مع تحديث طبقة الدخول المُوحَّد (SSO) في Apigee في الإصدار 4.54.00، يتطلّب وسيط الهوية الأساسي بشكلٍ تلقائي الربط غير المباشر (البحث والربط)، ولم يعُد يتيح الربط المباشر (البسيط). للحفاظ على معايير الأمان التي تستند إلى الحد الأدنى من الأذونات المميّزة، يعتمد الدخول المُوحَّد (SSO) في Apigee الآن على استخدام حساب خدمة مخصّص للقراءة فقط لعمليات البحث في الدليل.
يصف هذا القسم الآليات التي يمكنك من خلالها استخدام LDAP كموفِّر هوية مع Apigee Edge للسحابة الإلكترونية الخاصة.
آلية المصادقة: البحث والربط (الربط غير المباشر)
في عملية البحث والربط، يقدّم المستخدم اسمًا مميزًا نسبيًا (مثل اسم مستخدم أو عنوان بريد إلكتروني) وكلمة المرور. بعد ذلك، يعثر الدخول المُوحَّد (SSO) في Apigee على الاسم المميّز (DN) للمستخدم ويحاول الربط. تسمح عملية البحث والربط بالمطابقات الجزئية.
في ما يلي خطوات عملية البحث والربط:
- يُدخِل المستخدم معرّفًا، مثل اسم مستخدم أو عنوان بريد إلكتروني، بالإضافة إلى كلمة المرور.
- يُجري الدخول المُوحَّد (SSO) في Apigee عملية بحث باستخدام فلتر LDAP ومجموعة من بيانات اعتماد حساب خدمة للقراءة فقط.
- إذا كان هناك تطابق واحد فقط، يستردّ الدخول المُوحَّد (SSO) في Apigee الاسم المميّز للمستخدم. إذا لم يكن هناك أي تطابقات أو كان هناك أكثر من تطابق واحد، يرفض الدخول المُوحَّد (SSO) في Apigee المستخدم.
- بعد ذلك، يحاول الدخول المُوحَّد (SSO) في Apigee ربط الاسم المميّز للمستخدم وكلمة المرور المقدَّمة بخادم LDAP.
- يُجري خادم LDAP عملية المصادقة.
- إذا نجحت العملية، يعرض الدخول المُوحَّد (SSO) في Apigee رمزًا مميّزًا لبروتوكول OIDC/OAuth2 يمكن للعميل إرفاقه بطلباته إلى خدمات Edge.
OpenLDAP الداخلي (الإعدادات التلقائية)
إذا كنت تستخدم OpenLDAP المضمّن في Apigee (حيث يتم ضبط مضيف LDAP على localhost)، تؤمّن عملية التثبيت الإعدادات تلقائيًا. أثناء الإعداد، يوفّر النظام تلقائيًا حساب خدمة بأقل الأذونات المميّزة (cn=sso-reader) يتضمّن سرًا تم إنشاؤه عشوائيًا وإذنًا بالقراءة فقط.
تمت إزالة بيانات اعتماد المشرف الجذر في OpenLDAP (cn=manager) من ملفات إعداد الدخول المُوحَّد (SSO) في Apigee لمنع عرض بيانات الاعتماد ذات الأذونات المميّزة العالية على القرص.
إذا كنت تستخدم OpenLDAP الداخلي، انتقِل إلى تثبيت الدخول المُوحَّد (SSO) في Apigee وضبطه.
LDAP الخارجي للمؤسسة
إذا كنت تربط الدخول المُوحَّد (SSO) في Apigee بدليل LDAP خارجي، مثل Active Directory للمؤسسة، عليك توفير حساب خدمة للقراءة فقط تم توفيره مسبقًا في دليلك قبل الإعداد. سيستخدم الدخول المُوحَّد (SSO) في Apigee هذا الحساب حصريًا لعمليات البحث والربط.
سمات إعداد LDAP الخارجي
لإعداد دليل LDAP خارجي، قدِّم تفاصيل حساب خدمة بإذن بالقراءة فقط في ملف الإعداد. سيتولّى النص البرمجي setup-sso تلقائيًا إدخال الرموز المميّزة اللازمة في الإعدادات.
أضِف السمات التالية إلى ملف الإعداد، مثلاً /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
بعد تحديد هذه السمات، انتقِل إلى تثبيت الدخول المُوحَّد (SSO) في Apigee وضبطه.