Konfigurowanie logowania jednokrotnego w Apigee pod kątem dostępu HTTPS

Instalowanie i konfigurowanie SSO w Apigee opisuje, jak zainstalować i skonfigurować moduł SSO w Apigee, aby używać protokołu HTTP na porcie 9099, zgodnie z tą właściwością w pliku konfiguracji Edge:

SSO_TOMCAT_PROFILE=DEFAULT

Możesz też ustawić SSO_TOMCAT_PROFILE na jedną z tych wartości, aby włączyć dostęp przez HTTPS:

  • SSL_PROXY: konfiguruje apigee-sso, moduł SSO w Apigee, w trybie proxy, co oznacza, że przed apigee-sso zainstalowano system równoważenia obciążenia i zakończono TLS na systemie równoważenia obciążenia. Następnie określ port używany w apigee-sso na potrzeby żądań z systemu równoważenia obciążenia.
  • SSL_TERMINATION: włączono dostęp TLS do apigee-sso na wybranym porcie. W tym trybie musisz określić magazyn kluczy zawierający certyfikat podpisany przez urząd certyfikacji. Nie możesz używać certyfikatu z podpisem własnym.

Możesz włączyć HTTPS podczas instalacji i konfiguracji apigee-sso lub później.

Włączenie dostępu HTTPS do apigee-sso w dowolnym trybie wyłącza dostęp HTTP. Oznacza to, że nie możesz uzyskać dostępu do apigee-sso jednocześnie przez HTTP i HTTPS.

Włącz tryb SSL_PROXY

W trybie SSL_PROXY system używa systemu równoważenia obciążenia przed modułem SSO w Apigee i kończy TLS na systemie równoważenia obciążenia. Na poniższym rysunku system równoważenia obciążenia kończy TLS na porcie 443, a następnie przekazuje żądania do modułu SSO w Apigee na porcie 9099:

W tej konfiguracji ufasz połączeniu z systemu równoważenia obciążenia do modułu SSO w Apigee, więc nie musisz używać protokołu TLS w przypadku tego połączenia. Jednak podmioty zewnętrzne, takie jak dostawca tożsamości, muszą teraz uzyskiwać dostęp do modułu SSO w Apigee przez port 443, a nie przez niezabezpieczony port 9099.

Powodem skonfigurowania modułu SSO w Apigee w trybie SSL_PROXY jest to, że moduł SSO w Apigee automatycznie generuje adresy URL przekierowań używane zewnętrznie przez dostawcę tożsamości w ramach procesu uwierzytelniania. Dlatego te adresy URL przekierowania muszą zawierać numer portu zewnętrznego w systemie równoważenia obciążenia (w tym przykładzie 443), a nie portu wewnętrznego w module SSO w Apigee (9099).

Aby skonfigurować moduł SSO w Apigee w trybie SSL_PROXY:

  1. Dodaj do pliku konfiguracji te ustawienia: 
    # Enable SSL_PROXY mode.
SSO_TOMCAT_PROFILE=SSL_PROXY

# Specify the apigee-sso port, typically between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9099

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to auto-generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Skonfiguruj moduł SSO w Apigee: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Zaktualizuj konfigurację dostawcy tożsamości, aby wysyłać żądanie HTTPS na port 443 systemu równoważenia obciążenia w celu uzyskania dostępu do SSO w Apigee. Więcej informacji znajdziesz w tych artykułach:
  4. Zaktualizuj konfigurację interfejsu Edge pod kątem HTTPS, ustawiając te właściwości w pliku konfiguracji:
    SSO_PUBLIC_URL_PORT=443
SSO_PUBLIC_URL_SCHEME=https

    Następnie zaktualizuj interfejs Edge:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f configFile

    Użyj komponentu edge-ui w klasycznym interfejsie użytkownika.

  5. Jeśli masz zainstalowany portal usług deweloperskich Apigee (lub po prostu portal), zaktualizuj go, aby używał protokołu HTTPS do uzyskiwania dostępu do SSO w Apigee. Więcej informacji znajdziesz w artykule o konfigurowaniu portalu do korzystania z zewnętrznych dostawców tożsamości.

Więcej informacji znajdziesz w artykule Włączanie zewnętrznego dostawcy tożsamości w interfejsie Edge.

Włącz tryb SSL_TERMINATION

W trybie SSL_TERMINATION musisz:

  • Wygeneruj certyfikat i klucz TLS, a następnie zapisz je w pliku magazynu kluczy. Nie możesz użyć certyfikatu podpisanego samodzielnie. Musisz wygenerować certyfikat z urzędu certyfikacji.
  • Zaktualizuj ustawienia konfiguracji dla: apigee-sso.

Aby utworzyć plik magazynu kluczy na podstawie certyfikatu i klucza:

  1. Utwórz katalog dla pliku JKS: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  2. Przejdź do nowego katalogu: 
    cd /opt/apigee/customer/application/apigee-sso/tomcat-ssl/
  3. Utwórz plik JKS zawierający certyfikat i klucz. W tym trybie musisz określić magazyn kluczy zawierający certyfikat podpisany przez urząd certyfikacji. Nie możesz używać certyfikatu podpisanego samodzielnie. Przykład tworzenia pliku JKS znajdziesz w artykule Konfigurowanie TLS/SSL dla Edge On-Premises.
  4. Ustaw użytkownika „apigee” jako właściciela pliku JKS:
    sudo chown -R apigee:apigee /opt/apigee/customer/application/apigee-sso/tomcat-ssl

Aby skonfigurować moduł SSO w Apigee:

  1. Dodaj do pliku konfiguracji te ustawienia: 
    # Enable SSL_TERMINATION mode.
SSO_TOMCAT_PROFILE=SSL_TERMINATION

# Specify the path to the keystore file.
SSO_TOMCAT_KEYSTORE_FILEPATH=/opt/apigee/customer/application/apigee-sso/tomcat-ssl/keystore.jks

SSO_TOMCAT_KEYSTORE_ALIAS=sso

# The password specified when you created the keystore.
SSO_TOMCAT_KEYSTORE_PASSWORD=keystorePassword

# Specify the HTTPS port number between 1025 and 65535.
# Typically ports 1024 and below require root access by apigee-sso.
# The default is 9099.
SSO_TOMCAT_PORT=9443
SSO_PUBLIC_URL_PORT=9443

# Set public access scheme of apigee-sso to https.
SSO_PUBLIC_URL_SCHEME=https
  2. Skonfiguruj moduł SSO w Apigee: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-sso setup -f configFile
  3. Zaktualizuj konfigurację dostawcy tożsamości, aby wysyłać żądanie HTTPS na port 9443 systemu równoważenia obciążenia w celu uzyskania dostępu do SSO w Apigee. Upewnij się, że żadna inna usługa nie korzysta z tego portu.

    Więcej informacji:

  4. Zaktualizuj konfigurację interfejsu Edge pod kątem HTTPS, ustawiając te właściwości: 
    SSO_PUBLIC_URL_PORT=9443
SSO_PUBLIC_URL_SCHEME=https
  5. Jeśli masz zainstalowany portal usług dla programistów, zaktualizuj go, aby używał protokołu HTTPS do uzyskiwania dostępu do SSO w Apigee. Więcej informacji znajdziesz w artykule o konfigurowaniu portalu do korzystania z zewnętrznych dostawców tożsamości.

Ustawianie SSO_TOMCAT_PROXY_PORT podczas korzystania z trybu SSL_TERMINATION

Przed modułem SSO w Apigee możesz mieć system równoważenia obciążenia, który kończy TLS na systemie równoważenia obciążenia, ale też włącza TLS między systemem równoważenia obciążenia a SSO w Apigee. Na powyższym rysunku dla trybu SSL_PROXY oznacza to, że połączenie z systemu równoważenia obciążenia do SSO w Apigee korzysta z TLS.

W tym scenariuszu konfigurujesz TLS w SSO w Apigee tak samo jak powyżej w trybie SSL_TERMINATION. Jeśli jednak system równoważenia obciążenia używa innego numeru portu TLS niż SSO w Apigee, musisz też określić właściwość SSO_TOMCAT_PROXY_PORT w pliku konfiguracji. Na przykład:

  • System równoważenia obciążenia kończy TLS na porcie 443.
  • SSO w Apigee kończy TLS na porcie 9443

Pamiętaj, aby w pliku konfiguracyjnym uwzględnić to ustawienie:

# Specify the port number on the load balancer for terminating TLS.
# This port number is necessary for apigee-sso to generate redirect URLs.
SSO_TOMCAT_PROXY_PORT=443
SSO_PUBLIC_URL_PORT=443

Skonfiguruj dostawcę tożsamości i interfejs użytkownika Edge, aby wysyłać żądania HTTPS przez port 443.