הגדרה של SAML IdP

במפרט ה-SAML מוגדרות שלוש ישויות:

• ‫Principal (משתמש בממשק המשתמש של Edge)
• ספק השירות (מודול SSO ב-Apigee)
• ספק זהויות (מחזיר טענת נכוֹנוּת ב-SAML)

כשה-SAML מופעל, חשבון המשתמש (משתמש בממשק המשתמש של Edge) מבקש גישה לספק השירות (מודול SSO ב-Apigee). לאחר מכן, מודול ה-SSO ב-Apigee (בתפקיד שלו כספק שירות SAML) מבקש ומקבל טענת נכוֹנוּת (assertion) של זהות מ-IDP של SAML, ומשתמש בטענת הנכוֹנוּת הזו כדי ליצור את אסימון OAuth2 שנדרש כדי לגשת לממשק המשתמש של Edge. לאחר מכן המשתמש מופנה לממשק המשתמש של Edge.

התהליך הזה מוצג כאן:

בתרשים הזה:

1. המשתמש מנסה לגשת לממשק המשתמש של Edge על ידי שליחת בקשה לכתובת ה-URL לכניסה לממשק המשתמש של Edge. לדוגמה: https://edge_ui_IP_DNS:9000
2. בקשות לא מאומתות מופנות מחדש ל-SAML IDP. לדוגמה, "https://idp.customer.com".
3. אם המשתמש לא מחובר לספק הזהויות, הוא יתבקש להתחבר.
4. המשתמש מתחבר לחשבון.
5. המשתמש מאומת על ידי ה-SAML IDP, שיוצר טענת נכונות (assertion) של SAML 2.0 ומחזיר אותה למודול SSO ב-Apigee.
6. מודול ה-SSO ב-Apigee מאמת את ההצהרה, מחלץ ממנה את זהות המשתמש, יוצר את אסימון האימות מסוג OAuth 2 לממשק המשתמש של Edge ומפנה את המשתמש לדף הראשי של ממשק המשתמש של Edge בכתובת:

   https://edge_ui_IP_DNS:9000/platform/orgName

   כאשר orgName הוא השם של ארגון Edge.

‫Edge תומך בספקי זהויות רבים, כולל Okta ו-Microsoft Active Directory Federation Services ‏(ADFS). במאמר הגדרת Edge כגורם מסתמך ב-ADFS IDP מוסבר איך להגדיר את ADFS לשימוש עם Edge. בקטע הבא מוסבר איך עושים את זה ב-Okta.

כדי להגדיר את ה-IDP ב-SAML, צריך כתובת אימייל ב-Edge כדי לזהות את המשתמש. לכן, ספק הזהויות חייב להחזיר כתובת אימייל כחלק מהצהרת הזהות.

בנוסף, יכול להיות שתצטרכו חלק מהדברים הבאים או את כולם:

protocol://apigee_sso_IP_DNS:port/saml/metadata

http://apigee_sso_IP_or_DNS:9099/saml/metadata

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

apigee-saml-login-opdk

הגדרת Okta

כדי להגדיר את Okta:

1. מתחברים ל-Okta.
2. בוחרים באפשרות Applications (אפליקציות) ואז בוחרים את אפליקציית ה-SAML.
3. כדי להוסיף משתמשים לאפליקציה, לוחצים על הכרטיסייה Assignments (הקצאות). המשתמשים האלה יוכלו להתחבר לממשק המשתמש של Edge ולבצע קריאות ל-Edge API. אבל קודם צריך להוסיף כל משתמש לארגון ב-Edge ולציין את התפקיד שלו. מידע נוסף זמין במאמר רישום משתמשי Edge חדשים.
4. בוחרים בכרטיסייה Sign on (כניסה) כדי לקבל את כתובת ה-URL של המטא-נתונים של ספק הזהויות. שומרים את כתובת ה-URL הזו כי תצטרכו אותה כדי להגדיר את Edge.
5. בוחרים את הכרטיסייה General כדי להגדיר את אפליקציית Okta, כמו שמוצג בטבלה הבאה:

   הגדרה	תיאור
   כתובת ה-URL לכניסה יחידה (SSO)	מציינת את כתובת ה-URL להפניה אוטומטית חזרה אל Edge, לשימוש אחרי שהמשתמש מזין את פרטי הכניסה שלו ל-Okta. כתובת ה-URL הזו היא בפורמט הבא: http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk אם אתם מתכננים להפעיל TLS ב-apigee-sso: https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk כאשר apigee_sso_IP_DNS הוא כתובת ה-IP או שם ה-DNS של הצומת שמארח את apigee-sso. חשוב לזכור שכתובת ה-URL הזו תלוית אותיות רישיות (case-sensitive) והמילה SSO חייבת להופיע באותיות רישיות. אם יש לך מאזן עומסים לפני apigee-sso,צריך לציין את כתובת ה-IP או את שם ה-DNS של apigee-sso כפי שהם מופיעים במאזן העומסים.
   משתמשים בכתובת הזו בשדות "כתובת ה-URL של הנמען" ו"כתובת היעד"	מסמנים את התיבה הזו.
   Audience URI (מזהה הישות של ספק השירות)	הגדרה בתור apigee-saml-login-opdk
   ברירת המחדל של RelayState	אפשר להשאיר את השדה ריק.
   פורמט מזהה השם	מציינים את EmailAddress.
   שם המשתמש לצורך האפליקציה	מציינים את Okta username.
   הצהרות מאפיינים (אופציונלי)	מציינים את FirstName, LastName ו-Email, כמו שמוצג בתמונה למטה.

בסיום, תיבת הדו-שיח של הגדרות ה-SAML אמורה להיראות כך: