配置 SAML IdP

SAML 规范定义了三个实体：

  • 主账号（Edge 界面用户）
  • 服务提供商 (Apigee SSO)
  • 身份提供方（返回 SAML 断言）

启用 SAML 后，主账号（Edge 界面用户）请求访问服务提供商 (Apigee SSO)。接着，充当 SAML 服务提供商角色的 Apigee SSO 会向 SAML IDP 请求并获取身份断言，然后使用该断言来创建访问 Edge 界面所需的 OAuth2 令牌。随后，用户会被重定向到 Edge 界面。

此流程如下所示：

在此图中：

  1. 用户尝试通过向 Edge 界面的登录网址发出请求来访问 Edge 界面。例如：https://edge_ui_IP_DNS:9000
  2. 未经身份验证的请求会被重定向到 SAML IDP。例如，“https://idp.customer.com”。
  3. 如果用户未登录身份提供方，系统会提示他们登录。
  4. 用户登录。
  5. 用户由 SAML IDP 进行身份验证，该 IDP 会生成 SAML 2.0 断言并将其返回到 Apigee SSO。
  6. Apigee SSO 会验证断言，从断言中提取用户身份，为 Edge 界面生成 OAuth 2 身份验证令牌，并将用户重定向到 Edge 界面主页面，网址如下： 
    https://edge_ui_IP_DNS:9000/platform/orgName

    其中，orgName 是 Edge 组织的名称。

Edge 支持许多 IDP，包括 Okta 和 Microsoft Active Directory Federation Services (ADFS)。如需了解如何配置 ADFS 以与 Edge 搭配使用，请参阅在 ADFS IDP 中将 Edge 配置为信赖方。对于 Okta，请参阅以下部分。

如需配置 SAML IDP，Edge 需要一个电子邮件地址来识别用户。因此，身份提供方必须在身份断言中返回电子邮件地址。

此外，您可能还需要以下部分或全部内容：

设置 说明
元数据网址

SAML IDP 可能需要 Apigee SSO 的元数据网址。元数据网址采用以下格式：

protocol://apigee_sso_IP_DNS:port/saml/metadata

例如：

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL（断言消费者服务网址）

可用作用户输入其 IDP 凭据后返回 Edge 的重定向网址，格式如下：

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

例如：

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

单点退出网址

您可以将 Apigee SSO 配置为支持单点退出。如需了解详情，请参阅通过 Edge 界面配置单点退出。Apigee SSO 单点退出网址的格式如下：

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

例如：

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

SP 实体 ID（或受众群体 URI）

对于 Apigee SSO：

apigee-saml-login-opdk

配置 Okta

如需配置 Okta，请执行以下操作：

  1. 登录 Okta。
  2. 选择应用，然后选择您的 SAML 应用。
  3. 选择分配标签页，将用户添加到应用。这些用户将能够登录 Edge 界面并进行 Edge API 调用。不过，您必须先将每个用户添加到 Edge 组织并指定用户的角色。如需了解详情，请参阅注册新的 Edge 用户。
  4. 选择 Sign on（登录）标签页，获取身份提供方元数据网址。请存储该网址，因为您需要使用它来配置 Edge。
  5. 选择常规标签页以配置 Okta 应用，如下表所示：
    设置 说明
    单点登录网址 指定用户输入其 Okta 凭据后返回 Edge 的重定向网址。此网址的格式如下： 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    如果您计划在 apigee-sso 上启用 TLS，请执行以下操作：

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    其中，apigee_sso_IP_DNS 是托管 apigee-sso 的节点的 IP 地址或 DNS 名称。

    请注意，此网址区分大小写，SSO 必须大写。

    如果您在 apigee-sso 前面有负载均衡器，请指定通过负载均衡器引用的 apigee-sso 的 IP 地址或 DNS 名称。
    将此用作接收方网址和目标网址 选中此复选框。
    Audience URI (SP Entity ID) 设置为 apigee-saml-login-opdk
    默认 RelayState 可以留空。
    名称 ID 格式 指定 EmailAddress。
    应用用户名 指定 Okta username。
    属性语句（可选） 指定 FirstName、LastName 和 Email，如下图所示。

完成后，SAML 设置对话框应如下所示：