หน้านี้ได้รับการแปลโดย Cloud Translation API

ติดตั้งและกําหนดค่า SSO ของ Apigee

หากต้องการติดตั้งและกําหนดค่าโมดูล SSO ของ Apigee ด้วย IDP ภายนอก คุณต้องทําดังต่อไปนี้

สร้างคีย์และใบรับรอง TLS: โมดูล SSO ของ Apigee ใช้ TLS เพื่อรักษาความปลอดภัยการส่งข้อมูลกับเอนทิตีภายนอก
ตั้งค่าการกําหนดค่า SSO ของ Apigee พื้นฐาน: ไฟล์ฐานต้องมีพร็อพเพอร์ตี้ที่เหมือนกันสําหรับการกําหนดค่า SSO ทั้งหมด
เพิ่มพร็อพเพอร์ตี้การกําหนดค่าสําหรับ IDP โดยเฉพาะ: ใช้การบล็อกของพร็อพเพอร์ตี้การกําหนดค่าเฉพาะ IDP ดังต่อไปนี้ในไฟล์การกําหนดค่า
Install Apigee SSO: ติดตั้งโมดูล Apigee SSO แล้วส่งไฟล์การกําหนดค่าไปยังโปรแกรมติดตั้ง

อ่านคําอธิบายแต่ละขั้นตอนเหล่านี้ได้ในส่วนต่อๆ ไป

สร้างคีย์และใบรับรอง TLS

ส่วนนี้จะอธิบายวิธีสร้างใบรับรองแบบ Self-signed ซึ่งอาจเหมาะสําหรับสภาพแวดล้อมการทดสอบ แต่คุณควรใช้ใบรับรองที่ลงชื่อโดยผู้ออกใบรับรอง (CA) สําหรับสภาพแวดล้อมการใช้งานจริง

หากต้องการสร้างคีย์และคีย์การลงนามและการลงนามและใบรับรองที่ลงชื่อด้วยตนเอง ให้ทําดังนี้

ในฐานะผู้ใช้ sudo ให้สร้างไดเรกทอรีใหม่ต่อไปนี้
```
sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
```
เปลี่ยนไปยังไดเรกทอรีใหม่:
```
cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
```
สร้างคีย์ส่วนตัวด้วยคําสั่งต่อไปนี้
```
sudo openssl genrsa -out privkey.pem 2048
```
สร้างคีย์สาธารณะจากคีย์ส่วนตัวด้วยคําสั่งต่อไปนี้
```
sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
```
เปลี่ยนเจ้าของไฟล์ PEM เอาต์พุตให้ผู้ใช้ "apigee"
```
sudo chown apigee:apigee *.pem
```

หากต้องการสร้างคีย์และใบรับรองที่ลงชื่อด้วยตนเองโดยไม่มีข้อความสําหรับการสื่อสารกับ IDP ให้ทําดังนี้

ในฐานะผู้ใช้ sudo โปรดสร้างไดเรกทอรีใหม่:
```
sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/
```
เปลี่ยนไปยังไดเรกทอรีใหม่:
```
cd /opt/apigee/customer/application/apigee-sso/idp/
```
สร้างคีย์ส่วนตัวด้วยรหัสผ่าน:
```
sudo openssl genrsa -aes256 -out server.key 1024
```
นํารหัสผ่านออกจากคีย์:
```
sudo openssl rsa -in server.key -out server.key
```
สร้างคําขอลงชื่อใบรับรองสําหรับ CA:
```
sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
```
สร้างใบรับรองแบบ Self-signed โดยมีวันหมดอายุ 365 วัน:
```
sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
```
เปลี่ยนเจ้าของคีย์และไฟล์ crt ไปยังเจ้าของ "apigee"
```
sudo chown apigee:apigee server.key
sudo chown apigee:apigee selfsigned.crt
```

หากต้องการเปิดใช้ TLS ในโมดูล SSO ของ Apigee การตั้งค่า SSO_TOMCAT_PROFILE เป็น SSL_TERMINATION หรือ SSL_PROXY จะใช้ใบรับรองแบบ Self-signed ไม่ได้ คุณต้องสร้างใบรับรองจาก CA ดูข้อมูลเพิ่มเติมที่หัวข้อกําหนดค่า Apigee SSO สําหรับการเข้าถึง HTTPS

การกําหนดค่า SSO ของ Apigee

คุณต้องกําหนดไฟล์การกําหนดค่าก่อนติดตั้งโมดูล SSO ของ Apigee คุณส่งไฟล์การกําหนดค่านี้ไปที่โปรแกรมติดตั้งเมื่อติดตั้งโมดูล Apigee SSO

ไฟล์การกําหนดค่ามีรูปแบบต่อไปนี้:

IP1=hostname_or_IP_of_management_server
IP2=hostname_or_IP_of_UI_and_apigge_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
#Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
# Define External IDP #
# Use one of the following configuration blocks to #
# define your IDP settings: #
# - SAML configuration properties #
# - LDAP Direct Binding configuration properties #
# - LDAP Indirect Binding configuration properties #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

คุณสมบัติการกําหนดค่า SAML SSO

หากใช้ SAML สําหรับ IDP ให้ใช้บล็อกพร็อพเพอร์ตี้การกําหนดค่าต่อไปนี้ในไฟล์การกําหนดค่า (ดังที่ระบุไว้ข้างต้น)

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed to user when they attempt to access Edge UI.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.19.06.12.
SSO_SAML_SIGNED_ASSERTIONS=y

คุณสมบัติการกําหนดค่าการเชื่อมโยงโดยตรงของ LDAP

หากใช้การเชื่อมโยงโดยตรงกับ LDAP สําหรับ IDP ให้ใช้บล็อกการกําหนดค่าพร็อพเพอร์ตี้ต่อไปนี้ในไฟล์การกําหนดค่า ดังที่แสดงในตัวอย่างด้านบน

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

คุณสมบัติการกําหนดค่าการเชื่อมโยงทางอ้อมของ LDAP

หากใช้การเชื่อมโยง LDAP ทางอ้อมสําหรับ IDP ให้ใช้บล็อกการกําหนดค่าพร็อพเพอร์ตี้ต่อไปนี้ในไฟล์การกําหนดค่าดังที่แสดงในตัวอย่างด้านบน

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# ชื่อแอตทริบิวต์ที่เซิร์ฟเวอร์ LDAP ใช้อ้างอิงอีเมลของผู้ใช้ เช่น "mail"SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

ติดตั้งโมดูล SSO ของ Apigee

หลังจากสร้างคีย์และตั้งค่าไฟล์การกําหนดค่าแล้ว คุณจะติดตั้งโมดูล SSO ของ Apigee ได้

วิธีติดตั้งโมดูล Apigee SSO

เข้าสู่ระบบโหนด Server Management โหนดดังกล่าวควรมี apigee-service ติดตั้งไว้แล้วตามที่อธิบายไว้ในติดตั้งยูทิลิตีการตั้งค่า API ของ Edge
หรือจะสามารถติดตั้งโมดูล SSO ของ Apigee บนโหนดอื่นก็ได้ แต่โหนดนั้นต้องเข้าถึงเซิร์ฟเวอร์การจัดการผ่านพอร์ต 8080 ได้
ติดตั้งและกําหนดค่า apigee-sso โดยใช้คําสั่งต่อไปนี้
```
/opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile
```
โดยที่ configFile คือไฟล์การกําหนดค่าที่คุณกําหนดด้านบน
ติดตั้งยูทิลิตี apigee-ssoadminapi.sh ที่ใช้สําหรับจัดการผู้ใช้ที่ดูแลระบบและแมชชีนเลิร์นนิงสําหรับโมดูล apigee-sso ดังนี้
```
/opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
```
ออกจาก Shell แล้วลงชื่อเข้าสู่ระบบอีกครั้งเพื่อเพิ่มยูทิลิตี apigee-ssoadminapi.sh ในเส้นทาง

ระบุไฟล์ข้อมูลเมตาแทน URL

หาก IDP ไม่รองรับ URL ข้อมูลเมตา HTTP/HTTPS คุณจะใช้ไฟล์ XML ข้อมูลเมตาเพื่อกําหนดค่า SSO ของ Apigee ได้

วิธีใช้ไฟล์ข้อมูลเมตาแทน URL เพื่อกําหนดค่า SSO ของ Apigee

คัดลอกเนื้อหาของ XML ข้อมูลเมตาจาก IDP ไปยังไฟล์ในโหนด SSO ของ Apigee เช่น คัดลอก XML ไปยัง
```
/opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
หมายเหตุ: ไฟล์ต้องชื่อ metadata.xml
เปลี่ยนการเป็นเจ้าของไฟล์ XML ให้ผู้ใช้ "apigee"
```
chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
ตั้งค่า SSO_SAML_IDP_METADATA_URL เป็นเส้นทางไฟล์ที่สมบูรณ์ดังนี้
```
SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
คุณต้องเติมคํานําหน้าเส้นทางไฟล์ด้วย "file://" ตามด้วยเส้นทางสัมบูรณ์จากรูท (/)