Định cấu hình tính năng SSO của Apigee để truy cập qua HTTPS

Cài đặt và định cấu hình SSO Apigee mô tả cách cài đặt và định cấu hình SSO Apigee để sử dụng HTTP trên cổng mặc định 9099. Theo mặc định, Apigee SSO sử dụng HTTP.

Để bật quyền truy cập HTTPS, bạn có thể định cấu hình Apigee SSO bằng một trong các chế độ sau:

  • SSL_PROXY: Định cấu hình SSO của Apigee ở chế độ proxy, nghĩa là bạn đã cài đặt một trình cân bằng tải trước nút OpenLDAP và chấm dứt TLS trên trình cân bằng tải. Apigee SSO lắng nghe trên HTTP, nhưng phát hành URL bằng lược đồ HTTPS của trình cân bằng tải.
  • SSL_TERMINATION: Cho phép truy cập TLS trực tiếp trên SSO của Apigee trên cổng mà bạn chọn. Bạn phải chỉ định một chứng chỉ và khoá riêng tư được mã hoá theo chuẩn PEM cho chế độ này.

Bạn có thể chọn bật HTTPS tại thời điểm cài đặt và định cấu hình ban đầu SSO của Apigee hoặc bạn có thể bật tính năng này sau.

Các phần sau đây mô tả các mã thông báo bổ sung cần được cập nhật trong tệp cấu hình (/opt/silent.conf và /opt/apigee/customer/application/openldap.properties). Tập lệnh setup-sso tự động phân tích cú pháp các biến từ cả hai tệp, áp dụng cấu hình và khởi động SSO Apigee được nhúng. Tham khảo bài viết Cài đặt và định cấu hình SSO của Apigee để biết các mã thông báo mà tệp cấu hình cần có để định cấu hình SSO thành công.

Bật chế độ SSL_PROXY

Ở chế độ SSL_PROXY, hệ thống của bạn sử dụng trình cân bằng tải trước SSO của Apigee và chấm dứt TLS trên trình cân bằng tải. Trong hình sau, trình cân bằng tải chấm dứt TLS trên cổng 443, sau đó chuyển tiếp các yêu cầu đến SSO của Apigee trên cổng 9099:

SSO có trình cân bằng tải

Trong cấu hình này, bạn tin tưởng kết nối từ trình cân bằng tải đến nút OpenLDAP, nên không cần sử dụng TLS cho kết nối nội bộ đó. Tuy nhiên, các thực thể bên ngoài, chẳng hạn như IDP, hiện phải truy cập vào SSO của Apigee trên cổng 443, chứ không phải trên cổng không được bảo vệ là 9099.

Lý do để định cấu hình SSO của Apigee ở chế độ SSL_PROXY là vì SSO của Apigee được tạo tự động URL chuyển hướng mà IDP sử dụng bên ngoài trong quá trình xác thực. Do đó, các URL chuyển hướng này phải chứa số cổng bên ngoài và giao thức HTTPS trên trình cân bằng tải (cổng 443 trong ví dụ này), chứ không phải cổng HTTP nội bộ trên Apigee SSO (cổng 9099).

Cách định cấu hình SSO của Apigee cho chế độ SSL_PROXY:

  1. Thêm các chế độ cài đặt sau vào tệp /opt/apigee/customer/application/openldap.properties: 
    # Update the port the Apigee SSO listens on locally.
etc_sso_config_bind_port=9099

# Set the publicly accessible Issuer URL (the load balancer URL).
# This prevents setup-sso from automatically appending the port.
etc_sso_config_issuer_url=https://load_balancer_IP_or_DNS
  2. Cập nhật cấu hình Giao diện người dùng Edge mới cho HTTPS bằng cách đảm bảo các thuộc tính sau được đặt trong tệp /opt/silent.conf: 
    SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=load_balancer_IP_or_DNS
SSO_PUBLIC_URL_PORT=443
  3. Thực thi tập lệnh setup-sso để áp dụng cấu hình, khởi động lại SSO của Apigee và tự động cập nhật Máy chủ quản lý Edge:
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Cập nhật cấu hình IDP (chẳng hạn như Okta hoặc ADFS) để gửi yêu cầu HTTPS đến trình cân bằng tải nhằm truy cập vào Apigee SSO. Để biết thêm thông tin, hãy xem bài viết Định cấu hình IDP SAML.
  5. Thực thi tập lệnh cấu hình giao diện người dùng để tự động định cấu hình và khởi động lại máy chủ Giao diện người dùng Edge mới: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf

Bật chế độ SSL_TERMINATION

Đối với chế độ SSL_TERMINATION, bạn phải:

  • Tạo khoá và chứng chỉ TLS được mã hoá PEM tiêu chuẩn. Đối với bản phát hành công khai, bạn phải tạo một chứng chỉ do CA ký. Bạn không thể sử dụng chứng chỉ tự ký.
  • Cập nhật các tệp thuộc tính để liên kết với cổng bảo mật và tải chứng chỉ.

Cách cài đặt chứng chỉ và khoá:

  1. Tạo một thư mục cho các chứng chỉ trên nút OpenLDAP: 
    sudo mkdir -p /opt/apigee/customer/application/certs/
  2. Sao chép chứng chỉ được mã hoá PEM (.crt) và khoá riêng tư (.key) vào thư mục mới.
  3. Thay đổi chủ sở hữu của thư mục và tệp thành người dùng "apigee" và bảo mật các quyền: 
    sudo chown -R apigee:apigee /opt/apigee/customer/application/certs/
sudo chmod 600 /opt/apigee/customer/application/certs/sso.key
sudo chmod 644 /opt/apigee/customer/application/certs/sso.crt

Cách định cấu hình SSO của Apigee cho chế độ SSL_TERMINATION:

  1. Thêm các chế độ cài đặt sau vào tệp /opt/apigee/customer/application/openldap.properties: 
    # 1. Enable HTTPS listener and configure TLS cert/key
lib_settings_enable_sso_https=true
etc_sso_config_bind_port_ssl=9443
etc_sso_config_tls_cert_file=/opt/apigee/customer/application/certs/sso.crt
etc_sso_config_tls_key_file=/opt/apigee/customer/application/certs/sso.key

# 2. Update the Issuer URL to use HTTPS and the SSL port/hostname
etc_sso_config_issuer_url=https://hostname_or_IP_of_openldap:9443

# 3. (Optional) Disable plain HTTP if only HTTPS is desired
# lib_settings_enable_sso_http=false
  2. Cập nhật cấu hình Giao diện người dùng Edge mới cho HTTPS bằng cách đảm bảo các thuộc tính sau được đặt trong tệp /opt/silent.conf: 
    MANAGEMENT_UI_SSO_ENABLED=y
SSO_PUBLIC_URL_SCHEME=https
SSO_PUBLIC_URL_HOSTNAME=hostname_or_IP_of_openldap
SSO_PUBLIC_URL_PORT=9443
  3. Thực thi tập lệnh setup-sso để áp dụng cấu hình, khởi động lại SSO của Apigee và tự động cập nhật Máy chủ quản lý Edge: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf
  4. Cập nhật cấu hình IDP (chẳng hạn như Okta hoặc ADFS) để gửi yêu cầu HTTPS trên cổng 9443 nhằm truy cập vào Apigee SSO. Để biết thêm thông tin, hãy xem bài viết Định cấu hình nhà cung cấp danh tính (IDP) SAML.
  5. Thực thi tập lệnh cấu hình giao diện người dùng để tự động định cấu hình máy chủ Giao diện người dùng Edge mới: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f /opt/silent.conf