Konfigurowanie logowania jednokrotnego w Apigee pod kątem dostępu HTTPS

Instalowanie i konfigurowanie SSO w Apigee opisuje, jak zainstalować i skonfigurować SSO w Apigee do korzystania z protokołu HTTP na domyślnym porcie 9099. Domyślnie SSO w Apigee używa protokołu HTTP.

Aby włączyć dostęp przez HTTPS, możesz skonfigurować SSO w Apigee w jednym z tych trybów:

  • SSL_PROXY: konfiguruje SSO w Apigee w trybie proxy, co oznacza, że przed węzłem OpenLDAP zainstalowano system równoważenia obciążenia i zakończono protokół TLS w systemie równoważenia obciążenia. SSO w Apigee nasłuchuje na HTTP, ale wydaje adresy URL przy użyciu schematu HTTPS systemu równoważenia obciążenia.
  • SSL_TERMINATION: umożliwia dostęp przez protokół TLS bezpośrednio w SSO w Apigee na wybranym porcie. W tym trybie musisz podać standardowy certyfikat i klucz prywatny zakodowane w formacie PEM.

Możesz włączyć HTTPS podczas początkowej instalacji i konfiguracji SSO w Apigee lub później.

W sekcjach poniżej opisujemy dodatkowe tokeny , które należy zaktualizować w plikach konfiguracyjnych (/opt/silent.conf i /opt/apigee/customer/application/openldap.properties). Skrypt setup-sso automatycznie analizuje zmienne z obu plików, stosuje konfigurację i uruchamia wbudowane SSO w Apigee. Informacje o tokenach, które muszą się znajdować w pliku konfiguracyjnym, aby konfiguracja logowania jednokrotnego się powiodła, znajdziesz w artykule Instalowanie i konfigurowanie SSO w Apigee.

Włączanie trybu SSL_PROXY

W trybie SSL_PROXY system używa systemu równoważenia obciążenia przed SSO w Apigee i kończy protokół TLS w systemie równoważenia obciążenia. Na ilustracji poniżej system równoważenia obciążenia kończy protokół TLS na porcie 443, a następnie przekazuje żądania do SSO w Apigee na porcie 9099:

Logowanie jednokrotne z systemem równoważenia obciążenia

W tej konfiguracji ufasz połączeniu z systemu równoważenia obciążenia do węzła OpenLDAP, więc nie musisz używać TLS w przypadku tego połączenia wewnętrznego. Jednak podmioty zewnętrzne, takie jak dostawca tożsamości, muszą teraz uzyskiwać dostęp do logowania jednokrotnego Apigee na porcie 443, a nie na niezabezpieczonym porcie 9099.

Powodem skonfigurowania logowania jednokrotnego Apigee w trybie SSL_PROXY jest to, że logowanie jednokrotne Apigee automatycznie generuje adresy URL przekierowania używane zewnętrznie przez dostawcę tożsamości w ramach procesu uwierzytelniania. Dlatego te adresy URL przekierowania muszą zawierać zewnętrzny numer portu i schemat HTTPS w systemie równoważenia obciążenia (w tym przykładzie port 443), a nie wewnętrzny port HTTP w SSO w Apigee (port 9099).

Aby skonfigurować SSO w Apigee w trybie SSL_PROXY:

  1. Dodaj te ustawienia do pliku /opt/apigee/customer/application/openldap.properties: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. Zaktualizuj konfigurację nowego interfejsu Edge pod kątem HTTPS, upewniając się, że w pliku /opt/silent.conf ustawione są te właściwości: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. Uruchom skrypt setup-sso, aby zastosować konfigurację, ponownie uruchomić SSO w Apigee i automatycznie zaktualizować serwer zarządzania Edge:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Zaktualizuj konfigurację dostawcy tożsamości (np. Okta lub ADFS), aby wysyłać żądania HTTPS do systemu równoważenia obciążenia w celu uzyskania dostępu do logowania jednokrotnego Apigee. Więcej informacji znajdziesz w artykule Konfigurowanie dostawcy tożsamości SAML.
  5. Uruchom skrypt konfiguracji interfejsu, aby automatycznie skonfigurować i ponownie uruchomić serwer nowego interfejsu Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

Włączanie trybu SSL_TERMINATION

W trybie SSL_TERMINATION musisz:

  • Wygenerować standardowy certyfikat i klucz TLS zakodowane w formacie PEM. W środowisku produkcyjnym musisz wygenerować certyfikat podpisany przez urząd certyfikacji. Nie możesz używać certyfikatu podpisanego samodzielnie.
  • Zaktualizować pliki właściwości, aby powiązać je z bezpiecznym portem i wczytać certyfikaty.

Aby zainstalować certyfikat i klucz:

  1. Utwórz katalog na certyfikaty w węźle OpenLDAP: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. Skopiuj certyfikat (.crt) i klucz prywatny (.key) zakodowane w formacie PEM do nowego katalogu.
  3. Zmień właściciela katalogu i plików na użytkownika „apigee” oraz zabezpiecz uprawnienia: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

Aby skonfigurować SSO w Apigee w trybie SSL_TERMINATION mode:

  1. Dodaj te ustawienia do pliku /opt/apigee/customer/application/openldap.properties: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. Zaktualizuj konfigurację nowego interfejsu Edge pod kątem HTTPS, upewniając się, że w pliku /opt/silent.conf ustawione są te właściwości: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. Uruchom skrypt setup-sso, aby zastosować konfigurację, ponownie uruchomić SSO w Apigee i automatycznie zaktualizować serwer zarządzania Edge: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Zaktualizuj konfigurację dostawcy tożsamości (np. Okta lub ADFS), aby wysyłać żądania HTTPS na porcie 9443 w celu uzyskania dostępu do logowania jednokrotnego Apigee. Więcej informacji znajdziesz w artykule Konfigurowanie dostawcy tożsamości SAML.
  5. Uruchom skrypt konfiguracji interfejsu, aby automatycznie skonfigurować serwer nowego interfejsu Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf