Nesta seção, apresentamos uma visão geral de como os serviços de diretório externo se integram a uma instalação atual do Apigee Edge para nuvem privada. Esse recurso foi projetado para funcionar com qualquer serviço do diretório compatível com LDAP, como o Active Directory, o OpenLDAP, entre outros.
Uma solução LDAP externa permite que os administradores do sistema gerenciem as credenciais do usuário em um serviço de gerenciamento de diretório centralizado, externo a sistemas como o Apigee Edge que as usam. O recurso descrito neste documento é compatível com a autenticação de vinculação direta e indireta.
Para instruções detalhadas sobre como configurar um serviço do diretório externo, consulte Como configurar a autenticação externa.
Público-alvo
Neste documento, presumimos que você seja um administrador do sistema global da Apigee Edge para nuvem privada e que tenha uma conta no serviço de diretório externo.
Visão geral
Por padrão, o Apigee Edge usa uma instância interna do OpenLDAP para armazenar credenciais usadas para a autenticação do usuário. No entanto, é possível configurar o Edge para usar um serviço LDAP de autenticação externa em vez do interno. O procedimento para essa configuração externa é explicado neste documento.
O Edge também armazena credenciais de autorização de acesso com base em papéis em uma instância LDAP interna separada. Mesmo que você configure um serviço de autenticação externo, as credenciais de autorização são sempre armazenadas nessa instância LDAP interna. O procedimento para adicionar usuários que existem no sistema LDAP externo ao LDAP de autorização do Edge é explicado neste documento.
A autenticação se refere à validação da identidade de um usuário, enquanto a autorização se refere à verificação do nível de permissão que um usuário autenticado recebe para usar os recursos do Apigee Edge.
O que você precisa saber sobre autenticação e autorização do Edge
É útil entender a diferença entre autenticação e autorização e como o Apigee Edge gerencia essas duas atividades.
Sobre autenticação
Os usuários que acessam a Apigee Edge pela interface ou pelas APIs precisam ser autenticados. Por padrão, as credenciais de usuário do Edge para autenticação são armazenadas em uma instância interna do OpenLDAP. Normalmente, os usuários precisam se registrar ou receber uma solicitação para se registrar em uma conta da Apigee. Nesse momento, eles fornecem o nome de usuário, o endereço de e-mail, as credenciais de senha e outros metadados. Essas informações são armazenadas e gerenciadas pelo LDAP de autenticação.
No entanto, se você quiser usar um LDAP externo para gerenciar as credenciais do usuário em nome do Edge, configure o Edge para usar o sistema LDAP externo em vez do interno. Quando um LDAP externo é configurado, as credenciais do usuário são validadas em relação a esse armazenamento externo, conforme explicado neste documento.
Sobre autorização
Os administradores da organização do Edge podem conceder permissões específicas para que os usuários interajam com entidades do Apigee Edge, como proxies de API, produtos, caches, implantações etc. As permissões são concedidas por meio da atribuição de papéis aos usuários. O Edge inclui vários papéis integrados e, se necessário, os administradores da organização podem definir papéis personalizados. Por exemplo, um usuário pode receber autorização (por meio de um papel) para criar e atualizar proxies de API, mas não para implantá-los em um ambiente de produção.
A credencial de chave usada pelo sistema de autorização do Edge é o endereço de e-mail do usuário. Essa credencial (junto com outros metadados) é sempre armazenada no LDAP de autorização interna do Edge. Esse LDAP é totalmente separado do LDAP de autenticação (seja interno ou externo).
Os usuários autenticados por um LDAP externo também precisam ser provisionados manualmente no sistema LDAP de autorização. Os detalhes são explicados neste documento.
Para mais informações sobre autorização e RBAC, consulte Como gerenciar usuários da organização e Como atribuir papéis.
Para uma visão mais detalhada, consulte também Noções básicas sobre os fluxos de autenticação e autorização do Edge.
Noções básicas sobre autenticação de vinculação direta e indireta
O recurso de autorização externa é compatível com a autenticação de vinculação direta e indireta pelo sistema LDAP externo.
Resumo: a autenticação de vinculação indireta exige uma pesquisa no LDAP externo por credenciais que correspondam ao endereço de e-mail, nome de usuário ou outro ID fornecido pelo usuário no login. Com a autenticação de vinculação direta, nenhuma pesquisa é realizada. As credenciais são enviadas e validadas diretamente pelo serviço LDAP. A autenticação de vinculação direta é considerada mais eficiente porque não envolve pesquisa.
Sobre a autenticação de vinculação indireta
Com a autenticação de vinculação indireta, o usuário insere uma credencial, como um endereço de e-mail, nome de usuário ou algum outro atributo, e o Edge pesquisa o sistema de autenticação em busca dessa credencial/valor. Se o resultado da pesquisa for bem-sucedido, o sistema extrairá o DN LDAP dos resultados da pesquisa e o usará com uma senha fornecida para autenticar o usuário.
O ponto principal é que a autenticação de vinculação indireta exige que o autor da chamada (por exemplo, o Apigee Edge) forneça credenciais de administrador LDAP externas para que o Edge possa "fazer login" no LDAP externo e realizar a pesquisa. Forneça essas credenciais em um arquivo de configuração do Edge, que é descrito mais adiante neste documento. As etapas também são descritas para criptografar a credencial de senha.
Sobre a autenticação de vinculação direta
Com a autenticação de vinculação direta, o Edge envia as credenciais inseridas por um usuário diretamente para o sistema de autenticação externo. Nesse caso, nenhuma pesquisa é realizada no sistema externo. As credenciais fornecidas podem ser bem-sucedidas ou falhar (por exemplo, se o usuário não estiver presente no LDAP externo ou se a senha estiver incorreta, o login vai falhar).
A autenticação de vinculação direta não exige que você configure credenciais de administrador para o sistema de autenticação externa no Apigee Edge (como na autenticação de vinculação indireta). No entanto, há uma etapa de configuração simples que você precisa executar, descrita em Como configurar a autenticação externa.
Acessar a comunidade da Apigee
A Comunidade da Apigee é um recurso sem custo financeiro em que você pode entrar em contato com a Apigee e outros clientes da Apigee para tirar dúvidas, receber dicas e resolver outros problemas. Antes de postar na comunidade, primeiro pesquise as postagens existentes para ver se sua pergunta já foi respondida.