Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Configurer l'authentification unique Apigee pour un accès HTTPS

La section Installer et configurer Apigee SSO explique comment installer et configurer Apigee SSO pour utiliser HTTP sur le port par défaut 9099. Par défaut, Apigee SSO utilise HTTP.

Pour activer l'accès HTTPS, vous pouvez configurer Apigee SSO à l'aide de l'un des modes suivants :

SSL_PROXY: : configure Apigee SSO en mode proxy, ce qui signifie que vous avez installé un équilibreur de charge devant le nœud OpenLDAP et que vous avez arrêté TLS sur l'équilibreur de charge. Apigee SSO écoute sur HTTP, mais émet des URL à l'aide du schéma HTTPS de votre équilibreur de charge.
SSL_TERMINATION: : active l'accès TLS directement sur Apigee SSO sur le port de votre choix. Vous devez spécifier un certificat encodé au format PEM standard et une clé privée pour ce mode.

Vous pouvez choisir d'activer HTTPS lorsque vous installez et configurez Apigee SSO pour la première fois, ou vous pouvez l'activer ultérieurement.

Les sections suivantes décrivent les jetons supplémentaires à mettre à jour dans les fichiers de configuration (/opt/silent.conf et /opt/apigee/customer/application/openldap.properties). Le script setup-sso analyse automatiquement les variables des deux fichiers, applique la configuration et démarre Apigee SSO intégré. Consultez Installer et configurer Apigee SSO pour connaître les jetons que le fichier de configuration doit contenir pour que la configuration SSO réussisse.

Activer le mode SSL_PROXY

En mode SSL_PROXY, votre système utilise un équilibreur de charge devant Apigee SSO et arrête TLS sur l'équilibreur de charge. Dans la figure suivante, l'équilibreur de charge arrête TLS sur le port 443, puis transfère les requêtes vers Apigee SSO sur le port 9099 :

SSO avec un équilibreur de charge

Dans cette configuration, vous faites confiance à la connexion entre l'équilibreur de charge et le nœud OpenLDAP. Il n'est donc pas nécessaire d'utiliser TLS pour cette connexion interne. Toutefois, les entités externes, telles que l'IdP, doivent désormais accéder à Apigee SSO sur le port 443, et non sur le port non protégé 9099.

La raison pour laquelle vous devez configurer Apigee SSO en mode SSL_PROXY est qu'Apigee SSO génère automatiquement des URL de redirection utilisées en externe par l'IdP dans le cadre du processus d'authentification. Par conséquent, ces URL de redirection doivent contenir le numéro de port externe et le schéma HTTPS sur l'équilibreur de charge (port 443 dans cet exemple), et non le port HTTP interne sur Apigee SSO (port 9099).

Remarque : Vous n'avez pas besoin de créer de certificat TLS ni de clé sur le nœud OpenLDAP pour le mode SSL_PROXY, car la connexion entre l'équilibreur de charge et Apigee SSO utilise HTTP.

Pour configurer Apigee SSO pour le mode SSL_PROXY :

Ajoutez les paramètres suivants à votre fichier /opt/apigee/customer/application/openldap.properties :

# Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS

Mettez à jour la configuration de votre nouvelle interface utilisateur Edge pour HTTPS en vous assurant que les propriétés suivantes sont définies dans votre fichier /opt/silent.conf :
```
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
```
Exécutez le script setup-sso pour appliquer la configuration, redémarrer Apigee SSO et mettre à jour automatiquement le serveur de gestion Edge :
```
/opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
```
Mettez à jour la configuration de votre IdP (par exemple, Okta ou ADFS) pour envoyer une requête HTTPS à l'équilibreur de charge afin d'accéder à Apigee SSO. Pour en savoir plus, consultez Configurer votre IdP SAML.
Exécutez le script de configuration de l'interface utilisateur pour configurer et redémarrer automatiquement le nouveau serveur d'interface utilisateur Edge :
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf
```

Activer le mode SSL_TERMINATION

Pour le mode SSL_TERMINATION, vous devez effectuer les opérations suivantes :

Générez un certificat TLS encodé au format PEM standard et une clé. Pour la production, vous devez générer un certificat signé par une autorité de certification. Vous ne pouvez pas utiliser de certificat autosigné.
Mettez à jour les fichiers de propriétés pour les lier au port sécurisé et charger les certificats.

Pour installer le certificat et la clé :

Créez un répertoire pour les certificats sur le nœud OpenLDAP :
```
sudo mkdir -p /opt/apigee/customer/application/certs/
```
Copiez votre certificat encodé au format PEM (.crt) et votre clé privée (.key) dans le nouveau répertoire.

Modifiez le propriétaire du répertoire et des fichiers en définissant l'utilisateur "apigee", puis sécurisez les autorisations :

sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

Pour configurer Apigee SSO pour le mode SSL_TERMINATION :

Ajoutez les paramètres suivants à votre fichier /opt/apigee/customer/application/openldap.properties :

# 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false

Mettez à jour la configuration de votre nouvelle interface utilisateur Edge pour HTTPS en vous assurant que les propriétés suivantes sont définies dans votre fichier /opt/silent.conf :
```
MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
```
Exécutez le script setup-sso pour appliquer la configuration, redémarrer Apigee SSO et mettre à jour automatiquement le serveur de gestion Edge :
```
/opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
```
Mettez à jour la configuration de votre IdP (par exemple, Okta ou ADFS) pour envoyer une requête HTTPS sur le port 9443 afin d'accéder à Apigee SSO. Pour en savoir plus, consultez Configurer votre IdP SAML.
Exécutez le script de configuration de l'interface utilisateur pour configurer automatiquement le nouveau serveur d'interface utilisateur Edge :
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf
```