Como usar o SAML com tarefas automatizadas

Edge para nuvem privada v4.19.01

Ao usar o SAML com a API Edge, o processo usado para receber tokens de acesso e tokens de atualização do OAuth2 da declaração SAML é chamado de fluxo de senha. Com o fluxo de senha, você usa um navegador para receber uma senha de uso único que será usada para receber tokens do OAuth2.

No entanto, seu ambiente de desenvolvimento pode oferecer suporte à automação de tarefas comuns de desenvolvimento, como automação de testes ou integração contínua/implantação contínua (CI/CD). Para automatizar essas tarefas quando o SAML estiver ativado, você precisa de uma maneira de receber e atualizar tokens OAuth2 sem precisar copiar/colar uma senha de um navegador.

O Edge é compatível com a geração automatizada de tokens usando usuários de máquina em organizações SAML. Um usuário de máquina pode receber tokens OAuth2 sem precisar especificar uma senha. Isso significa que é possível automatizar completamente o processo de obtenção e atualização de tokens OAuth2 usando a API Management do Edge.

Há duas maneiras de criar um usuário de máquina para uma organização SAML:

Cada um desses métodos é descrito nas seções a seguir.

Não é possível criar um usuário de máquina para uma organização que não seja SAML.

Criar um usuário de máquina com apigee-ssoadminapi.sh

Use o utilitário apigee-ssoadminapi.sh para criar um usuário de máquina em uma organização SAML. Consulte Como usar apigee-ssoadminapi.sh para mais informações. É possível criar um único usuário de máquina que seja usado por todas as organizações ou criar um usuário de máquina separado para cada organização.

O usuário da máquina é criado e armazenado no repositório de dados do Edge, não no provedor de identidade SAML. Portanto, você não é responsável por manter o usuário da máquina usando a IU do Edge e a API de gerenciamento do Edge.

Ao criar o usuário de máquina, especifique um endereço de e-mail e uma senha. Depois de criar o usuário de máquina, atribua-o a uma ou mais organizações.

Para criar um usuário de máquina com apigee-ssoadminapi.sh:

  1. Use o seguinte comando apigee-ssoadminapi.sh para criar o usuário da máquina: 
    apigee-ssoadminapi.sh saml machineuser add --admin SSO_ADMIN_NAME \
  --secret SSO_ADMIN_SECRET --host Edge_SSO_IP_or_DNS \
  -u machine_user_email -p machine_user_password

    Em que:

    • SSO_ADMIN_NAME é o nome de usuário do administrador definido pela propriedade SSO_ADMIN_NAME no arquivo de configuração usado para configurar o módulo de SSO do Edge. O padrão é ssoadmin.
    • SSO_ADMIN_SECRET é a senha de administrador, conforme especificado pela propriedade SSO_ADMIN_SECRET no arquivo de configuração.

      • Neste exemplo, é possível omitir os valores de --port e --ssl porque o módulo apigee-sso usa os valores padrão de 9099 para --port e http para --ssl. Se a instalação não usar esses padrões, especifique-os conforme apropriado.

  2. Faça login na IU do Edge, adicione o e-mail do usuário da máquina às suas organizações e atribua o usuário da máquina ao papel necessário. Consulte Como adicionar usuários globais para mais informações.

Criar um usuário de máquina com a API de gerenciamento da borda

É possível criar um usuário de máquina usando a API Management do Edge em vez do utilitário apigee-ssoadminapi.sh.

Para criar um usuário de máquina com a API Management:

  1. Use o seguinte comando curl para receber um token para o usuário ssoadmin, o nome de usuário da conta de administrador de apigee-sso: 
    curl "http://Edge_SSO_IP_DNS:9099/oauth/token" -i -X POST \
  -H 'Accept: application/json' / -H 'Content-Type: application/x-www-form-urlencoded' \
  -d "response_type=token" -d "grant_type=client_credentials" \
  --data-urlencode "client_secret=SSO_ADMIN_SECRET" \
  --data-urlencode "client_id=ssoadmin"

    Em que SSO_ADMIN_SECRET é a senha de administrador que você definiu ao instalar o apigee-sso, conforme especificado pela propriedade SSO_ADMIN_SECRET no arquivo de configuração.

    Esse comando exibe um token que você precisa para fazer a próxima chamada.

  2. Use o seguinte comando curl para criar o usuário de máquina, transmitindo o token que você recebeu na etapa anterior: 
    curl "http://edge_sso_IP_DNS:9099/Users" -i -X POST \
  -H "Accept: application/json" -H "Content-Type: application/json" \
  -d '{"userName" : "machine_user_email", "name" :
    {"formatted":"DevOps", "familyName" : "last_name", "givenName" :
    "first_name"}, "emails" : [ {"value" :
    "machine_user_email", "primary" : true } ], "active" : true,
    "verified" : true, "password" : "machine_user_password" }' \
  -H "Authorization: Bearer token"

    Você vai precisar da senha do usuário da máquina nas próximas etapas.

  3. Faça login na interface do Edge.
  4. Adicione o e-mail do usuário de máquina às suas organizações e atribua o papel necessário a ele. Consulte Como adicionar usuários globais para saber mais.

Obter e atualizar tokens de usuário de máquina

Use a API Edge para receber e atualizar tokens OAuth2 transmitindo as credenciais do usuário da máquina, em vez de uma senha.

Para receber tokens OAuth2 para o usuário da máquina:

  1. Use a seguinte chamada de API para gerar os tokens de acesso e de atualização iniciais:
    curl -H "Content-Type: application/x-www-form-urlencoded;charset=utf-8" \
  -H "accept: application/json;charset=utf-8" \
  -H "Authorization: Basic ZWRnZWNsaTplZGdlY2xpc2VjcmV0" -X POST \
  http://Edge_SSO_IP_DNS:9099/oauth/token -s \
  -d 'grant_type=password&username=m_user_email&password=m_user_password'

    Salve os tokens para uso posterior.

  2. Transmita o token de acesso para uma chamada de API Management do Edge como o cabeçalho do Bearer:
    curl -H "Authorization: Bearer access_token" \
  http://MS_IP_DNS:8080/v1/organizations/org_name

    Em que org_name é o nome da organização que contém o usuário de máquina.

  3. Para atualizar o token de acesso mais tarde, use a seguinte chamada que inclui o token de atualização: 
    curl -H "Content-Type:application/x-www-form-urlencoded;charset=utf-8" \
  -H "Accept: application/json;charset=utf-8" \
  -H "Authorization: Basic ZWRnZWNsaTplZGdlY2xpc2VjcmV0" -X POST \
  http://edge_sso_IP_DNS:9099/oauth/token \
  -d 'grant_type=refresh_token&refresh_token=refreshToken'