SAML の仕様では、次の 3 つのエンティティが定義されています。
- プリンシパル（Edge UI ユーザー）
- サービス提供者（Apigee SSO）
- ID プロバイダ（SAML アサーションを返す）
SAML が有効な場合、プリンシパル（Edge UI ユーザー）がサービス提供者（Apigee SSO）へのアクセスをリクエストします。Apigee SSO（SAML サービス提供者としての役割）は、SAML IDP に ID アサーションをリクエストして取得し、そのアサーションを使用して Edge UI へのアクセスに必要な OAuth2 トークンを作成します。その後、ユーザーは Edge UI にリダイレクトされます。
このプロセスを以下に示します。
図の説明:
- ユーザーが Edge UI のログイン URL にリクエストを送信して、Edge UI にアクセスしようとします。例:
https://edge_ui_IP_DNS:9000 - 未認証のリクエストは SAML IDP にリダイレクトされます。（例: 「https://idp.customer.com」）。
- ユーザーが ID プロバイダにログインしていない場合は、ログインを求めるメッセージが表示されます。
- ユーザーがログインします。
- ユーザーは SAML IDP によって認証されます。SAML IDP は SAML 2.0 アサーションを生成し、Apigee SSO に返します。
- Apigee SSO はアサーションを検証し、アサーションからユーザー ID を抽出して、Edge UI の OAuth 2 認証トークンを生成し、ユーザーを次の Edge UI のメインページにリダイレクトします。
https://edge_ui_IP_DNS:9000/platform/orgName
ここで、orgName は Edge 組織の名前です。
Edge は、Okta や Microsoft Active Directory フェデレーション サービス（ADFS）など、多くの IDP をサポートしています。Edge で使用する ADFS の構成については、Edge を ADFS IDP の証明書利用者として構成するをご覧ください。Okta については、次のセクションをご覧ください。
SAML IDP を構成するには、Edge でユーザーを識別するためのメールアドレスが必要です。したがって、ID プロバイダは ID アサーションの一部としてメールアドレスを返す必要があります。
また、次のすべてまたは一部が必要になる場合があります。
| 設定 | 説明 |
|---|---|
| Metadata URL |
SAML IDP では、Apigee SSO のメタデータ URL が必要になる場合があります。メタデータ URL の形式は次のとおりです。 protocol://apigee_sso_IP_DNS:port/saml/metadata 次に例を示します。 http://apigee_sso_IP_or_DNS:9099/saml/metadata |
| Assertion Consumer Service URL |
ユーザーが IDP 認証情報を入力した後に Edge に戻るリダイレクト URL として使用できます。形式は次のとおりです。 protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk 次に例を示します。 http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk |
|
シングル ログアウト URL |
シングル ログアウトをサポートするように Apigee SSO を構成できます。詳細については、Edge UI からのシングル ログアウトを構成するをご覧ください。Apigee SSO のシングル ログアウト URL の形式は次のとおりです。 protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk 次に例を示します。 http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk |
|
SP エンティティ ID（またはオーディエンス URI） |
Apigee SSO の場合: apigee-saml-login-opdk |
Okta の構成
Okta を構成するには:
- Okta にログインします。
- [Applications] を選択し、SAML アプリケーションを選択します。
- [Assignments] タブを選択して、アプリケーションにユーザーを追加します。これらのユーザーは、Edge UI にログインして Edge API 呼び出しを行うことができます。ただし、最初に各ユーザーを Edge 組織に追加し、ユーザーのロールを指定する必要があります。詳細については、新しい Edge ユーザーの登録をご覧ください。
- [Sign on] タブを選択して、ID プロバイダのメタデータ URL を取得します。この URL は Edge の構成に必要になるため、保存しておきます。
- [General] タブを選択して、次の表に示すように Okta アプリケーションを構成します。
設定 説明 シングル サインオン URL ユーザーが Okta 認証情報を入力した後に使用する Edge へのリダイレクト URL を指定します。この URL の形式は次のとおりです。 http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
apigee-ssoで TLS を有効にする場合は、次の操作を行います。https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
ここで、apigee_sso_IP_DNS は
apigee-ssoをホストするノードの IP アドレスまたは DNS 名です。この URL では大文字と小文字が区別され、SSO は大文字で入力する必要があります。
apigee-ssoの前にロードバランサがある場合は、ロードバランサを介して参照されるapigee-ssoの IP アドレスまたは DNS 名を指定します。受信者 URL とリンク先 URL に使用する このチェックボックスをオンにします。 オーディエンス URI（SP エンティティ ID） apigee-saml-login-opdkに設定デフォルトの RelayState 空白のままにできます。 名前 ID の形式 EmailAddressを指定します。アプリケーションのユーザー名 Okta usernameを指定します。属性ステートメント（省略可） 下の画像に示すように、 FirstName、LastName、Emailを指定します。
完了すると、[SAML settings] ダイアログ ボックスが次のように表示されます。
