กําหนดค่า SAML IDP

ข้อกำหนด SAML จะกำหนดเอนทิตี 3 รายการดังนี้

• Principal (ผู้ใช้ Edge UI)
• ผู้ให้บริการ (Apigee SSO)
• ผู้ให้บริการข้อมูลประจำตัว (แสดงการยืนยัน SAML)

เมื่อเปิดใช้ SAML แล้ว Principal (ผู้ใช้ Edge UI) จะขอสิทธิ์เข้าถึงผู้ให้บริการ (Apigee SSO) จากนั้น Apigee SSO (ในบทบาทผู้ให้บริการ SAML) จะขอและรับการยืนยันตัวตนจาก SAML IDP และใช้การยืนยันนั้นเพื่อสร้างโทเค็น OAuth2 ที่จำเป็นสำหรับการเข้าถึง Edge UI จากนั้นระบบจะเปลี่ยนเส้นทางผู้ใช้ไปยัง Edge UI

กระบวนการนี้แสดงอยู่ด้านล่าง

ในแผนภาพนี้

1. ผู้ใช้พยายามเข้าถึง Edge UI โดยส่งคำขอไปยัง URL สำหรับเข้าสู่ระบบของ Edge UI เช่น https://edge_ui_IP_DNS:9000
2. ระบบจะเปลี่ยนเส้นทางคำขอที่ไม่ผ่านการตรวจสอบสิทธิ์ไปยัง SAML IDP เช่น "https://idp.customer.com"
3. หากผู้ใช้ไม่ได้เข้าสู่ระบบผู้ให้บริการข้อมูลประจำตัว ระบบจะแจ้งให้ผู้ใช้เข้าสู่ระบบ
4. ผู้ใช้เข้าสู่ระบบ
5. ผู้ใช้ได้รับการตรวจสอบสิทธิ์โดย SAML IDP ซึ่งจะสร้างการยืนยันสิทธิ์ SAML 2.0 และส่งกลับไปยัง Apigee SSO
6. Apigee SSO จะตรวจสอบการยืนยันสิทธิ์ ดึงข้อมูลประจำตัวของผู้ใช้ออกจากการยืนยันสิทธิ์ สร้างโทเค็นการตรวจสอบสิทธิ์ OAuth 2 สำหรับ Edge UI และเปลี่ยนเส้นทางผู้ใช้ไปยังหน้า Edge UI หลักที่

   https://edge_ui_IP_DNS:9000/platform/orgName

   โดยที่ orgName คือชื่อขององค์กร Edge

Edge รองรับ IdP หลายรายการ ซึ่งรวมถึง Okta และ Microsoft Active Directory Federation Services (ADFS) ดูข้อมูลเกี่ยวกับการกำหนดค่า ADFS เพื่อใช้กับ Edge ได้ที่หัวข้อการกำหนดค่า Edge เป็นฝ่ายที่ไว้วางใจใน ADFS IDP สำหรับ Okta โปรดดูหัวข้อต่อไปนี้

หากต้องการกำหนดค่า SAML IDP ทาง Edge ต้องใช้อีเมลเพื่อระบุผู้ใช้ ดังนั้นผู้ให้บริการข้อมูลประจำตัวต้องแสดงอีเมลเป็นส่วนหนึ่งของการยืนยันตัวตน

นอกจากนี้ คุณอาจต้องใช้สิ่งต่อไปนี้บางส่วนหรือทั้งหมด

protocol://apigee_sso_IP_DNS:port/saml/metadata

http://apigee_sso_IP_or_DNS:9099/saml/metadata

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

apigee-saml-login-opdk

การกำหนดค่า Okta

วิธีกำหนดค่า Okta

1. เข้าสู่ระบบ Okta
2. เลือกแอปพลิเคชัน แล้วเลือกแอปพลิเคชัน SAML
3. เลือกแท็บ Assignments เพื่อเพิ่มผู้ใช้ลงในแอปพลิเคชัน ผู้ใช้เหล่านี้จะเข้าสู่ระบบ Edge UI และทำการเรียก Edge API ได้ อย่างไรก็ตาม คุณต้องเพิ่มผู้ใช้แต่ละรายลงในองค์กร Edge และระบุบทบาทของผู้ใช้ก่อน ดูข้อมูลเพิ่มเติมได้ที่ลงทะเบียนผู้ใช้ Edge ใหม่
4. เลือกแท็บ Sign on เพื่อรับ URL ข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัว จัดเก็บ URL นั้นไว้เนื่องจากคุณต้องใช้เพื่อกำหนดค่า Edge
5. เลือกแท็บทั่วไปเพื่อกำหนดค่าแอปพลิเคชัน Okta ดังที่แสดงในตารางด้านล่าง

   การตั้งค่า	คำอธิบาย
   URL การลงชื่อเพียงครั้งเดียว	ระบุ URL เปลี่ยนเส้นทางกลับไปยัง Edge เพื่อใช้หลังจากที่ผู้ใช้ป้อนข้อมูลเข้าสู่ระบบ Okta URL นี้จะอยู่ในรูปแบบต่อไปนี้ http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk หากคุณวางแผนที่จะเปิดใช้ TLS ใน apigee-sso ให้ทำดังนี้ https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk โดยที่ apigee_sso_IP_DNS คือที่อยู่ IP หรือชื่อ DNS ของโหนดที่โฮสต์ apigee-sso โปรดทราบว่า URL นี้คำนึงถึงตัวพิมพ์เล็กและตัวพิมพ์ใหญ่ และ SSO ต้องเป็นตัวพิมพ์ใหญ่ หากคุณมีตัวจัดสรรภาระงานอยู่หน้า apigee-sso ให้ระบุที่อยู่ IP หรือชื่อ DNS ของ apigee-sso ตามที่อ้างอิงผ่านตัวจัดสรรภาระงาน
   ใช้ URL นี้สำหรับ URL ของผู้รับและ URL ปลายทาง	เลือกช่องทำเครื่องหมายนี้
   URI ของกลุ่มเป้าหมาย (รหัสเอนทิตี SP)	ตั้งค่าเป็น apigee-saml-login-opdk
   RelayState เริ่มต้น	ปล่อยว่างได้
   รูปแบบรหัสชื่อ	ระบุ EmailAddress
   ชื่อผู้ใช้แอปพลิเคชัน	ระบุ Okta username
   คำสั่งแอตทริบิวต์ (ไม่บังคับ)	ระบุ FirstName, LastName และ Email ดังที่แสดงในรูปภาพด้านล่าง

กล่องโต้ตอบการตั้งค่า SAML ควรปรากฏดังนี้เมื่อคุณดำเนินการเสร็จแล้ว