HTTPS অ্যাক্সেসের জন্য Apigee SSO কনফিগার করা

Apigee SSO ইনস্টল ও কনফিগার করুন নিবন্ধে ডিফল্ট পোর্ট 9099-এ HTTP ব্যবহার করার জন্য Apigee SSO কীভাবে ইনস্টল ও কনফিগার করতে হয় তা বর্ণনা করা হয়েছে। ডিফল্ট হিসেবে, Apigee SSO HTTP ব্যবহার করে।

HTTPS অ্যাক্সেস চালু করতে, আপনি নিম্নলিখিত মোডগুলির মধ্যে একটি ব্যবহার করে Apigee SSO কনফিগার করতে পারেন:

  • SSL_PROXY: এটি প্রক্সি মোডে Apigee SSO কনফিগার করে, এর অর্থ হল আপনি OpenLDAP নোডের সামনে একটি লোড ব্যালেন্সার ইনস্টল করেছেন এবং লোড ব্যালেন্সারে TLS বন্ধ করেছেন। Apigee SSO, HTTP-তে শোনে, কিন্তু আপনার লোড ব্যালেন্সারের HTTPS স্কিম ব্যবহার করে URL ইস্যু করে।
  • SSL_TERMINATION: আপনার পছন্দের পোর্টে Apigee SSO-তে সরাসরি TLS অ্যাক্সেস চালু করে। এই মোডের জন্য আপনাকে অবশ্যই একটি স্ট্যান্ডার্ড PEM-এনকোডেড সার্টিফিকেট ও প্রাইভেট কী উল্লেখ করতে হবে।

আপনি Apigee SSO ইনস্টল ও কনফিগার করার সময় HTTPS চালু করতে পারেন অথবা পরে এটি চালু করতে পারেন।

নিম্নলিখিত বিভাগে কনফিগারেশন ফাইলে (/opt/silent.conf এবং /opt/apigee/customer/application/openldap.properties) আপডেট করার জন্য অতিরিক্ত টোকেন বর্ণনা করা হয়েছে। setup-sso স্ক্রিপ্ট অটোমেটিক দুটি ফাইল থেকে ভেরিয়েবল পার্স করে, কনফিগারেশন প্রয়োগ করে এবং এম্বেড করা Apigee SSO চালু করে। SSO কনফিগারেশন সফলভাবে করার জন্য কনফিগারেশন ফাইলে যেসব টোকেন থাকতে হবে, সেগুলি সম্পর্কে জানতে Apigee SSO ইনস্টল ও কনফিগার করুন দেখুন।

SSL_PROXY মোড চালু করুন

SSL_PROXY মোডে, আপনার সিস্টেম Apigee SSO-এর সামনে একটি লোড ব্যালেন্সার ব্যবহার করে এবং লোড ব্যালেন্সারে TLS বন্ধ করে। নিচের ছবিতে, লোড ব্যালেন্সার পোর্ট ৪৪৩-এ TLS বন্ধ করে এবং তারপরে পোর্ট ৯০৯৯-এ Apigee SSO-তে অনুরোধ ফরওয়ার্ড করে:

লোড ব্যালেন্সারের সাথে SSO

এই কনফিগারেশনে, আপনি লোড ব্যালেন্সার থেকে OpenLDAP নোডের কানেকশনকে বিশ্বাস করেন, তাই সেই ইন্টার্নাল কানেকশনের জন্য TLS ব্যবহার করার প্রয়োজন নেই। তবে, IDP-এর মতো এক্সটার্নাল এন্টিটিকে এখন অবশ্যই পোর্ট ৪৪৩-এ Apigee SSO অ্যাক্সেস করতে হবে, ৯০৯৯-এর অসুরক্ষিত পোর্টে নয়।

SSL_PROXY মোডে Apigee SSO কনফিগার করার কারণ হল, Apigee SSO অটোমেটিক রিডাইরেক্ট URL জেনারেট করে যা যাচাইকরণ প্রসেসের অংশ হিসেবে IDP-এর মাধ্যমে এক্সটার্নালভাবে ব্যবহার করা হয়। তাই, এই রিডাইরেক্ট URL-এ অবশ্যই লোড ব্যালেন্সারে এক্সটার্নাল পোর্ট নম্বর এবং HTTPS স্কিম থাকতে হবে (এই উদাহরণে পোর্ট 443), এবং Apigee SSO-তে ইন্টার্নাল HTTP পোর্ট (পোর্ট 9099) থাকলে চলবে না।

SSL_PROXY মোডের জন্য Apigee SSO কনফিগার করতে:

  1. আপনার /opt/apigee/customer/application/openldap.properties ফাইলে নিম্নলিখিত সেটিংস যোগ করুন: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. আপনার /opt/silent.conf ফাইলে নিম্নলিখিত প্রপার্টি সেট করা আছে কিনা তা নিশ্চিত করে HTTPS-এর জন্য আপনার New Edge UI কনফিগারেশন আপডেট করুন: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. কনফিগারেশন প্রয়োগ করতে, Apigee SSO রিস্টার্ট করতে এবং Edge ম্যানেজমেন্ট সার্ভার অটোমেটিক আপডেট করতে setup-sso স্ক্রিপ্ট এক্সিকিউট করুন:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Apigee SSO অ্যাক্সেস করার জন্য লোড ব্যালেন্সারে HTTPS অনুরোধ করতে আপনার IDP কনফিগারেশন (যেমন Okta বা ADFS) আপডেট করুন। আরও তথ্যের জন্য, আপনার SAML IDP কনফিগার করুন দেখুন।
  5. New Edge UI সার্ভার অটোমেটিক কনফিগার ও রিস্টার্ট করতে UI কনফিগারেশন স্ক্রিপ্ট এক্সিকিউট করুন: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

SSL_TERMINATION মোড চালু করুন

SSL_TERMINATION মোডের জন্য, আপনাকে অবশ্যই:

  • স্ট্যান্ডার্ড PEM-এনকোডেড TLS সার্টিফিকেট ও 'কী' তৈরি করুন। প্রোডাকশনের জন্য, আপনাকে অবশ্যই CA দ্বারা স্বাক্ষরিত একটি সার্টিফিকেট তৈরি করতে হবে। আপনি সেল্ফ-সাইন করা সার্টিফিকেট ব্যবহার করতে পারবেন না।
  • নিরাপদ পোর্টের সাথে বাইন্ড করতে এবং সার্টিফিকেট লোড করতে প্রপার্টি ফাইল আপডেট করুন।

সার্টিফিকেট ও কী ইনস্টল করতে:

  1. OpenLDAP নোডে সার্টিফিকেটের জন্য একটি ডিরেক্টরি তৈরি করুন: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. নতুন ডিরেক্টরিতে আপনার PEM-এনকোডেড সার্টিফিকেট (.crt) ও প্রাইভেট কী (.key) কপি করুন।
  3. ডিরেক্টরি ও ফাইলের মালিক পরিবর্তন করে "apigee" ব্যবহারকারী হিসেবে সেট করুন এবং অনুমতি সুরক্ষিত করুন: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

SSL_TERMINATION মোডের জন্য Apigee SSO কনফিগার করতে:

  1. আপনার /opt/apigee/customer/application/openldap.properties ফাইলে নিম্নলিখিত সেটিংস যোগ করুন: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. আপনার /opt/silent.conf ফাইলে নিম্নলিখিত প্রপার্টি সেট করা আছে কিনা তা নিশ্চিত করে HTTPS-এর জন্য আপনার New Edge UI কনফিগারেশন আপডেট করুন: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. কনফিগারেশন প্রয়োগ করতে, Apigee SSO রিস্টার্ট করতে এবং Edge ম্যানেজমেন্ট সার্ভার অটোমেটিক আপডেট করতে setup-sso স্ক্রিপ্ট এক্সিকিউট করুন: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Apigee SSO অ্যাক্সেস করার জন্য পোর্ট ৯৪৪৩-এ HTTPS অনুরোধ করতে আপনার IDP কনফিগারেশন (যেমন, Okta বা ADFS) আপডেট করুন। আরও তথ্যের জন্য, আপনার SAML IDP কনফিগার করুন দেখুন।
  5. New Edge UI সার্ভার অটোমেটিক কনফিগার করতে UI কনফিগারেশন স্ক্রিপ্ট এক্সিকিউট করুন: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf