Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Nutzer, Rollen und Berechtigungen verwalten

Auf der Apigee-Dokumentationswebsite finden Sie ausführliche Informationen zum Verwalten von Nutzerrollen und Berechtigungen. Nutzer können sowohl über die Edge-Benutzeroberfläche als auch über die Management API verwaltet werden. Rollen und Berechtigungen können nur mit der Management API verwaltet werden.

Informationen zu Nutzern und zum Erstellen von Nutzern finden Sie hier:

Für viele der Vorgänge, die Sie zur Verwaltung von Nutzern ausführen, sind Systemadministratorberechtigungen erforderlich. In einer cloudbasierten Installation von Edge fungiert Apigee als Systemadministrator. In einer Edge for Private Cloud-Installation muss Ihr Systemadministrator diese Aufgaben wie unten beschrieben ausführen.

Nutzer hinzufügen

Sie können einen Nutzer entweder mit der Edge API, der Edge-Benutzeroberfläche oder Edge-Befehlen erstellen. In diesem Abschnitt wird beschrieben, wie Sie die Edge API und Edge-Befehle verwenden. Informationen zum Erstellen von Nutzern in der Edge-Benutzeroberfläche finden Sie unter Globale Nutzer erstellen.

Nachdem Sie den Nutzer in einer Organisation erstellt haben, müssen Sie ihm eine Rolle zuweisen. Rollen bestimmen die Zugriffsrechte des Nutzers in Edge.

Verwenden Sie den folgenden Befehl, um einen Nutzer mit der Edge API zu erstellen:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

Oder verwenden Sie den folgenden Edge-Befehl, um einen Nutzer zu erstellen:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

Dabei erstellt configFile den Nutzer, wie im folgenden Beispiel gezeigt:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

Mit diesem Aufruf können Sie dann Informationen zum Nutzer abrufen:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

Nutzer einer Rolle in einer Organisation zuweisen

Bevor ein neuer Nutzer etwas tun kann, muss ihm eine Rolle in einer Organisation zugewiesen werden. Sie können dem Nutzer verschiedene Rollen zuweisen, darunter: orgadmin, businessuser, opsadmin, user oder eine benutzerdefinierte Rolle, die in der Organisation definiert ist.

Wenn Sie einem Nutzer eine Rolle in einer Organisation zuweisen, wird er automatisch der Organisation hinzugefügt. Sie können einen Nutzer mehreren Organisationen zuweisen, indem Sie ihm in jeder Organisation eine Rolle zuweisen.

Verwenden Sie den folgenden Befehl, um den Nutzer einer Rolle in einer Organisation zuzuweisen:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Mit diesem Aufruf werden alle Rollen angezeigt, die dem Nutzer zugewiesen sind. Wenn Sie den Nutzer hinzufügen, aber nur die neue Rolle anzeigen möchten, verwenden Sie den folgenden Aufruf:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Mit dem folgenden Befehl können Sie die Rollen des Nutzers aufrufen:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

Wenn Sie einen Nutzer aus einer Organisation entfernen möchten, entfernen Sie alle Rollen in dieser Organisation für den Nutzer. Verwenden Sie den folgenden Befehl, um einem Nutzer eine Rolle zu entziehen:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

Systemadministrator hinzufügen

Ein Systemadministrator kann:

Organisationen erstellen
Router, Message Processors und andere Komponenten zu einer Edge-Installation hinzufügen
TLS/SSL konfigurieren
Zusätzliche Systemadministratoren erstellen
Alle Edge-Verwaltungsaufgaben ausführen

Es gibt zwar nur einen Standardnutzer für Verwaltungsaufgaben, aber es kann mehr als einen Systemadministrator geben. Jeder Nutzer, der Mitglied der Rolle „sysadmin“ ist, hat vollständige Berechtigungen für alle Ressourcen.

Sie können den Nutzer für den Systemadministrator entweder in der Edge-Benutzeroberfläche oder über die API erstellen. Sie müssen jedoch die Edge API verwenden, um dem Nutzer die Rolle „sysadmin“ zuzuweisen. Die Zuweisung eines Nutzers zur Rolle „sysadmin“ kann nicht in der Edge-Benutzeroberfläche erfolgen.

So fügen Sie einen Systemadministrator hinzu:

Erstellen Sie einen Nutzer in der Edge-Benutzeroberfläche oder über die API.

Fügen Sie den Nutzer der Rolle „sysadmin“ hinzu:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'

Prüfen Sie, ob der neue Nutzer die Rolle „sysadmin“ hat:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Gibt die E‑Mail-Adresse des Nutzers zurück:

[ " foo@bar.com " ]

Berechtigungen des neuen Nutzers prüfen:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

Liefert:

{
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}

Nachdem Sie den neuen Systemadministrator hinzugefügt haben, können Sie den Nutzer zu beliebigen Organisationen hinzufügen.

Hinweis: Der neue Systemadministrator kann sich erst in der Edge-Benutzeroberfläche anmelden, wenn Sie ihn mindestens einer Organisation hinzugefügt haben.
Wenn Sie den Nutzer später aus der Rolle des Systemadministrators entfernen möchten, können Sie die folgende API verwenden:
```
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com
```
Beachten Sie, dass der Nutzer durch diesen Aufruf nur aus der Rolle entfernt, aber nicht gelöscht wird.

Standardnutzer für die Systemverwaltung ändern

Bei der Installation von Edge geben Sie die E-Mail-Adresse des Systemadministrators an. Edge erstellt einen Nutzer mit dieser E-Mail-Adresse und legt diesen Nutzer als Standard-Systemadministrator fest. Sie können später wie oben beschrieben weitere Systemadministratoren hinzufügen.

In diesem Abschnitt wird beschrieben, wie Sie den Standard-Systemadministrator in einen anderen Nutzer ändern und wie Sie die E-Mail-Adresse des Nutzerkontos für den aktuellen Standard-Systemadministrator ändern.

Verwenden Sie den folgenden API-Aufruf, um die Liste der Nutzer aufzurufen, die derzeit als Systemadministratoren konfiguriert sind:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Sehen Sie sich die Datei /opt/apigee/customer/defaults.sh an, um den aktuellen Standard-Systemadministrator zu ermitteln. Die Datei enthält die folgende Zeile mit der E-Mail-Adresse des aktuellen Standard-Systemadministrators:

ADMIN_EMAIL=foo@bar.com

So ändern Sie den Standard-Systemadministrator:

Erstellen Sie einen neuen Systemadministrator wie oben beschrieben oder sorgen Sie dafür, dass das Nutzerkonto des neuen Systemadministrators bereits als Systemadministrator konfiguriert ist.
Bearbeiten Sie /opt/apigee/customer/defaults.sh, um ADMIN_EMAIL auf die E-Mail-Adresse des neuen Systemadministrators festzulegen.
Bearbeiten Sie die Konfigurationsdatei für die unbeaufsichtigte Installation, die Sie für die Installation der Edge-Benutzeroberfläche verwendet haben, um die folgenden Attribute festzulegen:
```
ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
```
Sie müssen die SMTP-Attribute angeben, da alle Attribute auf der Benutzeroberfläche zurückgesetzt werden.

Konfigurieren Sie die Edge-Benutzeroberfläche neu:

/opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui start

Wenn Sie nur die E-Mail-Adresse des Nutzerkontos für den aktuellen Standardsystemadministrator ändern möchten, aktualisieren Sie zuerst das Nutzerkonto, um die neue E-Mail-Adresse festzulegen, und ändern Sie dann die E-Mail-Adresse des Standardsystemadministrators:

Aktualisieren Sie das Nutzerkonto des aktuellen Standard-Systemadministrators mit einer neuen E-Mail-Adresse:

curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'

Wiederholen Sie die Schritte 2, 3 und 4 aus dem vorherigen Verfahren, um die Datei /opt/apigee/customer/defaults.sh und die Edge-Benutzeroberfläche zu aktualisieren.

E-Mail-Domain eines Systemadministrators angeben

Als zusätzliche Sicherheitsstufe können Sie die erforderliche E-Mail-Domain eines Edge-Systemadministrators angeben. Wenn Sie einen Systemadministrator hinzufügen und die E-Mail-Adresse des Nutzers nicht in der angegebenen Domain liegt, schlägt das Hinzufügen des Nutzers zur Rolle „sysadmin“ fehl.

Standardmäßig ist die erforderliche Domain leer. Das bedeutet, dass Sie der Rolle „sysadmin“ eine beliebige E-Mail-Adresse hinzufügen können.

So legen Sie die E‑Mail-Domain fest:

Öffnen Sie die Datei management-server.properties in einem Editor:
```
vi /opt/apigee/customer/application/management-server.properties
```
Wenn diese Datei nicht vorhanden ist, erstellen Sie sie.
Legen Sie für das Attribut conf_security_rbac.global.roles.allowed.domains die durch Kommas getrennte Liste der zulässigen Domains fest. Beispiel:
```
conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
```
Speichern Sie die Änderungen.
Starten Sie den Edge Management Server neu:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
```
Wenn Sie jetzt versuchen, einen Nutzer der Rolle „sysadmin“ hinzuzufügen, und die E-Mail-Adresse des Nutzers nicht in einer der angegebenen Domains enthalten ist, schlägt das Hinzufügen fehl.

Nutzer löschen

Sie können einen Nutzer entweder über die Edge API oder die Edge-Benutzeroberfläche erstellen. Sie können einen Nutzer jedoch nur über die API löschen.

Verwenden Sie den folgenden curl-Befehl, um die Liste der aktuellen Nutzer einschließlich E-Mail-Adresse aufzurufen:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

Verwenden Sie den folgenden curl-Befehl, um einen Nutzer zu löschen:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL