Edge for Private Cloud v4.19.01
Edge UI と Edge Management API は、Edge Management Server にリクエストを発行することによって動作します。Management Server は、これらのリクエストに対して次の認証タイプをサポートしています。
- 基本認証: ユーザー名とパスワードを渡して Edge UI にログインするか、Edge Management API にリクエストを送信します。
- OAuth2: Edge Basic 認証情報を OAuth2 アクセス トークンと更新トークンに交換します。API 呼び出しの Bearer ヘッダーで OAuth2 アクセス トークンを渡して、Edge Management API を呼び出します。
Edge は、認証メカニズムとして Security Assertion Markup Language（SAML）2.0 もサポートしています。SAML が有効になっている場合でも、Edge UI と Edge Management API へのアクセスには OAuth2 アクセス トークンが使用されます。しかし、現在は SAML ID プロバイダから返される SAML アサーションからこれらのトークンを生成できます。
SAML はシングル サインオン（SSO）環境をサポートしています。Edge で SAML を使用することで、Edge UI と API に対して SSO をサポートできます。また、SAML をサポートする他のサービスもサポートできます。
Edge for Private Cloud に OAuth2 のサポートを追加
前述のように、SAML の Edge 実装は OAuth2 アクセス トークンに依存しています。そのため、Edge for Private Cloud に OAuth2 サポートが追加されました。詳細については、OAuth 2.0 の概要をご覧ください。
SAML の利点
SAML 認証には、いくつかの利点があります。SAML を使用すると、次のことが可能になります。
- ユーザー管理を完全に制御できます。組織を離れたユーザーが中央でプロビジョニング解除されると、そのユーザーに対しては Edge へのアクセスが自動的に拒否されます。
- ユーザーが Edge にアクセスするための認証方法を制御します。Edge 組織ごとに異なる認証タイプを選択できます。
- 認証ポリシーを管理します。SAML プロバイダのほうが、企業の標準とより一致した認証ポリシーをサポートしている場合もあります。
- Edge デプロイでのログイン、ログアウト、失敗したログイン試行、高リスクのアクティビティをモニタリングできます。
Edge で SAML を使用する
Edge で SAML をサポートするには、Edge SSO モジュールである apigee-sso をインストールします。次の図は、Edge for Private Cloud インストール環境での Edge SSO を示しています。
Edge SSO モジュールは、Edge UI および Management Server と同じノードにインストールすることも、独自のノードにインストールすることもできます。Edge SSO がポート 8080 経由で Management Server にアクセスできることを確認します。
ブラウザ、外部 SAML IDP、Management Server、Edge UI から Edge SSO へのアクセスをサポートするには、Edge SSO ノードでポート 9099 を開く必要があります。Edge SSO の構成の一環として、外部接続で HTTP または暗号化された HTTPS プロトコルを使用するように指定できます。
Edge SSO は、Postgres ノードのポート 5432 でアクセス可能な Postgres データベースを使用します。通常は、Edge と一緒にインストールした Postgres サーバー（スタンドアロンの Postgres サーバー、またはマスター/スタンバイ モードで構成された 2 つの Postgres サーバー）を使用できます。Postgres サーバーの負荷が高い場合は、Edge SSO 専用の Postgres ノードを作成することもできます。
SAML が有効になっている場合、Edge UI と Edge Management API へのアクセスには OAuth2 アクセス トークンが使用されます。これらのトークンは、IDP から返された SAML アサーションを受け入れる Edge SSO モジュールによって生成されます。
SAML アサーションから生成された OAuth トークンは 30 分間有効で、更新トークンは 24 時間有効です。開発環境では、テストの自動化や継続的インテグレーション/継続的デプロイ（CI/CD）など、有効期間の長いトークンを必要とする一般的な開発タスクの自動化がサポートされている場合があります。自動化タスク用の特別なトークンの作成については、自動化タスクでの SAML の使用をご覧ください。
Edge UI と API の URL
Edge UI と Edge Management API へのアクセスに使用する URL は、SAML を有効にする前と同じです。Edge UI の場合:
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
ここで、edge_ui_IP_DNS は Edge UI をホストするマシンの IP アドレスまたは DNS 名です。Edge UI の構成の一環として、接続で HTTP または暗号化された HTTPS プロトコルを使用するように指定できます。
Edge Management API の場合:
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
ここで、ms_IP_DNS は Management Server の IP アドレスまたは DNS 名です。API の構成の一環として、接続で HTTP または暗号化された HTTPS プロトコルを使用するように指定できます。
Edge SSO で TLS を構成する
デフォルトでは、Edge SSO への接続は、Edge SSO モジュールである apigee-sso をホストするノードのポート 9099 で HTTP を使用します。apigee-sso には、HTTP リクエストと HTTPS リクエストを処理する Tomcat インスタンスが組み込まれています。
Edge SSO と Tomcat は、次の 3 つの接続モードをサポートしています。
- DEFAULT - デフォルトの構成では、ポート 9099 で HTTP リクエストがサポートされます。
- SSL_TERMINATION - 選択したポートで Edge SSO への TLS アクセスを有効にします。このモードでは、TLS 鍵と証明書を指定する必要があります。
- SSL_PROXY - Edge SSO をプロキシモードで構成します。つまり、
apigee-ssoの前にロードバランサをインストールし、ロードバランサで TLS を終端します。ロードバランサからのリクエストにapigee-ssoで使用されるポートを指定できます。
ポータルで SAML サポートを有効にする
Edge で SAML サポートを有効にした後、必要に応じて Apigee Developer Services ポータル（略して「ポータル」）で SAML を有効にできます。ポータルは、Edge へのリクエストを行う際に SAML 認証をサポートします。これは、デベロッパーがポータルにログインするための SAML 認証とは異なります。デベロッパー ログイン用の SAML 認証は別途構成します。詳細については、SAML を使用して Edge と通信するようにポータルを構成するをご覧ください。
ポータルの構成の一環として、Edge とともにインストールした Edge SSO モジュールの URL を指定する必要があります。
