ضبط موفِّر الهوية المستنِد إلى SAML

تحدّد مواصفات SAML ثلاثة كيانات:

  • المستخدم المفوَّض (مستخدم واجهة مستخدم Edge)
  • مقدّم الخدمة (الدخول الموحّد في Apigee)
  • موفِّر الهوية (يعرض تأكيد SAML)

عند تفعيل SAML، يطلب المستخدم الرئيسي (مستخدم واجهة مستخدم Edge) الوصول إلى مقدّم الخدمة (الدخول الموحّد (SSO) في Apigee). بعد ذلك، تطلب خدمة الدخول الموحّد (SSO) في Apigee (بصفتها مقدّم خدمة SAML) تأكيد الهوية من IDP في SAML وتحصل عليه، وتستخدم هذا التأكيد لإنشاء رمز OAuth2 المميّز المطلوب للوصول إلى واجهة مستخدم Edge. بعد ذلك، تتم إعادة توجيه المستخدم إلى واجهة مستخدم Edge.

تظهر هذه العملية أدناه:

في هذا المخطّط البياني:

  1. يحاول المستخدم الوصول إلى واجهة مستخدم Edge من خلال إرسال طلب إلى عنوان URL لصفحة تسجيل الدخول إلى واجهة مستخدم Edge. مثلاً: https://edge_ui_IP_DNS:9000
  2. تتم إعادة توجيه الطلبات غير المصادَق عليها إلى موفِّر الهوية (IdP) المستند إلى SAML. على سبيل المثال، "https://idp.customer.com".
  3. إذا لم يسجّل المستخدم الدخول إلى موفِّر الهوية، سيُطلب منه تسجيل الدخول.
  4. يسجّل المستخدم الدخول.
  5. تتم مصادقة المستخدم من خلال موفِّر الهوية (IdP) عبر SAML، والذي ينشئ تأكيد SAML 2.0 ويعيده إلى خدمة الدخول الموحّد (SSO) في Apigee.
  6. تتحقّق خدمة الدخول الموحّد (SSO) في Apigee من صحة التأكيد، وتستخرج هوية المستخدم من التأكيد، وتنشئ رمز مصادقة OAuth 2 لواجهة مستخدم Edge، وتعيد توجيه المستخدم إلى صفحة واجهة مستخدم Edge الرئيسية على: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    حيث يمثّل orgName اسم مؤسسة Edge.

يتوافق Edge مع العديد من موفّري الهوية، بما في ذلك Okta وMicrosoft Active Directory Federation Services (ADFS). للحصول على معلومات حول ضبط خدمات اتحاد Active Directory لاستخدامها مع Edge، يُرجى الاطّلاع على ضبط Edge كطرف معتمد في موفِّر الهوية لخدمات اتحاد Active Directory. بالنسبة إلى Okta، يُرجى الاطّلاع على القسم التالي.

لضبط موفِّر هوية SAML، يتطلّب Edge عنوان بريد إلكتروني لتحديد هوية المستخدم. لذلك، يجب أن يعرض موفّر الهوية عنوان بريد إلكتروني كجزء من تأكيد الهوية.

بالإضافة إلى ذلك، قد تحتاج إلى بعض أو كل ما يلي:

الإعداد الوصف
عنوان URL للبيانات الوصفية

قد يتطلّب موفِّر الهوية المستنِد إلى SAML عنوان URL للبيانات الوصفية لخدمة الدخول المُوحَّد في Apigee. يكون عنوان URL للبيانات الوصفية على النحو التالي:

protocol://apigee_sso_IP_DNS:port/saml/metadata

على سبيل المثال:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
عنوان URL لخدمة Assertion Consumer Service

يمكن استخدامها كعنوان URL لإعادة التوجيه إلى Edge بعد أن يُدخل المستخدم بيانات اعتماد موفِّر الهوية (IDP)، بالشكل التالي:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

على سبيل المثال:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

عنوان URL لتسجيل الخروج الموحّد

يمكنك ضبط الدخول الموحّد (SSO) في Apigee لإتاحة تسجيل الخروج الموحّد. يُرجى الاطّلاع على ضبط تسجيل الخروج الموحّد من واجهة مستخدم Edge لمزيد من المعلومات. يظهر عنوان URL لتسجيل الخروج المُوحَّد في Apigee SSO بالشكل التالي:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

على سبيل المثال:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

رقم تعريف كيان مقدِّم الخدمة (أو معرّف الموارد المنتظم للجمهور)

بالنسبة إلى الدخول الموحّد (SSO) في Apigee:

apigee-saml-login-opdk

ضبط إعدادات Okta

لضبط إعدادات Okta:

  1. سجِّل الدخول إلى Okta.
  2. انقر على التطبيقات، ثم اختَر تطبيق SAML.
  3. انقر على علامة التبويب المهام لإضافة أي مستخدمين إلى التطبيق. سيتمكّن هؤلاء المستخدمون من تسجيل الدخول إلى واجهة مستخدم Edge وإجراء طلبات بيانات من واجهة برمجة تطبيقات Edge. ومع ذلك، يجب أولاً إضافة كل مستخدم إلى مؤسسة Edge وتحديد دور المستخدم. يُرجى الاطّلاع على تسجيل مستخدمي Edge الجدد لمزيد من المعلومات.
  4. اختَر علامة التبويب تسجيل الدخول للحصول على عنوان URL للبيانات الوصفية الخاصة بموفِّر الهوية. احفظ عنوان URL هذا لأنّك ستحتاجه لضبط إعدادات Edge.
  5. اختَر علامة التبويب عام لضبط تطبيق Okta، كما هو موضّح في الجدول أدناه:
    الإعداد الوصف
    عنوان URL للدخول المُوحَّد تحدِّد عنوان URL لإعادة التوجيه إلى Edge بعد أن يُدخل المستخدم بيانات اعتماد Okta. يكون عنوان URL هذا على الشكل التالي: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    إذا كنت تخطّط لتفعيل بروتوكول أمان طبقة النقل (TLS) على apigee-sso:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    حيث يمثّل apigee_sso_IP_DNS عنوان IP أو اسم نظام أسماء النطاقات (DNS) للعقدة التي تستضيف apigee-sso.

    يُرجى العِلم أنّ عنوان URL هذا حسّاس لحالة الأحرف ويجب أن يظهر SSO بأحرف لاتينية كبيرة.

    إذا كان لديك جهاز موازنة الحمل أمام apigee-sso، حدِّد عنوان IP أو اسم نظام أسماء النطاقات لـ apigee-sso كما هو مُشار إليه من خلال جهاز موازنة الحمل.
    استخدِم هذا الخيار لعنوان URL الخاص بالمستلِم وعنوان URL المقصود ضَع علامة في مربّع الاختيار هذا.
    معرّف الموارد المنتظم (URI) للجمهور (رقم تعريف كيان مقدِّم الخدمة) ضبط الخيار على "apigee-saml-login-opdk"
    Default RelayState يمكنك ترك هذا الحقل فارغًا.
    تنسيق معرّف الاسم حدِّد قيمة EmailAddress.
    اسم مستخدم التطبيق حدِّد قيمة Okta username.
    بيانات السمات (اختيارية) حدِّد FirstName وLastName وEmail كما هو موضّح في الصورة أدناه.

من المفترض أن يظهر مربّع حوار إعدادات SAML على النحو التالي بعد الانتهاء: