Cette section décrit les mécanismes permettant d'utiliser LDAP en tant que fournisseur d'identité avec Apigee Edge pour Private Cloud.
Liaison simple (liaison directe)
Avec la liaison simple, l'utilisateur fournit un attribut RDN. L'attribut RDN peut être un nom d'utilisateur, une adresse e-mail, un nom commun ou un autre type d'ID utilisateur, selon l'identifiant principal. Avec cet attribut RDN, Apigee SSO construit de manière statique un nom distinctif (DN). Il n'y a pas de correspondance partielle avec la liaison simple.
Voici les étapes d'une opération de liaison simple :
- L'utilisateur saisit un attribut RDN et un mot de passe. Par exemple, il peut saisir le nom d'utilisateur "alice".
- Apigee SSO construit le DN, par exemple :
dn=uid=alice,ou=users,dc=test,dc=com
- Apigee SSO utilise le DN construit de manière statique et le mot de passe fourni pour tenter une liaison au serveur LDAP.
- Si l'opération réussit, Apigee SSO renvoie un jeton OAuth que le client peut joindre à ses requêtes adressées aux services Edge.
La liaison simple fournit l'installation la plus sécurisée, car aucune information d'identification LDAP ni aucune autre donnée n'est exposée via la configuration à Apigee SSO. L'administrateur peut configurer un ou plusieurs modèles de DN dans Apigee SSO à tester pour une seule entrée de nom d'utilisateur.
Recherche et liaison (liaison indirecte)
Avec la recherche et liaison, l'utilisateur fournit un RDN et un mot de passe. Apigee SSO recherche ensuite le DN de l'utilisateur. La recherche et l'association autorisent les correspondances partielles.
La base de recherche est le domaine de niveau supérieur.
Voici les étapes d'une opération de recherche et de liaison :
- L'utilisateur saisit un RDN, tel qu'un nom d'utilisateur ou une adresse e-mail, ainsi que son mot de passe.
- Apigee SSO effectue une recherche à l'aide d'un filtre LDAP et d'un ensemble d'identifiants de recherche connus.
- S'il n'y a qu'une seule correspondance, Apigee SSO récupère le DN de l'utilisateur. S'il n'y a aucune correspondance ou s'il y en a plusieurs, l'authentification unique Apigee rejette l'utilisateur.
- L'authentification unique Apigee tente ensuite de lier le DN de l'utilisateur et le mot de passe fourni au serveur LDAP.
- Le serveur LDAP effectue l'authentification.
- Si l'opération réussit, Apigee SSO renvoie un jeton OAuth que le client peut joindre à ses requêtes adressées aux services Edge.
Apigee vous recommande d'utiliser un ensemble d'identifiants d'administrateur en lecture seule que vous mettez à la disposition d'Apigee SSO pour effectuer une recherche dans l'arborescence LDAP où réside l'utilisateur.