Apigee SSO 설치 및 구성에서는 기본 포트 9099에서 HTTP를 사용하도록 Apigee SSO를 설치하고 구성하는 방법을 설명합니다. 기본적으로 Apigee SSO는 HTTP를 사용합니다.
HTTPS 액세스를 사용 설정하려면 다음 모드 중 하나를 사용하여 Apigee SSO를 구성하면 됩니다.
- SSL_PROXY: 프록시 모드에서 Apigee SSO를 구성합니다. 즉, OpenLDAP 노드 앞에 부하 분산기를 설치하고 부하 분산기에서 TLS를 종료했습니다. Apigee SSO는 HTTP에서 리슨하지만 부하 분산기의 HTTPS 스키마를 사용하여 URL을 발급합니다.
- SSL_TERMINATION: 선택한 포트에서 Apigee SSO에 직접 TLS 액세스를 사용 설정합니다. 이 모드에는 표준 PEM 인코딩 인증서와 비공개 키를 지정해야 합니다.
Apigee SSO를 처음 설치하고 구성할 때 HTTPS를 사용 설정하거나 나중에 사용 설정할 수 있습니다.
다음 섹션에서는 구성 파일 (/opt/silent.conf
및 /opt/apigee/customer/application/openldap.properties)에서 업데이트할 추가 토큰
을 설명합니다.
setup-sso 스크립트는 두 파일의 변수를 자동으로 파싱하고 구성을 적용하며 내장된 Apigee SSO를 시작합니다.
SSO 구성을 성공적으로 수행하려면 구성 파일에 필요한 토큰은
Apigee SSO 설치 및 구성을 참조하세요.
SSL_PROXY 모드 사용 설정
SSL_PROXY 모드에서 시스템은 Apigee SSO 앞에 부하 분산기를 사용하고 부하 분산기에서 TLS를 종료합니다. 다음 그림에서 부하 분산기는 포트 443에서 TLS를 종료한 후 포트 9099에서 Apigee SSO로 요청을 전달합니다.
이 구성에서는 부하 분산기에서 OpenLDAP 노드로의 연결을 신뢰하므로 내부 연결에 TLS를 사용할 필요가 없습니다. 하지만 이제 IDP와 같은 외부 항목은 보호되지 않은 포트 9099가 아닌 포트 443에서 Apigee SSO에 액세스해야 합니다.
SSL_PROXY 모드에서 Apigee SSO를 구성하는 이유는 Apigee SSO가 인증 프로세스의 일부로 IDP에서 외부적으로 사용되는 리디렉션 URL을 자동 생성하기 때문입니다. 따라서 이러한 리디렉션 URL에는 Apigee SSO의 내부 HTTP 포트 (포트 9099)가 아닌 부하 분산기의 외부 포트 번호와 HTTPS 스키마 (이 예에서는 포트 443)가 포함되어야 합니다.
SSL_PROXY 모드의 Apigee SSO를 구성하려면 다음 단계를 따르세요.
/opt/apigee/customer/application/openldap.properties파일에 다음 설정을 추가합니다.# Update the port the Apigee SSO listens on locally. etc_sso_config_bind_port=9099 # Set the publicly accessible Issuer URL (the load balancer URL). # This prevents setup-sso from automatically appending the port. etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
/opt/silent.conf파일에 다음 속성이 설정되어 있는지 확인하여 HTTPS용 새 Edge UI 구성을 업데이트합니다.SSO_PUBLIC_URL_SCHEME=https SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS SSO_PUBLIC_URL_PORT=443
setup-sso스크립트를 실행하여 구성을 적용하고 Apigee SSO를 다시 시작하며 Edge 관리 서버를 자동으로 업데이트합니다./opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
- 부하 분산기에 HTTPS 요청을 하여 Apigee SSO에 액세스하도록 IDP 구성 (예: Okta 또는 ADFS)을 업데이트합니다. 자세한 내용은 SAML IDP 구성을 참조하세요.
- UI 구성 스크립트를 실행하여 새 Edge UI 서버를 자동으로 구성하고 다시 시작합니다.
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf
SSL_TERMINATION 모드 사용 설정
SSL_TERMINATION 모드의 경우 다음을 수행해야 합니다.
- 표준 PEM 인코딩 TLS 인증서와 키를 생성합니다. 프로덕션의 경우 CA에서 서명한 인증서를 생성해야 합니다. 자체 서명 인증서는 사용할 수 없습니다.
- 보안 포트에 바인딩하고 인증서를 로드하도록 속성 파일을 업데이트합니다.
인증서와 키를 설치하려면 다음 단계를 따르세요.
- OpenLDAP 노드에 인증서 디렉터리를 만듭니다.
sudo mkdir -p /opt/apigee/customer/application/certs/
- PEM 인코딩 인증서 (
.crt)와 비공개 키 (.key)를 새 디렉터리에 복사합니다. - 디렉터리와 파일의 소유자를 'apigee' 사용자로 변경하고 권한을 보호합니다.
sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/ sudo chmod 600 /opt/apigee/customer/application/certs/sso.key sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt
SSL_TERMINATION 모드의 Apigee SSO를 구성하려면 다음 단계를 따르세요.
/opt/apigee/customer/application/openldap.properties파일에 다음 설정을 추가합니다.# 1. Enable HTTPS listener and configure TLS cert/key lib_settings_enable_sso_https=true etc_sso_config_bind_port_ssl=9443 etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key # 2. Update the Issuer URL to use HTTPS and the SSL port/hostname etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443 # 3. (Optional) Disable plain HTTP if only HTTPS is desired # lib_settings_enable_sso_http=false
/opt/silent.conf파일에 다음 속성이 설정되어 있는지 확인하여 HTTPS용 새 Edge UI 구성을 업데이트합니다.MANAGEMENT_UI_SSO_ENABLED=y SSO_PUBLIC_URL_SCHEME=https SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap SSO_PUBLIC_URL_PORT=9443
setup-sso스크립트를 실행하여 구성을 적용하고 Apigee SSO를 다시 시작하며 Edge 관리 서버를 자동으로 업데이트합니다./opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
- 포트 9443에서 HTTPS 요청을 하여 Apigee SSO에 액세스하도록 IDP 구성 (예: Okta 또는 ADFS)을 업데이트합니다. 자세한 내용은 SAML IDP 구성을 참조하세요.
- UI 구성 스크립트를 실행하여 새 Edge UI 서버를 자동으로 구성합니다.
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf