A IU do Edge e a API Edge Management operam fazendo solicitações ao servidor de gerenciamento do Edge, em que o servidor de gerenciamento é compatível com os seguintes tipos de autenticação:
- Autenticação básica:faça login na IU do Edge ou faça solicitações à API de gerenciamento do Edge transmitindo seu nome de usuário e senha.
- OAuth2:troque suas credenciais de autenticação básica do Edge por um token de acesso OAuth2 e um token de atualização. Faça chamadas para a API Management do Edge transmitindo o token de acesso OAuth2 no cabeçalho Bearer de uma chamada de API.
O Edge é compatível com o uso dos seguintes provedores de identidade (IDPs) externos para autenticação:
- Linguagem de marcação para autorização de segurança (SAML) 2.0:gere tokens de acesso do OAuth com base em declarações SAML retornadas por um provedor de identidade SAML.
- Protocolo leve de acesso a diretórios (LDAP): use os métodos de autenticação de pesquisa e vinculação ou vinculação simples do LDAP para gerar tokens de acesso OAuth.
Os IdPs SAML e LDAP são compatíveis com um ambiente de Logon único (SSO). Ao usar um IDP externo com o Edge, é possível oferecer suporte ao SSO para a IU e a API do Edge, além de outros serviços que você fornece e que também são compatíveis com o IDP externo.
As instruções nesta seção para ativar o suporte a IdP externo são diferentes da autenticação externa das seguintes maneiras:
- Esta seção adiciona suporte a SSO
- Esta seção é destinada aos usuários da interface do Edge (não da interface clássica)
- Esta seção é compatível apenas com a versão 4.19.06 e mais recentes
Sobre o SSO da Apigee
Para oferecer suporte a SAML ou LDAP no Edge, instale o apigee-sso, o módulo de SSO da Apigee.
A imagem a seguir mostra o SSO da Apigee em uma instalação do Edge para nuvem privada:
É possível instalar o módulo de SSO da Apigee no mesmo nó que a IU do Edge e o servidor de gerenciamento ou no próprio nó. Verifique se o SSO da Apigee tem acesso ao servidor de gerenciamento pela porta 8080.
A porta 9099 precisa estar aberta no nó do SSO da Apigee para permitir o acesso ao SSO da Apigee em um navegador, no IDP externo de SAML ou LDAP e no servidor de gerenciamento e na IU do Edge. Como parte da configuração do SSO da Apigee, é possível especificar que a conexão externa use HTTP ou o protocolo HTTPS criptografado.
O SSO da Apigee usa um banco de dados Postgres acessível na porta 5432 no nó do Postgres. Normalmente, é possível usar o mesmo servidor Postgres que você instalou com o Edge, seja um servidor Postgres independente ou dois servidores Postgres configurados no modo mestre/em espera. Se a carga no servidor Postgres for alta, também será possível criar um nó separado do Postgres apenas para o SSO da Apigee.
Suporte adicionado para OAuth2 ao Edge para nuvem privada
Como mencionado acima, a implementação do SAML no Edge depende de tokens de acesso do OAuth2.Portanto, o suporte ao OAuth2 foi adicionado ao Edge para nuvem privada. Para mais informações, consulte Introdução ao OAuth 2.0.
Sobre o SAML
A autenticação SAML oferece várias vantagens. Ao usar a SAML, você pode:
- Assuma o controle total do gerenciamento de usuários. Quando os usuários saem da organização e são desprovisionados de forma centralizada, o acesso ao Edge é negado automaticamente.
- Controlar como os usuários se autenticam para acessar o Edge. É possível escolher diferentes tipos de autenticação para diferentes organizações do Edge.
- Controlar políticas de autenticação. Seu provedor de SAML pode oferecer suporte a políticas de autenticação mais alinhadas aos padrões da sua empresa.
- É possível monitorar logins, logouts, tentativas de login malsucedidas e atividades de alto risco na implantação do Edge.
Com o SAML ativado, o acesso à IU do Edge e à API Management do Edge usa tokens de acesso do OAuth2. Esses tokens são gerados pelo módulo de SSO da Apigee, que aceita as declarações SAML retornadas pelo seu IDP.
Depois de gerado com base em uma declaração SAML, o token OAuth é válido por 30 minutos, e o token de atualização é válido por 24 horas. Seu ambiente de desenvolvimento pode oferecer suporte à automação de tarefas comuns de desenvolvimento, como automação de testes ou integração contínua/implantação contínua (CI/CD), que exigem tokens com uma duração mais longa. Consulte Como usar o SAML com tarefas automatizadas para saber como criar tokens especiais para tarefas automatizadas.
Sobre o LDAP
O protocolo leve de acesso a diretórios (LDAP) é um protocolo de aplicativo aberto e padrão do setor para acessar e manter serviços de informações de diretório distribuídos. Os serviços de diretório podem fornecer qualquer conjunto organizado de registros, geralmente com uma estrutura hierárquica, como um diretório de e-mails corporativos.
A autenticação LDAP no SSO da Apigee usa o módulo LDAP do Spring Security. Como resultado, os métodos de autenticação e as opções de configuração para o suporte LDAP do SSO da Apigee estão diretamente correlacionados aos encontrados no Spring Security LDAP.
O LDAP com o Edge para nuvem privada é compatível com os seguintes métodos de autenticação em um servidor compatível com LDAP:
- Pesquisar e vincular (vinculação indireta)
- Vinculação simples (vinculação direta)
O SSO da Apigee tenta recuperar o endereço de e-mail do usuário e atualizar o registro interno do usuário com ele para que haja um endereço de e-mail atual no arquivo, já que o Edge usa esse e-mail para fins de autorização.
URLs da API e da interface do Edge
O URL usado para acessar a IU do Edge e a API de gerenciamento do Edge é o mesmo usado antes de ativar o SAML ou o LDAP. Para a IU do Edge:
http://edge_UI_IP_DNS:9000 https://edge_UI_IP_DNS:9000
Em que edge_UI_IP_DNS é o endereço IP ou o nome DNS da máquina que hospeda a IU do Edge. Como parte da configuração da interface do Edge, é possível especificar que a conexão use HTTP ou o protocolo HTTPS criptografado.
Para a API Management do Edge:
http://ms_IP_DNS:8080/v1 https://ms_IP_DNS:8080/v1
Em que ms_IP_DNS é o endereço IP ou o nome DNS do servidor de gerenciamento. Como parte da configuração da API, é possível especificar que a conexão use HTTP ou o protocolo HTTPS criptografado.
Configurar o TLS no SSO da Apigee
Por padrão, a conexão com o SSO da Apigee usa HTTP na porta 9099 no nó que hospeda
apigee-sso, o módulo de SSO da Apigee. O apigee-sso tem uma instância do Tomcat
integrada que processa as solicitações HTTP e HTTPS.
O SSO da Apigee e o Tomcat são compatíveis com três modos de conexão:
- DEFAULT:a configuração padrão aceita solicitações HTTP na porta 9099.
- SSL_TERMINATION::acesso TLS ativado ao SSO da Apigee na porta de sua escolha. É necessário especificar uma chave TLS e um certificado para esse modo.
- SSL_PROXY::configura o SSO da Apigee no modo de proxy, o que significa que você instalou um balanceador de carga na frente de
apigee-ssoe encerrou o TLS no balanceador de carga. É possível especificar a porta usada emapigee-ssopara solicitações do balanceador de carga.
Ativar o suporte a IdP externo para o portal
Depois de ativar o suporte ao IdP externo para o Edge, você pode ativá-lo para o portal de serviços para desenvolvedores da Apigee (ou simplesmente o portal). O portal é compatível com a autenticação SAML e LDAP ao fazer solicitações ao Edge. Isso é diferente da autenticação SAML e LDAP para login de desenvolvedor no portal. Configure a autenticação de IDP externo para login de desenvolvedor separadamente. Consulte Configurar o portal para usar IDPs para mais informações.
Como parte da configuração do portal, é preciso especificar o URL do módulo de SSO da Apigee que você instalou com o Edge:
