Questa pagina è stata tradotta dall'API Cloud Translation.

Installare e configurare Apigee SSO

Per installare e configurare il modulo SSO di Apigee con un IDP esterno, devi svolgere i seguenti passaggi:

Creare chiavi e certificati.
Configura la configurazione SSO di base di Apigee: il file di base deve includere le proprietà comuni a tutte le configurazioni SSO.
Aggiungi proprietà di configurazione specifiche per l'IdP: utilizza uno dei seguenti blocchi di proprietà di configurazione specifici per l'IdP nel file di configurazione:
Installa Apigee SSO: installa il modulo Apigee SSO e passa il file di configurazione all'installatore.

Ciascuno di questi passaggi è descritto nelle sezioni seguenti.

Creare chiavi e certificati

Questa sezione descrive come creare certificati autofirmati che potrebbero essere adatti per il tuo ambiente di test, ma devi utilizzare certificati firmati da un'autorità di certificazione (CA) per un ambiente di produzione.

Per creare la coppia di chiavi da firmare per la verifica:

Come utente sudo, crea la seguente nuova directory:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/jwt-keys/

Nota: se utilizzi RHEL 9 o un sistema operativo simile, è possibile che tu stia usando OpenSSL 3.X. In questi casi, aggiungi il flag -traditional al comando OpenSSL per assicurarti che le chiavi e i certificati vengano generati nel formato previsto.

Genera la chiave privata con il seguente comando:
```
sudo openssl genrsa -out privkey.pem 2048
```
Genera la chiave pubblica dalla chiave privata con il seguente comando:
```
sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
```
Modifica il proprietario del file PEM di output impostandolo sull'utente "apigee":
```
sudo chown apigee:apigee *.pem
```

Per creare la chiave e il certificato autofirmato, senza passphrase, per la comunicazione con l'IDP:

Come utente sudo, crea una nuova directory:

sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/

Passa alla nuova directory:

cd /opt/apigee/customer/application/apigee-sso/idp/

Genera la chiave privata con una passphrase:

sudo openssl genrsa -aes256 -out server.key 1024

Rimuovi la passphrase dalla chiave:

sudo openssl rsa -in server.key -out server.key

Genera la richiesta di firma del certificato per la CA:

sudo openssl req -x509 -sha256 -new -key server.key -out server.csr

Genera un certificato autofirmato con una scadenza di 365 giorni:

sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt

Cambia il proprietario del file della chiave e del file CRT in "apigee":

sudo chown apigee:apigee server.key
sudo chown apigee:apigee selfsigned.crt

Per attivare TLS nel modulo SSO di Apigee, impostando SSO_TOMCAT_PROFILE su SSL_TERMINATION o su SSL_PROXY, non puoi utilizzare un certificato autofirmato. Devi generare un certificato da un'autorità di certificazione. Per saperne di più, consulta Configurare l'accesso SSO di Apigee per HTTPS.

Impostazioni di configurazione SSO di Apigee

Prima di poter installare il modulo SSO di Apigee, devi definire un file di configurazione. Devi passare questo file di configurazione al programma di installazione quando installi il modulo SSO di Apigee.

Il file di configurazione ha il seguente formato:

IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
# Define External IDP #
# Use one of the following configuration blocks to #
# define your IDP settings: #
# - SAML configuration properties #
# - LDAP Direct Binding configuration properties #
# - LDAP Indirect Binding configuration properties #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

Proprietà di configurazione SSO SAML

Se utilizzi SAML per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione (definito sopra):

## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# SAML service provider key and cert from Create the TLS keys and certificates above.
SSO_SAML_SERVICE_PROVIDER_KEY=/opt/apigee/customer/application/apigee-sso/saml/server.key
SSO_SAML_SERVICE_PROVIDER_CERTIFICATE=/opt/apigee/customer/application/apigee-sso/saml/selfsigned.crt

# The passphrase used when you created the SAML cert and key.
# The section "Create the TLS keys and certificates" above removes the passphrase,
# but this property is available if you require a passphrase.
# SSO_SAML_SERVICE_PROVIDER_PASSWORD=samlSP123

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

Proprietà di configurazione dell'associazione diretta LDAP

Se utilizzi l'associazione diretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente:

## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

Proprietà di configurazione dell'associazione indiretta LDAP

Se utilizzi l'associazione indiretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente:

## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter

# Nome dell'attributo utilizzato dal server LDAP per fare riferimento all'indirizzo email dell'utente; ad esempio, "mail" SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

Installa il modulo SSO di Apigee

Dopo aver creato le chiavi e configurato il file di configurazione, puoi installare il modulo SSO di Apigee.

Per installare il modulo SSO di Apigee:

Accedi al nodo del server di gestione. In questo nodo dovrebbe essere già installato apigee-service, come descritto in Installare l'utilità apigee-setup di Edge.
In alternativa, puoi installare il modulo SSO di Apigee su un altro nodo. Tuttavia, il nodo deve essere in grado di accedere al server di gestione tramite la porta 8080.
Installa e configura apigee-sso eseguendo questo comando:
```
/opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile
```
dove configFile è il file di configurazione che hai definito sopra.
Installa l'utilità apigee-ssoadminapi.sh utilizzata per gestire gli utenti amministrativo e della macchina per il modulo apigee-sso:
```
/opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
```
Esci dalla shell e accedi di nuovo per aggiungere l'utilità apigee-ssoadminapi.sh al percorso.

Specificare un file di metadati anziché un URL

Se il tuo IdP non supporta un URL dei metadati HTTP/HTTPS, puoi utilizzare un file XML dei metadati per configurare SSO Apigee.

Per utilizzare un file di metadati anziché un URL per configurare il servizio SSO di Apigee:

Copia i contenuti del file XML dei metadati dal tuo IdP in un file sul nodo SSO di Apigee. Ad esempio, copia il file XML in:
```
/opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
NOTA: il nome del file deve essere metadata.xml.

Cambia la proprietà del file XML con l'utente "apigee":

chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml

Imposta il valore di SSO_SAML_IDP_METADATA_URL sul percorso assoluto del file:
```
SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml
```
Devi anteporre al percorso del file il prefisso "file://", seguito dal percorso assoluto dalla radice (/).