ضبط الدخول المُوحَّد (SSO) في Apigee للدخول إلى HTTPS

توضّح صفحة تثبيت وضبط الدخول الموحّد (SSO) في Apigee كيفية تثبيت وضبط وحدة الدخول الموحّد (SSO) في Apigee لاستخدام HTTP على المنفذ 9099، كما هو محدّد في السمة التالية في ملف إعداد Edge:

SSO_TOMCAT_PROFILE=DEFAULT

بدلاً من ذلك، يمكنك ضبط SSO_TOMCAT_PROFILE على إحدى القيم التالية لتفعيل الوصول عبر HTTPS:

• SSL_PROXY: لضبط apigee-sso، وحدة الدخول المُوحَّد (SSO) في Apigee، في وضع الخادم الوكيل، ما يعني أنّك ثبّت جهاز موازنة الحمل أمام apigee-sso وأنهيت بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل. بعد ذلك، يمكنك تحديد المنفذ المستخدَم في apigee-sso للطلبات الواردة من جهاز موازنة الحمل.
• SSL_TERMINATION: تم تفعيل وصول بروتوكول أمان طبقة النقل (TLS) إلى apigee-sso على المنفذ الذي تختاره. يجب تحديد ملف تخزين مفاتيح لهذا الوضع يحتوي على شهادة موقَّعة من مرجع تصديق. لا يمكنك استخدام شهادة موقَّعة ذاتيًا.

يمكنك اختيار تفعيل HTTPS في وقت تثبيت apigee-sso وضبطه في البداية، أو يمكنك تفعيله لاحقًا.

يؤدي تفعيل وصول HTTPS إلى apigee-sso باستخدام أي من الوضعَين إلى إيقاف وصول HTTP. وهذا يعني أنّه لا يمكنك الوصول إلى apigee-sso باستخدام HTTP وHTTPS في الوقت نفسه.

تفعيل وضع SSL_PROXY

في وضع SSL_PROXY، يستخدم نظامك جهاز موازنة الحمل قبل وحدة الدخول الموحّد في Apigee وينهي بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل. في الشكل التالي، ينهي جهاز موازنة الحمل بروتوكول أمان طبقة النقل (TLS) على المنفذ 443، ثم يعيد توجيه الطلبات إلى وحدة الدخول الموحّد في Apigee على المنفذ 9099:

في هذه الإعدادات، أنت تثق في الاتصال من جهاز موازنة الحمل إلى وحدة الدخول الموحّد في Apigee، لذلك ليست هناك حاجة لاستخدام بروتوكول أمان طبقة النقل (TLS) لهذا الاتصال. ومع ذلك، يجب أن تصل الكيانات الخارجية، مثل موفّر الهوية، الآن إلى وحدة الدخول الموحّد في Apigee على المنفذ 443، وليس على المنفذ غير المحمي 9099.

السبب وراء ضبط وحدة الدخول المُوحَّد (SSO) في Apigee في وضع SSL_PROXY هو أنّ وحدة الدخول المُوحَّد (SSO) في Apigee تنشئ تلقائيًا عناوين URL لإعادة التوجيه يستخدمها موفِّر الهوية خارجيًا كجزء من عملية المصادقة. لذلك، يجب أن تحتوي عناوين URL لإعادة التوجيه هذه على رقم المنفذ الخارجي في جهاز موازنة الحمل، وهو 443 في هذا المثال، وليس المنفذ الداخلي في وحدة الدخول الموحّد (SSO) في Apigee، وهو 9099.

لضبط وحدة الدخول المُوحَّد (SSO) في Apigee لوضع SSL_PROXY:

1. أضِف الإعدادات التالية إلى ملف الإعداد:

   # Enable SSL_PROXY mode.
   SSO_TOMCAT_PROFILE=SSL_PROXY
   
   # Specify the apigee-sso port, typically between 1025 and 65535.
   # Typically ports 1024 and below require root access by apigee-sso.
   # The default is 9099.
   SSO_TOMCAT_PORT=9099
   
   # Specify the port number on the load balancer for terminating TLS.
   # This port number is necessary for apigee-sso to auto-generate redirect URLs.
   SSO_TOMCAT_PROXY_PORT=443
   SSO_PUBLIC_URL_PORT=443
   
   # Set public access scheme of apigee-sso to https.
   SSO_PUBLIC_URL_SCHEME=https

2. اضبط وحدة الدخول المُوحَّد (SSO) في Apigee:

   /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile

3. عدِّل إعدادات موفِّر الهوية لإرسال طلب HTTPS الآن على المنفذ 443 من جهاز موازنة الحمل للوصول إلى ميزة الدخول المُوحَّد (SSO) في Apigee. لمزيد من المعلومات، يُرجى الاطّلاع على أحد المقالات التالية:
   • ضبط موفِّر الهوية (IDP) عبر SAML
   • ضبط موفِّر الهوية (IDP) لبروتوكول LDAP
4. عدِّل إعدادات واجهة مستخدم Edge لبروتوكول HTTPS من خلال ضبط السمات التالية في ملف الإعداد:
   

   SSO_PUBLIC_URL_PORT=443
   SSO_PUBLIC_URL_SCHEME=https

   بعد ذلك، حدِّث واجهة مستخدم Edge:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f configFile

   استخدِم المكوّن edge-ui لواجهة المستخدم الكلاسيكية.

5. إذا ثبّتّ بوابة خدمات مطوّري برامج Apigee (أو ببساطة، البوابة)، عليك تعديلها لاستخدام HTTPS للوصول إلى الدخول المُوحَّد (SSO) في Apigee. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط البوابة لاستخدام موفّري الهوية الخارجيين.

يمكنك الاطّلاع على تفعيل موفِّر هوية خارجي في واجهة مستخدم Edge لمزيد من المعلومات.

تفعيل وضع SSL_TERMINATION

بالنسبة إلى وضع "SSL_TERMINATION"، يجب:

• أنشئ شهادة ومفتاحًا لبروتوكول أمان طبقة النقل (TLS) وخزِّنهما في ملف تخزين مفاتيح. لا يمكنك استخدام شهادة موقَّعة ذاتيًا. يجب إنشاء شهادة من مرجع تصديق.
• تعديل إعدادات الضبط لـ "apigee-sso."

لإنشاء ملف تخزين مفاتيح من الشهادة والمفتاح:

1. أنشئ دليلاً لملف JKS:

   sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/

2. انتقِل إلى الدليل الجديد:

   cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/

3. أنشئ ملف JKS يحتوي على الشهادة والمفتاح. يجب تحديد مخزن مفاتيح لهذا الوضع يحتوي على شهادة موقَّعة من هيئة إصدار الشهادات (CA). لا يمكنك استخدام شهادة موقَّعة ذاتيًا. للحصول على مثال على إنشاء ملف JKS، يُرجى الاطّلاع على ضبط بروتوكول أمان طبقة النقل (TLS)/طبقة المقابس الآمنة (SSL) لـ Edge On Premises.
4. اجعل ملف JKS مملوكًا للمستخدم "apigee":
   

   sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

لضبط وحدة الدخول المُوحَّد (SSO) في Apigee:

1. أضِف الإعدادات التالية إلى ملف الإعداد:

   # Enable SSL_TERMINATION mode.
   SSO_TOMCAT_PROFILE=SSL_TERMINATION
   
   # Specify the path to the keystore file.
   SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks
   
   SSO_TOMCAT_KEYSTORE_ALIAS=sso
   
   # The password specified when you created the keystore.
   SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword
   
   # Specify the HTTPS port number between 1025 and 65535.
   # Typically ports 1024 and below require root access by apigee-sso.
   # The default is 9099.
   SSO_TOMCAT_PORT=9443
   SSO_PUBLIC_URL_PORT=9443
   
   # Set public access scheme of apigee-sso to https.
   SSO_PUBLIC_URL_SCHEME=https

2. اضبط وحدة الدخول المُوحَّد (SSO) في Apigee:

   /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile

3. عدِّل إعدادات موفِّر الهوية (IDP) لإرسال طلب HTTPS الآن على المنفذ 9443 من جهاز موازنة الحمل للوصول إلى الدخول المُوحَّد (SSO) في Apigee. تأكَّد من عدم استخدام أي خدمة أخرى لهذا المنفذ.

   لمزيد من المعلومات، يُرجى الاطّلاع على ما يلي:

   • ضبط موفِّر الهوية (IDP) عبر SAML
   • ضبط موفِّر الهوية (IDP) لبروتوكول LDAP
4. عدِّل إعدادات واجهة مستخدم Edge لبروتوكول HTTPS من خلال ضبط السمات التالية:

   SSO_PUBLIC_URL_PORT=9443
   SSO_PUBLIC_URL_SCHEME=https

5. إذا ثبّتّ بوابة خدمات المطوّرين، عليك تعديلها لاستخدام بروتوكول HTTPS للوصول إلى خدمة الدخول المُوحَّد (SSO) في Apigee. لمزيد من المعلومات، يُرجى الاطّلاع على ضبط البوابة لاستخدام موفّري هوية خارجيين.

ضبط SSO_TOMCAT_PROXY_PORT عند استخدام وضع SSL_TERMINATION

قد يكون لديك جهاز موازنة الحمل أمام وحدة الدخول المُوحَّد (SSO) في Apigee التي تنهي بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل، ولكنها تفعّل أيضًا بروتوكول أمان طبقة النقل (TLS) بين جهاز موازنة الحمل والدخول المُوحَّد (SSO) في Apigee. في الشكل أعلاه للوضع SSL_PROXY، يعني ذلك أنّ الاتصال من جهاز موازنة الحمل إلى خدمة الدخول المُوحَّد في Apigee يستخدم بروتوكول أمان طبقة النقل (TLS).

في هذا السيناريو، يمكنك ضبط بروتوكول أمان طبقة النقل (TLS) على الدخول المُوحَّد (SSO) في Apigee تمامًا كما فعلت أعلاه في وضع SSL_TERMINATION. ومع ذلك، إذا كان جهاز موازنة الحمل يستخدم رقم منفذ TLS مختلفًا عن رقم منفذ TLS الذي تستخدمه خدمة الدخول الموحّد (SSO) في Apigee، يجب أيضًا تحديد السمة SSO_TOMCAT_PROXY_PORT في ملف الإعداد. على سبيل المثال:

• يُنهي جهاز موازنة الحمل بروتوكول أمان طبقة النقل (TLS) على المنفذ 443
• تنهي خدمة الدخول المُوحَّد (SSO) في Apigee بروتوكول أمان طبقة النقل (TLS) على المنفذ 9443

تأكَّد من تضمين الإعداد التالي في ملف الإعداد:

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

اضبط موفِّر الهوية وواجهة مستخدم Edge لإجراء طلبات HTTPS على المنفذ 443.