В этом разделе описываются механизмы, с помощью которых вы можете использовать LDAP в качестве IDP с Apigee Edge для частного облака.
Простая привязка (прямая привязка)
При простой привязке пользователь предоставляет атрибут RDN. Атрибут RDN может быть именем пользователя, адресом электронной почты, общим именем или другим типом идентификатора пользователя в зависимости от того, что является основным идентификатором. С помощью этого атрибута RDN система единого входа Apigee статически создает уникальное имя (DN). При простом связывании частичные совпадения не поддерживаются.
Ниже показаны шаги простой операции привязки.
- Пользователь вводит атрибут RDN и пароль. Например, они могут ввести имя пользователя "alice".
- Система единого входа Apigee создает DN, например:
dn=uid=alice,ou=users,dc=test,dc=com
- Система единого входа Apigee использует статически созданное DN и предоставленный пароль для попытки привязки к серверу LDAP.
- В случае успеха Apigee SSO возвращает токен OAuth, который клиент может прикрепить к своим запросам к сервисам Edge.
Простая привязка обеспечивает наиболее безопасную установку, поскольку никакие учетные данные LDAP или другие данные не передаются через конфигурацию в систему единого входа Apigee. Администратор может настроить один или несколько шаблонов DN в системе единого входа Apigee, которые будут использоваться для одного введенного имени пользователя.
Поиск и привязка (косвенная привязка)
При использовании метода Поиск и привязка пользователь указывает относительное уникальное имя и пароль. Затем Apigee SSO находит DN пользователя. При поиске и привязке допускаются частичные совпадения.
База поиска – это домен верхнего уровня.
Ниже описаны шаги, выполняемые при поиске и привязке.
- Пользователь вводит относительное отличительное имя (RDN), например имя пользователя или адрес электронной почты, а также пароль.
- Система единого входа Apigee выполняет поиск с помощью фильтра LDAP и набора известных учетных данных для поиска.
- Если найдено только одно совпадение, система единого входа Apigee извлекает DN пользователя. Если совпадений нет или их больше одного, система единого входа Apigee отклоняет пользователя.
- Затем система единого входа Apigee пытается связать DN пользователя и предоставленный пароль с сервером LDAP.
- Аутентификация выполняется на сервере LDAP.
- В случае успеха Apigee SSO возвращает токен OAuth, который клиент может прикрепить к своим запросам к сервисам Edge.
Apigee рекомендует использовать набор учетных данных администратора только для чтения, которые вы предоставляете системе единого входа Apigee для выполнения поиска в дереве LDAP, где находится пользователь.