Installare e configurare Apigee SSO

Per installare e configurare il modulo SSO Apigee con un IDP esterno, devi fare quanto segue:

  1. Crea chiavi e certificati.
  2. Imposta la configurazione SSO di base di Apigee:il file di base deve includere le proprietà comuni a tutte le configurazioni SSO.
  3. Aggiungi proprietà di configurazione specifiche per IdP: utilizza uno dei seguenti blocchi delle proprietà di configurazione specifici dell'IdP nel file di configurazione:
  4. Installa il servizio SSO di Apigee: installa il modulo SSO di Apigee e trasmetti il file di configurazione al programma di installazione.

Ciascuno di questi passaggi è descritto nelle sezioni seguenti.

Creare chiavi e certificati

Questa sezione descrive come creare certificati autofirmati che potrebbero essere adatti al tuo ambiente di test, ma ti consigliamo di utilizzare certificati firmati da un'autorità di certificazione (CA) per un ambiente di produzione.

Per creare la coppia di chiavi da firmare per la verifica:

  1. Come utente sudo, crea la nuova directory seguente: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
  2. Passa alla nuova directory: 
    cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
  3. Genera la chiave privata con il seguente comando: 
    sudo openssl genrsa -out privkey.pem 2048
  4. Genera la chiave pubblica dalla chiave privata con il seguente comando: 
    sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
  5. Cambia il proprietario del file PEM di output in utente "apigee": 
    sudo chown apigee:apigee *.pem

Per creare la chiave e il certificato autofirmato, senza passphrase, per la comunicazione con l'IdP:

  1. Come utente sudo, crea una nuova directory: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/
  2. Passa alla nuova directory: 
    cd /opt/apigee/customer/application/apigee-sso/idp/
  3. Genera la tua chiave privata con una passphrase: 
    sudo openssl genrsa -aes256 -out server.key 1024
  4. Rimuovi la passphrase dalla chiave: 
    sudo openssl rsa -in server.key -out server.key
  5. Genera una richiesta di firma del certificato per la CA: 
    sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
  6. Genera un certificato autofirmato con una scadenza di 365 giorni: 
    sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
  7. Cambia il proprietario della chiave e del file crt in proprietario di "apigee": 
    sudo chown apigee:apigee server.key
sudo chown apigee:apigee selfsigned.crt

Per abilitare TLS sul modulo SSO di Apigee, impostando SSO_TOMCAT_PROFILE su SSL_TERMINATION o su SSL_PROXY, non puoi utilizzare un certificato autofirmato. Devi generare un certificato da una CA. Per ulteriori informazioni, consulta Configurare il servizio SSO di Apigee per l'accesso HTTPS.

Impostazioni di configurazione SSO Apigee

Prima di poter installare il modulo SSO Apigee, è necessario definire un file di configurazione. Passa questo file di configurazione al programma di installazione quando installi il modulo SSO Apigee.

Il file di configurazione ha il seguente formato:

IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
# If these credentials change, they must be updated and setup rerun.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Uncomment the following line to set specific SSL cipher using OpenSSL syntax
# SSL_CIPHERS=HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!kRSA
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

Proprietà di configurazione del servizio SSO basato su SAML

Se utilizzi SAML per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione (definito sopra):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

Proprietà di configurazione dell'associazione diretta LDAP

Se utilizzi l'associazione diretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente: 

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

# Set true to allow users to login with non-email usernames
SSO_ALLOW_NON_EMAIL_USERNAME=false

Proprietà di configurazione dell'associazione indiretta LDAP

Se utilizzi il binding indiretto LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente: 

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

Installa il modulo SSO Apigee

Dopo aver creato le chiavi e impostato il file di configurazione, puoi installare il modulo SSO Apigee.

Per installare il modulo SSO Apigee:

  1. Accedere al nodo del server di gestione. Quel nodo dovrebbe già avere apigee-service installato, come descritto in Installare l'utilità Edge apigee-setup.

    In alternativa, puoi installare il modulo SSO Apigee su un nodo diverso. Tuttavia, questo nodo deve essere in grado di accedere al server di gestione sulla porta 8080.

  2. Installa e configura apigee-sso eseguendo questo comando: 
    /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

    Dove configFile è il file di configurazione definito sopra.

  3. Installa l'utilità apigee-ssoadminapi.sh utilizzata per gestire gli utenti amministratori e macchine per il modulo apigee-sso: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
  4. Esci dalla shell, quindi accedi di nuovo per aggiungere l'utilità apigee-ssoadminapi.sh al percorso.

Specifica un file di metadati invece di un URL

Se il tuo IdP non supporta un URL di metadati HTTP/HTTPS, puoi utilizzare un file XML di metadati per configurare il servizio SSO di Apigee.

Per utilizzare un file di metadati anziché un URL per configurare il servizio SSO di Apigee:

  1. Copia i contenuti del file XML dei metadati dal tuo IdP in un file sul nodo SSO Apigee. Ad esempio, copia il file XML in: 
    /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  2. Cambia la proprietà del file XML all'utente "apigee": 
    chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
  3. Imposta il valore di SSO_SAML_IDP_METADATA_URL sul percorso file assoluto: 
    SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

    Devi far precedere il percorso del file da "file://", seguito dal percorso assoluto della directory principale (/).