W tej sekcji opisujemy mechanizmy, za pomocą których możesz używać LDAP jako dostawcy tożsamości w Edge dla chmury prywatnej.
Proste powiązanie (powiązanie bezpośrednie)
W przypadku prostego powiązania użytkownik podaje atrybut RDN. Atrybut RDN może być nazwą użytkownika, adresem e-mail, nazwą pospolitą lub innym typem identyfikatora użytkownika, w zależności od tego, jaki jest identyfikator podstawowy. Za pomocą tego atrybutu RDN SSO w Apigee statycznie tworzy nazwę wyróżniającą (DN). W przypadku prostego powiązania nie ma częściowych dopasowań.
Poniżej przedstawiono kroki prostej operacji powiązania:
- Użytkownik wpisuje atrybut RDN i hasło. Może na przykład wpisać nazwę użytkownika „alice”.
- SSO w Apigee tworzy nazwę DN, na przykład:
dn=uid=alice,ou=users,dc=test,dc=com
- SSO w Apigee używa statycznie skonstruowanej nazwy DN i podanego hasła, aby spróbować powiązać się z serwerem LDAP.
- Jeśli się powiedzie, SSO w Apigee zwraca token OAuth, który klient może dołączyć do żądań wysyłanych do usług Edge.
Proste powiązanie zapewnia najbezpieczniejszą instalację, ponieważ żadne dane logowania LDAP ani inne dane nie są ujawniane przez konfigurację w SSO w Apigee. Administrator może skonfigurować w SSO w Apigee co najmniej 1 wzorzec DN, który będzie testowany w przypadku pojedynczej nazwy użytkownika.
Wyszukiwanie i powiązanie (powiązanie pośrednie)
W przypadku wyszukiwania i powiązania użytkownik podaje względną nazwę wyróżniającą i hasło. Następnie SSO w Apigee znajduje nazwę wyróżniającą użytkownika. Wyszukiwanie i wiązanie umożliwia dopasowania częściowe.
Baza wyszukiwania to domena najwyższego poziomu.
Poniżej przedstawiamy etapy operacji wyszukiwania i powiązania:
- Użytkownik podaje względną nazwę wyróżniającą (RDN), np. nazwę użytkownika lub adres e-mail, oraz hasło.
- SSO w Apigee przeprowadza wyszukiwanie przy użyciu filtra LDAP i zestawu znanych danych logowania do wyszukiwania.
- Jeśli jest dokładnie jedno dopasowanie, SSO w Apigee pobiera DN użytkownika. Jeśli nie ma żadnych dopasowań lub jest ich więcej niż jedno, SSO w Apigee odrzuca użytkownika.
- Następnie SSO w Apigee próbuje powiązać nazwę DN użytkownika i podane hasło z serwerem LDAP.
- Serwer LDAP przeprowadza uwierzytelnianie.
- Jeśli się powiedzie, SSO w Apigee zwraca token OAuth, który klient może dołączyć do żądań wysyłanych do usług Edge.
Apigee zaleca używanie zestawu danych logowania administratora z uprawnieniami tylko do odczytu, które udostępniasz SSO w Apigee, aby przeprowadzić wyszukiwanie w drzewie LDAP, w którym znajduje się użytkownik.