Edge para nuvem privada v4.19.01
O site de documentação da Apigee tem informações abrangentes sobre o gerenciamento de permissões e papéis do usuário. Os usuários podem ser gerenciados usando a IU do Edge e a API Management. Os papéis e as permissões só podem ser gerenciados com a API Management.
Para informações sobre usuários e como criar usuários, consulte:
Muitas das operações realizadas para gerenciar usuários exigem privilégios de administrador do sistema. Em uma instalação do Edge baseada na nuvem, a Apigee tem o papel de administrador do sistema. Em um Edge para a instalação da nuvem privada, o administrador do sistema precisa executar essas tarefas conforme descrito abaixo.
Adicionar um usuário
É possível criar um usuário usando a API Edge, a IU do Edge ou os comandos do Edge. Nesta seção, descrevemos como usar a API Edge e os comandos do Edge. Para informações sobre como criar usuários na interface do Edge, consulte Como criar usuários globais.
Depois de criar o usuário em uma organização, você precisa atribuir uma função a ele. Os papéis determinam os direitos de acesso do usuário no Edge.
Use o seguinte comando para criar um usuário com a API Edge:
curl -H "Content-Type:application/xml" \ -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \ -d '<User> \ <FirstName>New</FirstName> \ <LastName>User</LastName> \ <Password>NEW_USER_PASSWORD</Password> \ <EmailId>foo@bar.com</EmailId> \ </User>'
Ou use o seguinte comando Edge para criar um usuário:
/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile
O configFile cria o usuário, conforme o exemplo a seguir:
APIGEE_ADMINPW=SYS_ADMIN_PASSWORD # If omitted, you will be prompted. USER_NAME=foo@bar.com FIRST_NAME=New LAST_NAME=User USER_PWD="NEW_USER_PASSWORD" ORG_NAME=myorg
Você pode usar essa chamada para visualizar informações sobre o usuário:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com
Atribuir o usuário a um papel em uma organização
Antes que um novo usuário possa fazer qualquer coisa, ele precisa ser atribuído a uma função em uma organização. É possível atribuir ao usuário papéis diferentes, incluindo: orgadmin
, businessuser
, opsadmin
, user
ou um papel personalizado definido na organização.
Ao atribuir um usuário a uma função em uma organização, o usuário será automaticamente adicionado à organização. Atribua um usuário a várias organizações atribuindo um papel em cada uma delas.
Use o seguinte comando para atribuir ao usuário um papel em uma organização:
curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \ http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \ -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD
Essa chamada exibe todas as funções atribuídas ao usuário. Se você quiser adicionar o usuário, mas exibir apenas o novo papel, use a seguinte chamada:
curl -X POST -H "Content-Type: application/xml" \ http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \ -d '<Roles><Role name="role"/><Roles>' \ -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD
Para conferir os papéis do usuário, use o seguinte comando:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles
Para remover um usuário de uma organização, remova todas as funções dela do usuário. Use o seguinte comando para remover um papel de um usuário:
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com
Como adicionar um administrador do sistema
Um administrador do sistema pode:
- Criar organizações
- Adicionar roteadores, processadores de mensagens e outros componentes a uma instalação do Edge
- Configurar TLS/SSL
- Criar administradores adicionais do sistema
- Executar todas as tarefas administrativas de borda
Embora apenas um usuário seja o usuário padrão para tarefas administrativas, pode haver mais de um administrador de sistema. Qualquer usuário que seja membro do papel "sysadmin" tem permissões completas para todos os recursos.
É possível criar o usuário para o administrador do sistema na IU ou na API do Edge. No entanto, é preciso usar a API Edge para atribuir ao usuário o papel de "sysadmin". Não é possível atribuir um usuário ao papel "sysadmin" na IU do Edge.
Para adicionar um administrador do sistema:
- Crie um usuário na interface ou na API do Edge.
- Adicione o usuário ao papel "sysadmin":
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
- Verifique se o novo usuário está no papel "sysadmin":
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users
Retorna o endereço de e-mail do usuário:
[ " foo@bar.com " ]
- Verificar permissões do novo usuário:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions
Retorna:
{ "resourcePermission" : [ { "path" : "/", "permissions" : [ "get", "put", "delete" ] } ] }
- Depois de adicionar o novo administrador do sistema, você poderá adicionar o usuário a qualquer organização.
- Se você quiser remover o usuário da função de administrador do sistema mais tarde, use a
seguinte API:
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com
Essa chamada só remove o usuário da função, não o exclui.
Como alterar o usuário administrador padrão do sistema
Ao instalar o Edge, você especifica o endereço de e-mail do administrador do sistema. O Edge cria um usuário com esse endereço de e-mail e o define como o administrador padrão do sistema. Mais tarde, você poderá adicionar outros administradores de sistema conforme descrito acima.
Nesta seção, descrevemos como alterar o administrador padrão do sistema para outro usuário e como alterar o endereço de e-mail da conta do usuário para o administrador padrão atual do sistema.
Para ver a lista de usuários configurados como administradores do sistema, use a seguinte chamada de API:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users
Para determinar o administrador padrão do sistema atual, veja o
arquivo /opt/apigee/customer/defaults.sh
. O arquivo contém a seguinte linha que mostra
o endereço de e-mail do administrador de sistema padrão atual:
ADMIN_EMAIL=foo@bar.com
Para mudar o administrador padrão do sistema, siga estas etapas:
- Crie um novo administrador de sistema conforme descrito acima ou verifique se a conta de usuário do novo administrador de sistema já está configurada como um administrador de sistema.
- Edite
/opt/apigee/customer/defaults.sh
para definirADMIN_EMAIL
como o endereço de e-mail do novo administrador do sistema. - Edite o arquivo de configuração silenciosa usado para instalar a interface do Edge para definir as seguintes propriedades:
ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD SMTPHOST=smtp.gmail.com SMTPPORT=465 SMTPUSER=foo@gmail.com SMTPPASSWORD=bar SMTPSSL=y
Observe que você precisa incluir as propriedades SMTP, porque todas as propriedades na IU são redefinidas.
- Reconfigure a interface do Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui start
Se você quiser apenas alterar o endereço de e-mail da conta de usuário para o administrador de sistema padrão atual, primeiro atualize a conta de usuário para definir o novo endereço de e-mail e, em seguida, altere o endereço de e-mail do administrador padrão do sistema:
- Atualize a conta de usuário do usuário administrador padrão do sistema atual com um novo endereço de
e-mail:
curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \ -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'
- Repita as etapas 2, 3 e 4 do procedimento anterior para atualizar o arquivo
/opt/apigee/customer/defaults.sh
e a IU do Edge.
Especificar o domínio de e-mail de um administrador do sistema
Para aumentar a segurança, é possível especificar o domínio de e-mail necessário de um administrador de sistema de Edge. Ao adicionar um administrador do sistema, se o endereço de e-mail do usuário não estiver no domínio especificado, a adição do usuário ao papel "sysadmin" falhará.
Por padrão, o domínio obrigatório está vazio, o que significa que é possível adicionar qualquer endereço de e-mail ao papel "sysadmin".
Para definir o domínio do e-mail:
- Abra o arquivo
management-server.properties
em um editor:vi /opt/apigee/customer/application/management-server.properties
Se o arquivo não existir, crie-o.
- Defina a propriedade
conf_security_rbac.global.roles.allowed.domains
como a lista separada por vírgulas de domínios permitidos. Por exemplo:conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
- Salve as mudanças.
- Reinicie o Servidor de Gerenciamento de Borda:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
Se você tentar adicionar um usuário ao papel "sysadmin" e o endereço de e-mail do usuário não estiver em um dos domínios especificados, a adição falhará.
Como excluir um usuário
É possível criar um usuário usando a API Edge ou a interface do usuário do Edge. No entanto, só é possível excluir um usuário usando a API.
Para ver a lista de usuários atuais, incluindo o endereço de e-mail, use o seguinte comando curl
:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users
Use o seguinte comando curl
para excluir um usuário:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL