Edge for Private Cloud גרסה 4.19.01
ממשק המשתמש של Edge וה-Management API של Edge פועלים על ידי שליחת בקשות לשרת הניהול של Edge, שבו שרת הניהול תומך בסוגי האימות הבאים:
- אימות בסיסי התחברות לממשק המשתמש של Edge או שליחת בקשות ל-API לניהול של Edge באמצעות העברת שם המשתמש והסיסמה.
- OAuth2 החלפת פרטי הכניסה של Edge Basic Auth בטוקן גישה ובטוקן רענון של OAuth2. שולחים קריאות ל-Edge management API על ידי העברת טוקן הגישה מסוג OAuth2 בכותרת Bearer של קריאה ל-API.
בנוסף, Edge תומך ב-Security Assertion Markup Language (SAML) 2.0 כמנגנון האימות. כשה-SAML מופעל, הגישה לממשק המשתמש של Edge ול-Edge management API עדיין מתבצעת באמצעות טוקני גישה של OAuth2. אבל עכשיו אפשר ליצור את האסימונים האלה מטענות נכונות (assertions) של SAML שמוחזרות על ידי ספק זהויות של SAML.
SAML תומך בסביבת כניסה יחידה (SSO). כשמשתמשים ב-SAML עם Edge, אפשר לתמוך ב-SSO לממשק המשתמש ול-API של Edge, בנוסף לכל שירות אחר שאתם מספקים ושתומך גם ב-SAML.
נוספה תמיכה ב-OAuth2 ל-Edge for Private Cloud
כמו שצוין למעלה, ההטמעה של SAML ב-Edge מסתמכת על טוקני גישה של OAuth2.לכן, נוספה תמיכה ב-OAuth2 ל-Edge for Private Cloud. למידע נוסף, קראו את המאמר מבוא ל-OAuth 2.0.
היתרונות של SAML
לאימות SAML יש כמה יתרונות. באמצעות SAML אתם יכולים:
- שליטה מלאה בניהול המשתמשים. כשמשתמשים עוזבים את הארגון ומוסרים מההקצאה באופן מרכזי, הגישה שלהם ל-Edge נדחית באופן אוטומטי.
- קובעים איך המשתמשים מאמתים את הזהות שלהם כדי לגשת ל-Edge. אפשר לבחור סוגי אימות שונים לארגונים שונים ב-Edge.
- לשלוט במדיניות האימות. יכול להיות שספק ה-SAML שלכם תומך במדיניות אימות שתואמת יותר את הסטנדרטים של הארגון שלכם.
- אתם יכולים לעקוב אחרי התחברויות, התנתקויות, ניסיונות התחברות שנכשלו ופעילויות בסיכון גבוה בפריסה של Edge.
שימוש ב-SAML עם Edge
כדי לתמוך ב-SAML ב-Edge, צריך להתקין את apigee-sso, מודול ה-SSO של Edge. בתמונה הבאה מוצג Edge SSO בהתקנה של Edge for Private Cloud:
אפשר להתקין את מודול ה-SSO של Edge באותו צומת שבו נמצאים ממשק המשתמש ושרת הניהול של Edge, או בצומת נפרד. מוודאים של-Edge SSO יש גישה לשרת הניהול דרך יציאה 8080.
יציאה 9099 צריכה להיות פתוחה בצומת Edge SSO כדי לתמוך בגישה ל-Edge SSO מדפדפן, מ-SAML IDP החיצוני ומשרת הניהול ומממשק המשתמש של Edge. כחלק מהגדרת Edge SSO, אתם יכולים לציין שהחיבור החיצוני ישתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
ב-Edge SSO נעשה שימוש במסד נתונים של Postgres שנגיש ביציאה 5432 בצומת Postgres. בדרך כלל אפשר להשתמש באותו שרת Postgres שהתקנתם עם Edge, או בשרת Postgres עצמאי או בשני שרתי Postgres שהוגדרו במצב מאסטר/המתנה. אם העומס על שרת Postgres גבוה, אתם יכולים גם ליצור צומת Postgres נפרד רק ל-Edge SSO.
כשה-SAML מופעל, הגישה לממשק המשתמש של Edge ול-Edge management API מתבצעת באמצעות טוקני גישה של OAuth2. האסימונים האלה נוצרים על ידי מודול ה-SSO של Edge, שמקבל טענות נכוֹנוּת (assertion) של SAML שמוחזרות על ידי ספק הזהויות.
אחרי שיוצרים את אסימון ה-OAuth מטענת נכוֹנוּת (assertion) של SAML, הוא תקף למשך 30 דקות ואסימון הרענון תקף למשך 24 שעות. יכול להיות שסביבת הפיתוח שלכם תומכת באוטומציה של משימות פיתוח נפוצות, כמו אוטומציה של בדיקות או אינטגרציה רציפה/פריסה רציפה (CI/CD), שדורשות אסימונים עם משך זמן ארוך יותר. במאמר שימוש ב-SAML עם משימות אוטומטיות מוסבר איך ליצור אסימונים מיוחדים למשימות אוטומטיות.
כתובות URL של ממשק המשתמש ושל ה-API של Edge
כתובת ה-URL שמשמשת לגישה לממשק המשתמש של Edge ול-Edge management API זהה לזו ששימשה לפני שהפעלתם את SAML. בממשק המשתמש של Edge:
http://edge_ui_IP_DNS:9000 https://edge_ui_IP_DNS:9000
כאשר edge_ui_IP_DNS הוא כתובת ה-IP או שם ה-DNS של המכונה שמארחת את ממשק המשתמש של Edge. כחלק מהגדרת ממשק המשתמש של Edge, אתם יכולים לציין שהחיבור ישתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
ל-Edge management API:
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
כאשר ms_IP_DNS הוא כתובת ה-IP או שם ה-DNS של שרת הניהול. כחלק מהגדרת ה-API, אתם יכולים לציין שהחיבור ישתמש בפרוטוקול HTTP או בפרוטוקול HTTPS המוצפן.
הגדרת TLS ב-Edge SSO
כברירת מחדל, החיבור ל-Edge SSO משתמש ב-HTTP דרך יציאה 9099 בצומת שמארח את apigee-sso, מודול Edge SSO. ב-apigee-sso מובנה מופע של Tomcat שמטפל בבקשות HTTP ו-HTTPS.
Edge SSO ו-Tomcat תומכים בשלושה מצבי חיבור:
- DEFAULT – הגדרת ברירת המחדל תומכת בבקשות HTTP ביציאה 9099.
- SSL_TERMINATION – הפעלת גישת TLS ל-Edge SSO ביציאה לבחירתכם. במצב הזה צריך לציין מפתח ואישור TLS.
- SSL_PROXY – מגדיר את Edge SSO במצב שרת proxy, כלומר התקנתם מאזן עומסים לפני
apigee-ssoוסיימתם את TLS במאזן העומסים. אפשר לציין את היציאה שמשמשת אתapigee-ssoלבקשות ממאזן העומסים.
הפעלת תמיכה ב-SAML בפורטל
אחרי שמפעילים תמיכה ב-SAML ב-Edge, אפשר להפעיל את SAML גם בפורטל Apigee Developer Services (או פשוט הפורטל). הפורטל תומך באימות SAML כששולחים בקשות ל-Edge. חשוב לשים לב שזה שונה מאימות SAML להתחברות של מפתחים לפורטל. אתם מגדירים אימות SAML להתחברות של מפתחים בנפרד. מידע נוסף זמין במאמר הגדרת הפורטל לשימוש ב-SAML כדי לתקשר עם Edge.
כחלק מהגדרת הפורטל, צריך לציין את כתובת ה-URL של מודול Edge SSO שהתקנתם עם Edge:
