پیکربندی Apigee SSO برای دسترسی HTTPS

نصب و پیکربندی Apigee SSO نحوه نصب و پیکربندی Apigee SSO برای استفاده از HTTP در درگاه پیش‌فرض ۹۰۹۹ را شرح می‌دهد. به‌طور پیش‌فرض، Apigee SSO از HTTP استفاده می‌کند.

برای فعال کردن دسترسی HTTPS، می‌توانید Apigee SSO را بااستفاده از یکی از حالت‌های زیر پیکربندی کنید:

• SSL_PROXY: «ورود به سیستم یکپارچه Apigee» را در حالت پراکسی پیکربندی می‌کند، یعنی ترازکننده باری را در جلوی گره OpenLDAP نصب کرده‌اید و «امنیت لایه انتقال» را در ترازکننده بار خاتمه داده‌اید. Apigee SSO به HTTP گوش می‌دهد، اما نشانی‌های وب را بااستفاده از طرح HTTPS ترازکننده بار شما صادر می‌کند.
• SSL_TERMINATION: دسترسی TLS را مستقیماً در «شناسایی یگانه» Apigee در درگاه انتخابی شما فعال می‌کند. برای این حالت باید گواهی کدبندی‌شده PEM استاندارد و کلید خصوصی مشخص کنید.

می‌توانید HTTPS را در زمان نصب و پیکربندی اولیه Apigee SSO فعال کنید، یا می‌توانید آن را بعداً فعال کنید.

بخش‌های زیر نشانه‌های اضافی را که باید در فایل‌های پیکربندی (‎/opt/silent.conf و ‎ /opt/apigee/customer/application/openldap.properties) به‌روز شوند شرح می‌دهد. اسکریپت setup-sso به‌طور خودکار متغیرها را از هر دو فایل تجزیه می‌کند، پیکربندی را اعمال می‌کند، و Apigee SSO جاسازی‌شده را راه‌اندازی می‌کند. برای اطلاع از کدهایی که فایل پیکربندی باید برای پیکربندی موفق SSO داشته باشد، به نصب و پیکربندی Apigee SSO مراجعه کنید.

فعال کردن حالت SSL_PROXY

در حالت SSL_PROXY، سیستم شما از متعادل‌کننده بار در جلوی Apigee SSO استفاده می‌کند و TLS را در متعادل‌کننده بار خاتمه می‌دهد. در شکل زیر، متعادل‌کننده بار TLS را در درگاه ۴۴۳ خاتمه می‌دهد و سپس درخواست‌ها را به Apigee SSO در درگاه ۹۰۹۹ بازارسال می‌کند:

در این پیکربندی، به اتصال از متعادل‌کننده بار به گره OpenLDAP اعتماد می‌کنید، بنابراین نیازی به استفاده از TLS برای آن اتصال داخلی نیست. بااین‌حال، نهادهای خارجی، مانند IDP، اکنون باید به Apigee SSO در درگاه ۴۴۳ دسترسی داشته باشند، نه در درگاه محافظت‌نشده ۹۰۹۹.

دلیل پیکربندی Apigee SSO در حالت SSL_PROXY این است که Apigee SSO نشانی‌های وب هدایت مجدد را که IDP به‌صورت خارجی به‌عنوان بخشی از فرایند اصالت‌سنجی استفاده می‌کند به‌طور خودکار تولید می‌کند. بنابراین، این نشانی‌های وب تغییرمسیر باید حاوی شماره درگاه خارجی و طرح HTTPS در متعادل‌کننده بار (درگاه ۴۴۳ در این مثال) باشند، نه درگاه HTTP داخلی در Apigee SSO (درگاه ۹۰۹۹).

برای پیکربندی Apigee SSO برای حالت SSL_PROXY:

1. تنظیمات زیر را به فایل /opt/apigee/customer/application/openldap.properties اضافه کنید:

   # Update the port the Apigee SSO listens on locally.
   etc_sso_config_bind_port=9099
   
   # Set the publicly accessible Issuer URL (the load balancer URL).
   # This prevents setup-sso from automatically appending the port.
   etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS

2. پیکربندی New Edge UI را برای HTTPS با اطمینان از تنظیم ویژگی‌های زیر در فایل /opt/silent.conf به‌روز کنید:

   SSO_PUBLIC_URL_SCHEME=https
   SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
   SSO_PUBLIC_URL_PORT=443

3. دستورگان setup-sso را اجرا کنید تا پیکربندی اعمال شود، «ورود تک‌باره Apigee» بازراه‌اندازی شود، و «سرور مدیریت Edge» به‌طور خودکار به‌روز شود:

   /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf

4. پیکربندی IDP (مانند Okta یا ADFS) را به‌روز کنید تا درخواست HTTPS به متعادل‌کننده بار برای دسترسی به «شناسایی یگانه» Apigee ارسال شود. برای اطلاعات بیشتر، پیکربندی SAML IDP را ببینید.
5. دستورگان پیکربندی واسط کاربر را اجرا کنید تا سرور New Edge UI به‌طور خودکار پیکربندی و بازراه‌اندازی شود:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

فعال کردن حالت SSL_TERMINATION

برای حالت SSL_TERMINATION، باید:

• گواهی و کلید استاندارد «امنیت لایه انتقال» کدبندی‌شده با PEM تولید کنید. برای تولید، باید گواهی‌ای تولید کنید که توسط CA امضا شده باشد. نمی‌توانید از گواهینامه خودامضا استفاده کنید.
• فایل‌های ویژگی را به‌روز کنید تا به درگاه امن متصل شوند و گواهی‌ها را بار کنید.

برای نصب گواهی و کلید:

1. فهرست راهنمایی برای گواهینامه‌ها در گره OpenLDAP ایجاد کنید:

   sudo mkdir -p /opt/apigee/customer/application/certs/

2. گواهی کدبندی‌شده با PEM (.crt) و کلید خصوصی (.key) را در دایرکتوری جدید کپی کنید.
3. مالک دایرکتوری و فایل‌ها را به کاربر «apigee» تغییر دهید و اجازه‌ها را ایمن کنید:

   sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
   sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
   sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

برای پیکربندی Apigee SSO برای حالت SSL_TERMINATION:

1. تنظیمات زیر را به فایل /opt/apigee/customer/application/openldap.properties خود اضافه کنید:

   # 1. Enable HTTPS listener and configure TLS cert/key
   lib_settings_enable_sso_https=true
   etc_sso_config_bind_port_ssl=9443
   etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
   etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key
   
   # 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
   etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443
   
   # 3. (Optional) Disable plain HTTP if only HTTPS is desired
   # lib_settings_enable_sso_http=false

2. پیکربندی New Edge UI را برای HTTPS با اطمینان از تنظیم ویژگی‌های زیر در فایل /opt/silent.conf به‌روز کنید:

   MANAGEMENT_UI_SSO_ENABLED=y
   SSO_PUBLIC_URL_SCHEME=https
   SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
   SSO_PUBLIC_URL_PORT=9443

3. برای اعمال پیکربندی، بازراه‌اندازی Apigee SSO، و به‌روزرسانی خودکار «سرور مدیریت Edge»، دستورگان setup-sso را اجرا کنید:

   /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf

4. پیکربندی IDP خود (مثل Okta یا ADFS) را به‌روز کنید تا درخواست HTTPS در درگاه ۹۴۴۳ برای دسترسی به Apigee SSO ایجاد کند. برای اطلاعات بیشتر، پیکربندی SAML IDP را ببینید.
5. دستورگان پیکربندی واسط کاربر را اجرا کنید تا سرور New Edge UI به‌طور خودکار پیکربندی شود:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf