Nesta seção, fornecemos uma visão geral de como os serviços de diretório externo se integram a um Apigee Edge para instalação de nuvem privada. Esse recurso foi desenvolvido para funcionar com qualquer serviço de diretório compatível com LDAP, como o Active Directory, o OpenLDAP e outros.
Uma solução LDAP externa permite que os administradores do sistema gerenciem credenciais de usuário a partir de um serviço de gerenciamento de diretórios centralizado, externo a sistemas como o Apigee Edge que as utilizam. O recurso descrito neste documento é compatível com autenticação de vinculação direta e indireta.
Para instruções detalhadas sobre a configuração de um serviço de diretório externo, consulte Como configurar a autenticação externa.
Público
Neste documento, pressupõe-se que você seja um administrador do sistema global do Apigee Edge para nuvem privada e que tenha uma conta do serviço de diretório externo.
Visão geral
Por padrão, o Apigee Edge usa uma instância interna do OpenLDAP para armazenar credenciais utilizadas na autenticação de usuários. No entanto, é possível configurar o Edge para usar um serviço LDAP de autenticação externa em vez de um interno. O procedimento para essa configuração externa é explicado neste documento.
O Edge também armazena as credenciais de autorização de acesso com base em papéis em uma instância LDAP separada e interna. Independentemente de você configurar um serviço de autenticação externo, as credenciais de autorização são sempre armazenadas nessa instância LDAP interna. O procedimento para adicionar usuários que existem no sistema LDAP externo ao LDAP de autorização de borda é explicado neste documento.
A autenticação se refere à validação da identidade de um usuário. Já a autorização se refere à verificação do nível de permissão concedido a um usuário autenticado para usar os recursos do Apigee Edge.
O que você precisa saber sobre a autenticação e autorização do Edge
É útil entender a diferença entre autenticação e autorização e como o Apigee Edge gerencia essas duas atividades.
Sobre a autenticação
Os usuários que acessam o Apigee Edge por meio da interface ou de APIs precisam ser autenticados. Por padrão, as credenciais do usuário do Edge para autenticação são armazenadas em uma instância interna do OpenLDAP. Normalmente, os usuários precisam se registrar ou ser solicitados a se registrar em uma conta da Apigee e, nesse momento, fornecem o nome de usuário, endereço de e-mail, credenciais de senha e outros metadados. Essas informações são armazenadas e gerenciadas pelo LDAP de autenticação.
No entanto, se você quiser usar um LDAP externo para gerenciar credenciais de usuário em nome do Edge, poderá fazer isso configurando o Edge para usar o sistema LDAP externo em vez do interno. Quando um LDAP externo é configurado, as credenciais do usuário são validadas em relação a esse armazenamento externo, conforme explicado neste documento.
Sobre a autorização
Os administradores da organização de borda podem conceder permissões específicas para que os usuários interajam com entidades do Apigee Edge, como proxies de API, produtos, caches, implantações e assim por diante. As permissões são concedidas por meio da atribuição de papéis aos usuários. O Edge inclui vários papéis integrados e, se necessário, os administradores da organização podem definir papéis personalizados. Por exemplo, um usuário pode receber autorização (por meio de um papel) para criar e atualizar proxies de API, mas não para implantá-los em um ambiente de produção.
A credencial de chave usada pelo sistema de autorização do Edge é o endereço de e-mail do usuário. Essa credencial (junto com alguns outros metadados) é sempre armazenada no LDAP de autorização interna do Edge. Esse LDAP é totalmente separado do LDAP de autenticação (seja interno ou externo).
Os usuários autenticados por meio de um LDAP externo também precisam ser provisionados manualmente no sistema LDAP de autorização. Os detalhes são explicados neste documento.
Para mais informações sobre autorização e RBAC, consulte Como gerenciar usuários da organização e Como atribuir papéis.
Para uma visão mais detalhada, consulte também Noções básicas sobre os fluxos de autenticação e autorização do Edge.
Noções básicas sobre a autenticação de vinculação direta e indireta
O recurso de autorização externa aceita a autenticação de vinculação direta e indireta por meio do sistema LDAP externo.
Resumo: a autenticação de vinculação indireta requer uma pesquisa no LDAP externo para credenciais que correspondam ao endereço de e-mail, nome de usuário ou outro ID fornecido pelo usuário no login. Com a autenticação de vinculação direta, nenhuma pesquisa é realizada. As credenciais são enviadas e validadas diretamente pelo serviço LDAP. A autenticação de vinculação direta é considerada mais eficiente porque não há pesquisa envolvida.
Sobre a autenticação de vinculação indireta
Com a autenticação de vinculação indireta, o usuário insere uma credencial, como um endereço de e-mail, nome de usuário ou algum outro atributo, e o Edge procura essa credencial/valor no sistema de autenticação. Se o resultado da pesquisa for bem-sucedido, o sistema extrairá o DN LDAP dos resultados da pesquisa e o usará com uma senha fornecida para autenticar o usuário.
O ponto principal que você precisa saber é que a autenticação de vinculação indireta exige o autor da chamada (por exemplo, Apigee Edge) para fornecer credenciais de administrador de LDAP externo para que o Edge possa "fazer login" no LDAP externo e realizar a pesquisa. Forneça essas credenciais em um arquivo de configuração do Edge, descrito posteriormente neste documento. As etapas também são descritas para criptografar a credencial da senha.
Sobre a autenticação de vinculação direta
Com a autenticação de vinculação direta, o Edge envia as credenciais inseridas por um usuário diretamente ao sistema de autenticação externo. Nesse caso, nenhuma pesquisa é realizada no sistema externo. As credenciais fornecidas são bem-sucedidas ou apresentam falha. Por exemplo, se o usuário não estiver presente no LDAP externo ou se a senha estiver incorreta, o login falhará.
A autenticação de vinculação direta não exige que você configure credenciais de administrador para o sistema de autenticação externo no Apigee Edge (como na autenticação de vinculação indireta). No entanto, é necessário executar uma etapa de configuração simples, descrita em Como configurar a autenticação externa.
Acesse a comunidade Apigee
A Comunidade Apigee (em inglês) é um recurso sem custo financeiro onde você pode entrar em contato com a Apigee e outros clientes da Apigee com perguntas, dicas e outros problemas. Antes de postar na comunidade, primeiro pesquise as postagens existentes para ver se sua pergunta já foi respondida.