ضبط الدخول المُوحَّد (SSO) في Apigee للدخول إلى HTTPS

تثبيت خدمة Apigee SSO وضبطها توضِّح كيفية تثبيت خدمة Apigee SSO وضبطها لاستخدام بروتوكول HTTP على المنفذ التلقائي 9099. تستخدم خدمة Apigee SSO بروتوكول HTTP تلقائيًا.

لتفعيل الوصول عبر HTTPS، يمكنك ضبط خدمة Apigee SSO باستخدام أحد الوضعَين التاليَين:

  • SSL_PROXY: يضبط هذا الوضع خدمة Apigee SSO في وضع الخادم الوكيل، ما يعني أنّك ثبّت موازنة حمل أمام عقدة OpenLDAP وأنهيت بروتوكول أمان طبقة النقل (TLS) على موازنة الحمل. تستمع خدمة Apigee SSO إلى طلبات HTTP، ولكنها تصدر عناوين URL باستخدام نظام HTTPS الخاص بموازنة الحمل.
  • SSL_TERMINATION: يفعِّل هذا الوضع الوصول إلى بروتوكول أمان طبقة النقل (TLS) مباشرةً على خدمة Apigee SSO على المنفذ الذي تختاره. عليك تحديد شهادة ومفتاح خاص بتنسيق PEM عادي لهذا الوضع.

يمكنك اختيار تفعيل HTTPS عند تثبيت خدمة Apigee SSO وضبطها لأول مرة، أو يمكنك تفعيلها لاحقًا.

توضِّح الأقسام التالية الرموز الإضافية التي يجب تعديلها في ملفَّي الإعداد (/opt/silent.conf و /opt/apigee/customer/application/openldap.properties). يحلّل النص البرمجي setup-sso تلقائيًا المتغيّرات من كلا الملفَّين ويطبّق الإعداد ويبدأ خدمة Apigee SSO المضمّنة. راجِع مقالة تثبيت خدمة Apigee SSO وضبطها للاطّلاع على الرموز التي يجب أن يتضمّنها ملف الإعداد لإعداد الدخول المُوحَّد (SSO) بنجاح.

تفعيل وضع SSL_PROXY

في وضع SSL_PROXY، يستخدم نظامك موازنة حمل أمام خدمة Apigee SSO وينهي بروتوكول أمان طبقة النقل (TLS) على موازنة الحمل. في الشكل التالي، تنهي موازنة الحمل بروتوكول أمان طبقة النقل (TLS) على المنفذ 443، ثم تعيد توجيه الطلبات إلى خدمة Apigee SSO على المنفذ 9099:

الدخول المُوحَّد باستخدام أداة موازنة الحمل

في هذا الإعداد، أنت تثق بالاتصال من موازنة الحمل إلى عقدة OpenLDAP، لذا ليس هناك حاجة إلى استخدام بروتوكول أمان طبقة النقل (TLS) لهذا الاتصال الداخلي. ومع ذلك، يجب أن تتمكّن الآن الكيانات الخارجية، مثل موفِّر الهوية، من الوصول إلى خدمة Apigee SSO على المنفذ 443، وليس على المنفذ غير المحمي 9099.

إنّ سبب ضبط خدمة Apigee SSO في وضع SSL_PROXY هو أنّ خدمة Apigee SSO تنشئ تلقائيًا عناوين URL لإعادة التوجيه يستخدمها موفِّر الهوية خارجيًا كجزء من عملية المصادقة. لذلك، يجب أن تتضمّن عناوين URL لإعادة التوجيه هذه رقم المنفذ الخارجي ونظام HTTPS على موازنة الحمل (المنفذ 443 في هذا المثال)، وليس منفذ HTTP الداخلي على خدمة Apigee SSO (المنفذ 9099).

لضبط خدمة Apigee SSO لوضع SSL_PROXY، اتّبِع الخطوات التالية:

  1. أضِف الإعدادات التالية إلى ملف /opt/apigee/customer/application/openldap.properties: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. عدِّل إعدادات واجهة مستخدم New Edge لبروتوكول HTTPS من خلال التأكّد من ضبط الخصائص التالية في ملف /opt/silent.conf: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. نفِّذ النص البرمجي setup-sso لتطبيق الإعداد وإعادة تشغيل خدمة Apigee SSO وتعديل خادم إدارة Edge تلقائيًا:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. عدِّل إعدادات موفِّر الهوية (مثل Okta أو ADFS) لإرسال طلب HTTPS إلى موازنة الحمل للوصول إلى خدمة Apigee SSO. لمزيد من المعلومات، يُرجى الاطّلاع على مقالة ضبط موفِّر الهوية SAML.
  5. نفِّذ النص البرمجي لإعداد واجهة المستخدم لضبط خادم واجهة مستخدم New Edge وإعادة تشغيله تلقائيًا: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

تفعيل وضع SSL_TERMINATION

بالنسبة إلى وضع SSL_TERMINATION، عليك تنفيذ ما يلي:

  • إنشاء شهادة ومفتاح بروتوكول أمان طبقة النقل (TLS) بتنسيق PEM عادي. بالنسبة إلى بيئة الإنتاج، عليك إنشاء شهادة موقَّعة من قِبل هيئة إصدار الشهادات (CA). لا يمكنك استخدام شهادة موقَّعة ذاتيًا.
  • تعديل ملفات الخصائص للربط بالمنفذ الآمن وتحميل الشهادات.

لتثبيت الشهادة والمفتاح، اتّبِع الخطوات التالية:

  1. أنشئ دليلًا للشهادات على عقدة OpenLDAP: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. انسخ الشهادة (.crt) والمفتاح الخاص (.key) بتنسيق PEM إلى الدليل الجديد.
  3. غيِّر مالك الدليل والملفات إلى المستخدم "apigee"، وحمِّ الأذونات: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

لضبط خدمة Apigee SSO لوضع SSL_TERMINATION، اتّبِع الخطوات التالية:

  1. أضِف الإعدادات التالية إلى ملف /opt/apigee/customer/application/openldap.properties: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. عدِّل إعدادات واجهة مستخدم New Edge لبروتوكول HTTPS من خلال التأكّد من ضبط الخصائص التالية في ملف /opt/silent.conf: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. نفِّذ النص البرمجي setup-sso لتطبيق الإعداد وإعادة تشغيل خدمة Apigee SSO وتعديل خادم إدارة Edge تلقائيًا: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. عدِّل إعدادات موفِّر الهوية (مثل Okta أو ADFS) لإرسال طلب HTTPS على المنفذ 9443 للوصول إلى خدمة Apigee SSO. لمزيد من المعلومات، يُرجى الاطّلاع على مقالة ضبط موفِّر الهوية SAML.
  5. نفِّذ النص البرمجي لإعداد واجهة المستخدم لضبط خادم واجهة مستخدم New Edge تلقائيًا: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf