Il sito della documentazione di Apigee contiene informazioni complete sulla gestione dei ruoli e delle autorizzazioni utente. Gli utenti possono essere gestiti utilizzando sia la UI di Edge sia l'API di gestione; i ruoli e le autorizzazioni possono essere gestiti solo con l'API di gestione.
Per informazioni sugli utenti e sulla loro creazione, consulta:
Molte delle operazioni che esegui per gestire gli utenti richiedono privilegi di amministratore di sistema. In un'installazione di Edge basata su cloud, Apigee opera nel ruolo di amministratore di sistema. In un'installazione di Edge for Private Cloud, l'amministratore di sistema deve eseguire queste attività come descritto di seguito.
Aggiunta di un utente
Puoi creare un utente utilizzando l'API Edge, la UI di Edge o i comandi Edge. Questa sezione descrive come utilizzare l'API Edge e i comandi Edge. Per informazioni sulla creazione di utenti nell'interfaccia utente di Edge, consulta Creazione di utenti globali.
Dopo aver creato l'utente in un'organizzazione, devi assegnargli un ruolo. I ruoli determinano i diritti di accesso dell'utente su Edge.
Utilizza il seguente comando per creare un utente con l'API Edge:
curl -H "Content-Type:application/xml" \
-u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
-d '<User> \
<FirstName>New</FirstName> \
<LastName>User</LastName> \
<Password>NEW_USER_PASSWORD</Password> \
<EmailId>foo@bar.com</EmailId> \
</User>'In alternativa, utilizza il seguente comando Edge per creare un utente:
/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile
Dove configFile crea l'utente, come mostrato nell'esempio seguente:
APIGEE_ADMINPW=SYS_ADMIN_PASSWORD # If omitted, you will be prompted. USER_NAME=foo@bar.com FIRST_NAME=New LAST_NAME=User USER_PWD="NEW_USER_PASSWORD" ORG_NAME=myorg
Puoi quindi utilizzare questa chiamata per visualizzare le informazioni sull'utente:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com
Assegnazione dell'utente a un ruolo in un'organizzazione
Prima che un nuovo utente possa eseguire qualsiasi operazione, deve essere assegnato a un ruolo in un'organizzazione. Puoi assegnare l'utente a ruoli diversi, tra cui: orgadmin, businessuser, opsadmin, user o a un ruolo personalizzato definito nell'organizzazione.
L'assegnazione di un utente a un ruolo in un'organizzazione aggiunge automaticamente l'utente all'organizzazione. Assegna un utente a più organizzazioni assegnandolo a un ruolo in ciascuna organizzazione.
Utilizza il seguente comando per assegnare l'utente a un ruolo in un'organizzazione:
curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \ http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \ -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD
Questa chiamata mostra tutti i ruoli assegnati all'utente. Se vuoi aggiungere l'utente, ma visualizzare solo il nuovo ruolo, utilizza la seguente chiamata:
curl -X POST -H "Content-Type: application/xml" \ http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \ -d '<Roles><Role name="role"/><Roles>' \ -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD
Puoi visualizzare i ruoli dell'utente utilizzando il seguente comando:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles
Per rimuovere un utente da un'organizzazione, rimuovi tutti i ruoli dell'utente in quell'organizzazione. Utilizza il seguente comando per rimuovere un ruolo da un utente:
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com
Aggiunta di un amministratore di sistema
Un amministratore di sistema può:
- Crea organizzazioni
- Aggiungi router, processori di messaggi e altri componenti a un'installazione di Edge
- Configura TLS/SSL
- Crea altri amministratori di sistema
- Eseguire tutte le attività amministrative di Edge
Sebbene un solo utente sia l'utente predefinito per le attività amministrative, possono esserci più amministratori di sistema. Qualsiasi utente che sia membro del ruolo "sysadmin" dispone di autorizzazioni complete per tutte le risorse.
Puoi creare l'utente per l'amministratore di sistema nell'interfaccia utente o nell'API Edge. Tuttavia, devi utilizzare l'API Edge per assegnare all'utente il ruolo di "sysadmin". L'assegnazione di un utente al ruolo "sysadmin" non può essere eseguita nell'interfaccia utente di Edge.
Per aggiungere un amministratore di sistema:
- Crea un utente nell'interfaccia utente o nell'API Edge.
- Aggiungi l'utente al ruolo "sysadmin":
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
- Assicurati che il nuovo utente abbia il ruolo "sysadmin":
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users
Restituisce l'indirizzo email dell'utente:
[ " foo@bar.com " ]
- Controlla le autorizzazioni del nuovo utente:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions
Restituisce:
{ "resourcePermission" : [ { "path" : "/", "permissions" : [ "get", "put", "delete" ] } ] } - Dopo aver aggiunto il nuovo amministratore di sistema, puoi aggiungere l'utente a qualsiasi organizzazione.
- Se in un secondo momento vuoi rimuovere l'utente dal ruolo di amministratore di sistema, puoi utilizzare la seguente API:
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com
Tieni presente che questa chiamata rimuove l'utente solo dal ruolo, non lo elimina.
Modifica dell'utente amministratore di sistema predefinito
Al momento dell'installazione di Edge, specifichi l'indirizzo email dell'amministratore di sistema. Edge crea un utente con questo indirizzo email e lo imposta come amministratore di sistema predefinito. In un secondo momento, puoi aggiungere altri amministratori di sistema come descritto sopra.
Questa sezione descrive come modificare l'amministratore di sistema predefinito in modo che sia un utente diverso e come modificare l'indirizzo email dell'account utente per l'amministratore di sistema predefinito corrente.
Per visualizzare l'elenco degli utenti attualmente configurati come amministratori di sistema, utilizza la seguente chiamata API:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users
Per determinare l'amministratore di sistema predefinito corrente, visualizza il file /opt/apigee/customer/defaults.sh. Il file contiene la riga seguente che mostra l'indirizzo email dell'amministratore di sistema predefinito corrente:
ADMIN_EMAIL=foo@bar.com
Per modificare l'amministratore di sistema predefinito in modo che sia un altro utente:
- Crea un nuovo amministratore di sistema come descritto sopra o assicurati che l'account utente del nuovo amministratore di sistema sia già configurato come amministratore di sistema.
- Modifica
/opt/apigee/customer/defaults.shper impostareADMIN_EMAILsull'indirizzo email del nuovo amministratore di sistema. - Modifica il file di configurazione silent utilizzato per installare la UI di Edge per impostare le seguenti proprietà:
ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD SMTPHOST=smtp.gmail.com SMTPPORT=465 SMTPUSER=foo@gmail.com SMTPPASSWORD=bar SMTPSSL=y
Tieni presente che devi includere le proprietà SMTP perché tutte le proprietà della UI vengono reimpostate.
- Riconfigura la UI Edge:
/opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile/opt/apigee/apigee-service/bin/apigee-service edge-ui start
Se vuoi solo modificare l'indirizzo email dell'account utente per l'amministratore di sistema predefinito corrente, devi prima aggiornare l'account utente per impostare il nuovo indirizzo email, quindi modificare l'indirizzo email dell'amministratore di sistema predefinito:
- Aggiorna l'account utente dell'attuale utente amministratore di sistema predefinito con un nuovo indirizzo email:
curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \ http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \ -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}' - Ripeti i passaggi 2, 3 e 4 della procedura precedente per aggiornare il file
/opt/apigee/customer/defaults.she l'interfaccia utente di Edge.
Specifica del dominio email di un amministratore di sistema
Come ulteriore livello di sicurezza, puoi specificare il dominio email richiesto di un amministratore di sistema Edge. Quando aggiungi un amministratore di sistema, se l'indirizzo email dell'utente non si trova nel dominio specificato, l'aggiunta dell'utente al ruolo "sysadmin" non va a buon fine.
Per impostazione predefinita, il dominio richiesto è vuoto, il che significa che puoi aggiungere qualsiasi indirizzo email al ruolo "sysadmin".
Per impostare il dominio email:
- Apri il file
management-server.propertiesin un editor:vi /opt/apigee/customer/application/management-server.properties
Se questo file non esiste, crealo.
- Imposta la proprietà
conf_security_rbac.global.roles.allowed.domainssull'elenco separato da virgole dei domini consentiti. Ad esempio:conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
- Salva le modifiche.
- Riavvia l'Edge Management Server:
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
Se ora tenti di aggiungere un utente al ruolo "sysadmin" e l'indirizzo email dell'utente non si trova in uno dei domini specificati, l'aggiunta non va a buon fine.
Eliminazione di un utente
Puoi creare un utente utilizzando l'API Edge o la UI di Edge. Tuttavia, puoi eliminare un utente solo utilizzando l'API.
Per visualizzare l'elenco degli utenti attuali, incluso l'indirizzo email, utilizza il seguente comando curl:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users
Utilizza il seguente comando curl per eliminare un utente:
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL