設定 SAML IDP

SAML 規格定義了三個實體：

  • 主體 (Edge UI 使用者)
  • 服務供應商 (Apigee SSO)
  • 識別資訊提供者 (傳回 SAML 斷言)

啟用 SAML 後，主體 (Edge UI 使用者) 會要求存取服務供應商 (Apigee SSO)。Apigee SSO (以 SAML 服務供應商的身分) 接著會向 SAML IDP 要求並取得身分宣告，並使用該宣告建立存取 Edge UI 所需的 OAuth2 權杖。接著，系統會將使用者重新導向至 Edge UI。

這項程序如下所示：

在圖表中：

  1. 使用者嘗試存取 Edge UI，方法是向 Edge UI 的登入網址提出要求。例如：https://edge_ui_IP_DNS:9000
  2. 未經驗證的要求會重新導向至 SAML IDP。例如「https://idp.customer.com」。
  3. 如果使用者未登入識別資訊提供者，系統會提示他們登入。
  4. 使用者登入。
  5. 使用者會由 SAML IDP 驗證，後者會產生 SAML 2.0 宣告，並傳回 Apigee SSO。
  6. Apigee SSO 會驗證斷言、從斷言中擷取使用者身分、為 Edge UI 產生 OAuth 2 驗證權杖，並將使用者重新導向至 Edge UI 主頁面，網址如下：
    https://edge_ui_IP_DNS:9000/platform/orgName

    其中 orgName 是 Edge 組織的名稱。

Edge 支援多種 IDP，包括 Okta 和 Microsoft Active Directory Federation Services (ADFS)。如要瞭解如何設定 ADFS 以搭配 Edge 使用，請參閱「在 ADFS IDP 中將 Edge 設為信賴憑證者」。如需 Okta 的相關資訊，請參閱下一節。

如要設定 SAML IDP，Edge 需要電子郵件地址來識別使用者。因此，識別資訊提供者必須在身分聲明中傳回電子郵件地址。

此外，您可能還需要下列部分或所有項目：

設定 說明
Metadata URL

SAML IDP 可能需要 Apigee SSO 的中繼資料網址。中繼資料網址的格式如下：

protocol://apigee_sso_IP_DNS:port/saml/metadata

例如：

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL

使用者輸入 IdP 憑證後，可做為重新導向回 Edge 的網址，格式如下：

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

例如：

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

單一登出網址

您可以設定 Apigee SSO，支援單一登出功能。詳情請參閱「透過 Edge UI 設定單一登出」。Apigee SSO 單一登出網址的格式如下：

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

例如：

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

SP 實體 ID (或目標對象 URI)

Apigee SSO：

apigee-saml-login-opdk

設定 Okta

如何設定 Okta：

  1. 登入 Okta。
  2. 依序選取「Applications」和 SAML 應用程式。
  3. 選取「Assignments」分頁標籤，將使用者新增至應用程式。這些使用者將能登入 Edge UI 並發出 Edge API 呼叫。不過，您必須先將每位使用者新增至 Edge 組織，並指定使用者的角色。詳情請參閱「註冊新的 Edge 使用者」。
  4. 選取「Sign on」分頁標籤，取得識別資訊提供者中繼資料網址。請儲存該網址，因為設定 Edge 時會用到。
  5. 選取「General」(一般) 分頁標籤，按照下表所示設定 Okta 應用程式：
    設定 說明
    單一登入網址 指定使用者輸入 Okta 憑證後，重新導向回 Edge 的網址。這個網址的格式如下： 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    如果您打算在 apigee-sso 上啟用 TLS：

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    其中 apigee_sso_IP_DNS 是託管 apigee-sso 的節點 IP 位址或 DNS 名稱。

    請注意，這個網址會區分大小寫，且 SSO 必須大寫。

    如果 apigee-sso 前方有負載平衡器，請指定透過負載平衡器參照的 apigee-sso IP 位址或 DNS 名稱。
    Use this for Recipient URL and Destination URL 勾選這個核取方塊。
    Audience URI (SP Entity ID) 已設為「apigee-saml-login-opdk」
    預設 RelayState 可以留空。
    名稱 ID 格式 指定 EmailAddress。
    應用程式使用者名稱 指定 Okta username。
    屬性陳述式 (選用) 指定 FirstName、LastName 和 Email，如下圖所示。

完成後，SAML 設定對話方塊應如下所示：