Phần này mô tả các cơ chế mà bạn có thể sử dụng LDAP làm IDP với Apigee Edge cho đám mây riêng tư.
Liên kết đơn giản (liên kết trực tiếp)
Với liên kết đơn giản, người dùng cung cấp một thuộc tính RDN. Thuộc tính RDN có thể là tên người dùng, địa chỉ email, tên thông thường hoặc loại mã nhận dạng người dùng khác, tuỳ thuộc vào giá trị nhận dạng chính. Với thuộc tính RDN đó, SSO của Apigee sẽ tạo ra một tên riêng biệt (DN) tĩnh. Không có kết quả trùng khớp một phần với liên kết đơn giản.
Sau đây là các bước trong một hoạt động liên kết đơn giản:
- Người dùng nhập thuộc tính RDN và mật khẩu. Ví dụ: họ có thể nhập tên người dùng là "alice".
- Apigee SSO tạo DN; ví dụ:
dn=uid=alice,ou=users,dc=test,dc=com
- Apigee SSO sử dụng DN được tạo tĩnh và mật khẩu được cung cấp để cố gắng liên kết với máy chủ LDAP.
- Nếu thành công, SSO của Apigee sẽ trả về một mã thông báo OAuth mà ứng dụng có thể đính kèm vào yêu cầu của họ đến các dịch vụ Edge.
Liên kết đơn giản mang lại khả năng cài đặt an toàn nhất vì không có thông tin đăng nhập LDAP hoặc dữ liệu nào khác được hiển thị thông qua cấu hình cho SSO của Apigee. Quản trị viên có thể định cấu hình một hoặc nhiều mẫu DN trong SSO của Apigee để thử cho một dữ liệu đầu vào tên người dùng.
Tìm kiếm và liên kết (liên kết gián tiếp)
Với tính năng tìm kiếm và liên kết, người dùng sẽ cung cấp RDN và mật khẩu. Sau đó, SSO của Apigee sẽ tìm DN của người dùng. Tính năng tìm kiếm và liên kết cho phép so khớp một phần.
Cơ sở tìm kiếm là miền cấp cao nhất.
Sau đây là các bước trong một hoạt động tìm kiếm và liên kết:
- Người dùng nhập một RDN, chẳng hạn như tên người dùng hoặc địa chỉ email, cùng với mật khẩu của họ.
- Apigee SSO thực hiện tìm kiếm bằng bộ lọc LDAP và một tập hợp thông tin đăng nhập tìm kiếm đã biết.
- Nếu có đúng một kết quả khớp, thì SSO của Apigee sẽ truy xuất DN của người dùng. Nếu không có hoặc có nhiều hơn một kết quả trùng khớp, thì SSO của Apigee sẽ từ chối người dùng.
- Sau đó, SSO của Apigee sẽ cố gắng liên kết DN của người dùng và mật khẩu được cung cấp với máy chủ LDAP.
- Máy chủ LDAP thực hiện quy trình xác thực.
- Nếu thành công, SSO của Apigee sẽ trả về một mã thông báo OAuth mà ứng dụng có thể đính kèm vào yêu cầu của họ đến các dịch vụ Edge.
Apigee đề xuất bạn sử dụng một bộ thông tin đăng nhập quản trị viên chỉ có quyền đọc mà bạn cung cấp cho Apigee SSO để thực hiện tìm kiếm trên cây LDAP nơi người dùng cư trú.