Apigee SSO را نصب و پیکربندی کنید

برای نصب و پیکربندی ماژول Apigee SSO با یک IDP خارجی، باید موارد زیر را انجام دهید:

1. ایجاد کلیدها و گواهینامه های TLS : ماژول Apigee SSO از TLS برای ایمن سازی انتقال اطلاعات با موجودیت های خارجی استفاده می کند.
2. پیکربندی پایه Apigee SSO را تنظیم کنید : فایل پایه باید دارای ویژگی هایی باشد که در همه پیکربندی های SSO مشترک است.
3. افزودن ویژگی‌های پیکربندی خاص IDP: از یکی از بلوک‌های ویژگی‌های پیکربندی خاص IDP زیر در فایل پیکربندی خود استفاده کنید:
   • ویژگی های پیکربندی SAML
   • ویژگی های پیکربندی اتصال مستقیم LDAP
   • ویژگی های پیکربندی اتصال غیر مستقیم LDAP
4. نصب Apigee SSO : ماژول Apigee SSO را نصب کرده و فایل پیکربندی را به نصب کننده ارسال کنید.

هر یک از این مراحل در بخش های بعدی توضیح داده شده است.

کلیدها و گواهینامه های TLS را ایجاد کنید

این بخش نحوه ایجاد گواهی‌های خودامضا را توضیح می‌دهد که ممکن است برای محیط آزمایش شما مناسب باشد، اما باید از گواهی‌هایی که توسط یک مرجع صدور گواهی (CA) امضا شده‌اند برای محیط تولید استفاده کنید.

برای ایجاد کلید تأیید و امضا و گواهی خودامضا:

1. به عنوان یک کاربر sudo، دایرکتوری جدید زیر را ایجاد کنید:

   sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys

2. تغییر به دایرکتوری جدید:

   cd /opt/apigee/customer/application/apigee-sso/jwt-keys/

3. کلید خصوصی را با دستور زیر تولید کنید:

   sudo openssl genrsa -out privkey.pem 2048

4. با دستور زیر کلید عمومی را از کلید خصوصی تولید کنید:

   sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem

5. مالک فایل PEM خروجی را به کاربر "apigee" تغییر دهید:

   sudo chown apigee:apigee *.pem

برای ایجاد گواهی کلید و خودامضا، بدون عبارت عبور، برای ارتباط با IDP:

1. به عنوان یک کاربر sudo، یک دایرکتوری جدید بسازید:

   sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/

2. تغییر به دایرکتوری جدید:

   cd /opt/apigee/customer/application/apigee-sso/idp/

3. کلید خصوصی خود را با یک عبارت عبور ایجاد کنید:

   sudo openssl genrsa -aes256 -out server.key 1024

4. عبارت عبور را از کلید حذف کنید:

   sudo openssl rsa -in server.key -out server.key

5. ایجاد درخواست امضای گواهی برای CA:

   sudo openssl req -x509 -sha256 -new -key server.key -out server.csr

6. تولید گواهی خودامضا با 365 روز زمان انقضا:

   sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt

7. مالک فایل کلید و crt را به مالک "apigee" تغییر دهید:

   sudo chown apigee:apigee server.key
   sudo chown apigee:apigee selfsigned.crt

برای فعال کردن TLS در ماژول Apigee SSO، با تنظیم SSO_TOMCAT_PROFILE بر روی SSL_TERMINATION یا SSL_PROXY ، نمی‌توانید از گواهی امضاشده خود استفاده کنید. شما باید یک گواهی از یک CA ایجاد کنید. برای اطلاعات بیشتر به پیکربندی Apigee SSO برای دسترسی HTTPS مراجعه کنید.

تنظیمات پیکربندی Apigee SSO

قبل از اینکه بتوانید ماژول Apigee SSO را نصب کنید، باید یک فایل پیکربندی تعریف کنید. هنگام نصب ماژول Apigee SSO، این فایل پیکربندی را به نصب کننده ارسال می کنید.

فایل پیکربندی به شکل زیر است:

IP1=hostname_or_IP_of_management_server
IP2=hostname_or_IP_of_UI_and_apigge_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
#Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

ویژگی های پیکربندی SAML SSO

اگر از SAML برای IDP خود استفاده می کنید، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید (تعریف شده در بالا):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed to user when they attempt to access Edge UI.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.19.06.12.
SSO_SAML_SIGNED_ASSERTIONS=y

ویژگی های پیکربندی LDAP Direct Binding

اگر از اتصال مستقیم LDAP برای IDP خود استفاده می کنید، همانطور که در مثال بالا نشان داده شده است، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید:

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

ویژگی های پیکربندی اتصال غیر مستقیم LDAP

اگر از اتصال غیر مستقیم LDAP برای IDP خود استفاده می کنید، همانطور که در مثال بالا نشان داده شده است، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید:

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# نام ویژگی که توسط سرور LDAP برای ارجاع به آدرس ایمیل کاربر استفاده می شود. به عنوان مثال، "mail" SSO_LDAP_MAIL_ATTRIBUTE= LDAP_email_attribute

ماژول Apigee SSO را نصب کنید

پس از ایجاد کلیدها و تنظیم فایل پیکربندی خود، می توانید ماژول Apigee SSO را نصب کنید.

برای نصب ماژول Apigee SSO:

1. وارد گره مدیریت سرور شوید. همانطور که در Install the Edge apigee-setup utility توضیح داده شده است، آن گره باید قبلاً apigee-service نصب کرده باشد.

   همچنین، می‌توانید ماژول Apigee SSO را روی یک گره دیگر نصب کنید. با این حال، آن گره باید بتواند از طریق پورت 8080 به مدیریت سرور دسترسی داشته باشد.

2. apigee-sso با اجرای دستور زیر نصب و پیکربندی کنید:

   /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

   جایی که configFile فایل پیکربندی است که در بالا تعریف کردید.

3. ابزار apigee-ssoadminapi.sh مورد استفاده برای مدیریت مدیران و کاربران ماشین برای ماژول apigee-sso را نصب کنید:

   /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install

4. از پوسته خارج شوید و دوباره وارد شوید تا ابزار apigee-ssoadminapi.sh را به مسیر خود اضافه کنید.

به جای URL یک فایل فراداده را مشخص کنید

اگر IDP شما از URL فراداده HTTP/HTTPS پشتیبانی نمی کند، می توانید از فایل XML فراداده برای پیکربندی Apigee SSO استفاده کنید.

برای استفاده از یک فایل فراداده به جای URL برای پیکربندی Apigee SSO:

1. محتویات فراداده XML را از IDP خود در فایلی در گره Apigee SSO کپی کنید. به عنوان مثال، XML را در زیر کپی کنید:

   /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

2. تغییر مالکیت فایل XML به کاربر "apigee":

   chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

3. مقدار SSO_SAML_IDP_METADATA_URL را روی مسیر فایل مطلق تنظیم کنید:

   SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

   شما باید مسیر فایل را با " file:// " پیشوند و به دنبال آن مسیر مطلق از ریشه (/) قرار دهید.