ส่วนนี้จะอธิบายกลไกที่คุณสามารถใช้ LDAP เป็น IDP กับ Apigee Edge สำหรับ Private Cloud
การเชื่อมโยงแบบง่าย (การเชื่อมโยงโดยตรง)
เมื่อใช้การเชื่อมโยงแบบง่าย ผู้ใช้จะระบุแอตทริบิวต์ RDN แอตทริบิวต์ RDN อาจเป็นชื่อผู้ใช้ อีเมล ชื่อทั่วไป หรือรหัสผู้ใช้ประเภทอื่นๆ โดยขึ้นอยู่กับตัวระบุหลัก ด้วยแอตทริบิวต์ RDN นั้น Apigee SSO จะสร้างชื่อเฉพาะ (DN) แบบคงที่ ไม่มีการจับคู่บางส่วนกับการเชื่อมโยงแบบง่าย
ขั้นตอนต่อไปนี้แสดงขั้นตอนในการดำเนินการเชื่อมโยงแบบง่าย
- ผู้ใช้ป้อนแอตทริบิวต์ RDN และรหัสผ่าน เช่น ผู้ใช้อาจป้อนชื่อผู้ใช้ "alice"
- Apigee SSO จะสร้าง DN เช่น
dn=uid=alice,ou=users,dc=test,dc=com
- Apigee SSO จะใช้ DN ที่สร้างขึ้นแบบคงที่และรหัสผ่านที่ระบุเพื่อพยายามเชื่อมโยงกับเซิร์ฟเวอร์ LDAP
- หากสำเร็จ Apigee SSO จะแสดงผลโทเค็น OAuth ที่ไคลเอ็นต์สามารถแนบไปกับคำขอไปยังบริการ Edge ได้
การเชื่อมโยงแบบง่ายจะให้การติดตั้งที่ปลอดภัยที่สุด เนื่องจากไม่มีการเปิดเผยข้อมูลเข้าสู่ระบบ LDAP หรือข้อมูลอื่นๆ ผ่านการกำหนดค่าไปยัง Apigee SSO ผู้ดูแลระบบสามารถกำหนดค่ารูปแบบ DN อย่างน้อย 1 รูปแบบใน Apigee SSO เพื่อลองใช้สำหรับการป้อนชื่อผู้ใช้รายการเดียว
ค้นหาและเชื่อมโยง (การเชื่อมโยงทางอ้อม)
เมื่อใช้การค้นหาและเชื่อมโยง ผู้ใช้จะระบุ RDN และรหัสผ่าน จากนั้น Apigee SSO จะค้นหา DN ของผู้ใช้ การค้นหาและการเชื่อมโยงจะอนุญาตให้ตรงกันเพียงบางส่วน
ฐานการค้นหาคือโดเมนระดับบนสุด
ขั้นตอนในการดำเนินการค้นหาและเชื่อมโยงมีดังนี้
- ผู้ใช้ป้อน RDN เช่น ชื่อผู้ใช้หรืออีเมล พร้อมด้วยรหัสผ่าน
- Apigee SSO จะทำการค้นหาโดยใช้ตัวกรอง LDAP และชุดข้อมูลเข้าสู่ระบบการค้นหาที่รู้จัก
- หากมีรายการที่ตรงกันเพียงรายการเดียว Apigee SSO จะดึงข้อมูล DN ของผู้ใช้ หากมีรายการที่ตรงกันเป็นศูนย์หรือมากกว่า 1 รายการ Apigee SSO จะปฏิเสธผู้ใช้
- จากนั้น Apigee SSO จะพยายามเชื่อมโยง DN ของผู้ใช้และรหัสผ่านที่ระบุกับเซิร์ฟเวอร์ LDAP
- เซิร์ฟเวอร์ LDAP จะทำการตรวจสอบสิทธิ์
- หากสำเร็จ Apigee SSO จะแสดงผลโทเค็น OAuth ที่ไคลเอ็นต์สามารถแนบไปกับคำขอไปยังบริการ Edge ได้
Apigee ขอแนะนำให้คุณใช้ชุดข้อมูลเข้าสู่ระบบของผู้ดูแลระบบแบบอ่านอย่างเดียวที่พร้อมใช้งานสำหรับ Apigee SSO เพื่อทำการค้นหาในโครงสร้าง LDAP ที่ผู้ใช้อยู่