הגדרה של SAML IdP

Edge for Private Cloud גרסה 4.19.01

כשה-SAML מופעל, חשבון המשתמש (משתמש בממשק המשתמש של Edge) מבקש גישה לספק השירות (Edge SSO). לאחר מכן, מערכת Edge SSO מבקשת ומקבלת טענת נכוֹנוּת (assertion) של זהות מספק הזהויות (IDP) של SAML, ומשתמשת בטענת הנכוֹנוּת הזו כדי ליצור את אסימון OAuth2 שנדרש כדי לגשת לממשק המשתמש של Edge. לאחר מכן המשתמש מופנה לממשק המשתמש של Edge.

‫Edge תומך בספקי זהויות רבים, כולל Okta ו-Microsoft Active Directory Federation Services ‏(ADFS). במאמר הגדרת Edge כגורם מסתמך ב-ADFS IDP מוסבר איך להגדיר את ADFS לשימוש עם Edge. בקטע הבא מוסבר איך עושים את זה ב-Okta.

כדי להגדיר את ה-IDP ב-SAML, צריך כתובת אימייל ב-Edge כדי לזהות את המשתמש. לכן, ספק הזהויות חייב להחזיר כתובת אימייל כחלק מהצהרת הזהות.

בנוסף, יכול להיות שתצטרכו את כל הפריטים הבאים או חלק מהם:

הגדרה תיאור
כתובת ה-URL של המטא-נתונים

יכול להיות שספק הזהויות של SAML ידרוש את כתובת ה-URL של המטא-נתונים של Edge SSO. כתובת ה-URL של המטא-נתונים היא בפורמט הבא:

protocol://apigee_sso_IP_DNS:port/saml/metadata

לדוגמה:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL

אפשר להשתמש בה ככתובת ה-URL להפניה אוטומטית חזרה ל-Edge אחרי שהמשתמש מזין את פרטי הכניסה שלו ל-IDP, בפורמט:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

לדוגמה:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

כתובת URL של כניסה יחידה (SSO)

אתם יכולים להגדיר את Edge SSO כך שיתמוך ביציאה יחידה. מידע נוסף זמין במאמר הגדרת יציאה יחידה מממשק המשתמש של Edge. הפורמט של כתובת ה-URL להתנתקות מ-Edge SSO הוא:

protocol://apigee_sso_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

לדוגמה:

http://apigee_sso_IP_DNS:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

מזהה הישות של ספק השירות (או URI של קהל)

ל-Edge SSO:

apigee-saml-login-opdk

הגדרת Okta

כדי להגדיר את Okta:

  1. מתחברים ל-Okta.
  2. בוחרים באפשרות Applications (אפליקציות) ואז בוחרים את אפליקציית ה-SAML.
  3. כדי להוסיף משתמשים לאפליקציה, לוחצים על הכרטיסייה Assignments (הקצאות). המשתמשים האלה יוכלו להתחבר לממשק המשתמש של Edge ולבצע קריאות ל-Edge API. אבל קודם צריך להוסיף כל משתמש לארגון ב-Edge ולציין את התפקיד שלו. מידע נוסף זמין במאמר רישום משתמשי Edge חדשים.
  4. בוחרים בכרטיסייה Sign on (כניסה) כדי לקבל את כתובת ה-URL של המטא-נתונים של ספק הזהויות. שומרים את כתובת ה-URL הזו כי תצטרכו אותה כדי להגדיר את Edge.
  5. בוחרים את הכרטיסייה General כדי להגדיר את אפליקציית Okta, כמו שמוצג בטבלה הבאה:
הגדרה תיאור
כתובת ה-URL לכניסה יחידה (SSO) מציינת את כתובת ה-URL להפניה אוטומטית חזרה אל Edge, לשימוש אחרי שהמשתמש מזין את פרטי הכניסה שלו ל-Okta. כתובת ה-URL הזו היא בפורמט הבא: 
http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

אם אתם מתכננים להפעיל TLS ב-apigee-sso:

https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

כאשר apigee_sso_IP_DNS הוא כתובת ה-IP או שם ה-DNS של הצומת שמארח את apigee-sso.

חשוב לזכור שכתובת ה-URL הזו תלוית אותיות רישיות (case-sensitive) והמילה SSO חייבת להופיע באותיות רישיות.

אם יש לך מאזן עומסים לפני apigee-sso,צריך לציין את כתובת ה-IP או את שם ה-DNS של apigee-sso כפי שהם מופיעים במאזן העומסים.
משתמשים בכתובת הזו בשדות "כתובת ה-URL של הנמען" ו"כתובת היעד" מסמנים את התיבה הזו.
Audience URI (מזהה הישות של ספק השירות) הגדרה בתור apigee-saml-login-opdk
ברירת המחדל של RelayState אפשר להשאיר את השדה ריק.
פורמט מזהה השם מציינים את EmailAddress.
שם המשתמש לצורך האפליקציה מציינים את Okta username.
הצהרות מאפיינים (אופציונלי) מציינים את FirstName, LastName ו-Email, כמו שמוצג בתמונה למטה.

בסיום, תיבת הדו-שיח של הגדרות ה-SAML אמורה להיראות כך: