Định cấu hình IDP SAML

Quy cách SAML xác định ba thực thể:

  • Chủ thể (Người dùng giao diện người dùng Edge)
  • Nhà cung cấp dịch vụ (Apigee SSO)
  • Nhà cung cấp dịch vụ danh tính (trả về câu nhận định SAML)

Khi SAML được bật, người dùng chính (người dùng Giao diện người dùng Edge) sẽ yêu cầu quyền truy cập vào nhà cung cấp dịch vụ (Apigee SSO). Sau đó, Apigee SSO (với vai trò là nhà cung cấp dịch vụ SAML) sẽ yêu cầu và nhận một xác nhận danh tính từ IDP SAML và sử dụng xác nhận đó để tạo mã thông báo OAuth2 cần thiết để truy cập vào Giao diện người dùng Edge. Sau đó, người dùng sẽ được chuyển hướng đến giao diện người dùng của Edge.

Quy trình này được minh hoạ dưới đây:

Trong biểu đồ này:

  1. Người dùng cố gắng truy cập vào giao diện người dùng Edge bằng cách gửi yêu cầu đến URL đăng nhập cho giao diện người dùng Edge. Ví dụ: https://edge_ui_IP_DNS:9000
  2. Các yêu cầu chưa được xác thực sẽ được chuyển hướng đến IDP SAML. Ví dụ: "https://idp.customer.com".
  3. Nếu người dùng chưa đăng nhập vào nhà cung cấp danh tính, thì họ sẽ được nhắc đăng nhập.
  4. Người dùng đăng nhập.
  5. Người dùng được xác thực bằng IDP SAML. IDP này sẽ tạo một câu nhận định SAML 2.0 và trả về cho SSO của Apigee.
  6. Apigee SSO xác thực câu nhận định, trích xuất danh tính người dùng từ câu nhận định, tạo mã xác thực OAuth 2 cho giao diện người dùng Edge và chuyển hướng người dùng đến trang giao diện người dùng Edge chính tại: 
    https://edge_ui_IP_DNS:9000/platform/orgName

    Trong đó, orgName là tên của một tổ chức Edge.

Edge hỗ trợ nhiều nhà cung cấp danh tính (IDP), bao gồm cả Okta và Dịch vụ liên kết Active Directory của Microsoft (ADFS). Để biết thông tin về cách định cấu hình ADFS để sử dụng với Edge, hãy xem bài viết Định cấu hình Edge làm Bên tin cậy trong ADFS IDP. Đối với Okta, hãy xem phần sau.

Để định cấu hình SAML IDP, Edge cần có địa chỉ email để xác định người dùng. Do đó, nhà cung cấp danh tính phải trả về một địa chỉ email trong quá trình xác nhận danh tính.

Ngoài ra, bạn có thể cần một số hoặc tất cả những điều sau:

Cài đặt Mô tả
URL siêu dữ liệu

Nhà cung cấp danh tính SAML có thể yêu cầu URL siêu dữ liệu của dịch vụ Đăng nhập một lần (SSO) của Apigee. URL siêu dữ liệu có dạng như sau:

protocol://apigee_sso_IP_DNS:port/saml/metadata

Ví dụ:

http://apigee_sso_IP_or_DNS:9099/saml/metadata
URL dịch vụ xác nhận người dùng

Có thể dùng làm URL chuyển hướng quay lại Edge sau khi người dùng nhập thông tin đăng nhập IDP, ở dạng:

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

Ví dụ:

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

URL đăng xuất một lần

Bạn có thể định cấu hình Apigee SSO để hỗ trợ tính năng đăng xuất một lần. Xem phần Định cấu hình tính năng đăng xuất một lần từ giao diện người dùng Edge để biết thêm thông tin. URL đăng xuất một lần của Apigee SSO có dạng:

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

Ví dụ:

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

Mã nhận dạng thực thể của nhà cung cấp dịch vụ (hoặc URI đối tượng)

Đối với Apigee SSO:

apigee-saml-login-opdk

Định cấu hình Okta

Cách định cấu hình Okta:

  1. Đăng nhập vào Okta.
  2. Chọn Ứng dụng rồi chọn ứng dụng SAML của bạn.
  3. Chọn thẻ Assignments (Bài tập) để thêm người dùng vào ứng dụng. Người dùng này sẽ có thể đăng nhập vào giao diện người dùng Edge và thực hiện lệnh gọi API Edge. Tuy nhiên, trước tiên, bạn phải thêm từng người dùng vào một tổ chức Edge và chỉ định vai trò của người dùng đó. Xem phần Đăng ký người dùng Edge mới để biết thêm thông tin.
  4. Chọn thẻ Sign on (Đăng nhập) để lấy URL siêu dữ liệu của Nhà cung cấp dịch vụ danh tính. Lưu trữ URL đó vì bạn cần URL đó để định cấu hình Edge.
  5. Chọn thẻ General (Chung) để định cấu hình ứng dụng Okta, như trong bảng dưới đây:
    Cài đặt Mô tả
    URL đăng nhập một lần Chỉ định URL chuyển hướng quay lại Edge để sử dụng sau khi người dùng nhập thông tin đăng nhập Okta của họ. URL này có dạng: 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Nếu bạn dự định bật TLS trên apigee-sso:

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    Trong đó apigee_sso_IP_DNS là địa chỉ IP hoặc tên DNS của nút lưu trữ apigee-sso.

    Xin lưu ý rằng URL này có phân biệt chữ hoa chữ thường và SSO phải được viết hoa.

    Nếu bạn có một trình cân bằng tải trước apigee-sso,hãy chỉ định địa chỉ IP hoặc tên DNS của apigee-sso như được tham chiếu thông qua trình cân bằng tải.
    Sử dụng URL này cho URL người nhận và URL đích Chọn hộp đánh dấu này.
    URI đối tượng (Mã nhận dạng thực thể SP) Đặt thành apigee-saml-login-opdk
    RelayState mặc định Có thể để trống.
    Định dạng mã nhận dạng tên Chỉ định EmailAddress.
    Tên người dùng của ứng dụng Chỉ định Okta username.
    Câu lệnh thuộc tính (Không bắt buộc) Chỉ định FirstName, LastName và Email như trong hình dưới đây.

Hộp thoại cài đặt SAML sẽ xuất hiện như bên dưới sau khi bạn hoàn tất: