Отключение базовой аутентификации в Edge

Edge for Private Cloud 4.19.01

После включения SAML в Edge вы можете отключить базовую аутентификацию. Однако прежде чем отключать базовую аутентификацию:

• Убедитесь, что вы добавили всех пользователей Edge, включая системных администраторов, к поставщику идентификационной информации SAML.
• Убедитесь, что вы тщательно протестировали аутентификацию SAML в Edge UI и Edge Management API.
• Если вы используете портал Apigee Developer Services (или просто портал), настройте и протестируйте SAML на портале, чтобы убедиться, что портал может подключаться к Edge. Подробнее о том, как настроить портал для использования SAML при взаимодействии с Edge…

Просмотр текущего профиля безопасности

Чтобы узнать, включены ли базовая аутентификация и SAML, посмотрите профиль безопасности Edge. Чтобы посмотреть текущий профиль безопасности, используемый Edge, выполните следующий вызов Edge Management API на сервере управления Edge:

curl -H "accept:application/xml" http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord

Если вы ещё не настроили SAML, ответ будет выглядеть так, как показано ниже. Это означает, что базовая аутентификация включена:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    </UserAccessControl>
</SecurityProfile>

Если вы уже включили SAML, в выходных данных появится тег <ssoserver>:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
        <SSOServer>
            <BasicAuthEnabled>true</BasicAuthEnabled>
            <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
            <ServerUrl>http://35.197.37.220:9099</ServerUrl>
        </SSOServer>
    </UserAccessControl>
</SecurityProfile>

Обратите внимание, что в версии с включенным SAML также есть строка <BasicAuthEnabled>true</BasicAuthEnabled>, которая означает, что базовая аутентификация по-прежнему включена.

Отключить базовую аутентификацию

Чтобы отключить базовую аутентификацию, используйте следующий вызов Edge Management API на сервере управления Edge. Обратите внимание, что в качестве полезной нагрузки вы передаете XML-объект, возвращенный в предыдущем разделе. Единственное отличие заключается в том, что вы задаете <BasicAuthEnabled>false</BasicAuthEnabled>:

curl -H "Content-Type: application/xml"
http://localhost:8080/v1/securityprofile  -u sysAdminEmail:pWord -d
 '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
    <SSOServer>
      <BasicAuthEnabled>false</BasicAuthEnabled>
      <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
      <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
 </UserAccessControl>
</SecurityProfile>'

После отключения базовой аутентификации любой вызов API управления Edge, который передает учетные данные базовой аутентификации, возвращает следующую ошибку:

<Error>
    <Code>security.SecurityProfileBasicAuthDisabled</Code>
    <Message>Basic Authentication scheme not allowed</Message>
    <Contexts/>
</Error>

Как снова включить базовую аутентификацию

Если по какой-либо причине вам нужно снова включить базовую аутентификацию, выполните следующие действия:

1. Войдите в любой узел ZooKeeper в Edge.
2. Выполните следующий скрипт bash, чтобы отключить все функции безопасности.

   #! /bin/bash
   /opt/apigee/apigee-zookeeper/bin/zkCli.sh -server localhost:2181 <<EOF
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   quit
   EOF

   Вы увидите выходные данные в следующем формате:

   Connecting to localhost:2181
   Welcome to ZooKeeper!
   JLine support is enabled
   WATCHER::
   WatchedEvent state:SyncConnected
   type:None path:null
   [zk: localhost:2181(CONNECTED) 0]
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   cZxid = 0x89
   ...
   [zk: localhost:2181(CONNECTED) 1] quit
   Quitting...

3. Повторно включите базовую аутентификацию и аутентификацию SAML:
   

   curl -H "Content-Type: application/xml" http://localhost:8080/v1/securityprofile
     -u sysAdminEmail:pWord -d '<SecurityProfile enabled="true" name="securityprofile">
     <UserAccessControl enabled="true">
     <SSOServer>
     <BasicAuthEnabled>true</BasicAuthEnabled>
     <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
     <ServerUrl>http://35.197.37.220:9099</ServerUrl>
     </SSOServer>
     </UserAccessControl>
     </SecurityProfile>'

   Теперь вы снова можете использовать базовую аутентификацию.