Configura tu IdP de SAML

La especificación SAML define tres entidades:

  • Principal (usuario de la IU de Edge)
  • Proveedor de servicios (SSO de Apigee)
  • Proveedor de identidad (devuelve la aserción de SAML)

Cuando se habilita SAML, el principal (un usuario de la IU de Edge) solicita acceso al proveedor de servicios (SSO de Apigee). Luego, el SSO de Apigee (en su rol como proveedor de servicios de SAML) solicita y obtiene una aserción de identidad del IDP de SAML y la usa para crear el token de OAuth2 necesario para acceder a la IU de Edge. Luego, se redirecciona al usuario a la IU de Edge.

Este proceso se muestra a continuación:

En este diagrama, se muestra lo siguiente:

  1. El usuario intenta acceder a la IU de Edge realizando una solicitud a la URL de acceso de la IU de Edge. Por ejemplo: https://edge_ui_IP_DNS:9000
  2. Las solicitudes no autenticadas se redireccionan al IdP de SAML. Por ejemplo, "https://idp.customer.com".
  3. Si el usuario no está conectado al proveedor de identidad, se le solicitará que inicie sesión.
  4. El usuario accede a su cuenta.
  5. El IdP de SAML autentica al usuario, lo que genera una aserción de SAML 2.0 y la devuelve al SSO de Apigee.
  6. El SSO de Apigee valida la aserción, extrae la identidad del usuario de la aserción, genera el token de autenticación de OAuth 2 para la IU de Edge y redirecciona al usuario a la página principal de la IU de Edge en: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    En el ejemplo anterior, orgName es el nombre de una organización de Edge.

Edge admite muchos IdP, incluidos Okta y los Servicios de federación de Active Directory (ADFS) de Microsoft. Para obtener información sobre cómo configurar ADFS para usarlo con Edge, consulta Configura Edge como una parte de confianza en el IdP de ADFS. Para Okta, consulta la siguiente sección.

Para configurar tu IdP de SAML, Edge requiere una dirección de correo electrónico para identificar al usuario. Por lo tanto, el proveedor de identidad debe devolver una dirección de correo electrónico como parte de la aserción de identidad.

Además, es posible que necesites algunos o todos los siguientes elementos:

Configuración Descripción
URL de metadatos

Es posible que el IdP de SAML requiera la URL de metadatos del SSO de Apigee. La URL de los metadatos tiene el siguiente formato:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Por ejemplo:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
URL del servicio para clientes de confirmación

Se puede usar como la URL de redireccionamiento de vuelta a Edge después de que el usuario ingresa sus credenciales de IDP, con el siguiente formato:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Por ejemplo:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL de cierre de sesión único

Puedes configurar el SSO de Apigee para que admita el cierre de sesión único. Consulta Configura el cierre de sesión único desde la IU de Edge para obtener más información. La URL de cierre de sesión único de SSO de Apigee tiene el siguiente formato:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Por ejemplo:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

El ID de entidad del SP (o URI de público)

Para el SSO de Apigee:

apigee-saml-login-opdk

Configura Okta

Para configurar Okta, sigue estos pasos:

  1. Accede a Okta.
  2. Selecciona Aplicaciones y, luego, tu aplicación de SAML.
  3. Selecciona la pestaña Asignaciones para agregar usuarios a la aplicación. Este usuario podrá acceder a la IU de Edge y realizar llamadas a la API de Edge. Sin embargo, primero debes agregar a cada usuario a una organización de Edge y especificar su rol. Consulta Registra usuarios nuevos de Edge para obtener más información.
  4. Selecciona la pestaña Sign on para obtener la URL de metadatos del proveedor de identidad. Almacena esa URL, ya que la necesitas para configurar Edge.
  5. Selecciona la pestaña General para configurar la aplicación de Okta, como se muestra en la siguiente tabla:
    Configuración Descripción
    URL de inicio de sesión único Especifica la URL de redireccionamiento de vuelta a Edge para usarla después de que el usuario ingrese sus credenciales de Okta. Esta URL tiene el siguiente formato: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Si planeas habilitar TLS en apigee-sso, haz lo siguiente:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Donde apigee_sso_IP_DNS es la dirección IP o el nombre de DNS del nodo que aloja apigee-sso.

    Ten en cuenta que esta URL distingue mayúsculas de minúsculas y que SSO debe aparecer en mayúsculas.

    Si tienes un balanceador de cargas frente a apigee-sso,especifica la dirección IP o el nombre de DNS de apigee-sso como se hace referencia a través del balanceador de cargas.
    Use this for Recipient URL and Destination URL Marca esta casilla de verificación.
    URI de público (ID de entidad de SP) Se configuró en apigee-saml-login-opdk
    RelayState predeterminado Se puede dejar en blanco.
    Formato de ID de nombre Especifica EmailAddress.
    Nombre de usuario de la aplicación Especifica Okta username.
    Declaraciones de atributos (opcional) Especifica FirstName, LastName y Email como se muestra en la siguiente imagen.

Una vez que hayas terminado, el cuadro de diálogo de configuración de SAML debería verse de la siguiente manera: