Configurer votre IDP SAML

La spécification SAML définit trois entités :

  • Compte principal (utilisateur de l'interface utilisateur Edge)
  • Fournisseur de services (Apigee SSO)
  • Fournisseur d'identité (renvoie l'assertion SAML)

Lorsque SAML est activé, le principal (un utilisateur de l'UI Edge) demande l'accès au fournisseur de services (Apigee SSO). Apigee SSO (en tant que fournisseur de services SAML) demande et obtient ensuite une assertion d'identité auprès du IDP SAML et l'utilise pour créer le jeton OAuth2 requis pour accéder à l'interface utilisateur Edge. L'utilisateur est ensuite redirigé vers l'interface utilisateur d'Edge.

Ce processus est illustré ci-dessous :

Dans ce diagramme :

  1. L'utilisateur tente d'accéder à l'interface utilisateur Edge en envoyant une requête à l'URL de connexion de l'interface utilisateur Edge. Par exemple : https://edge_ui_IP_DNS:9000
  2. Les requêtes non authentifiées sont redirigées vers l'IdP SAML. Par exemple, "https://idp.customer.com".
  3. Si l'utilisateur n'est pas connecté au fournisseur d'identité, il est invité à se connecter.
  4. L'utilisateur se connecte.
  5. L'utilisateur est authentifié par le fournisseur d'identité SAML, qui génère une assertion SAML 2.0 et la renvoie à Apigee SSO.
  6. Apigee SSO valide l'assertion, extrait l'identité de l'utilisateur de l'assertion, génère le jeton d'authentification OAuth 2 pour l'interface utilisateur Edge et redirige l'utilisateur vers la page principale de l'interface utilisateur Edge à l'adresse suivante : 
    https://edge_ui_IP_DNS:9000/platform/orgName

    Où orgName est le nom d'une organisation Edge.

Edge est compatible avec de nombreux fournisseurs d'identité, y compris Okta et Microsoft Active Directory Federation Services (ADFS). Pour en savoir plus sur la configuration d'ADFS pour une utilisation avec Edge, consultez Configurer Edge en tant que partie de confiance dans l'IDP ADFS. Pour Okta, consultez la section suivante.

Pour configurer votre fournisseur d'identité SAML, Edge nécessite une adresse e-mail pour identifier l'utilisateur. Par conséquent, le fournisseur d'identité doit renvoyer une adresse e-mail dans l'assertion d'identité.

En outre, vous pouvez avoir besoin de tout ou partie des éléments suivants :

Paramètre Description
Metadata URL (URL de métadonnées)

Le fournisseur d'identité SAML peut nécessiter l'URL des métadonnées d'Apigee SSO. L'URL des métadonnées se présente sous la forme suivante :

protocol://apigee_sso_IP_DNS:port/saml/metadata

Exemple :

http://apigee_sso_IP_or_DNS:9099/saml/metadata
URL ACS (Assertion Consumer Service)

Peut être utilisé comme URL de redirection vers Edge une fois que l'utilisateur a saisi ses identifiants IDP, au format suivant :

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Exemple :

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL de déconnexion unique

Vous pouvez configurer l'authentification unique Apigee pour qu'elle accepte la déconnexion unique. Pour en savoir plus, consultez Configurer la déconnexion unique à partir de l'interface utilisateur Edge. L'URL de déconnexion unique d'Apigee SSO se présente sous la forme suivante :

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Exemple :

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

L'ID d'entité du fournisseur de services (ou URI d'audience)

Pour Apigee SSO :

apigee-saml-login-opdk

Configurer Okta

Pour configurer Okta :

  1. Connectez-vous à Okta.
  2. Sélectionnez Applications, puis votre application SAML.
  3. Sélectionnez l'onglet Assignments (Attributions) pour ajouter des utilisateurs à l'application. Ces utilisateurs pourront se connecter à l'interface utilisateur Edge et effectuer des appels d'API Edge. Toutefois, vous devez d'abord ajouter chaque utilisateur à une organisation Edge et spécifier son rôle. Pour en savoir plus, consultez Enregistrer de nouveaux utilisateurs Edge.
  4. Sélectionnez l'onglet Sign on (Connexion) pour obtenir l'URL des métadonnées du fournisseur d'identité. Stockez cette URL, car vous en aurez besoin pour configurer Edge.
  5. Sélectionnez l'onglet Général pour configurer l'application Okta, comme indiqué dans le tableau ci-dessous :
    Paramètre Description
    URL d'authentification unique Spécifie l'URL de redirection vers Edge à utiliser une fois que l'utilisateur a saisi ses identifiants Okta. Cette URL se présente sous la forme suivante : 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Si vous prévoyez d'activer TLS sur apigee-sso :

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Où apigee_sso_IP_DNS est l'adresse IP ou le nom DNS du nœud hébergeant apigee-sso.

    Notez que cette URL est sensible à la casse et que SSO doit être écrit en majuscules.

    Si vous disposez d'un équilibreur de charge devant apigee-sso,spécifiez l'adresse IP ou le nom DNS de apigee-sso tel qu'il est référencé via l'équilibreur de charge.
    Utilisez-la pour l'URL du destinataire et l'URL de destination. Cochez cette case.
    URI d'audience (ID d'entité du fournisseur de services) Définir sur apigee-saml-login-opdk
    RelayState par défaut Vous pouvez laisser ce champ vide.
    Format de l'ID du nom Spécifiez EmailAddress.
    Nom d'utilisateur pour l'application Spécifiez Okta username.
    Attribute Statements (Optional) (Instructions d'attribut (facultatif)) Spécifiez FirstName, LastName et Email comme indiqué dans l'image ci-dessous.

La boîte de dialogue des paramètres SAML doit se présenter comme suit une fois que vous avez terminé :