Konfigurowanie dostawcy tożsamości SAML

Specyfikacja SAML definiuje 3 podmioty:

  • Podmiot zabezpieczeń (użytkownik interfejsu Edge)
  • Dostawca usług (SSO w Apigee)
  • Dostawca tożsamości (zwraca asercję SAML)

Gdy protokół SAML jest włączony, podmiot zabezpieczeń (użytkownik interfejsu Edge) prosi o dostęp do dostawcy usług (SSO w Apigee). Następnie SSO w Apigee (w roli dostawcy usługi SAML) żąda i uzyskuje potwierdzenie tożsamości od IDP SAML i używa tego potwierdzenia do utworzenia tokena OAuth2 wymaganego do uzyskania dostępu do interfejsu Edge. Użytkownik zostanie przekierowany do interfejsu Edge.

Ten proces pokazano poniżej:

Na tym diagramie:

  1. Użytkownik próbuje uzyskać dostęp do interfejsu Edge, wysyłając żądanie do adresu URL logowania do interfejsu Edge. Na przykład: https://edge_ui_IP_DNS:9000
  2. Nieuwierzytelnione żądania są przekierowywane do dostawcy tożsamości SAML. Na przykład „https://idp.customer.com”.
  3. Jeśli użytkownik nie jest zalogowany u dostawcy tożsamości, zostanie poproszony o zalogowanie się.
  4. Użytkownik się loguje.
  5. Użytkownik jest uwierzytelniany przez dostawcę tożsamości SAML, który generuje asercję SAML 2.0 i zwraca ją do SSO w Apigee.
  6. SSO w Apigee sprawdza poprawność asercji, wyodrębnia z niej tożsamość użytkownika, generuje token uwierzytelniania OAuth 2 dla interfejsu Edge i przekierowuje użytkownika na główną stronę interfejsu Edge pod adresem: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    orgName to nazwa organizacji Edge.

Edge obsługuje wielu dostawców tożsamości, w tym Okta i Microsoft Active Directory Federation Services (ADFS). Informacje o konfigurowaniu usługi ADFS do użycia z Edge znajdziesz w artykule Konfigurowanie Edge jako strony zależnej w usłudze ADFS IDP. W przypadku Okta zapoznaj się z sekcją poniżej.

Aby skonfigurować dostawcę tożsamości SAML, Edge wymaga adresu e-mail do identyfikacji użytkownika. Dlatego dostawca tożsamości musi zwrócić adres e-mail w ramach potwierdzenia tożsamości.

Dodatkowo możesz potrzebować niektórych lub wszystkich tych elementów:

Ustawienie Opis
Metadata URL (URL metadanych),

Dostawca tożsamości SAML może wymagać adresu URL metadanych SSO w Apigee. Adres URL metadanych ma format:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Na przykład:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL (URL usługi konsumenta potwierdzenia)

Może być używany jako URL przekierowania z powrotem do Edge po wpisaniu przez użytkownika danych logowania dostawcy tożsamości w formacie:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Na przykład:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL pojedynczego wylogowania

Możesz skonfigurować SSO w Apigee, aby obsługiwać pojedyncze wylogowanie. Więcej informacji znajdziesz w artykule Konfigurowanie pojedynczego wylogowania w interfejsie Edge. Adres URL pojedynczego wylogowania SSO w Apigee ma postać:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Na przykład:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

Identyfikator jednostki dostawcy usług (lub identyfikator URI odbiorców)

W przypadku SSO w Apigee:

apigee-saml-login-opdk

Konfigurowanie Okta

Aby skonfigurować Okta:

  1. Zaloguj się w Okta.
  2. Wybierz Applications (Aplikacje), a następnie aplikację SAML.
  3. Wybierz kartę Assignments (Przypisania), aby dodać użytkowników do aplikacji. Ten użytkownik będzie mógł logować się w interfejsie Edge i wywoływać interfejs API Edge. Najpierw musisz jednak dodać każdego użytkownika do organizacji Edge i określić jego rolę. Więcej informacji znajdziesz w artykule Rejestrowanie nowych użytkowników Edge.
  4. Wybierz kartę Sign on (Logowanie), aby uzyskać adres URL metadanych dostawcy tożsamości. Zapisz ten adres URL, ponieważ będzie on potrzebny do skonfigurowania Edge.
  5. Wybierz kartę General (Ogólne), aby skonfigurować aplikację Okta zgodnie z tabelą poniżej:
    Ustawienie Opis
    Single sign on URL (URL logowania jednokrotnego) Określa adres URL przekierowania z powrotem do Edge, który ma być używany po wpisaniu przez użytkownika danych logowania Okta. Ten adres URL ma postać: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Jeśli planujesz włączyć TLS na apigee-sso:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Gdzie apigee_sso_IP_DNS to adres IP lub nazwa DNS węzła, na którym hostowana jest usługa apigee-sso.

    Pamiętaj, że w tym adresie URL wielkość liter ma znaczenie, a skrót SSO musi być zapisany wielkimi literami.

    Jeśli przed apigee-sso masz system równoważenia obciążenia, podaj adres IP lub nazwę DNS apigee-sso, do których odwołuje się system równoważenia obciążenia.
    Użyj tego adresu URL odbiorcy i docelowego adresu URL Zaznacz to pole wyboru.
    Identyfikator URI odbiorców (identyfikator jednostki dostawcy usług) Ustawiono na apigee-saml-login-opdk
    Default RelayState (Domyślny stan przekaźnika) Możesz pozostawić to pole puste.
    Format identyfikatora nazwy Podaj wartość EmailAddress.
    Nazwa użytkownika aplikacji Podaj wartość Okta username.
    Instrukcje atrybutów (opcjonalnie) Określ FirstName, LastName i Email, jak pokazano na obrazie poniżej.

Po zakończeniu okno ustawień SAML powinno wyglądać tak: