In der SAML-Spezifikation werden drei Entitäten definiert:
- Hauptkonto (Edge-UI-Nutzer)
- Dienstanbieter (Apigee-SSO)
- Identitätsanbieter (gibt eine SAML-Assertion zurück)
Wenn SAML aktiviert ist, fordert das Hauptkonto (ein Edge-UI-Nutzer) Zugriff beim Dienstanbieter an (Apigee SSO). Apigee SSO (in seiner Rolle als SAML-Dienstanbieter) fordert dann eine Identitätsbestätigung vom SAML-IdP an und ruft diese ab. Anschließend verwendet diese Assertion, um das OAuth2-Token zu erstellen, das für den Zugriff auf die Edge-Benutzeroberfläche erforderlich ist. Der Nutzer wird dann zur Edge-Benutzeroberfläche weitergeleitet.
So funktioniert's:
In diesem Diagramm:
- Der Nutzer versucht, auf die Edge-Benutzeroberfläche zuzugreifen, indem er eine Anfrage an die Anmelde-URL für die Edge-Benutzeroberfläche stellt. Beispiel:
https://edge_UI_IP_DNS:9000 - Nicht authentifizierte Anfragen werden an den SAML-IdP weitergeleitet. Beispiel: „https://idp.customer.com“.
- Wenn Sie nicht beim Identitätsanbieter angemeldet sind, werden Sie aufgefordert, sich anzumelden.
Sie werden vom SAML-IdP authentifiziert.
Der SAML-IdP generiert eine SAML 2.0-Assertion und gibt sie an das Apigee SSO-Modul zurück.
- Die Apigee-SSO validiert die Assertion, extrahiert die Nutzeridentität aus der Assertion, generiert das OAuth 2-Authentifizierungstoken für die Edge-Benutzeroberfläche und leitet den Nutzer auf die Hauptseite der Edge-UI unter der folgenden URL weiter:
https://edge_ui_IP_DNS:9000/platform/orgName
Dabei ist orgName der Name einer Edge-Organisation.