نصب و پیکربندی Edge SSO

Edge for Private Cloud نسخه ۴.۱۹.۰۱

برای نصب و پیکربندی کردن ماژول Edge SSO، ابتدا باید دو مجموعه کلید و گواهینامه TLS تولید کنید. واحد Edge SSO از TLS برای ایمن‌سازی انتقال اطلاعات به‌عنوان بخشی از فرایند دست‌دهی SAML با SAML IDP استفاده می‌کند.

ایجاد کلیدها و گواهی‌های TLS

مراحل زیر گواهی‌های خودامضاشده‌ای ایجاد می‌کند که ممکن است برای محیط آزمایشی شما مناسب باشد، اما معمولاً برای محیط تولید به گواهی‌های امضاشده توسط مرجع صدور گواهی نیاز دارید.

برای ایجاد کلید درستی‌سنجی و امضا و گواهی خودامضا:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
  2. cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
  3. sudo openssl genrsa -out privkey.pem 2048
  4. sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
  5. sudo chown apigee:apigee *.pem

برای ایجاد کلید و گواهی خودامضا، بدون گذرعبارت، برای برقراری ارتباط با SAML IDP:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/saml/
  2. cd /opt/apigee/customer/application/apigee-sso/saml/
  3. کلید خصوصی‌تان را با گذرعبارت تولید کنید: 
    sudo openssl genrsa -aes256 -out server.key 1024
  4. گذرعبارت را از کلید بردارید:
    sudo openssl rsa -in server.key -out server.key
  5. تولید درخواست امضای گواهینامه برای CA: 
    sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
  6. گواهی خودامضاشده با زمان انقضای ۳۶۵ روزه ایجاد کنید: 
    sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
     
  7. sudo chown apigee:apigee server.key
  8. sudo chown apigee:apigee selfsigned.crt

اگر می‌خواهید TLS را در ماژول Edge SSO فعال کنید، با تنظیم SSO_TOMCAT_PROFILE روی SSL_TERMINATION یا روی SSL_PROXY، نمی‌توانید از گواهینامه خودامضا استفاده کنید. باید گواهی‌ای از CA تولید کنید. برای اطلاعات بیشتر، پیکربندی apigee-sso برای دسترسی HTTPS را ببینید.

نصب و پیکربندی Edge SSO برای دسترسی HTTP

برای نصب کردن واحد Edge SSO،‏ apigee-sso، باید از همان فرایندی استفاده کنید که برای نصب کردن Edge استفاده کردید. چون apigee-sso با فایل RPM نشان داده می‌شود، یعنی کاربری که نصب را انجام می‌دهد باید کاربر ریشه باشد یا کاربری باشد که دسترسی کامل sudo داشته باشد. برای اطلاعات بیشتر، به نمای کلی نصب Edge مراجعه کنید.

فایل پیکربندی را به نصب‌کننده ارسال کنید. فایل پیکربندی فرم زیر را دارد:

IP1=hostname_or_ip_of_management_server
IP2=hostname_or_ip_of_UI_and_apigge_sso

## Management Server configuration.
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http. 
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

# apigee-sso configuration.
SSO_PROFILE="saml"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from "Create the TLS keys and certificates" above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed to user when they attempt to access Edge UI.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL, 
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Specifies to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL. Necessary if URL uses a self-signed cert. 
# Default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from "Create the TLS keys and certificates" above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt
# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
SSO_SAML_SIGNED_ASSERTIONS=y

# Must configure an SMTP server so Edge SSO can send emails to users.
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
SMTPMAILFROM="My Company <myco@company.com>"

برای نصب کردن پیمانه Edge SSO:

  1. به گره Management Server وارد شوید. آن گره باید ازقبل apigee-service را نصب کرده باشد، همان‌طور که در نصب ابزار کمکی apigee-setup در Edge شرح داده شده است.

    توجه داشته باشید که می‌توانید Edge SSO را روی گره دیگری نصب کنید. بااین‌حال، آن گره باید بتواند ازطریق درگاه ۸۰۸۰ به «سرور مدیریت» دسترسی داشته باشد.

  2. نصب و پیکربندی apigee-sso: 
    /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

    که در آن configFile فایل پیکربندی نشان‌داده‌شده در بالا است.

  3. برنامه کمکی apigee-ssoadminapi.sh را که برای مدیریت کاربران سرپرست و ماشین برای واحد apigee-sso استفاده می‌شود نصب کنید: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
  4. از پوسته خارج شوید و سپس دوباره به سیستم وارد شوید تا ابزار apigee-ssoadminapi.sh به مسیرتان اضافه شود.

به‌جای نشانی وب، فایل فراداده مشخص کنید

اگر IDP شما از نشانی وب فراداده HTTP/HTTPS پشتیبانی نمی‌کند، می‌توانید از فایل XML فراداده برای پیکربندی Edge SSO استفاده کنید:

  1. محتوای XML فراداده را از IDP خود در فایلی در گره Edge SSO کپی کنید. برای مثال، XML را در اینجا کپی کنید: 
    /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  2. مالکیت فایل را به apigee:apigee تغییر دهید: 
    chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  3. مقدار SSO_SAML_IDP_METADATA_URL را روی مسیر مطلق فایل تنظیم کنید: 
    SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

    باید پیشوند «file://» را به مسیر فایل اضافه کنید و به‌دنبال آن مسیر مطلق از ریشه (/) را اضافه کنید.