Questa pagina è stata tradotta dall'API Cloud Translation.

Installare e configurare Apigee SSO

Per installare e configurare il modulo SSO Apigee con un IDP esterno, devi eseguire la seguenti:

Creare chiavi e certificati.
Configura la configurazione SSO di base di Apigee: il file di base deve includere le proprietà comuni a tutte le configurazioni SSO.
Aggiungi proprietà di configurazione specifiche per IdP: utilizza una delle seguenti opzioni Blocchi di proprietà di configurazione specifici per gli IdP nel tuo file di configurazione:
Installa Apigee SSO: installa il modulo SSO di Apigee e passa il file di configurazione al programma di installazione.

Ciascuno di questi passaggi è descritto nelle sezioni seguenti.

Creare chiavi e certificati

Questa sezione descrive come creare certificati autofirmati che potrebbero essere adatti per il tuo ma devi utilizzare certificati firmati da un'autorità di certificazione (CA) per nell'ambiente di produzione.

Per creare la coppia di chiavi da firmare per la verifica:

In qualità di utente sudo, crea la nuova directory seguente:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/jwt-keys/

Genera la chiave privata con questo comando:
```
sudo openssl genrsa -out privkey.pem 2048
```
Genera la chiave pubblica dalla chiave privata con il seguente comando:
```
sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
```
Modifica il proprietario del file PEM di output in "apigee" utente:
```
sudo chown apigee:apigee *.pem
```

Per creare la chiave e il certificato autofirmato, senza passphrase, per comunicare con il IDP:

Come utente sudo, crea una nuova directory:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/idp/

Genera la tua chiave privata con una passphrase:

sudo openssl genrsa -aes256 -out server.key 1024

Rimuovi la passphrase dalla chiave:

sudo openssl rsa -in server.key -out server.key

Genera richiesta di firma del certificato per CA:

sudo openssl req -x509 -sha256 -new -key server.key -out server.csr

Genera un certificato autofirmato con una data di scadenza di 365 giorni:

sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt

Modifica il proprietario della chiave e del file crt in "apigee" proprietario:
```
sudo chown apigee:apigee server.key
sudo chown apigee:apigee selfsigned.crt
```

Per abilitare TLS sul modulo SSO di Apigee, Impostazione di SSO_TOMCAT_PROFILE su SSL_TERMINATION o a SSL_PROXY, non puoi utilizzare un certificato autofirmato. Devi generare certificato di una CA. Vedi Configurare il servizio SSO di Apigee per HTTPS access per saperne di più.

Impostazioni di configurazione SSO di Apigee

Prima di poter installare il modulo SSO di Apigee, devi definire un file di configurazione. Lo superi di configurazione del programma di installazione al momento dell'installazione del modulo SSO di Apigee.

Il file di configurazione ha il seguente formato:

IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

Proprietà di configurazione SSO SAML

Se utilizzi SAML per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione di configurazione del deployment (definito sopra):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

Proprietà di configurazione dell'associazione diretta LDAP

Se utilizzi l'associazione diretta LDAP per il tuo IdP, utilizza il seguente blocco di configurazione nel file di configurazione, come mostrato nell'esempio sopra riportato:

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

Proprietà di configurazione dell'associazione indiretta LDAP

Se utilizzi l'associazione indiretta di LDAP per il tuo IdP, utilizza il seguente blocco di configurazione proprietà del file di configurazione, come illustrato nell'esempio precedente:

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# Nome dell'attributo utilizzato dal server LDAP per fare riferimento all'indirizzo email dell'utente; ad esempio "mail" SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

Installa il modulo SSO di Apigee

Dopo aver creato le chiavi e impostato il file di configurazione, puoi installare Apigee Modulo SSO.

Per installare il modulo SSO di Apigee:

Accedi al nodo del server di gestione. Il nodo dovrebbe già avere App apigee-service installata, come descritto in Installa l'utilità apigee-setup Edge.
In alternativa, puoi installare il modulo SSO di Apigee su un nodo diverso. Tuttavia, Questo nodo deve essere in grado di accedere al server di gestione tramite la porta 8080.
Installa e configura apigee-sso eseguendo questo comando:
```
/opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile
```
dove configFile è il file di configurazione che hai definito sopra.
Installa l'utilità apigee-ssoadminapi.sh utilizzata per gestire l'amministratore e il computer utenti per il modulo apigee-sso:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
```
Esci dalla shell e accedi di nuovo per aggiungere apigee-ssoadminapi.sh per il tuo percorso.

Specifica un file di metadati anziché un URL

Se il tuo IdP non supporta un URL di metadati HTTP/HTTPS, puoi utilizzare un file XML di metadati per e configurare l'accesso SSO di Apigee.

Per utilizzare un file di metadati anziché un URL per configurare l'accesso SSO di Apigee:

Copia i contenuti del file XML dei metadati dal tuo IdP in un file sul nodo SSO di Apigee. Per Ad esempio, copia il file XML in:
```
/opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
NOTA: il nome del file deve essere metadata.xml.

Cambia la proprietà del file XML con "apigee" utente:

chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

Imposta il valore di SSO_SAML_IDP_METADATA_URL sul percorso file assoluto:
```
SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
Devi anteporre al percorso del file "file://", seguito dal percorso assoluto da radice (/).