نصب و پیکربندی Edge SSO

Edge for Private Cloud v4.19.01

برای نصب و پیکربندی واحد Edge SSO، ابتدا باید دو مجموعه از کلیدها و گواهینامه‌های TLS تولید کنید. واحد Edge SSO از TLS برای ایمن‌سازی انتقال اطلاعات به‌عنوان بخشی از فرایند دست دادن SAML با SAML IDP استفاده می‌کند.

ایجاد کلیدها و گواهینامه‌های TLS

مراحل زیر گواهی‌های خودامضا ایجاد می‌کند که ممکن است برای محیط آزمایش شما مناسب باشد اما معمولاً برای محیط تولید به گواهی‌های امضاشده توسط مرجع صدور گواهی نیاز دارید.

برای ایجاد کلید درستی‌سنجی و امضا و گواهی خودامضا:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
  2. cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
  3. sudo openssl genrsa -out privkey.pem 2048
  4. sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
  5. sudo chown apigee:apigee *.pem

برای ایجاد کلید و گواهینامه خودامضا، بدون گذرعبارت، برای ارتباط با SAML IDP:

  1. sudo mkdir -p /opt/apigee/customer/application/apigee-sso/saml/
  2. cd /opt/apigee/customer/application/apigee-sso/saml/
  3. کلید خصوصی خود را با گذرعبارت تولید کنید: 
    sudo openssl genrsa -aes256 -out server.key 1024
  4. گذرعبارت را از کلید بردارید:
    sudo openssl rsa -in server.key -out server.key
  5. تولید درخواست امضای گواهینامه برای «مرکز صدور گواهی»: 
    sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
  6. تولید گواهی خودامضا با زمان انقضای ۳۶۵ روز: 
    sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
     
  7. sudo chown apigee:apigee server.key
  8. sudo chown apigee:apigee selfsigned.crt

اگر می‌خواهید «امنیت لایه انتقال» را در واحد Edge SSO فعال کنید، با تنظیم SSO_TOMCAT_PROFILE روی SSL_TERMINATION یا روی SSL_PROXY، نمی‌توانید از گواهینامه خودامضایی استفاده کنید. باید گواهی را از مرجع صدور گواهی تولید کنید. برای اطلاعات بیشتر، پیکربندی apigee-sso برای دسترسی HTTPS را ببینید.

نصب و پیکربندی Edge SSO برای دسترسی HTTP

برای نصب واحد Edge SSO، apigee-sso، باید از همان فرایندی که برای نصب Edge استفاده کردید استفاده کنید. چون apigee-sso با فایل RPM نشان داده می‌شود، این یعنی کاربری که نصب را انجام می‌دهد باید کاربر ریشه باشد یا کاربری باشد که دسترسی کامل sudo داشته باشد. برای اطلاعات بیشتر، نمای کلی نصب Edge را ببینید.

فایل پیکربندی را به نصب‌کننده ارسال کنید. فایل پیکربندی به‌صورت زیر است:

IP1=hostname_or_ip_of_management_server
IP2=hostname_or_ip_of_UI_and_apigge_sso

## Management Server configuration.
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http. 
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

# apigee-sso configuration.
SSO_PROFILE="saml"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from "Create the TLS keys and certificates" above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed to user when they attempt to access Edge UI.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL, 
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Specifies to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL. Necessary if URL uses a self-signed cert. 
# Default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from "Create the TLS keys and certificates" above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt
# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
SSO_SAML_SIGNED_ASSERTIONS=y

# Must configure an SMTP server so Edge SSO can send emails to users.
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
SMTPMAILFROM="My Company <myco@company.com>"

برای نصب واحد Edge SSO:

  1. به سیستم گره «سرور مدیریت» وارد شوید. آن گره باید ازقبل apigee-service را همان‌طور که در نصب ابزار کمکی apigee-setup در Edge توضیح داده شده است نصب کرده باشد.

    توجه داشته باشید که می‌توانید Edge SSO را در گره دیگری نصب کنید. بااین‌حال، آن گره باید بتواند ازطریق درگاه ۸۰۸۰ به «سرور مدیریت» دسترسی داشته باشد.

  2. نصب و پیکربندی apigee-sso: 
    /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

    که در آن configFile فایل پیکربندی نشان‌داده‌شده در بالا است.

  3. ابزار apigee-ssoadminapi.sh را که برای مدیریت کاربران سرپرست و ماشین برای واحد apigee-sso استفاده می‌شود نصب کنید: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
  4. از پوسته خارج شوید، و سپس دوباره به سیستم وارد شوید تا ابزار apigee-ssoadminapi.sh را به مسیر خود اضافه کنید.

به‌جای نشانی وب، فایل فراداده مشخص کنید

اگر IDP شما از نشانی وب فراداده HTTP/HTTPS پشتیبانی نمی‌کند، می‌توانید از فایل XML فراداده برای پیکربندی Edge SSO استفاده کنید:

  1. محتوای فراداده XML را از IDP خود در فایلی در گره Edge SSO کپی کنید. برای مثال، زبان نشانه‌گذاری توسعه‌پذیر را در اینجا کپی کنید: 
    /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  2. مالکیت فایل را به apigee:apigee تغییر دهید: 
    chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  3. مقدار SSO_SAML_IDP_METADATA_URL را روی مسیر فایل مطلق تنظیم کنید: 
    SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

    باید مسیر فایل را با «file://» پیشوندگذاری کنید و سپس مسیر مطلق را از ریشه (/) اضافه کنید.