Configura l'IdP SAML

La specifica SAML definisce tre entità:

  • Principal (utente della UI di Edge)
  • Fornitore di servizi (SSO Apigee)
  • Provider di identità (restituisce l'asserzione SAML)

Quando SAML è abilitato, l'entità (un utente della UI di Edge) richiede l'accesso al fornitore di servizi (SSO Apigee). SSO Apigee (nel suo ruolo di fornitore di servizi SAML) richiede e ottiene un'asserzione di identità dall'IDP SAML e la utilizza per creare il token OAuth2 necessario per accedere alla UI di Edge. L'utente viene quindi reindirizzato alla UI di Edge.

Questa procedura è illustrata di seguito:

In questo diagramma:

  1. L'utente tenta di accedere alla UI Edge inviando una richiesta all'URL di accesso per la UI Edge. Ad esempio: https://edge_ui_IP_DNS:9000
  2. Le richieste non autenticate vengono reindirizzate all'IdP SAML. Ad esempio, "https://idp.customer.com".
  3. Se l'utente non ha eseguito l'accesso al provider di identità, gli viene chiesto di farlo.
  4. L'utente esegue l'accesso.
  5. L'utente viene autenticato dall'IdP SAML, che genera un'asserzione SAML 2.0 e la restituisce all'SSO Apigee.
  6. SSO Apigee convalida l'asserzione, estrae l'identità utente dall'asserzione, genera il token di autenticazione OAuth 2 per la UI Edge e reindirizza l'utente alla pagina principale della UI Edge all'indirizzo: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    Dove orgName è il nome di un'organizzazione Edge.

Edge supporta molti IdP, tra cui Okta e Microsoft Active Directory Federation Services (ADFS). Per informazioni sulla configurazione di ADFS per l'utilizzo con Edge, consulta Configurazione di Edge come relying party nell'IDP ADFS. Per Okta, consulta la sezione seguente.

Per configurare l'IDP SAML, Edge richiede un indirizzo email per identificare l'utente. Pertanto, il provider di identità deve restituire un indirizzo email come parte dell'asserzione di identità.

Inoltre, potresti aver bisogno di alcuni o tutti i seguenti elementi:

Impostazione Descrizione
Metadata URL (URL dei metadati)

L'IdP SAML potrebbe richiedere l'URL dei metadati di SSO Apigee. L'URL dei metadati ha il seguente formato:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Ad esempio:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL (URL Assertion Consumer Service)

Può essere utilizzato come URL di reindirizzamento a Edge dopo che l'utente ha inserito le proprie credenziali IdP, nel formato:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Ad esempio:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL di disconnessione Single Sign-On

Puoi configurare l'SSO Apigee per supportare il Single Logout. Per saperne di più, consulta Configura il Single Sign-Out dalla UI di Edge. L'URL di disconnessione SSO Apigee ha il seguente formato:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Ad esempio:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

ID entità SP (o URI del pubblico)

Per l'SSO Apigee:

apigee-saml-login-opdk

Configurazione di Okta

Per configurare Okta:

  1. Accedi a Okta.
  2. Seleziona Applications (Applicazioni) e poi seleziona la tua applicazione SAML.
  3. Seleziona la scheda Assegnazioni per aggiungere utenti all'applicazione. Questi utenti potranno accedere alla UI di Edge ed effettuare chiamate API Edge. Tuttavia, devi prima aggiungere ogni utente a un'organizzazione Edge e specificare il ruolo dell'utente. Per saperne di più, consulta Registra nuovi utenti Edge.
  4. Seleziona la scheda Sign on (Accesso) per ottenere l'URL dei metadati del provider di identità. Memorizza l'URL perché ti servirà per configurare Edge.
  5. Seleziona la scheda Generale per configurare l'applicazione Okta, come mostrato nella tabella seguente:
    Impostazione Descrizione
    URL Single Sign-On Specifica l'URL di reindirizzamento a Edge da utilizzare dopo che l'utente ha inserito le proprie credenziali Okta. Questo URL ha il seguente formato: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Se prevedi di abilitare TLS su apigee-sso:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Dove apigee_sso_IP_DNS è l'indirizzo IP o il nome DNS del nodo che ospita apigee-sso.

    Tieni presente che questo URL è sensibile alle maiuscole e SSO deve essere scritto in lettere maiuscole.

    Se hai un bilanciatore del carico davanti a apigee-sso,specifica l'indirizzo IP o il nome DNS di apigee-sso a cui fa riferimento il bilanciatore del carico.
    Utilizza questo valore per l'URL del destinatario e l'URL di destinazione Seleziona questa casella di controllo.
    URI del pubblico (ID entità SP) Imposta su apigee-saml-login-opdk
    Default RelayState Puoi lasciare vuoto questo campo.
    Formato ID nome Specifica EmailAddress.
    Application username Specifica Okta username.
    (Facoltativo) Attribute Statements (Istruzioni attributo) Specifica FirstName, LastName e Email come mostrato nell'immagine di seguito.

Al termine, la finestra di dialogo delle impostazioni SAML dovrebbe apparire come segue: