SAML IdP'nizi yapılandırma

SAML spesifikasyonu üç varlık tanımlar:

  • Yetki sahibi (Edge kullanıcı arayüzü kullanıcısı)
  • Servis sağlayıcı (Apigee TOA)
  • Kimlik sağlayıcı (SAML onayı döndürür)

SAML etkinleştirildiğinde asıl (bir Edge kullanıcı arayüzü kullanıcısı), servis sağlayıcıya (Apigee TOA) erişim isteğinde bulunur. Apigee TOA (SAML servis sağlayıcı rolünde), SAML IDP'den bir kimlik onayı ister ve alır. Ardından, Edge kullanıcı arayüzüne erişmek için gereken OAuth2 jetonunu oluşturmak üzere bu onayı kullanır. Kullanıcı daha sonra Edge kullanıcı arayüzüne yönlendirilir.

Bu işlem aşağıda gösterilmiştir:

Bu diyagramda:

  1. Kullanıcı, Edge kullanıcı arayüzünün giriş URL'sine istek göndererek Edge kullanıcı arayüzüne erişmeye çalışır. Örneğin: https://edge_ui_IP_DNS:9000
  2. Kimliği doğrulanmamış istekler SAML IdP'ye yönlendirilir. Örneğin, "https://idp.customer.com".
  3. Kullanıcı kimlik sağlayıcıya giriş yapmadıysa giriş yapması istenir.
  4. Kullanıcı giriş yapar.
  5. Kullanıcının kimliği, SAML 2.0 onayı oluşturup Apigee TOA'ya döndüren SAML IdP tarafından doğrulanır.
  6. Apigee TOA, onayı doğrular, kullanıcı kimliğini onaydan çıkarır, Edge kullanıcı arayüzü için OAuth 2 kimlik doğrulama jetonunu oluşturur ve kullanıcıyı şu adresteki ana Edge kullanıcı arayüzü sayfasına yönlendirir: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    orgName, bir Edge kuruluşunun adıdır.

Edge, Okta ve Microsoft Active Directory Federasyon Hizmetleri (ADFS) dahil olmak üzere birçok IdP'yi destekler. ADFS'yi Edge ile kullanılacak şekilde yapılandırma hakkında bilgi için Edge'i ADFS IDP'de bağlı taraf olarak yapılandırma başlıklı makaleyi inceleyin. Okta için aşağıdaki bölüme bakın.

SAML IdP'nizi yapılandırmak için Edge, kullanıcının kimliğini tanımlamak üzere bir e-posta adresi gerektirir. Bu nedenle, kimlik sağlayıcının kimlik onayı kapsamında bir e-posta adresi döndürmesi gerekir.

Ayrıca, aşağıdakilerin bazılarına veya tümüne ihtiyacınız olabilir:

Ayar Açıklama
Metadata URL (Meta veri URL'si).

SAML IdP, Apigee TOA'nın meta veri URL'sini gerektirebilir. Meta veri URL'si şu biçimdedir:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Örneğin:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL (Onaylama Tüketici Hizmeti URL'si)

Kullanıcı, IdP kimlik bilgilerini girdikten sonra Edge'e geri yönlendirme URL'si olarak kullanılabilir. Biçimi şu şekildedir:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Örneğin:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

Tek çıkış URL'si

Apigee TOA'yı tek oturum kapatmayı destekleyecek şekilde yapılandırabilirsiniz. Daha fazla bilgi için Edge kullanıcı arayüzünden tek oturum kapatmayı yapılandırma başlıklı makaleyi inceleyin. Apigee TOA tek çıkış URL'si şu biçimdedir:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Örneğin:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

SS varlık kimliği (veya kitle URI'si)

Apigee TOA için:

apigee-saml-login-opdk

Okta'yı yapılandırma

Okta'yı yapılandırmak için:

  1. Okta'ya giriş yapın.
  2. Applications'ı (Uygulamalar) ve ardından SAML uygulamanızı seçin.
  3. Uygulamaya kullanıcı eklemek için Atamalar sekmesini seçin. Bu kullanıcılar Edge kullanıcı arayüzüne giriş yapabilir ve Edge API çağrıları yapabilir. Ancak öncelikle her kullanıcıyı bir Edge kuruluşuna eklemeniz ve kullanıcının rolünü belirtmeniz gerekir. Daha fazla bilgi için Yeni Edge kullanıcılarını kaydetme başlıklı makaleyi inceleyin.
  4. Kimlik sağlayıcı meta veri URL'sini almak için Sign on (Oturum açma) sekmesini seçin. Edge'i yapılandırmak için ihtiyacınız olacağından bu URL'yi saklayın.
  5. Okta uygulamasını yapılandırmak için General (Genel) sekmesini seçin ve aşağıdaki tabloda gösterilen ayarları yapın:
    Ayar Açıklama
    Tek oturum açma URL'si Kullanıcı Okta kimlik bilgilerini girdikten sonra kullanılmak üzere Edge'e geri yönlendirme URL'sini belirtir. Bu URL şu biçimdedir: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    apigee-sso üzerinde TLS'yi etkinleştirmeyi planlıyorsanız:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Burada apigee_sso_IP_DNS, apigee-sso barındıran düğümün IP adresi veya DNS adıdır.

    Bu URL'nin büyük/küçük harfe duyarlı olduğunu ve SSO ifadesinin büyük harflerle yazılması gerektiğini unutmayın.

    apigee-sso önünde bir yük dengeleyiciniz varsa yük dengeleyici üzerinden referans verilen apigee-sso IP adresini veya DNS adını belirtin.
    Alıcı URL'si ve hedef URL için bunu kullanın Bu onay kutusunu işaretleyin.
    Kitle URI'sı (SS varlık kimliği) apigee-saml-login-opdk olarak ayarlandı
    Varsayılan RelayState Boş bırakılabilir.
    Ad Kimliği biçimi EmailAddress değerini belirtin.
    Uygulama kullanıcı adı Okta username değerini belirtin.
    Özellik İfadeleri (İsteğe bağlı) Aşağıdaki resimde gösterildiği gibi FirstName, LastName ve Email değerlerini belirtin.

İşlemi tamamladığınızda SAML ayarları iletişim kutusu aşağıdaki gibi görünür: