啟用 SAML 後使用 Edge 管理員公用程式和 API

Private Cloud v4.19.01 版

本節說明如何在啟用 SAML 後執行 Edge 系統管理員工具和指令。 Edge 上的許多工作都需要系統管理憑證，例如：

  • 建立機構和環境
  • 新增及移除 Edge 元件
  • Runngin apigee-adminapi.sh 指令

不過，在 Edge on Edge 上啟用 SAML 後，通常會停用基本驗證 皆須透過 SAML IDP 進行驗證。因此，請務必確認您已加入 新增到您的 SAML IDP。

呼叫 Edge Management API 系統管理員

許多 Edge API 呼叫都必須傳遞系統管理員憑證。透過 Edge Management API 使用 SAML 包含 說明如何在發出 Edge Management API 呼叫時取得及更新權杖。

使用 apigee-adminapi.sh 支援 SAML 驗證的公用程式

使用 apigee-adminapi.sh 公用程式執行相同的 Edge 設定工作 篩選節點數量使用 apigee-adminapi.sh 公用程式的意義在於：

  • 使用簡單的指令列介面
  • 實作以 Tab 鍵為基礎的指令完成功能
  • 提供說明和使用資訊
  • 如果您決定試用 API，可顯示對應的 API 呼叫

詳情請參閱使用 apigee-ssoadminapi.sh。

啟用 SAML 驗證後，您可以透過多種方式將系統傳送給系統管理員。 新增至 apigee-adminapi.sh 公用程式。

您可以查看任何 apigee-adminapi.sh 指令的所有選項，包括 指定 SAML 憑證的選項，方法是使用「-h」該指令例如：

apigee-adminapi.sh orgs list -h

舉例來說，您可以傳送系統管理員憑證：

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow password_grant \
  --admin adminEmail --oauth-password adminPword

在此情況下：

  • sso-url 選項會指定邊緣單一登入 (SSO) 模組的網址。修改通訊埠 以及通訊協定或通訊協定 (如果您將其從 9099 和 HTTP) 變更
  • oauth-flow 會指定 passcode 或 password_grant。在這個範例中 password_grant。
  • adminEmail 是系統管理員的電子郵件地址。
  • oauth-password 會指定系統管理員的密碼。

或者，您也可以在呼叫指令時使用密碼：

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode \
  --admin adminEmail --oauth-passcode passcode

在此情況下：

  • oauth-flow 指定 passcode。
  • oauth-passcode 會指定從 http://edge_sso_IP_DNS:9099/passcode.

最後，您可以在呼叫指令時使用權杖：

apigee-adminapi.sh orgs list --sso-url http://edge_sso_IP_DNS:9099 --oauth-flow passcode \
  --admin adminEmail --oauth-token token

在此情況下：

  • oauth-flow 會指定 passcode 或 password_grant，取決於您原先取得權杖的方式。在這個範例中 指定 passcode，因為您一開始使用的是 get_token。請參閱透過 Edge 使用 SAML Management API。
  • oauh_token 包含權杖。

使用 Edge 公用程式搭配 SAML 驗證

許多 Edge 公用程式需要系統管理員憑證，例如：

  • apigee-provision：用於建立機構、環境和虛擬 主機
  • setup.sh 用於將節點新增至現有系統
  • 必須在設定中指定系統管理員憑證的任何其他公用程式 檔案

這些公用程式做為輸入設定檔的輸入設定檔，用於指定系統管理員的 來部署憑證

ADMIN_EMAIL="adminEmail"
APIGEE_ADMINPW=adminPWord

如果您省略密碼，系統將提示您輸入密碼。

啟用 SAML 後，請使用不同屬性指定系統管理員的憑證。適用對象 例如，您可以傳送系統管理員憑證：

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=password_grant
OAUTH_ADMIN_PASSWORD=adminPWord

在此情況下：

  • SSO_LOGIN_URL 會指定邊緣單一登入 (SSO) 模組的網址。修改通訊埠或 以及 HTTPS 通訊協定
  • OAUTH_FLOW 會指定 passcode 或 password_grant。在這個範例中，您指定了 password_grant 你傳送的是系統管理員的密碼。
  • OAUTH_ADMIN_PASSWORD 會指定系統管理員的密碼。

您也可以使用下列屬性，將憑證指定為 密碼流動方式：

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=passcode
OAUTH_ADMIN_PASSCODE=passcode

在此情況下：

  • OAUTH_FLOW 指定 passcode。
  • OAUTH_ADMIN_PASSCODE 會指定從 http://edge_sso_IP_DNS:9099/passcode.

最後，您可以使用

ADMIN_EMAIL="adminEmail"
SSO_LOGIN_URL=http://edge_sso_IP_DNS:9099
OAUTH_FLOW=passcode
OAUTH_BEARER_TOKEN=token

在此情況下：

  • OAUTH_FLOW 會指定 passcode 或 password_grant，取決於您原先取得權杖的方式。在這個例子中 指定 passcode，因為您一開始使用的是 get_token。請參閱透過 Edge 使用 SAML Management API。
  • OAUTH_BEARER_TOKEN 包含權杖。