このセクションでは、Apigee Edge for Private Cloud で LDAP を IDP として使用するメカニズムについて説明します。
シンプルなバインディング（直接バインディング）
シンプル バインディングでは、ユーザーが RDN 属性を指定します。RDN 属性は、プライマリ ID の種類に応じて、ユーザー名、メールアドレス、共通名、またはその他のタイプのユーザー ID になります。この RDN 属性を使用して、Apigee SSO は識別名（DN）を静的に作成します。単純なバインディングでは部分一致はありません。
以下に、シンプルなバインディング オペレーションの手順を示します。
- ユーザーが RDN 属性とパスワードを入力します。たとえば、ユーザー名「alice」を入力します。
- Apigee SSO は DN を作成します。次に例を示します。
dn=uid=alice,ou=users,dc=test,dc=com
- Apigee SSO は、静的に構築された DN と指定されたパスワードを使用して、LDAP サーバーへのバインドを試みます。
- 成功すると、Apigee SSO は OAuth トークンを返します。クライアントは、このトークンを Edge サービスへのリクエストに添付できます。
単純バインドでは、構成を通じて Apigee SSO に LDAP 認証情報やその他のデータが公開されないため、最も安全なインストールが可能です。管理者は、1 つのユーザー名入力に対して試行される 1 つ以上の DN パターンを Apigee SSO で構成できます。
検索とバインド（間接バインド）
検索とバインドでは、ユーザーが RDN とパスワードを指定します。Apigee SSO はユーザーの DN を検索します。検索とバインドでは部分一致が可能です。
検索ベースは最上位ドメインです。
検索とバインドのオペレーションの手順は次のとおりです。
- ユーザーは、RDN（ユーザー名やメールアドレスなど）とパスワードを入力します。
- Apigee SSO は、LDAP フィルタと既知の検索認証情報のセットを使用して検索を実行します。
- 一致するものが 1 つだけある場合、Apigee SSO はユーザーの DN を取得します。一致するものが 0 個または複数ある場合、Apigee SSO はユーザーを拒否します。
- Apigee SSO は、ユーザーの DN と指定されたパスワードを LDAP サーバーにバインドしようとします。
- LDAP サーバーが認証を行います。
- 成功すると、Apigee SSO は OAuth トークンを返します。クライアントは、このトークンを Edge サービスへのリクエストに添付できます。
Apigee では、Apigee SSO で使用できる一連の読み取り専用管理者認証情報を使用して、ユーザーが存在する LDAP ツリーで検索を実行することをおすすめします。