Wobei:

  • oauth-flow gibt passcode an.
  • oauth-passcode gibt den von http://edge_sso_IP_DNS:9099/passcode. abgerufenen Sicherheitscode an.

Schließlich können Sie beim Aufrufen des Befehls ein Token verwenden:

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode \
  --admin adminEmail --oauth-token token

Wobei:

  • oauth-flow gibt entweder passcode oder password_grant an, je nachdem, wie Sie das Token ursprünglich erhalten haben. In diesem Beispiel geben Sie passcode an, da Sie das Token ursprünglich mit get_token abgerufen haben. Weitere Informationen finden Sie unter SAML mit der Edge Management API verwenden.
  • oauh_token enthält das Token.

Edge-Dienstprogramme mit SAML-Authentifizierung verwenden

Viele Edge-Dienstprogramme erfordern Systemadministrator-Anmeldedaten, z. B.:

  • apigee-provision zum Erstellen von Organisationen, Umgebungen und virtuellen Hosts
  • setup.sh wird verwendet, um einem vorhandenen System Knoten hinzuzufügen
  • Alle anderen Dienstprogramme, bei denen Sie die Anmeldedaten des Systemadministrators in einer Konfigurationsdatei angeben müssen

Diese Dienstprogramme verwenden als Eingabe eine Konfigurationsdatei, in der die Anmeldedaten des Systemadministrators mithilfe der folgenden Attribute angegeben werden:

ADMIN_EMAIL="adminEmail"
APIGEE_ADMINPW=adminPWord

Wenn Sie das Passwort weglassen, werden Sie dazu aufgefordert.

Nachdem Sie SAML aktiviert haben, verwenden Sie verschiedene Properties, um die Anmeldedaten des Systemadministrators anzugeben. Sie können beispielsweise die Anmeldedaten des Systemadministrators übergeben:

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=password_grant
OAUTH_ADMIN_PASSWORD=adminPWord

Wobei:

  • SSO_LOGIN_URL gibt die URL des Edge-SSO-Moduls an. Ändern Sie den Port oder das Protokoll, wenn Sie sie von 9099 und HTTP geändert haben.
  • OAUTH_FLOW gibt entweder passcode oder password_grant an. In diesem Beispiel geben Sie password_grant an, da Sie das Passwort des Systemadministrators übergeben.
  • OAUTH_ADMIN_PASSWORD gibt das Passwort des Systemadministrators an.

Alternativ können Sie die folgenden Properties verwenden, um die Anmeldedaten als Teil eines Sicherheitscode-Ablaufs anzugeben:

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=passcode
OAUTH_ADMIN_PASSCODE=passcode

Wobei:

  • OAUTH_FLOW gibt passcode an.
  • OAUTH_ADMIN_PASSCODE gibt den von http://edge_sso_IP_DNS:9099/passcode. abgerufenen Sicherheitscode an.

Schließlich können Sie ein Token verwenden,

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=passcode
OAUTH_BEARER_TOKEN=token

Wobei:

  • OAUTH_FLOW gibt entweder passcode oder password_grant an, je nachdem, wie Sie das Token ursprünglich erhalten haben. In diesem Beispiel geben Sie passcode an, da Sie das Token ursprünglich mit get_token abgerufen haben. Weitere Informationen finden Sie unter SAML mit der Edge Management API verwenden.
  • OAUTH_BEARER_TOKEN enthält das Token.