L'UI Edge et l'API de gestion Edge fonctionnent en envoyant des requêtes au serveur de gestion Edge, qui accepte les types d'authentification suivants :
- Authentification de base : connectez-vous à l'interface utilisateur Edge ou envoyez des requêtes à l'API de gestion Edge en transmettant votre nom d'utilisateur et votre mot de passe.
- OAuth2 : échangez vos identifiants d'authentification de base Edge contre un jeton d'accès et un jeton d'actualisation OAuth2. Effectuez des appels à l'API Management Edge en transmettant le jeton d'accès OAuth2 dans l'en-tête Bearer d'un appel d'API.
Edge permet d'utiliser les fournisseurs d'identité (IdP) externes suivants pour l'authentification :
- SAML (Security Assertion Markup Language) 2.0 : générez des accès OAuth à partir des assertions SAML renvoyées par un fournisseur d'identité SAML.
- Lightweight Directory Access Protocol (LDAP) : utilisez les méthodes d'authentification par recherche et liaison ou par liaison simple de LDAP pour générer des jetons d'accès OAuth.
Les IdP SAML et LDAP sont tous deux compatibles avec un environnement d'authentification unique (SSO). En utilisant un IdP externe avec Edge, vous pouvez prendre en charge l'authentification unique pour l'UI et l'API Edge, en plus de tous les autres services que vous fournissez et qui sont également compatibles avec votre IdP externe.
Les instructions de cette section permettant d'activer la compatibilité avec un IdP externe diffèrent de l'authentification externe des manières suivantes :
- Cette section ajoute la compatibilité avec le SSO
- Cette section s'adresse aux utilisateurs de l'interface utilisateur Edge (et non de l'interface utilisateur classique).
- Cette section n'est compatible qu'avec la version 4.19.06 et les versions ultérieures.
À propos d'Apigee SSO
Pour prendre en charge SAML ou LDAP sur Edge, vous devez installer apigee-sso, le module d'authentification unique Apigee.
L'image suivante montre Apigee SSO dans une installation Edge for Private Cloud :
Vous pouvez installer le module Apigee SSO sur le même nœud que l'UI Edge et le serveur de gestion, ou sur son propre nœud. Assurez-vous qu'Apigee SSO a accès au serveur de gestion via le port 8080.
Le port 9099 doit être ouvert sur le nœud Apigee SSO pour permettre l'accès à Apigee SSO depuis un navigateur, depuis le fournisseur d'identité SAML ou LDAP externe, ainsi que depuis le serveur de gestion et l'interface utilisateur Edge. Lors de la configuration d'Apigee SSO, vous pouvez spécifier que la connexion externe utilise le protocole HTTP ou le protocole HTTPS chiffré.
Apigee SSO utilise une base de données Postgres accessible sur le port 5432 du nœud Postgres. En règle générale, vous pouvez utiliser le même serveur Postgres que celui que vous avez installé avec Edge, soit un serveur Postgres autonome, soit deux serveurs Postgres configurés en mode maître/veille. Si la charge sur votre serveur Postgres est élevée, vous pouvez également choisir de créer un nœud Postgres distinct uniquement pour Apigee SSO.
Ajout de la compatibilité avec OAuth2 pour Edge for Private Cloud
Comme indiqué ci-dessus, l'implémentation SAML d'Edge repose sur les jetons d'accès OAuth2.Par conséquent, la compatibilité avec OAuth2 a été ajoutée à Edge for Private Cloud. Pour en savoir plus, consultez Présentation d'OAuth 2.0.
À propos de SAML
L'authentification SAML offre plusieurs avantages. Avec SAML, vous pouvez effectuer les opérations suivantes :
- Prenez le contrôle total de la gestion des utilisateurs. Lorsque des utilisateurs quittent votre organisation et que leur compte est déprovisionné de manière centralisée, l'accès à Edge leur est automatiquement refusé.
- Contrôlez la façon dont les utilisateurs s'authentifient pour accéder à Edge. Vous pouvez choisir différents types d'authentification pour différentes organisations Edge.
- Contrôler les règles d'authentification Votre fournisseur SAML peut accepter des règles d'authentification plus conformes aux normes de votre entreprise.
- Vous pouvez surveiller les connexions, les déconnexions, les tentatives de connexion infructueuses et les activités à haut risque sur votre déploiement Edge.
