In diesem Abschnitt werden die Mechanismen beschrieben, mit denen Sie LDAP als IdP mit Apigee Edge for Private Cloud verwenden können.
Einfache Bindung (direkte Bindung)
Bei der einfachen Bindung gibt der Nutzer ein RDN-Attribut an. Das RDN-Attribut kann ein Nutzername, eine E-Mail-Adresse, ein allgemeiner Name oder ein anderer Typ von Nutzer-ID sein, je nachdem, was die primäre Kennung ist. Mit diesem RDN-Attribut erstellt Apigee-SSO statisch einen Distinguished Name (DN). Es gibt keine teilweisen Übereinstimmungen mit einfacher Bindung.
Im Folgenden werden die Schritte eines einfachen Bindungsvorgangs beschrieben:
- Der Nutzer gibt ein RDN-Attribut und ein Passwort ein. Beispielsweise könnte der Nutzername „alice“ eingegeben werden.
- Apigee-SSO erstellt den DN, z. B.:
dn=uid=alice,ou=users,dc=test,dc=com
- Apigee-SSO verwendet den statisch erstellten DN und das angegebene Passwort, um eine Bindung an den LDAP-Server herzustellen.
- Wenn der Vorgang erfolgreich ist, gibt Apigee-SSO ein OAuth-Token zurück, das der Client an seine Anfragen an die Edge-Dienste anhängen kann.
Die einfache Bindung bietet die sicherste Installation, da keine LDAP-Anmeldedaten oder andere Daten über die Konfiguration für Apigee-SSO offengelegt werden. Der Administrator kann ein oder mehrere DN-Muster in Apigee-SSO konfigurieren, die für eine einzelne Nutzernameneingabe ausprobiert werden sollen.
Suchen und binden (indirekte Bindung)
Bei Suchen und binden gibt der Nutzer einen RDN und ein Passwort an. Apigee-SSO sucht dann den DN des Nutzers. Bei der Suche und Bindung sind Teilübereinstimmungen zulässig.
Die Suchbasis ist die oberste Domain.
Im Folgenden werden die Schritte eines Such- und Bindungsvorgangs beschrieben:
- Der Nutzer gibt einen RDN, z. B. einen Nutzernamen oder eine E‑Mail-Adresse, und sein Passwort ein.
- Apigee-SSO führt eine Suche mit einem LDAP-Filter und einem Satz bekannter Suchanmeldedaten durch.
- Wenn es genau eine Übereinstimmung gibt, ruft Apigee-SSO den DN des Nutzers ab. Wenn es keine oder mehr als eine Übereinstimmung gibt, lehnt Apigee-SSO den Nutzer ab.
- Apigee-SSO versucht dann, den DN des Nutzers und das angegebene Passwort an den LDAP-Server zu binden.
- Der LDAP-Server führt die Authentifizierung durch.
- Wenn der Vorgang erfolgreich ist, gibt Apigee-SSO ein OAuth-Token zurück, das der Client an seine Anfragen an die Edge-Dienste anhängen kann.
Apigee empfiehlt, einen Satz von Administratoranmeldedaten mit Lesezugriff zu verwenden, die Sie Apigee-SSO zur Verfügung stellen, um eine Suche im LDAP-Baum durchzuführen, in dem sich der Nutzer befindet.