Questa sezione descrive i meccanismi con cui puoi utilizzare LDAP come IdP con Apigee Edge for Private Cloud.
Associazione semplice (associazione diretta)
Con l'associazione semplice, l'utente fornisce un attributo RDN. L'attributo RDN può essere un nome utente, un indirizzo email, un nome comune o un altro tipo di ID utente, a seconda dell'identificatore principale. Con questo attributo RDN, SSO Apigee costruisce staticamente un nome distinto (DN). Non esistono corrispondenze parziali con l'associazione semplice.
Di seguito sono riportati i passaggi di una semplice operazione di binding:
- L'utente inserisce un attributo RDN e una password. Ad esempio, potrebbe inserire il nome utente "alice".
- SSO Apigee crea il DN, ad esempio:
dn=uid=alice,ou=users,dc=test,dc=com
- SSO Apigee utilizza il DN costruito staticamente e la password fornita per tentare un'associazione al server LDAP.
- In caso di esito positivo, l'SSO Apigee restituisce un token OAuth che il client può allegare alle proprie richieste ai servizi Edge.
L'associazione semplice fornisce l'installazione più sicura perché nessuna credenziale LDAP o altri dati vengono esposti tramite la configurazione a SSO Apigee. L'amministratore può configurare uno o più pattern DN in SSO Apigee da provare per un singolo input di nome utente.
Ricerca e associazione (associazione indiretta)
Con ricerca e associazione, l'utente fornisce un RDN e una password. SSO Apigee trova quindi il DN dell'utente. La ricerca e l'associazione consentono corrispondenze parziali.
La base di ricerca è il dominio di livello più alto.
Di seguito sono riportati i passaggi di un'operazione di ricerca e binding:
- L'utente inserisce un RDN, ad esempio un nome utente o un indirizzo email, oltre alla password.
- SSO Apigee esegue una ricerca utilizzando un filtro LDAP e un insieme di credenziali di ricerca note.
- Se esiste esattamente una corrispondenza, SSO Apigee recupera il DN dell'utente. Se non ci sono corrispondenze o ce ne sono più di una, l'SSO Apigee rifiuta l'utente.
- SSO Apigee tenta quindi di associare il DN dell'utente e la password fornita al server LDAP.
- Il server LDAP esegue l'autenticazione.
- In caso di esito positivo, l'SSO Apigee restituisce un token OAuth che il client può allegare alle proprie richieste ai servizi Edge.
Apigee consiglia di utilizzare un insieme di credenziali di amministratore di sola lettura che metti a disposizione di SSO Apigee per eseguire una ricerca nell'albero LDAP in cui si trova l'utente.