边缘身份验证和授权流程

本文档介绍了身份验证和授权在 Apigee Edge 上的运作方式。在您使用 Apigee Edge 配置外部 LDAP 时，这些信息可能会提供有用的背景信息。

身份验证和授权流程取决于用户是通过管理界面还是通过 API 进行身份验证。

通过界面登录时

当您通过界面登录 Edge 时，Edge 会使用 Edge 全局系统管理员凭据执行单独的登录步骤，登录到 Apigee 管理服务器。

图 1 说明了以下界面登录步骤：

1. 用户在登录界面中输入登录凭证。
2. Edge 使用全局系统管理员凭据登录管理服务器。
3. 全局系统管理员凭据已通过身份验证和授权。界面使用这些凭据发出某些平台 API 请求。
   1. 如果启用了外部身份验证，则会根据外部 LDAP 对凭据进行身份验证，否则会使用内部 Edge LDAP。
   2. 除非您启用外部角色映射，否则始终会针对内部 LDAP 执行授权。
4. 系统会对用户输入的凭据进行身份验证和授权。
   1. 如果启用了外部身份验证，则会根据外部 LDAP 对凭据进行身份验证，否则会使用内部 Edge LDAP。
   2. 除非您启用外部角色映射，否则始终针对内部 LDAP 执行授权。

下图展示了通过 Edge 界面进行的授权和身份验证：

通过 API 登录时

通过 API 登录 Edge 时，系统只会使用通过 API 输入的凭据。与界面登录不同，您无需使用系统管理员凭据单独登录。

图 2 说明了以下 API 登录步骤：

1. 用户在登录界面中输入登录凭证。
2. 系统会对用户输入的凭据进行身份验证和授权。
3. 如果启用了外部身份验证，则会根据外部 LDAP 对凭据进行身份验证，否则会使用内部 Edge LDAP。
4. 除非您启用外部角色映射，否则始终针对内部 LDAP 执行授权。

下图展示了通过 Edge API 进行的授权和身份验证：