הגדרת הפורטל לשימוש ב-SAML לתקשורת עם Edge

Edge for Private Cloud גרסה 4.19.01

פורטל שירותי המפתחים של Apigee (או פשוט הפורטל) פועל כלקוח של Apigee Edge. כלומר, הפורטל לא פועל כמערכת עצמאית. במקום זאת, רוב המידע שמשמש את הפורטל מאוחסן בפועל ב-Edge. במקרה הצורך, הפורטל שולח בקשה לאחזור מידע מ-Edge או לשליחת מידע אל Edge.

הפורטל תמיד משויך לארגון Edge אחד. כשמגדירים את הפורטל, אפשר לציין את פרטי הכניסה לאימות בסיסי (שם משתמש וסיסמה) של חשבון בארגון שבו הפורטל משתמש כדי לתקשר עם Edge.

אם תבחרו להפעיל את SAML לאימות ב-Edge, תוכלו להגדיר את הפורטל כך שישתמש באימות SAML כששולחים בקשות ל-Edge. כשמגדירים את הפורטל לשימוש ב-SAML, נוצר באופן אוטומטי חשבון משתמש חדש של מכונה בארגון Edge, שבו הפורטל משתמש כדי לשלוח בקשות ל-Edge. מידע נוסף על משתמשי מכונה זמין במאמר שימוש ב-SAML עם משימות אוטומטיות.

כדי להשתמש בתמיכה של SAML בפורטל, צריך להתקין ולהגדיר את מודול ה-SSO של Edge בצומת של שרת הניהול של Edge. התהליך הכללי להפעלת SAML בפורטל הוא:

  1. מגדירים את SAML ב-Edge, כמו שמתואר במאמר התקנה והגדרה של SAML ל-Edge. הערה: כדי להתקין את הפורטל, עדיין צריך להפעיל את Basic Auth ב-Edge. אל תשביתו את האימות הבסיסי ב-Edge עד שתגדירו את הפורטל לשימוש ב-SAML.
  2. מתקינים את הפורטל ומוודאים שההתקנה פועלת כמו שצריך. התקנת הפורטל של Edge for Private Cloud
  3. מגדירים SAML בפורטל.
  4. עכשיו אפשר להשבית את האימות הבסיסי ב-Edge.

יצירת משתמש מכונה לפורטל

כש-SAML מופעל, Edge תומך ביצירת אסימוני OAuth2 אוטומטית באמצעות משתמשי מכונה. משתמש מכונה יכול לקבל אסימוני OAuth2 בלי לציין קוד גישה. כלומר, אתם יכולים להפוך את התהליך של קבלת אסימוני OAuth2 ורענון שלהם לאוטומטי לחלוטין.

תהליך הגדרת ה-SAML של הפורטל יוצר באופן אוטומטי משתמש מכונה בארגון שמשויך לפורטל. לאחר מכן, הפורטל משתמש בחשבון המשתמש של המכונה כדי להתחבר ל-Edge. למידע נוסף על משתמשי מכונה, ראו שימוש ב-SAML עם משימות אוטומטיות.

מידע על אימות של חשבונות פיתוח בפורטל

כשמגדירים את הפורטל לשימוש ב-SAML, מאפשרים לפורטל להשתמש ב-SAML כדי לבצע אימות מול Edge, כך שהפורטל יוכל לשלוח בקשות ל-Edge. עם זאת, הפורטל תומך גם בסוג משתמש שנקרא מפתחים.

המפתחים הם קהילת המשתמשים שיוצרים אפליקציות באמצעות ממשקי ה-API שלכם. מפתחי אפליקציות משתמשים בפורטל כדי לקבל מידע על ממשקי ה-API שלכם, לרשום אפליקציות שמשתמשות בממשקי ה-API שלכם, ליצור אינטראקציה עם קהילת המפתחים ולצפות במידע סטטיסטי על השימוש באפליקציות שלהם במרכז בקרה.

כשמפתח מתחבר לפורטל, הפורטל אחראי לאמת את המפתח ולאכוף הרשאות שמבוססות על תפקידים. הפורטל ממשיך להשתמש באימות בסיסי עם המפתחים גם אחרי שמפעילים את SAML בין הפורטל לבין Edge. למידע נוסף, ראו תקשורת בין הפורטל ל-Edge.

אפשר גם להגדיר את הפורטל כך שישתמש ב-SAML כדי לאמת מפתחים. לדוגמה להפעלת SAML באמצעות מודולים של Drupal של צד שלישי, ראו שילוב SSO באמצעות SAML עם פורטל המפתחים.

הגדרת SAML בפורטל כדי לתקשר עם Edge

כדי להגדיר SAML לפורטל, צריך ליצור קובץ תצורה להגדרת הפורטל:

# IP address of Edge Management Server and apigee-sso node.
IP1=22.222.22.222

# URL of Edge management API.
MGMT_URL=http://$IP1:8080/v1

# Org associated with the portal.
EDGE_ORG=myorg

# Information about apigee-sso.
# Externally accessible IP or DNS of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP1
SSO_PUBLIC_URL_PORT=9099
# Default is http. Set to https if you enabled TLS on apigee-sso.
SSO_PUBLIC_URL_SCHEME=http

# SSO admin credentials as set when you installed apigee-sso.
SSO_ADMIN_NAME=ssoadmin
SSO_ADMIN_SECRET=Secret123

# Default is "n" to disable SAML support.
DEVPORTAL_SSO_ENABLED=y

# The name of the OAuth client used to connect to apigee-sso. 
# The default client name is portalcli.
PORTALCLI_SSO_CLIENT_NAME=portalcli
# Oauth client password using uppercase, lowercase, number, and special chars. 
PORTALCLI_SSO_CLIENT_SECRET=Abcdefg@1

# Email address and user info for the machine user created in 
# the Edge org specified above by EDGE_ORG. 
# This account is used by the portal to make requests to Edge.
# Add this email as an org admin before configuring the portal to use SAML. 
DEVPORTAL_ADMIN_EMAIL=DevPortal_SAML@google.com
DEVPORTAL_ADMIN_FIRSTNAME=DevPortal
DEVPORTAL_ADMIN_LASTNAME=SAMLAdmin
DEVPORTAL_ADMIN_PWD=Abcdefg@1

# If set, the existing portal OAuth client is deleted and new one is created.
# The default value is "n".
# Set to "y" when you configure SAML and change the value of 
# any of the PORTALCLI_* properties.
PORTALCLI_SSO_CLIENT_OVERWRITE=y

כדי להפעיל תמיכה ב-SAML בפורטל:

  1. בממשק המשתמש של Edge, מוסיפים את המשתמש האוטומטי שצוין על ידי DEVPORTAL_ADMIN_EMAIL לארגון שמשויך לפורטל בתור מנהל ארגון.
  2. מריצים את הפקודה הבאה כדי להגדיר את SAML בפורטל: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f samlConfigFile

    samlConfigFile הוא קובץ התצורה של SAML.

  3. מתחברים לפורטל כאדמינים.
  4. בתפריט הראשי של Drupal, לוחצים על Configuration > Dev Portal (הגדרה > פורטל למפתחים). מופיע מסך הגדרת הפורטל, כולל הגדרות ה-SAML:

    שימו לב שהתיבה This org is SAML-enabled מסומנת, נקודת הקצה של מודול ה-SSO של Edge מלאה, השדות מפתח API ו-Consumer secret של לקוח ה-OAuth של הפורטל מלאים, וההודעה Connection Successful מופיעה מתחת ללחצן Test Connection.

  5. אפשר ללחוץ על הכפתור בדיקת החיבור כדי לבדוק מחדש את החיבור בכל שלב.

כדי לשנות את הערכים האלה בהמשך, צריך לעדכן את קובץ התצורה ולהריץ שוב את הפקודה.

השבתת SAML בפורטל

אם בוחרים להשבית את SAML לתקשורת בין הפורטל ל-Edge, הפורטל לא יוכל יותר לשלוח בקשות ל-Edge. המפתחים יכולים להתחבר לפורטל אבל לא יכולים לראות מוצרים או ליצור אפליקציות.

כדי להשבית את SAML בפורטל:

  1. עורכים את קובץ התצורה שבו השתמשתם כדי להגדיר את SAM, ומגדירים את: 
    DEVPORTAL_SSO_ENABLED=n
  2. מגדירים את הפורטל: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-drupal-devportal configure-sso -f configFile