Zarządzanie użytkownikami, rolami i uprawnieniami

Edge dla chmury prywatnej w wersji 4.19.01

W witrynie z dokumentacją Apigee znajdziesz szczegółowe informacje o zarządzaniu rolami i uprawnieniami użytkowników. Użytkownikami można zarządzać za pomocą interfejsu Edge i interfejsu API zarządzania Google Analytics. Rolami i uprawnieniami można zarządzać tylko za pomocą interfejsu API zarządzania Google Analytics.

Informacje o użytkownikach i tworzeniu użytkowników znajdziesz w tych artykułach:

Wiele operacji, które wykonujesz, aby zarządzać użytkownikami, wymaga uprawnień administratora systemu. W przypadku instalacji Edge w chmurze Apigee pełni rolę administratora systemu. W przypadku instalacji Edge dla chmury prywatnej administrator systemu musi wykonać te zadania w sposób opisany poniżej.

Dodawanie użytkownika

Użytkownika możesz utworzyć za pomocą interfejsu API Edge, interfejsu Edge lub poleceń Edge. W tej sekcji opisano, jak używać interfejsu API Edge i poleceń Edge. Informacje o tworzeniu użytkowników w interfejsie Edge znajdziesz w artykule Tworzenie użytkowników globalnych.

Po utworzeniu użytkownika w organizacji musisz przypisać mu rolę. Role określają uprawnienia dostępu użytkownika w Edge.

Aby utworzyć użytkownika za pomocą interfejsu API Edge, użyj tego polecenia:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

Możesz też utworzyć użytkownika za pomocą tego polecenia Edge:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

gdzie configFile tworzy użytkownika, jak w tym przykładzie:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

Następnie możesz użyć tego wywołania, aby wyświetlić informacje o użytkowniku:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

przypisanie użytkownika do roli w organizacji,

Zanim nowy użytkownik będzie mógł cokolwiek zrobić, musi mieć przypisaną rolę w organizacji. Możesz przypisać użytkownikowi różne role, w tym: orgadmin, businessuser, opsadmin, user lub rolę niestandardową zdefiniowaną w organizacji.

Przypisanie użytkownika do roli w organizacji powoduje automatyczne dodanie go do tej organizacji. Przypisz użytkownika do wielu organizacji, przypisując mu rolę w każdej z nich.

Aby przypisać użytkownikowi rolę w organizacji, użyj tego polecenia:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

To wywołanie wyświetla wszystkie role przypisane do użytkownika. Jeśli chcesz dodać użytkownika, ale wyświetlać tylko nową rolę, użyj tego wywołania:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Możesz wyświetlić role użytkownika za pomocą tego polecenia:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

Aby usunąć użytkownika z organizacji, usuń wszystkie jego role w tej organizacji. Aby usunąć rolę użytkownika, użyj tego polecenia:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

Dodawanie administratora systemu

Administrator systemu może:

  • Tworzenie organizacji
  • Dodawanie routerów, procesorów komunikatów i innych komponentów do instalacji Edge
  • Konfigurowanie protokołu TLS/SSL
  • Tworzenie dodatkowych administratorów systemu
  • Wykonywanie wszystkich zadań administracyjnych Edge

Chociaż tylko jeden użytkownik jest domyślnym użytkownikiem do zadań administracyjnych, może być więcej niż jeden administrator systemu. Każdy użytkownik, który ma rolę „sysadmin”, ma pełne uprawnienia do wszystkich zasobów.

Konto użytkownika dla administratora systemu możesz utworzyć w interfejsie Edge lub interfejsie API. Musisz jednak użyć interfejsu API Edge, aby przypisać użytkownikowi rolę „sysadmin”. Przypisanie użytkownika do roli „sysadmin” nie jest możliwe w interfejsie Edge.

Aby dodać administratora systemu:

  1. utworzyć użytkownika w interfejsie Edge lub interfejsie API,
  2. Dodaj użytkownika do roli „sysadmin”: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
  3. Sprawdź, czy nowy użytkownik ma rolę „sysadmin”: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

    Zwraca adres e-mail użytkownika:

    [ " foo@bar.com " ]
  4. Sprawdź uprawnienia nowego użytkownika: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

    Zwraca:

    {
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}
  5. Po dodaniu nowego administratora systemu możesz dodać użytkownika do dowolnych organizacji.
  6. Jeśli później zechcesz usunąć użytkownika z roli administratora systemu, możesz użyć tego interfejsu API: 
    curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com

    Pamiętaj, że to wywołanie usuwa tylko użytkownika z roli, a nie samego użytkownika.

Zmiana domyślnego użytkownika administratora systemu

Podczas instalowania Edge podajesz adres e-mail administratora systemu. Edge tworzy użytkownika z tym adresem e-mail i ustawia go jako domyślnego administratora systemu. Później możesz dodać kolejnych administratorów systemu w sposób opisany powyżej.

W tej sekcji opisano, jak zmienić domyślnego administratora systemu na innego użytkownika oraz jak zmienić adres e-mail konta użytkownika dla bieżącego domyślnego administratora systemu.

Aby wyświetlić listę użytkowników skonfigurowanych obecnie jako administratorzy systemu, użyj tego wywołania interfejsu API:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Aby określić bieżącego domyślnego administratora systemu, wyświetl plik /opt/apigee/customer/defaults.sh. Plik zawiera ten wiersz z adresem e-mail bieżącego domyślnego administratora systemu:

ADMIN_EMAIL=foo@bar.com

Aby zmienić domyślnego administratora systemu na innego użytkownika:

  1. Utwórz nowego administratora systemu zgodnie z opisem powyżej lub upewnij się, że konto użytkownika nowego administratora systemu jest już skonfigurowane jako administrator systemu.
  2. Zmodyfikuj /opt/apigee/customer/defaults.sh, aby ustawić ADMIN_EMAIL na adres e-mail nowego administratora systemu.
  3. Zmodyfikuj plik konfiguracji instalacji dyskretnej, który został użyty do zainstalowania interfejsu Edge, aby ustawić te właściwości: 
    ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y

    Pamiętaj, że musisz uwzględnić właściwości SMTP, ponieważ wszystkie właściwości w interfejsie są resetowane.

  4. Ponownie skonfiguruj interfejs Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui start

Jeśli chcesz tylko zmienić adres e-mail konta użytkownika bieżącego domyślnego administratora systemu, najpierw zaktualizuj konto użytkownika, aby ustawić nowy adres e-mail, a następnie zmień adres e-mail domyślnego administratora systemu:

  1. Zaktualizuj konto użytkownika obecnego domyślnego administratora systemu, podając nowy adres e-mail: 
    curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'
  2. Powtórz kroki 2, 3 i 4 z poprzedniej procedury, aby zaktualizować plik /opt/apigee/customer/defaults.sh i interfejs Edge.

określenie domeny e-mail administratora systemu,

Aby zapewnić dodatkowy poziom bezpieczeństwa, możesz określić wymaganą domenę e-mail administratora systemu Edge. Jeśli podczas dodawania administratora systemu adres e-mail użytkownika nie znajduje się w określonej domenie, dodanie użytkownika do roli „sysadmin” nie powiedzie się.

Domyślnie wymagana domena jest pusta, co oznacza, że do roli „sysadmin” możesz dodać dowolny adres e-mail.

Aby ustawić domenę e-mail:

  1. Otwórz plik management-server.properties w edytorze: 
    vi /opt/apigee/customer/application/management-server.properties

    Jeśli ten plik nie istnieje, utwórz go.

  2. Ustaw właściwość conf_security_rbac.global.roles.allowed.domains na listę dozwolonych domen rozdzielonych przecinkami. Na przykład: 
    conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
  3. Zapisz zmiany.
  4. Ponownie uruchom serwer zarządzania Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

    Jeśli teraz spróbujesz dodać użytkownika do roli „sysadmin”, a adres e-mail użytkownika nie znajduje się w jednej z określonych domen, dodanie się nie powiedzie.

Usuwanie użytkownika

Użytkownika możesz utworzyć za pomocą interfejsu API Edge lub interfejsu Edge. Użytkownika możesz jednak usunąć tylko za pomocą interfejsu API.

Aby wyświetlić listę obecnych użytkowników, w tym adresy e-mail, użyj tego polecenia curl:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

Aby usunąć użytkownika, użyj tego polecenia curl:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL