Basisauthentifizierung in Edge deaktivieren

Nachdem Sie SAML oder LDAP in Edge aktiviert haben, können Sie die Standardauthentifizierung deaktivieren. Bevor Sie die Basisauthentifizierung deaktivieren, sollten Sie jedoch Folgendes tun:

• Achten Sie darauf, dass Sie alle Edge-Nutzer, einschließlich Systemadministratoren, zu Ihrem IDP hinzugefügt haben.
• Prüfen Sie, ob Sie die IDP-Authentifizierung in der Edge-Benutzeroberfläche und der Edge Management API gründlich getestet haben.
• Wenn Sie das Apigee Developer Services-Portal (oder einfach das Portal) verwenden, konfigurieren und testen Sie Ihren externen IDP im Portal, um sicherzustellen, dass das Portal eine Verbindung zu Edge herstellen kann. Weitere Informationen finden Sie unter Portal für externe IDPs konfigurieren.

Aktuelles Sicherheitsprofil ansehen

Sie können das Edge-Sicherheitsprofil aufrufen, um die aktuelle Konfiguration zu ermitteln und festzustellen, ob die Standardauthentifizierung und ein externer IDP derzeit aktiviert sind. Verwenden Sie den folgenden Edge Management API-Aufruf auf dem Edge Management Server, um das aktuelle Sicherheitsprofil aufzurufen, das von Edge verwendet wird:

curl -H "accept:application/xml" http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord

Wenn Sie noch keinen externen IdP konfiguriert haben, sieht die Antwort so aus, d. h., die Standardauthentifizierung ist aktiviert:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    </UserAccessControl>
</SecurityProfile>

Wenn Sie bereits einen externen IdP aktiviert haben, sollte das Element <ssoserver> in der Antwort angezeigt werden:

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
        <SSOServer>
            <BasicAuthEnabled>true</BasicAuthEnabled>
            <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
            <ServerUrl>http://35.197.37.220:9099</ServerUrl>
        </SSOServer>
    </UserAccessControl>
</SecurityProfile>

Beachten Sie, dass die Version mit aktiviertem externen IDP auch <BasicAuthEnabled>true</BasicAuthEnabled> anzeigt, was bedeutet, dass die Basisauthentifizierung weiterhin aktiviert ist.

Basisauthentifizierung deaktivieren

Verwenden Sie den folgenden Edge Management API-Aufruf auf dem Edge Management Server, um die Standardauthentifizierung zu deaktivieren.

Wenn Sie die Standardauthentifizierung deaktivieren möchten, übergeben Sie das im vorherigen Abschnitt zurückgegebene XML-Objekt als Nutzlast. Der einzige Unterschied besteht darin, dass Sie <BasicAuthEnabled> auf false setzen, wie im folgenden Beispiel gezeigt:

curl -H "Content-Type: application/xml"
http://localhost:8080/v1/securityprofile  -u sysAdminEmail:pWord -d
 '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
    <SSOServer>
      <BasicAuthEnabled>false</BasicAuthEnabled>
      <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
      <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
 </UserAccessControl>
</SecurityProfile>'

Nachdem Sie die Basisauthentifizierung deaktiviert haben, wird bei jedem Edge-Management-API-Aufruf, der Basisauthentifizierungsdaten übergibt, der folgende Fehler zurückgegeben:

<Error>
    <Code>security.SecurityProfileBasicAuthDisabled</Code>
    <Message>Basic Authentication scheme not allowed</Message>
    <Contexts/>
</Error>

Basisauthentifizierung wieder aktivieren

Wenn Sie die Standardauthentifizierung aus irgendeinem Grund wieder aktivieren müssen, führen Sie die folgenden Schritte aus:

1. Melden Sie sich bei einem beliebigen Edge ZooKeeper-Knoten an.
2. Führen Sie das folgende Bash-Script aus, um alle Sicherheitsfunktionen zu deaktivieren:

   #! /bin/bash
   /opt/apigee/apigee-zookeeper/bin/zkCli.sh -server localhost:2181 <<EOF
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   quit
   EOF

   Die Ausgabe sieht so aus:

   Connecting to localhost:2181
   Welcome to ZooKeeper!
   JLine support is enabled
   WATCHER::
   WatchedEvent state:SyncConnected
   type:None path:null
   [zk: localhost:2181(CONNECTED) 0]
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   cZxid = 0x89
   ...
   [zk: localhost:2181(CONNECTED) 1] quit
   Quitting...

3. Aktivieren Sie die Basisauthentifizierung und die Authentifizierung über den externen IdP wieder:

   curl -H "Content-Type: application/xml" http://localhost:8080/v1/securityprofile
     -u sysAdminEmail:pWord -d '<SecurityProfile enabled="true" name="securityprofile">
     <UserAccessControl enabled="true">
     <SSOServer>
     <BasicAuthEnabled>true</BasicAuthEnabled>
     <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
     <ServerUrl>http://35.197.37.220:9099</ServerUrl>
     </SSOServer>
     </UserAccessControl>
     </SecurityProfile>'

Sie können die Standardauthentifizierung jetzt wieder verwenden. Beachten Sie, dass die Standardauthentifizierung nicht funktioniert, wenn die neue Edge-Umgebung aktiviert ist.