Configurazione del servizio SSO di Apigee per l'accesso HTTPS

Installare e configurare SSO Apigee descrive come installare e configurare SSO Apigee per utilizzare HTTP sulla porta predefinita 9099. Per impostazione predefinita, SSO Apigee utilizza HTTP.

Per abilitare l'accesso HTTPS, puoi configurare SSO Apigee utilizzando una delle seguenti modalità:

  • SSL_PROXY: configura SSO Apigee in modalità proxy, il che significa che hai installato un bilanciatore del carico davanti al nodo OpenLDAP e hai terminato TLS sul bilanciatore del carico. SSO Apigee è in ascolto su HTTP, ma emette URL utilizzando lo schema HTTPS del bilanciatore del carico.
  • SSL_TERMINATION: abilita l'accesso TLS direttamente su SSO Apigee sulla porta di tua scelta. Per questa modalità, devi specificare un certificato e una chiave privata con codifica PEM standard.

Puoi scegliere di abilitare HTTPS al momento dell'installazione e della configurazione iniziale di SSO Apigee oppure in un secondo momento.

Le sezioni seguenti descrivono i token aggiuntivi da aggiornare nei file di configurazione (/opt/silent.conf e /opt/apigee/customer/application/openldap.properties). Lo script setup-sso analizza automaticamente le variabili di entrambi i file, applica la configurazione e avvia l'SSO Apigee incorporato. Per i token che il file di configurazione deve avere per una configurazione SSO riuscita, consulta Installare e configurare SSO Apigee.

Abilitare la modalità SSL_PROXY

In modalità SSL_PROXY, il sistema utilizza un bilanciatore del carico davanti a SSO Apigee e termina TLS sul bilanciatore del carico. Nella figura seguente, il bilanciatore del carico termina TLS sulla porta 443 e poi inoltra le richieste a SSO Apigee sulla porta 9099:

SSO con bilanciatore del carico

In questa configurazione, consideri attendibile la connessione dal bilanciatore del carico al nodo OpenLDAP, quindi non è necessario utilizzare TLS per questa connessione interna. Tuttavia, le entità esterne, come l'IDP, ora devono accedere ad Apigee SSO sulla porta 443, non sulla porta non protetta 9099.

Il motivo per configurare Apigee SSO in modalità SSL_PROXY è che Apigee SSO genera automaticamente gli URL di reindirizzamento utilizzati esternamente dall'IDP nell'ambito del processo di autenticazione. Pertanto, questi URL di reindirizzamento devono contenere il numero di porta esterno e lo schema HTTPS sul bilanciatore del carico (porta 443 in questo esempio) e non la porta HTTP interna su SSO Apigee (porta 9099).

Per configurare SSO Apigee per la modalità SSL_PROXY:

  1. Aggiungi le seguenti impostazioni al file /opt/apigee/customer/application/openldap.properties: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. Aggiorna la configurazione della nuova UI Edge per HTTPS assicurandoti che le seguenti proprietà siano impostate nel file /opt/silent.conf: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. Esegui lo script setup-sso per applicare la configurazione, riavviare SSO Apigee e aggiornare automaticamente il server di gestione Edge:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Aggiorna la configurazione dell'IDP (ad esempio Okta o ADFS) in modo che effettui una richiesta HTTPS al bilanciatore di carico per accedere ad Apigee SSO. Per saperne di più, consulta Configurare l'IDP SAML.
  5. Esegui lo script di configurazione dell'UI per configurare e riavviare automaticamente il server della nuova UI Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

Abilitare la modalità SSL_TERMINATION

Per la modalità SSL_TERMINATION, devi:

  • Generare un certificato e una chiave TLS con codifica PEM standard. Per la produzione, devi generare un certificato firmato da una CA. Non puoi utilizzare un certificato autofirmato.
  • Aggiornare i file delle proprietà in modo che si associno alla porta sicura e carichino i certificati.

Per installare il certificato e la chiave:

  1. Crea una directory per i certificati sul nodo OpenLDAP: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. Copia il certificato con codifica PEM (.crt) e la chiave privata (.key) nella nuova directory.
  3. Modifica il proprietario della directory e dei file in modo che sia l'utente "apigee" e proteggi le autorizzazioni: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

Per configurare SSO Apigee per la modalità SSL_TERMINATION:

  1. Aggiungi le seguenti impostazioni al file /opt/apigee/customer/application/openldap.properties: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. Aggiorna la configurazione della nuova UI Edge per HTTPS assicurandoti che le seguenti proprietà siano impostate nel file /opt/silent.conf: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. Esegui lo script setup-sso per applicare la configurazione, riavviare SSO Apigee e aggiornare automaticamente il server di gestione Edge: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Aggiorna la configurazione dell'IDP (ad esempio Okta o ADFS) in modo che effettui una richiesta HTTPS sulla porta 9443 per accedere ad Apigee SSO. Per saperne di più, consulta Configurare l'IDP SAML.
  5. Esegui lo script di configurazione dell'UI per configurare automaticamente il server della nuova UI Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf