SAML-IdP konfigurieren

In der SAML-Spezifikation werden drei Entitäten definiert:

• Hauptkonto (Edge-UI-Nutzer)
• Dienstanbieter (Apigee-SSO)
• Identitätsanbieter (gibt SAML-Assertion zurück)

Wenn SAML aktiviert ist, fordert das Hauptkonto (ein Edge-UI-Nutzer) Zugriff auf den Dienstanbieter (Apigee-SSO) an. Apigee-SSO (in seiner Rolle als SAML-Dienstanbieter) fordert dann eine Identitätsbestätigung vom SAML-IDP an und verwendet diese Bestätigung, um das OAuth2-Token zu erstellen, das für den Zugriff auf die Edge-Benutzeroberfläche erforderlich ist. Der Nutzer wird dann zur Edge-Benutzeroberfläche weitergeleitet.

Dieser Ablauf wird im Folgenden veranschaulicht:

Das Diagramm zeigt Folgendes:

1. Der Nutzer versucht, auf die Edge-Benutzeroberfläche zuzugreifen, indem er eine Anfrage an die Log-in-URL für die Edge-Benutzeroberfläche sendet. Beispiel: https://edge_ui_IP_DNS:9000
2. Nicht authentifizierte Anfragen werden an den SAML-IdP weitergeleitet. Beispiel: „https://idp.customer.com“.
3. Wenn der Nutzer nicht beim Identitätsanbieter angemeldet ist, wird er aufgefordert, sich anzumelden.
4. Der Nutzer meldet sich an.
5. Der Nutzer wird vom SAML-IdP authentifiziert, der eine SAML 2.0-Assertion generiert und an Apigee-SSO zurückgibt.
6. Apigee-SSO validiert die Assertion, extrahiert die Nutzeridentität aus der Assertion, generiert das OAuth 2-Authentifizierungstoken für die Edge-Benutzeroberfläche und leitet den Nutzer zur Hauptseite der Edge-Benutzeroberfläche weiter:

   https://edge_ui_IP_DNS:9000/platform/orgName

   Dabei ist orgName der Name einer Edge-Organisation.

Edge unterstützt viele IDPs, einschließlich Okta und Microsoft Active Directory Federation Services (ADFS). Informationen zum Konfigurieren von ADFS für die Verwendung mit Edge finden Sie unter Edge als vertrauende Partei in ADFS IDP konfigurieren. Informationen zu Okta finden Sie im folgenden Abschnitt.

Zum Konfigurieren Ihres SAML-IDP benötigt Edge eine E-Mail-Adresse, um den Nutzer zu identifizieren. Daher muss der Identitätsanbieter im Rahmen der Identitätsbestätigung eine E-Mail-Adresse zurückgeben.

Außerdem benötigen Sie möglicherweise einige oder alle der folgenden Elemente:

protocol://apigee_sso_IP_DNS:port/saml/metadata

http://apigee_sso_IP_or_DNS:9099/saml/metadata

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

apigee-saml-login-opdk

Okta konfigurieren

So konfigurieren Sie Okta:

1. Melden Sie sich bei Okta an.
2. Wählen Sie Applications (Anwendungen) und dann Ihre SAML-Anwendung aus.
3. Wählen Sie den Tab Zuweisungen aus, um der Anwendung Nutzer hinzuzufügen. Diese Nutzer können sich in der Edge-Benutzeroberfläche anmelden und Edge API-Aufrufe ausführen. Sie müssen jedoch zuerst jeden Nutzer einer Edge-Organisation hinzufügen und die Rolle des Nutzers angeben. Weitere Informationen finden Sie unter Neue Edge-Nutzer registrieren.
4. Wählen Sie den Tab Sign on (Anmelden) aus, um die Metadaten-URL des Identitätsanbieters abzurufen. Speichern Sie diese URL, da Sie sie zum Konfigurieren von Edge benötigen.
5. Wählen Sie den Tab Allgemein aus, um die Okta-Anwendung zu konfigurieren, wie in der folgenden Tabelle gezeigt:

   Einstellung	Beschreibung
   URL zur Einmalanmeldung (SSO)	Gibt die Weiterleitungs-URL zurück zu Edge an, die verwendet wird, nachdem der Nutzer seine Okta-Anmeldedaten eingegeben hat. Diese URL hat das folgende Format: http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk Wenn Sie TLS auf apigee-sso aktivieren möchten: https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk Dabei ist apigee_sso_IP_DNS die IP-Adresse oder der DNS-Name des Knotens, auf dem apigee-sso gehostet wird. Bei dieser URL wird die Groß- und Kleinschreibung berücksichtigt und SSO muss in Großbuchstaben angegeben werden. Wenn Sie einen Load Balancer vor apigee-sso haben, geben Sie die IP-Adresse oder den DNS-Namen von apigee-sso an, wie über den Load Balancer referenziert.
   Use this for Recipient URL and Destination URL (Für Empfänger-URL und Ziel-URL verwenden)	Klicken Sie dieses Kästchen an.
   Audience URI (SP Entity ID)	Auf apigee-saml-login-opdk festgelegt
   Standard-RelayState	Kann leer gelassen werden.
   Name-ID-Format	Geben Sie EmailAddress an.
   Nutzername für die Anwendung	Geben Sie Okta username an.
   Attributanweisungen (optional)	Geben Sie FirstName, LastName und Email an, wie in der Abbildung unten gezeigt.

Das Dialogfeld für die SAML-Einstellungen sollte danach so aussehen: