Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Installare e configurare Apigee SSO

Per installare e configurare il modulo SSO Apigee con un IDP esterno, devi:

Crea chiavi e certificati.
Configura la configurazione SSO Apigee di base: il file di base deve includere le proprietà comuni a tutte le configurazioni SSO.
Aggiungi proprietà di configurazione specifiche per l'IDP: utilizza uno dei seguenti blocchi di proprietà di configurazione specifici per l'IDP nel file di configurazione:
Installa SSO Apigee: installa il modulo SSO Apigee e passa il file di configurazione al programma di installazione.

Ciascuno di questi passaggi è descritto nelle sezioni seguenti.

Crea chiavi e certificati

Questa sezione descrive come creare certificati autofirmati che potrebbero essere adatti al tuo ambiente di test, ma per un ambiente di produzione devi utilizzare certificati firmati da un'autorità di certificazione (CA).

Per creare la coppia di chiavi da firmare per la verifica:

In qualità di utente sudo, crea la seguente nuova directory:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/jwt-keys/

Genera la chiave privata con il seguente comando:
```
sudo openssl genrsa -out privkey.pem 2048
```
Genera la chiave pubblica dalla chiave privata con il seguente comando:
```
sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
```
Cambia il proprietario del file PEM di output impostandolo sull'utente "apigee":
```
sudo chown apigee:apigee *.pem
```

Per creare la chiave e il certificato autofirmato, senza passphrase, per comunicare con l'IDP:

Come utente sudo, crea una nuova directory:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/idp/

Genera la chiave privata con una passphrase:

sudo openssl genrsa -aes256 -out server.key 1024

Rimuovi la passphrase dalla chiave:

sudo openssl rsa -in server.key -out server.key

Genera una richiesta di firma del certificato per la CA:

sudo openssl req -x509 -sha256 -new -key server.key -out server.csr

Genera un certificato autofirmato con una data di scadenza di 365 giorni:

sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt

Cambia il proprietario del file della chiave e del file CRT in "apigee":

sudo chown apigee:apigee server.key
sudo chown apigee:apigee selfsigned.crt

Per attivare TLS sul modulo SSO Apigee, impostando SSO_TOMCAT_PROFILE su SSL_TERMINATION o su SSL_PROXY, non puoi utilizzare un certificato autofirmato. Devi generare un certificato da una CA. Per saperne di più, consulta Configura l'SSO Apigee per l'accesso HTTPS.

Impostazioni di configurazione di SSO Apigee

Prima di poter installare il modulo SSO Apigee, devi definire un file di configurazione. Questo file di configurazione viene passato al programma di installazione quando installi il modulo SSO Apigee.

Il file di configurazione ha il seguente formato:

IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
# If these credentials change, they must be updated and setup rerun.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

Proprietà di configurazione SSO SAML

Se utilizzi SAML per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione (definito sopra):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

Proprietà di configurazione dell'associazione diretta LDAP

Se utilizzi l'associazione diretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente:

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

Proprietà di configurazione dell'associazione indiretta LDAP

Se utilizzi l'associazione indiretta LDAP per l'IDP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente:

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

Installa il modulo SSO Apigee

Dopo aver creato le chiavi e impostato il file di configurazione, puoi installare il modulo SSO Apigee.

Per installare il modulo SSO Apigee:

Accedi al nodo del server di gestione. In quel nodo dovrebbe essere già installato apigee-service, come descritto in Installa l'utilità apigee-setup di Edge.
In alternativa, puoi installare il modulo SSO Apigee su un nodo diverso. Tuttavia, il nodo deve essere in grado di accedere al server di gestione tramite la porta 8080.
Installa e configura apigee-sso eseguendo questo comando:
```
/opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile
```
Dove configFile è il file di configurazione definito sopra.
Installa l'utilità apigee-ssoadminapi.sh utilizzata per gestire gli utenti amministratori e macchina per il modulo apigee-sso:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
```
Esci dalla shell e accedi di nuovo per aggiungere l'utilità apigee-ssoadminapi.sh al tuo percorso.

Specifica un file di metadati anziché un URL

Se il tuo IdP non supporta un URL di metadati HTTP/HTTPS, puoi utilizzare un file XML di metadati per configurare l'SSO Apigee.

Per utilizzare un file di metadati anziché un URL per configurare l'SSO Apigee:

Copia i contenuti del file XML dei metadati dall'IdP in un file sul nodo SSO Apigee. Ad esempio, copia il codice XML in:
```
/opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
NOTA: il file deve essere denominato metadata.xml.

Cambia la proprietà del file XML impostandola sull'utente "apigee":

chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

Imposta il valore di SSO_SAML_IDP_METADATA_URL sul percorso file assoluto:
```
SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
Devi anteporre al percorso del file "file://", seguito dal percorso assoluto dalla directory principale (/).