SAML 規格定義了三個實體:
- 主體 (Edge UI 使用者)
- 服務供應商 (Apigee SSO)
- 識別資訊提供者 (傳回 SAML 宣告)
啟用 SAML 後,主體 (邊緣 UI 使用者) 就會要求存取服務供應商 (Apigee SSO)。Apigee SSO (將其做為 SAML 服務供應商) 會要求並取得 SAML IDP 的身分宣告,並使用該宣告來建立存取 Edge UI 所需的 OAuth2 權杖。接著,系統會將使用者重新導向至 Edge UI。
這項程序如下:
在這張圖表中:
- 使用者嘗試向 Edge UI 的登入網址發出要求,嘗試存取 Edge UI。例如:
https://edge_ui_IP_DNS:9000
- 系統會將未經驗證的要求重新導向至 SAML IDP。例如「https://idp.customer.com」。
- 如果使用者尚未登入識別資訊提供者,系統會提示他們登入。
- 使用者登入。
- 使用者已通過 SAML IDP 驗證,此 IDP 會產生 SAML 2.0 斷言,並將其傳回至 Apigee SSO。
- Apigee SSO 會驗證宣告、從斷言中擷取使用者身分、產生 Edge UI 的 OAuth 2 驗證權杖,並將使用者重新導向至位於以下網址的主要 Edge UI 頁面:
https://edge_ui_IP_DNS:9000/platform/orgName
其中 orgName 是 Edge 機構的名稱。
Edge 支援許多 IDP,包括 Okta 和 Microsoft Active Directory 同盟服務 (ADFS)。如要瞭解如何設定 ADFS 以與 Edge 搭配使用,請參閱「在 ADFS IDP 中將 Edge 設為 Relying Party」。如果是 Okta,請參閱下一節。
Edge 必須提供電子郵件地址才能識別使用者,才能設定 SAML IDP。因此,識別資訊提供者必須在身分斷言中傳回電子郵件地址。
此外,你可能還需要下列部分或所有要求:
設定 | 說明 |
---|---|
中繼資料網址 |
SAML IDP 可能會要求 Apigee SSO 的中繼資料網址。中繼資料網址的格式為: protocol://apigee_sso_IP_DNS:port/saml/metadata 例如: http://apigee_sso_IP_or_DNS:9099/saml/metadata |
Assertion Consumer Service URL (宣告客戶服務網址) |
使用者輸入自己的 IdP 憑證後,可做為重新導向網址,使用,格式如下: protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk 例如: http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk |
單一登出網址 |
您可以將 Apigee SSO 設為支援單次登出。詳情請參閱「透過 Edge UI 設定單一登入功能」一文。Apigee SSO 單一登出網址的格式為: protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk 例如: http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk |
SP 實體 ID (或目標對象 URI) |
Apigee SSO: apigee-saml-login-opdk |
設定 Okta
如何設定 Okta:
- 登入 Okta。
- 選取「Applications」,然後選取 SAML 應用程式。
- 選取「Assignments」分頁標籤,將任何使用者新增至應用程式。這些使用者將可登入 Edge UI 並發出 Edge API 呼叫。不過,您必須先將每位使用者新增至 Edge 機構,並指定該使用者的角色。詳情請參閱「註冊新的 Edge 使用者」。
- 選取「Sign on」分頁標籤,取得識別資訊提供者中繼資料網址。您必須儲存該網址,才能設定 Edge。
- 選取「General」分頁標籤以設定 Okta 應用程式,如下表所示:
設定 說明 網址單一登入 將重新導向網址指定回 Edge,以供使用者輸入 Okta 憑證後使用。網址的格式如下: http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
如果您打算在
apigee-sso
啟用 TLS:https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk
其中 apigee_sso_IP_DNS 是託管
apigee-sso
節點的 IP 位址或 DNS 名稱。請注意,這個網址會區分大小寫,且 SSO 必須以大寫開頭。
如果負載平衡器位於
apigee-sso
,請指定透過負載平衡器所參照的apigee-sso
IP 位址或apigee-sso
的 DNS 名稱。用於收件者網址和到達網頁網址 請勾選這個核取方塊。 目標對象 URI (SP 實體 ID) 設為「 apigee-saml-login-opdk
」預設 RelayState 可留空。 名稱 ID 格式 請指定 EmailAddress
。應用程式使用者名稱 請指定 Okta username
。屬性陳述式 (選用) 指定 FirstName
、LastName
和Email
,如下圖所示。
完成後,SAML 設定對話方塊會如下所示: