Installare e configurare Apigee SSO

Per installare e configurare il modulo SSO di Apigee con un IDP esterno, devi svolgere i seguenti passaggi:

  1. Crea chiavi e certificati.
  2. Configura la configurazione SSO di base di Apigee: il file di base deve includere le proprietà comuni a tutte le configurazioni SSO.
  3. Aggiungi proprietà di configurazione specifiche per l'IdP: utilizza uno dei seguenti blocchi di proprietà di configurazione specifici per l'IdP nel file di configurazione:
  4. Installa Apigee SSO: installa il modulo Apigee SSO e passa il file di configurazione all'installatore.

Ogni passaggio è descritto nelle sezioni seguenti.

Creare chiavi e certificati

Questa sezione descrive come creare certificati autofirmati che potrebbero essere adatti per il tuo ambiente di test, ma devi utilizzare certificati firmati da un'autorità di certificazione (CA) per un ambiente di produzione.

Per creare la coppia di chiavi da firmare per la verifica:

  1. Come utente sudo, crea la seguente nuova directory: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/jwt-keys
  2. Passa alla nuova directory: 
    cd /opt/apigee/customer/application/apigee-sso/jwt-keys/
  3. Genera la chiave privata con il seguente comando: 
    sudo openssl genrsa -out privkey.pem 2048
  4. Genera la chiave pubblica dalla chiave privata con il seguente comando: 
    sudo openssl rsa -pubout -in privkey.pem -out pubkey.pem
  5. Modifica il proprietario del file PEM di output impostandolo sull'utente "apigee": 
    sudo chown apigee:apigee *.pem

Per creare la chiave e il certificato autofirmato, senza passphrase, per la comunicazione con l'IDP:

  1. Come utente sudo, crea una nuova directory: 
    sudo mkdir -p /opt/apigee/customer/application/apigee-sso/idp/
  2. Passa alla nuova directory: 
    cd /opt/apigee/customer/application/apigee-sso/idp/
  3. Genera la chiave privata con una passphrase: 
    sudo openssl genrsa -out server.key 2048
  4. Rimuovi la passphrase dalla chiave: 
    sudo openssl rsa -in server.key -out server.key
  5. Genera la richiesta di firma del certificato per la CA: 
    sudo openssl req -x509 -sha256 -new -key server.key -out server.csr
  6. Genera un certificato autofirmato con un'ora di scadenza di 365 giorni: 
    sudo openssl x509 -sha256 -days 365 -in server.csr -signkey server.key -out selfsigned.crt
  7. Esporta la chiave e il certificato in un keystore:
    1. Esporta la chiave e il certificato in un keystore PKCS12:
      2. sudo openssl pkcs12 -export -clcerts -in <certificate_path> -inkey <key_path> -out <keystore_path> -name <alias>

      Parametri:

      • certificate_path: percorso del certificato creato nel passaggio 6.
      • key_path: percorso della chiave privata generata nel passaggio 3.
      • keystore_path: percorso del keystore PKCS12 appena creato contenente il certificato e la chiave privata.
      • alias: alias utilizzato per fare riferimento alla coppia di chiavi e certificati all'interno dell'archivio chiavi.

      Per ulteriori dettagli, consulta la documentazione di OpenSSL.

    2. (Facoltativo) Esporta la chiave e il certificato dal keystore PKCS12 al keystore JKS:
      3. sudo keytool -importkeystore -srckeystore <PKCS12_keystore_path> -srcstoretype PKCS12 
-destkeystore <destination_keystore_path> -deststoretype JKS -alias <alias>

      Parametri:

      • PKCS12_keystore_path: percorso dell'archivio chiavi PKCS12 creato nel passaggio 7 contenente il certificato e la chiave privata.
      • destination_keystore_path: percorso dell'archivio chiavi JKS appena creato contenente lo stesso certificato e la stessa chiave.
      • alias: alias utilizzato per la coppia di chiavi e certificati all'interno dell'archivio chiavi JKS.

      Per ulteriori dettagli, consulta la documentazione di keytool.

    3. Modifica il proprietario del file del keystore di output impostandolo sull'utente "apigee": 
      sudo chown apigee:apigee <keystore_file>
    4. Aggiorna le seguenti proprietà in silent.conf:
      5. # Path to your keystore  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PATH=/opt/apigee/customer/application/apigee-sso/saml/keystore.p12  

# Keystore password
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PASSWORD=Secret123

# Alias within keystore that stores the key and certificate  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_ALIAS=service-provider-cert  

# [Optional] Only specify if you are using something other than JKS. Values could be PKCS12 or BCFKS  
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_TYPE=JKS

    Per attivare TLS nel modulo SSO di Apigee, impostando SSO_TOMCAT_PROFILE su SSL_TERMINATION o su SSL_PROXY, non puoi utilizzare un certificato autofirmato. Devi generare un certificato da un'autorità di certificazione. Per ulteriori informazioni, consulta Configurare SSO Apigee per l'accesso HTTPS.

    Impostazioni di configurazione SSO di Apigee

    Prima di poter installare il modulo SSO di Apigee, devi definire un file di configurazione. Trasmetti questo file di configurazione all'installatore quando installi il modulo SSO di Apigee.

    Il file di configurazione ha il seguente formato:

    IP1=hostname_or_IP_of_apigee_SSO
IP2=hostname_or_IP_of_apigee_SSO

## Management Server configuration.
# Management Server IP address and port
MSIP=$IP1
MGMT_PORT=8080
# Edge sys admin username and password as set when you installed Edge.
ADMIN_EMAIL=opdk@google.com
APIGEE_ADMINPW=Secret123
# Set the protocol for the Edge management API. Default is http.
# Set to https if you enabled TLS on the management API.
MS_SCHEME=http

## Postgres configuration.
# Postgres IP address and port
PG_HOST=$IP1
PG_PORT=5432
# Postgres username and password as set when you installed Edge.
PG_USER=apigee
PG_PWD=postgres

## Apigee SSO module configuration.
# Choose either "saml" or "ldap".
SSO_PROFILE="[saml|ldap]"
# Externally accessible IP or DNS name of apigee-sso.
SSO_PUBLIC_URL_HOSTNAME=$IP2
SSO_PG_DB_NAME=database_name_for_sso

# Default port is 9099. If changing, set both properties to the same value.
SSO_PUBLIC_URL_PORT=9099
SSO_TOMCAT_PORT=9099
# Set Tomcat TLS mode to DEFAULT to use HTTP access to apigee-sso.
SSO_TOMCAT_PROFILE=DEFAULT
SSO_PUBLIC_URL_SCHEME=http

# SSO admin user name. The default is ssoadmin.
SSO_ADMIN_NAME=ssoadmin
# SSO admin password using uppercase, lowercase, number, and special chars.
SSO_ADMIN_SECRET=Secret123

# Enable the ability to sign an authentication request with SAML SSO.
SSO_SAML_SIGN_REQUEST=y

# Path to signing key and secret from Create the TLS keys and certificates above.
SSO_JWT_SIGNING_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/privkey.pem
SSO_JWT_VERIFICATION_KEY_FILEPATH=/opt/apigee/customer/application/apigee-sso/jwt-keys/pubkey.pem

###########################################################
#                 Define External IDP                     #
# Use one of the following configuration blocks to        #
# define your IDP settings:                               #
#  - SAML configuration properties                     #
#  - LDAP Direct Binding configuration properties        #
#  - LDAP Indirect Binding configuration properties       #
###########################################################

INSERT_IDP_CONFIG_BLOCK_HERE (SAML, LDAP direct, or LDAP indirect, below)

# Configure an SMTP server so that the Apigee SSO module can send emails to users
SKIP_SMTP=n
SMTPHOST=smtp.example.com
SMTPUSER=smtp@example.com
# omit for no username
SMTPPASSWORD=smtppwd
# omit for no password
SMTPSSL=n
SMTPPORT=25
# The address from which emails are sent
SMTPMAILFROM="My Company <myco@company.com>"

    Proprietà di configurazione SSO SAML

    Se utilizzi SAML per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione (definito sopra):

    ## SAML Configuration Properties
# Insert this section into your base configuration file, as described previously.

# Name of SAML IDP. For example, okta or adfs.
SSO_SAML_IDP_NAME=okta
# Text displayed on the SSO sign-in page after being redirected by either the New or Classic Edge UI for SAML logins.
# Note: Installing SSO does not depend on the Edge UI or which version of the UI you are using.
SSO_SAML_IDP_LOGIN_TEXT="Please log in to your IDP"

# The metadata URL from your IDP.
# If you have a metadata file, and not a URL,
# see "Specifying a metadata file instead of a URL" below.
SSO_SAML_IDP_METADATA_URL=https://dev-343434.oktapreview.com/app/exkar20cl/sso/saml/metadata

# Determines whether to skip TLS validation for the URL specified
# by SSO_SAML_IDP_METADATA_URL.
# This is necessary if the URL uses a self-signed certificate.
# The default value is "n".
SSO_SAML_IDPMETAURL_SKIPSSLVALIDATION=n

# Keystore configuration details
# [Optional] Only specify KEYSTORE_TYPE if you are using something other than JKS. Values could be PKCS12 or BCFKS.
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PATH=/opt/apigee/customer/application/apigee-sso/saml/keystore.jks
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_PASSWORD=Secret123
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_ALIAS=service-provider-cert
SSO_SAML_SERVICE_PROVIDER_KEYSTORE_TYPE=JKS

# Requires that SAML responses be signed by your IDP.
# This property is enabled by default since release 4.50.00.05.
SSO_SAML_SIGNED_ASSERTIONS=y

    Proprietà di configurazione dell'associazione diretta LDAP

    Se utilizzi l'associazione diretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente: 

    ## LDAP Direct Binding configuration
# Insert this section into your base configuration file, as described previously.

# The type of LDAP profile; in this case, "direct"
SSO_LDAP_PROFILE=direct

# The base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# Attribute name used by the LDAP server to refer to the user's email address; for example, "mail"
SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

# Pattern of the user's DN; for example: =cn={0},ou=people,dc=example,dc=org
# If there is more than one pattern, separate with semicolons (";"); for example:
# =cn={0},ou=people,dc=example,dc=org;=cn={0},ou=people,dc=example,dc=com
SSO_LDAP_USER_DN_PATTERN=LDAP_DN_pattern

    Proprietà di configurazione dell'associazione indiretta LDAP

    Se utilizzi l'associazione indiretta LDAP per il tuo IdP, utilizza il seguente blocco di proprietà di configurazione nel file di configurazione, come mostrato nell'esempio precedente: 

    ## LDAP Indirect Binding configuration
# Insert this section into your base configuration file, as described previously.

# Type of LDAP profile; in this case, "indirect"
SSO_LDAP_PROFILE=indirect

# Base URL to which SSO connects; in the form: "ldap://hostname_or_IP:port
SSO_LDAP_BASE_URL=LDAP_base_URL

# DN and password of the LDAP server's admin user
SSO_LDAP_ADMIN_USER_DN=LDAP_admin_DN
SSO_LDAP_ADMIN_PWD=LDAP_admin_password

# LDAP search base; for example, "dc=example,dc=org"
SSO_LDAP_SEARCH_BASE=LDAP_search_base

# LDAP search filter; for example, "cn={0}"
SSO_LDAP_SEARCH_FILTER=LDAP_search_filter
     # Nome dell'attributo utilizzato dal server LDAP per fare riferimento all'indirizzo email dell'utente; ad esempio, "mail" SSO_LDAP_MAIL_ATTRIBUTE=LDAP_email_attribute

    Installa il modulo SSO di Apigee

    Dopo aver creato le chiavi e configurato il file di configurazione, puoi installare il modulo SSO di Apigee.

    Per installare il modulo SSO di Apigee:

    1. Accedi al nodo del server di gestione. In questo nodo dovrebbe essere già installato apigee-service, come descritto in Installare l'utilità apigee-setup di Edge.

      In alternativa, puoi installare il modulo SSO di Apigee su un altro nodo. Tuttavia, il nodo deve essere in grado di accedere al server di gestione tramite la porta 8080.

    2. Installa e configura apigee-sso eseguendo il seguente comando: 
      /opt/apigee/apigee-setup/bin/setup.sh -p sso -f configFile

      dove configFile è il file di configurazione definito sopra.

    3. Installa l'utilità apigee-ssoadminapi.sh utilizzata per gestire gli utenti amministrativo e della macchina per il modulo apigee-sso: 
      /opt/apigee/apigee-service/bin/apigee-service apigee-ssoadminapi install
    4. Esci dalla shell e accedi di nuovo per aggiungere l'utilità apigee-ssoadminapi.sh al percorso.

    Specificare un file di metadati anziché un URL

    Se il tuo IdP non supporta un URL dei metadati HTTP/HTTPS, puoi utilizzare un file XML dei metadati per configurare SSO Apigee.

    Per utilizzare un file di metadati anziché un URL per configurare l'SSO di Apigee:

    1. Copia i contenuti del file XML dei metadati dal tuo IdP in un file sul nodo SSO di Apigee. Ad esempio, copia il codice XML in: 
      /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
    2. Modifica la proprietà del file XML assegnandola all'utente "apigee": 
      chown apigee:apigee /opt/apigee/customer/application/apigee-sso/saml/metadata.xml
    3. Imposta il valore di SSO_SAML_IDP_METADATA_URL sul percorso assoluto del file: 
      SSO_SAML_IDP_METADATA_URL=file:///opt/apigee/customer/application/apigee-sso/saml/metadata.xml

      Devi anteporre al percorso del file il prefisso "file://", seguito dal percorso assoluto dalla radice (/).