Zarządzanie użytkownikami, rolami i uprawnieniami

W witrynie z dokumentacją Apigee znajdziesz obszerne informacje o zarządzaniu rolami użytkowników uprawnień. Użytkownikami można zarządzać zarówno za pomocą interfejsu użytkownika Edge, jak i interfejsu Management API. role uprawnieniami można zarządzać tylko za pomocą interfejsu API zarządzania.

Informacje o użytkownikach i tworzeniu użytkowników znajdziesz w tych artykułach:

Wiele operacji związanych z zarządzaniem użytkownikami wymaga uprawnień administratora systemu uprawnień. W opartej na chmurze instalacji Edge Apigee działa w roli systemu . W Edge dla instalacji Private Cloud administrator systemu musi wykonaj te zadania w sposób opisany poniżej.

Dodawanie użytkownika

Użytkownika możesz utworzyć za pomocą interfejsu Edge API, interfejsu Edge lub poleceń Edge. Ten W tej sekcji opisaliśmy, jak używać interfejsu Edge API i poleceń Edge. Aby uzyskać informacje na temat tworzenia użytkowników w Interfejs Edge znajdziesz w sekcji Tworzenie użytkowników na całym świecie.

Po utworzeniu użytkownika w organizacji musisz przypisać mu rolę. Role określać uprawnienia dostępu użytkownika w Edge.

Aby utworzyć użytkownika za pomocą interfejsu Edge API, użyj tego polecenia:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

Konto użytkownika możesz też utworzyć za pomocą tego polecenia Edge:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

Miejsce, w którym configFile tworzy konto użytkownika, jak pokazano w tym przykładzie:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

Za pomocą tego wywołania można wyświetlić informacje na temat użytkownika:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

Przypisanie użytkownika do roli w organizacja

Zanim nowy użytkownik będzie mógł wykonać cokolwiek, musi mieć przypisaną rolę w organizacji. Ty przypisać mu różne role, w tym: orgadmin, businessuser, opsadmin, user lub rolę niestandardową zdefiniowaną w organizacji.

Przypisanie użytkownika do roli w organizacji powoduje automatyczne dodanie go do Twojej organizacji. Przypisz użytkownika do wielu organizacji, przypisując mu rolę w każdej z nich Twojej organizacji.

Aby przypisać użytkownikowi rolę w organizacji, użyj tego polecenia:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

W tym wywołaniu wyświetlane są wszystkie role przypisane do użytkownika. Jeśli chcesz dodać użytkownika, ale wyświetl tylko nową rolę, użyj tego wywołania:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Role użytkownika możesz wyświetlić za pomocą tego polecenia:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

Aby usunąć użytkownika z organizacji, odbierz mu wszystkie role w tej organizacji. Aby odebrać rolę użytkownikowi, użyj tego polecenia:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

Dodawanie administratora systemu

Administrator systemu może:

  • Utwórz organizacje
  • Dodawanie routerów, procesorów wiadomości i innych komponentów do instalacji Edge
  • Konfigurowanie TLS/SSL
  • Tworzenie dodatkowych administratorów systemu
  • Wykonywanie wszystkich zadań administracyjnych na Edge

O ile tylko jeden użytkownik jest domyślnym użytkownikiem zadań administracyjnych, może być więcej niż administratora systemu. Każdy użytkownik będący członkiem „sysadmin” rola ma pełną uprawnienia dostępu do wszystkich zasobów.

Możesz utworzyć użytkownika dla administratora systemu w interfejsie Edge lub API. Pamiętaj jednak: musisz użyć interfejsu Edge API, aby przypisać użytkownikowi rolę „sysadmin”. Przypisanie do instancji „sysadmin” roli nie można wykonać w interfejsie Edge.

Aby dodać administratora systemu:

  1. Utwórz użytkownika w interfejsie użytkownika lub interfejsie API Edge.
  2. Dodaj użytkownika do folderu „sysadmin” rola: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
  3. Sprawdź, czy nowy użytkownik jest w folderze „sysadmin” rola: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

    Zwraca adres e-mail użytkownika:

    [ " foo@bar.com " ]
  4. Sprawdź uprawnienia nowego użytkownika: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

    Zwraca:

    {
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}
  5. Po dodaniu nowego administratora systemu możesz dodać użytkownika do dowolnej organizacji.
  6. Jeśli później zechcesz odebrać użytkownikowi rolę administratora systemu, możesz użyć ten interfejs API: 
    curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com

    Pamiętaj, że to wywołanie jedynie usuwa użytkownika z roli, a nie go nie usuwa.

Zmiana domyślnego administratora systemu użytkownik

Podczas instalowania Edge podajesz adres e-mail administratora systemu. Krawędź tworzy użytkownika o tym adresie e-mail i ustawia go jako system domyślny . Później możesz dodać kolejnych administratorów systemu w sposób opisany powyżej.

W tej sekcji opisano, jak zmienić domyślnego administratora systemu na innego użytkownika, i jak zmienić adres e-mail konta użytkownika w bieżącym systemie domyślnym. .

Aby zobaczyć listę użytkowników obecnie skonfigurowanych jako administratorzy systemu, użyj następującego interfejsu API zadzwoń:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Aby określić bieżącego domyślnego administratora systemu, wyświetl: /opt/apigee/customer/defaults.sh. Plik zawiera następujący wiersz: adres e-mail bieżącego domyślnego administratora systemu:

ADMIN_EMAIL=foo@bar.com

Aby zmienić domyślnego administratora systemu na innego użytkownika:

  1. Utwórz nowego administratora systemu w sposób opisany powyżej lub upewnij się, że konto użytkownika nowy administrator systemu jest już skonfigurowany jako administrator systemu.
  2. Edytuj /opt/apigee/customer/defaults.sh na ustaw ADMIN_EMAIL na adres e-mail nowego administratora systemu.
  3. Edytuj plik konfiguracji cichej użyty do zainstalowania interfejsu Edge, aby ustawić następujące ustawienia: właściwości: 
    ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y

    Musisz dodać właściwości SMTP, ponieważ wszystkie właściwości w interfejsie użytkownika są .

  4. Skonfiguruj ponownie interfejs użytkownika Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-ui start

Jeśli chcesz tylko zmienić domyślny adres e-mail konta użytkownika administratora systemu, zaktualizuj konto użytkownika, aby ustawić nowy adres e-mail, a następnie zmień domyślny adres e-mail administratora systemu:

  1. Zaktualizuj konto użytkownika bieżącego domyślnego administratora systemu, podając nowy adres e-mail adres: 
    curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'
  2. Powtórz kroki 2, 3 i 4 z poprzedniej procedury, aby zaktualizować /opt/apigee/customer/defaults.sh i zaktualizować interfejs Edge.

Określanie domeny e-mail systemu administrator

Aby zwiększyć bezpieczeństwo, możesz określić wymaganą domenę poczty e-mail w systemie Edge . Podczas dodawania administratora systemu, jeśli adres e-mail użytkownika nie znajduje się w w określonej domenie, a następnie dodanie użytkownika do sekcji „sysadmin” .

Domyślnie wymagana domena jest pusta, co oznacza, że do domeny można dodać dowolny adres e-mail „sysadmin” rolę użytkownika.

Aby ustawić domenę e-mail:

  1. Otwórz plik management-server.properties w edytorze: 
    vi /opt/apigee/customer/application/management-server.properties

    Jeśli ten plik nie istnieje, utwórz go.

  2. Ustaw conf_security_rbac.global.roles.allowed.domains na rozdzielaną przecinkami listę dozwolonych domen. Na przykład: 
    conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
  3. Zapisz zmiany.
  4. Ponownie uruchom serwer zarządzania brzegiem: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

    Jeśli spróbujesz dodać użytkownika do konsoli „sysadmin” i adres e-mail użytkownika, nie należy do jednej z podanych domen, dodanie zakończy się niepowodzeniem.

Usuwanie konta użytkownika

Użytkownika możesz utworzyć za pomocą interfejsu Edge API lub interfejsu Edge. Możesz jednak tylko usunąć użytkownika za pomocą interfejsu API.

Aby zobaczyć listę bieżących użytkowników, w tym adresy e-mail, użyj następujących Polecenie curl:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

Aby usunąć konto użytkownika, użyj tego polecenia curl:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL