Mengonfigurasi SSO Apigee untuk akses HTTPS

Menginstal dan mengonfigurasi Apigee SSO menjelaskan cara menginstal dan mengonfigurasi Apigee SSO untuk menggunakan HTTP di port default 9099. Secara default, Apigee SSO menggunakan HTTP.

Untuk mengaktifkan akses HTTPS, Anda dapat mengonfigurasi Apigee SSO menggunakan salah satu mode berikut:

  • SSL_PROXY: Mengonfigurasi Apigee SSO dalam mode proxy, yang berarti Anda telah menginstal load balancer di depan node OpenLDAP dan menghentikan TLS di load balancer. Apigee SSO memproses permintaan di HTTP, tetapi mengeluarkan URL menggunakan skema HTTPS load balancer Anda.
  • SSL_TERMINATION: Mengaktifkan akses TLS langsung di Apigee SSO pada port pilihan Anda. Anda harus menentukan sertifikat dan kunci pribadi yang dienkode PEM standar untuk mode ini.

Anda dapat memilih untuk mengaktifkan HTTPS saat pertama kali menginstal dan mengonfigurasi Apigee SSO, atau Anda dapat mengaktifkannya nanti.

Bagian berikut menjelaskan token tambahan yang akan diperbarui dalam file konfigurasi (/opt/silent.conf dan /opt/apigee/customer/application/openldap.properties). Skrip setup-sso secara otomatis mengurai variabel dari kedua file, menerapkan konfigurasi, dan memulai Apigee SSO yang disematkan. Lihat Menginstal dan mengonfigurasi Apigee SSO untuk mengetahui token yang harus dimiliki file konfigurasi agar konfigurasi SSO berhasil.

Mengaktifkan mode SSL_PROXY

Dalam mode SSL_PROXY, sistem Anda menggunakan load balancer di depan Apigee SSO dan menghentikan TLS di load balancer. Pada gambar berikut, load balancer menghentikan TLS di port 443, lalu meneruskan permintaan ke Apigee SSO di port 9099:

SSO dengan load balancer

Dalam konfigurasi ini, Anda mempercayai koneksi dari load balancer ke node OpenLDAP, sehingga tidak perlu menggunakan TLS untuk koneksi internal tersebut. Namun, entity eksternal, seperti IDP, kini harus mengakses Apigee SSO di port 443, bukan di port 9099 yang tidak dilindungi.

Alasan untuk mengonfigurasi Apigee SSO dalam mode SSL_PROXY adalah karena Apigee SSO otomatis membuat URL pengalihan yang digunakan secara eksternal oleh IDP sebagai bagian dari proses autentikasi. Oleh karena itu, URL pengalihan ini harus berisi nomor port eksternal dan skema HTTPS di load balancer (port 443 dalam contoh ini), dan bukan port HTTP internal di Apigee SSO (port 9099).

Untuk mengonfigurasi Apigee SSO untuk mode SSL_PROXY:

  1. Tambahkan setelan berikut ke file /opt/apigee/customer/application/openldap.properties Anda: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. Perbarui konfigurasi UI Edge Baru untuk HTTPS dengan memastikan properti berikut ditetapkan dalam file /opt/silent.conf Anda: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. Jalankan skrip setup-sso untuk menerapkan konfigurasi, memulai ulang Apigee SSO, dan otomatis memperbarui Server Pengelolaan Edge:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Perbarui konfigurasi IDP Anda (seperti Okta atau ADFS) untuk membuat permintaan HTTPS ke load balancer guna mengakses Apigee SSO. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi IDP SAML.
  5. Jalankan skrip konfigurasi UI untuk otomatis mengonfigurasi dan memulai ulang server UI Edge Baru: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

Mengaktifkan mode SSL_TERMINATION

Untuk mode SSL_TERMINATION, Anda harus:

  • Membuat sertifikat dan kunci TLS yang dienkode PEM standar. Untuk produksi, Anda harus membuat sertifikat yang ditandatangani oleh CA. Anda tidak dapat menggunakan sertifikat yang ditandatangani sendiri.
  • Memperbarui file properti untuk terikat ke port aman dan memuat sertifikat.

Untuk menginstal sertifikat dan kunci:

  1. Buat direktori untuk sertifikat di node OpenLDAP: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. Salin sertifikat (.crt) dan kunci pribadi (.key) yang dienkode PEM ke direktori baru.
  3. Ubah pemilik direktori dan file ke pengguna "apigee", dan amankan izin: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

Untuk mengonfigurasi Apigee SSO untuk mode SSL_TERMINATION:

  1. Tambahkan setelan berikut ke file /opt/apigee/customer/application/openldap.properties Anda: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. Perbarui konfigurasi UI Edge Baru untuk HTTPS dengan memastikan properti berikut ditetapkan dalam file /opt/silent.conf Anda: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. Jalankan skrip setup-sso untuk menerapkan konfigurasi, memulai ulang Apigee SSO, dan otomatis memperbarui Server Pengelolaan Edge: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Perbarui konfigurasi IDP Anda (seperti Okta atau ADFS) untuk membuat permintaan HTTPS di port 9443 guna mengakses Apigee SSO. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi IDP SAML.
  5. Jalankan skrip konfigurasi UI untuk otomatis mengonfigurasi server UI Edge Baru: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf