این صفحه به‌وسیله ‏Cloud Translation API‏ ترجمه شده است.

Apigee SSO را نصب و پیکربندی کنید

برای نصب و پیکربندی ماژول Apigee SSO با یک IDP خارجی، باید موارد زیر را انجام دهید:

کلیدها و گواهی ها را ایجاد کنید .
پیکربندی پایه Apigee SSO را تنظیم کنید : فایل پایه باید دارای ویژگی هایی باشد که در همه پیکربندی های SSO مشترک است.
افزودن ویژگی‌های پیکربندی خاص IDP: از یکی از بلوک‌های ویژگی‌های پیکربندی خاص IDP زیر در فایل پیکربندی خود استفاده کنید:
نصب Apigee SSO : ماژول Apigee SSO را نصب کرده و فایل پیکربندی را به نصب کننده ارسال کنید.

هر یک از این مراحل در بخش های بعدی توضیح داده شده است.

کلیدها و گواهی ها را ایجاد کنید

این بخش نحوه ایجاد گواهی‌های خودامضا را توضیح می‌دهد که ممکن است برای محیط آزمایش شما مناسب باشد، اما باید از گواهی‌هایی که توسط یک مرجع صدور گواهی (CA) امضا شده‌اند برای محیط تولید استفاده کنید.

برای ایجاد جفت کلید برای امضا برای تأیید:

به عنوان یک کاربر sudo، دایرکتوری جدید زیر را ایجاد کنید:
```
sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
```

تغییر به دایرکتوری جدید:

cd /opt/apigee/customer/application/apigee-sso/jwt-keys/

توجه: اگر از RHEL 9 یا یک سیستم عامل مشابه استفاده می کنید، ممکن است از OpenSSL 3.X استفاده کنید. در چنین مواردی، پرچم -traditional را به دستور OpenSSL اضافه کنید تا مطمئن شوید که کلیدها و گواهی ها در قالب مورد انتظار تولید می شوند. به عنوان مثال:

sudo openssl genrsa -out privkey.pem -traditional 2048

کلید خصوصی را با دستور زیر تولید کنید:
```
sudo openssl genrsa -out privkey.pem 2048
```
با دستور زیر کلید عمومی را از کلید خصوصی تولید کنید:
```
sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
```
مالک فایل PEM خروجی را به کاربر "apigee" تغییر دهید:
```
sudo chown apigee:apigee *.pem
```

برای ایجاد گواهی کلید و خودامضا، بدون عبارت عبور، برای ارتباط با IDP:

به عنوان یک کاربر sudo، یک دایرکتوری جدید بسازید:
```
sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/
```

تغییر به دایرکتوری جدید:

cd /opt/apigee/customer/application/apigee-sso/idp/

کلید خصوصی خود را با یک عبارت عبور ایجاد کنید:
```
sudo openssl genrsa -out server.key 2048
```
عبارت عبور را از کلید حذف کنید:
```
sudo openssl rsa -in server.key -out server.key
```

ایجاد درخواست امضای گواهی برای CA:

sudo openssl req -x509 -sha256 -new -key server.key -out server.csr

تولید گواهی خودامضا با 365 روز زمان انقضا:

sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt

صادر کردن کلید و گواهی به یک فروشگاه کلید:

کلید و گواهی را به یک فروشگاه کلید PKCS12 صادر کنید:

sudo openssl pkcs12 -export -clcerts -in <certificate_path> -inkey <key_path> -out <keystore_path> -name <alias>

پارامترها:

certificate_path : مسیر گواهی ایجاد شده در مرحله 6.
key_path : مسیر کلید خصوصی تولید شده در مرحله 3.
keystore_path : مسیری به فروشگاه کلید PKCS12 ایجاد شده جدید حاوی گواهی و کلید خصوصی.
alias : نام مستعار برای ارجاع به جفت کلید و گواهی در فروشگاه کلید استفاده می شود.

برای جزئیات بیشتر به اسناد OpenSSL مراجعه کنید.

توجه: اگر از Edge برای Private Cloud با سیستم عامل‌های دارای FIPS استفاده می‌کنید، توصیه می‌شود از PKCS12 به عنوان ذخیره‌سازی کلید استفاده کنید. برای تبدیل PKCS12 به JKS می توانید مرحله زیر را رد کنید و اگر ترجیح می دهید از یک فروشگاه کلید PKCS12 استفاده کنید، SSO_SAML_SERVICE_PROVIDER_KEYSTORE_TYPE را به PKCS12 تنظیم کنید.

(اختیاری) صادرات کلید و گواهی از PKCS12 به فروشگاه کلید JKS:

sudo keytool -importkeystore -srckeystore <PKCS12_keystore_path> -srcstoretype PKCS12 
-destkeystore <destination_keystore_path> -deststoretype JKS -alias <alias>

پارامترها:

PKCS12_keystore_path : مسیری به فروشگاه کلید PKCS12 ایجاد شده در مرحله 7 حاوی گواهی و کلید خصوصی.
destination_keystore_path : مسیری به فروشگاه کلید JKS ایجاد شده جدید حاوی گواهی و کلید یکسان.
alias : نام مستعار برای جفت کلید و گواهی در فروشگاه کلید JKS استفاده می شود.

برای جزئیات بیشتر به مستندات ابزار کلید مراجعه کنید.

مالک فایل keystore خروجی را به کاربر "apigee" تغییر دهید:
```
sudo chown apigee:apigee <keystore_file>
```
ویژگی های زیر را در silent.conf به روز کنید:

# Path to your keystore  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PATH=/opt/apigee/customer/application/apigee-sso/saml/keystore.p12  

# Keystore password
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PASSWORD=Secret123

# Alias within keystore that stores the key and certificate  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_ALIAS=service-provider-cert  

# [Optional] Only specify if you are using something other than JKS. Values could be PKCS12 or BCFKS  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_TYPE=JKS

برای فعال کردن TLS در ماژول Apigee SSO، با تنظیم SSO_TOMCAT_PROFILE بر روی SSL_TERMINATION یا SSL_PROXY ، نمی‌توانید از گواهی امضاشده خود استفاده کنید. شما باید یک گواهی از یک CA ایجاد کنید. برای اطلاعات بیشتر به پیکربندی Apigee SSO برای دسترسی HTTPS مراجعه کنید.

تنظیمات پیکربندی Apigee SSO

قبل از اینکه بتوانید ماژول Apigee SSO را نصب کنید، باید یک فایل پیکربندی تعریف کنید. هنگام نصب ماژول Apigee SSO، این فایل پیکربندی را به نصب کننده ارسال می کنید.

فایل پیکربندی به شکل زیر است:

IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

ویژگی های پیکربندی SAML SSO

اگر از SAML برای IDP خود استفاده می کنید، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید (تعریف شده در بالا):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# Keystore configuration details
# [Optional] Only specify KEYSTORE_TYPE if you are using something other than JKS. Values could be PKCS12 or BCFKS.
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PATH=/opt/apigee/customer/application/apigee-sso/saml/keystore.jks
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PASSWORD=Secret123
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_ALIAS=service-provider-cert
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_TYPE=JKS

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

ویژگی های پیکربندی LDAP Direct Binding

اگر از اتصال مستقیم LDAP برای IDP خود استفاده می کنید، همانطور که در مثال بالا نشان داده شده است، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید:

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

ویژگی های پیکربندی اتصال غیر مستقیم LDAP

اگر از اتصال غیر مستقیم LDAP برای IDP خود استفاده می کنید، همانطور که در مثال بالا نشان داده شده است، از بلوک ویژگی های پیکربندی زیر در فایل پیکربندی خود استفاده کنید:

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

LDAP_email_attribute

ماژول Apigee SSO را نصب کنید

پس از ایجاد کلیدها و تنظیم فایل پیکربندی خود، می توانید ماژول Apigee SSO را نصب کنید.

برای نصب ماژول Apigee SSO:

وارد گره مدیریت سرور شوید. همانطور که در Install the Edge apigee-setup utility توضیح داده شده است، آن گره باید قبلاً apigee-service نصب کرده باشد.
همچنین، می‌توانید ماژول Apigee SSO را روی یک گره دیگر نصب کنید. با این حال، آن گره باید بتواند از طریق پورت 8080 به مدیریت سرور دسترسی داشته باشد.
apigee-sso را با اجرای دستور زیر نصب و پیکربندی کنید:
```
/opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile
```
جایی که configFile فایل پیکربندی است که در بالا تعریف کردید.
ابزار apigee-ssoadminapi.sh مورد استفاده برای مدیریت مدیران و کاربران ماشین برای ماژول apigee-sso را نصب کنید:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
```
از پوسته خارج شوید و دوباره وارد شوید تا ابزار apigee-ssoadminapi.sh را به مسیر خود اضافه کنید.

به جای URL یک فایل فراداده را مشخص کنید

اگر IDP شما از URL فراداده HTTP/HTTPS پشتیبانی نمی کند، می توانید از فایل XML فراداده برای پیکربندی Apigee SSO استفاده کنید.

برای استفاده از یک فایل فراداده به جای URL برای پیکربندی Apigee SSO:

محتویات فراداده XML را از IDP خود در فایلی در گره Apigee SSO کپی کنید. به عنوان مثال، XML را در زیر کپی کنید:
```
/opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
توجه: نام فایل باید metadata.xml باشد.

تغییر مالکیت فایل XML به کاربر "apigee":

chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

مقدار SSO_SAML_IDP_METADATA_URL را روی مسیر فایل مطلق تنظیم کنید:
```
SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
شما باید مسیر فایل را با " file:// " پیشوند و به دنبال آن مسیر مطلق از ریشه (/) قرار دهید.