Lorsque SAML est activé, l'accès à l'UI Edge et à l'API de gestion Edge utilise des jetons d'accès OAuth2. Ces jetons sont générés par le module Apigee SSO, qui accepte les assertions SAML renvoyées par votre IdP.
Une fois généré à partir d'une assertion SAML, le jeton OAuth est valide pendant 30 minutes et le jeton d'actualisation est valide pendant 24 heures. Votre environnement de développement peut prendre en charge l'automatisation des tâches de développement courantes, telles que l'automatisation des tests ou l'intégration/le déploiement continus (CI/CD), qui nécessitent des jetons d'une durée plus longue. Consultez Utiliser SAML avec des tâches automatisées pour en savoir plus sur la création de jetons spéciaux pour les tâches automatisées.
À propos du protocole LDAP
Le protocole LDAP (Lightweight Directory Access Protocol) est un protocole d'application ouvert et standard dans l'industrie, qui régit l'accès aux services d'annuaire distribués et leur maintenance. Les services d'annuaire peuvent fournir n'importe quel ensemble organisé d'enregistrements, souvent avec une structure hiérarchique, comme un annuaire de messagerie d'entreprise.
L'authentification LDAP dans Apigee SSO utilise le module LDAP Spring Security. Par conséquent, les méthodes d'authentification et les options de configuration de la compatibilité LDAP d'Apigee SSO sont directement corrélées à celles de Spring Security LDAP.
LDAP avec Edge pour le cloud privé prend en charge les méthodes d'authentification suivantes sur un serveur compatible LDAP :
- Recherche et liaison (liaison indirecte)
- Liaison simple (liaison directe)
Apigee SSO tente de récupérer l'adresse e-mail de l'utilisateur et de mettre à jour son enregistrement utilisateur interne afin qu'une adresse e-mail actuelle soit enregistrée, car Edge utilise cette adresse e-mail à des fins d'autorisation.
URL de l'UI et de l'API Edge
L'URL que vous utilisez pour accéder à l'interface utilisateur Edge et à l'API de gestion Edge est la même que celle utilisée avant l'activation de SAML ou LDAP. Pour l'interface utilisateur Edge :
http://edge_UI_IP_DNS:9000 https://edge_UI_IP_DNS:9000
Où edge_UI_IP_DNS est l'adresse IP ou le nom DNS de la machine hébergeant l'interface utilisateur Edge. Lors de la configuration de l'interface utilisateur Edge, vous pouvez spécifier que la connexion utilise le protocole HTTP ou le protocole HTTPS chiffré.
Pour l'API de gestion Edge :
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
Où ms_IP_DNS est l'adresse IP ou le nom DNS du serveur de gestion. Lors de la configuration de l'API, vous pouvez spécifier que la connexion utilise le protocole HTTP ou le protocole HTTPS chiffré.
Configurer TLS sur l'authentification unique Apigee
Par défaut, la connexion à l'authentification unique Apigee utilise HTTP sur le port 9099 sur le nœud hébergeant apigee-sso, le module d'authentification unique Apigee. apigee-sso intègre une instance Tomcat qui gère les requêtes HTTP et HTTPS.
Apigee SSO et Tomcat acceptent trois modes de connexion :
- DEFAULT : la configuration par défaut accepte les requêtes HTTP sur le port 9099.
- SSL_TERMINATION: : accès TLS activé à l'authentification unique Apigee sur le port de votre choix. Vous devez spécifier une clé et un certificat TLS pour ce mode.
- SSL_PROXY: : configure l'authentification unique Apigee en mode proxy, ce qui signifie que vous avez installé un équilibreur de charge devant
apigee-ssoet que vous avez arrêté TLS sur l'équilibreur de charge. Vous pouvez spécifier le port utilisé surapigee-ssopour les requêtes provenant de l'équilibreur de charge.
Activer la compatibilité avec les fournisseurs d'identité externes pour le portail
Après avoir activé la compatibilité avec les fournisseurs d'identité externes pour Edge, vous pouvez éventuellement l'activer pour le portail Apigee Developer Services (ou simplement le portail). Le portail est compatible avec l'authentification SAML et LDAP lors de l'envoi de requêtes à Edge. Notez que cela diffère de l'authentification SAML et LDAP pour la connexion des développeurs au portail. Vous configurez l'authentification par IdP externe pour la connexion des développeurs séparément. Pour en savoir plus, consultez Configurer le portail pour utiliser des fournisseurs d'identité.
Lors de la configuration du portail, vous devez spécifier l'URL du module Apigee SSO que vous avez installé avec Edge :
