Edge'de Temel Kimlik Doğrulama'yı devre dışı bırakma

Edge for Private Cloud 4.19.01 sürümü

Edge'de SAML'yi etkinleştirdikten sonra Temel Kimlik Doğrulama'yı devre dışı bırakabilirsiniz. Ancak temel kimlik doğrulamasını devre dışı bırakmadan önce:

  • Sistem yöneticileri de dahil olmak üzere tüm Edge kullanıcılarını SAML IdP'nize eklediğinizden emin olun.
  • Edge kullanıcı arayüzü ve Edge Management API'de SAML kimlik doğrulamasını kapsamlı bir şekilde test ettiğinizden emin olun.
  • Apigee Geliştirici Hizmetleri portalını (veya kısaca portalı) kullanıyorsanız portalın Edge'e bağlanabildiğinden emin olmak için portalda SAML'yi yapılandırıp test edin. Edge ile iletişim kurmak için SAML kullanacak şekilde portalı yapılandırma başlıklı makaleyi inceleyin.

Mevcut güvenlik profilini görüntüleme

Temel kimlik doğrulama ve SAML'nin etkin olup olmadığını belirlemek için Edge güvenlik profilini görüntüleyerek mevcut yapılandırmayı öğrenebilirsiniz. Edge tarafından kullanılan mevcut güvenlik profilini görüntülemek için Edge Yönetim Sunucusu'nda aşağıdaki Edge Management API çağrısını kullanın:

curl -H "accept:application/xml" http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord

SAML'yi henüz yapılandırmadıysanız yanıt aşağıdaki gibi olur. Bu, Temel Kimlik Doğrulama'nın etkin olduğu anlamına gelir:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    </UserAccessControl>
</SecurityProfile>

SAML'yi zaten etkinleştirdiyseniz çıkışta <ssoserver> etiketini görürsünüz:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
        <SSOServer>
            <BasicAuthEnabled>true</BasicAuthEnabled>
            <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
            <ServerUrl>http://35.197.37.220:9099</ServerUrl>
        </SSOServer>
    </UserAccessControl>
</SecurityProfile>

SAML'nin etkinleştirildiği sürümde <BasicAuthEnabled>true</BasicAuthEnabled> ifadesinin de gösterildiğine dikkat edin. Bu ifade, Temel Kimlik Doğrulama'nın hâlâ etkin olduğu anlamına gelir.

Temel kimlik doğrulamasını devre dışı bırakma

Temel kimlik doğrulamasını devre dışı bırakmak için Edge yönetim sunucusunda aşağıdaki Edge Management API çağrısını kullanın. Önceki bölümde döndürülen XML nesnesini yük olarak ilettiğinizi unutmayın. Tek fark, <BasicAuthEnabled>false</BasicAuthEnabled> değerini ayarlamanızdır:

curl -H "Content-Type: application/xml"
http://localhost:8080/v1/securityprofile  -u sysAdminEmail:pWord -d
 '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
    <SSOServer>
      <BasicAuthEnabled>false</BasicAuthEnabled>
      <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
      <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
 </UserAccessControl>
</SecurityProfile>'

Temel kimlik doğrulamasını devre dışı bıraktıktan sonra, temel kimlik doğrulama kimlik bilgilerini ileten tüm Edge Management API çağrıları aşağıdaki hatayı döndürür:

<Error>
    <Code>security.SecurityProfileBasicAuthDisabled</Code>
    <Message>Basic Authentication scheme not allowed</Message>
    <Contexts/>
</Error>

Temel kimlik doğrulamasını yeniden etkinleştirme

Herhangi bir nedenle Temel Kimlik Doğrulama'yı yeniden etkinleştirmeniz gerekirse aşağıdaki adımları uygulamanız gerekir:

  1. Herhangi bir Edge ZooKeeper düğümüne giriş yapın.
  2. Tüm güvenlik özelliklerini devre dışı bırakmak için aşağıdaki bash komut dosyasını çalıştırın: 
    #! /bin/bash
/opt/apigee/apigee-zookeeper/bin/zkCli.sh -server localhost:2181 <<EOF
set /system/securityprofile <SecurityProfile></SecurityProfile>
quit
EOF

    Aşağıdaki biçimde bir çıkış görürsünüz:

    Connecting to localhost:2181
Welcome to ZooKeeper!
JLine support is enabled
WATCHER::
WatchedEvent state:SyncConnected
type:None path:null
[zk: localhost:2181(CONNECTED) 0]
set /system/securityprofile <SecurityProfile></SecurityProfile>
cZxid = 0x89
...
[zk: localhost:2181(CONNECTED) 1] quit
Quitting...
  3. Temel kimlik doğrulama ve SAML kimlik doğrulamasını yeniden etkinleştirme:
    curl -H "Content-Type: application/xml" http://localhost:8080/v1/securityprofile
  -u sysAdminEmail:pWord -d '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
  <SSOServer>
  <BasicAuthEnabled>true</BasicAuthEnabled>
  <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
  <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
  </UserAccessControl>
  </SecurityProfile>'

    Artık Basic Auth'u tekrar kullanabilirsiniz.