設定 SAML IDP

SAML 規格定義了三個實體：

  • 主體 (Edge UI 使用者)
  • 服務供應商 (Apigee SSO)
  • 識別資訊提供者 (傳回 SAML 宣告)

啟用 SAML 後，主體 (邊緣 UI 使用者) 就會要求存取服務供應商 (Apigee SSO)。Apigee SSO (將其做為 SAML 服務供應商) 會要求並取得 SAML IDP 的身分宣告，並使用該宣告來建立存取 Edge UI 所需的 OAuth2 權杖。接著，系統會將使用者重新導向至 Edge UI。

這項程序如下：

在這張圖表中：

  1. 使用者嘗試向 Edge UI 的登入網址發出要求，嘗試存取 Edge UI。例如：https://edge_ui_IP_DNS:9000
  2. 系統會將未經驗證的要求重新導向至 SAML IDP。例如「https://idp.customer.com」。
  3. 如果使用者尚未登入識別資訊提供者，系統會提示他們登入。
  4. 使用者登入。
  5. 使用者已通過 SAML IDP 驗證，此 IDP 會產生 SAML 2.0 斷言，並將其傳回至 Apigee SSO。
  6. Apigee SSO 會驗證宣告、從斷言中擷取使用者身分、產生 Edge UI 的 OAuth 2 驗證權杖，並將使用者重新導向至位於以下網址的主要 Edge UI 頁面： 
    https://edge_ui_IP_DNS:9000/platform/orgName

    其中 orgName 是 Edge 機構的名稱。

Edge 支援許多 IDP，包括 Okta 和 Microsoft Active Directory 同盟服務 (ADFS)。如要瞭解如何設定 ADFS 以與 Edge 搭配使用，請參閱「在 ADFS IDP 中將 Edge 設為 Relying Party」。如果是 Okta，請參閱下一節。

Edge 必須提供電子郵件地址才能識別使用者，才能設定 SAML IDP。因此，識別資訊提供者必須在身分斷言中傳回電子郵件地址。

此外，你可能還需要下列部分或所有要求：

設定 說明
中繼資料網址

SAML IDP 可能會要求 Apigee SSO 的中繼資料網址。中繼資料網址的格式為：

protocol://apigee_sso_IP_DNS:port/saml/metadata

例如：

http://apigee_sso_IP_or_DNS:9099/saml/metadata
Assertion Consumer Service URL (宣告客戶服務網址)

使用者輸入自己的 IdP 憑證後，可做為重新導向網址，使用，格式如下：

protocol://apigee_sso_IP_DNS:port/saml/SSO/alias/apigee-saml-login-opdk

例如：

http://apigee_sso_IP_or_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

單一登出網址

您可以將 Apigee SSO 設為支援單次登出。詳情請參閱「透過 Edge UI 設定單一登入功能」一文。Apigee SSO 單一登出網址的格式為：

protocol://apigee_SSO_IP_DNS:port/saml/SingleLogout/alias/apigee-saml-login-opdk

例如：

http://1.2.3.4:9099/saml/SingleLogout/alias/apigee-saml-login-opdk

SP 實體 ID (或目標對象 URI)

Apigee SSO：

apigee-saml-login-opdk

設定 Okta

如何設定 Okta：

  1. 登入 Okta。
  2. 選取「Applications」，然後選取 SAML 應用程式。
  3. 選取「Assignments」分頁標籤，將任何使用者新增至應用程式。這些使用者將可登入 Edge UI 並發出 Edge API 呼叫。不過，您必須先將每位使用者新增至 Edge 機構，並指定該使用者的角色。詳情請參閱「註冊新的 Edge 使用者」。
  4. 選取「Sign on」分頁標籤，取得識別資訊提供者中繼資料網址。您必須儲存該網址，才能設定 Edge。
  5. 選取「General」分頁標籤以設定 Okta 應用程式，如下表所示：
    設定 說明
    網址單一登入 將重新導向網址指定回 Edge，以供使用者輸入 Okta 憑證後使用。網址的格式如下： 
    http://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    如果您打算在 apigee-sso 啟用 TLS：

    https://apigee_sso_IP_DNS:9099/saml/SSO/alias/apigee-saml-login-opdk

    其中 apigee_sso_IP_DNS 是託管 apigee-sso 節點的 IP 位址或 DNS 名稱。

    請注意，這個網址會區分大小寫，且 SSO 必須以大寫開頭。

    如果負載平衡器位於 apigee-sso，請指定透過負載平衡器所參照的 apigee-sso IP 位址或 apigee-sso 的 DNS 名稱。
    用於收件者網址和到達網頁網址 請勾選這個核取方塊。
    目標對象 URI (SP 實體 ID) 設為「apigee-saml-login-opdk」
    預設 RelayState 可留空。
    名稱 ID 格式 請指定 EmailAddress。
    應用程式使用者名稱 請指定 Okta username。
    屬性陳述式 (選用) 指定 FirstName、LastName 和 Email，如下圖所示。

完成後，SAML 設定對話方塊會如下所示：