Mit der Modernisierung der Apigee SSO-Ebene in Version 4.54.00 erfordert der zugrunde liegende Identitätsbroker nativ eine indirekte Bindung (Suche und Bindung) und unterstützt keine direkte (einfache) Bindung mehr. Um die Sicherheitsstandards für die geringste Berechtigung einzuhalten, verwendet Apigee-SSO jetzt standardmäßig ein dediziertes Dienstkonto mit Lesezugriff für Verzeichnissuchen.
In diesem Abschnitt werden die Mechanismen beschrieben, mit denen Sie LDAP als IdP mit Apigee Edge for Private Cloud verwenden können.
Authentifizierungsmechanismus: Suche und Bindung (indirekte Bindung)
Bei der Suche und Bindung gibt der Nutzer einen RDN (z. B. einen Nutzernamen oder eine E-Mail-Adresse) und sein Passwort an. Apigee SSO sucht dann nach dem Distinguished Name (DN) des Nutzers und versucht, eine Bindung herzustellen. Bei der Suche und Bindung sind Teilübereinstimmungen zulässig.
Im Folgenden sind die Schritte bei einer Suche und Bindung aufgeführt:
- Der Nutzer gibt eine Kennung wie einen Nutzernamen oder eine E-Mail-Adresse sowie sein Passwort ein.
- Apigee-SSO führt eine Suche mit einem LDAP-Filter und einer Reihe von Anmeldedaten für Dienstkonten mit Lesezugriff durch.
- Wenn es genau eine Übereinstimmung gibt, ruft Apigee SSO den DN des Nutzers ab. Wenn es keine oder mehr als eine Übereinstimmung gibt, lehnt Apigee SSO den Nutzer ab.
- Apigee SSO versucht dann, den DN des Nutzers und das angegebene Passwort mit dem LDAP-Server zu binden.
- Der LDAP-Server führt die Authentifizierung durch.
- Wenn der Vorgang erfolgreich ist, gibt Apigee SSO ein OIDC-/OAuth2-Token zurück, das der Client seinen Anfragen an die Edge-Dienste anhängen kann.
Internes OpenLDAP (Standardkonfiguration)
Wenn Sie das eingebettete Apigee OpenLDAP verwenden (wobei der LDAP-Host auf localhost festgelegt ist), wird die Konfiguration während der Installation automatisch geschützt. Bei der Einrichtung stellt das System automatisch ein Dienstkonto mit geringsten Berechtigungen (cn=sso-reader) mit einem zufällig generierten Secret und eingeschränktem schreibgeschützten Zugriff bereit.
Die OpenLDAP-Root-Administratoranmeldedaten (cn=manager) werden aus den Apigee SSO-Konfigurationsdateien entfernt, um die Offenlegung von Anmeldedaten mit hohen Berechtigungen auf der Festplatte zu verhindern.
Wenn Sie internes OpenLDAP verwenden, fahren Sie mit Apigee SSO installieren und konfigurieren fort.
Externes Unternehmens-LDAP
Wenn Sie Apigee-SSO mit einem externen LDAP-Verzeichnis wie einem Active Directory-Verzeichnis Ihres Unternehmens verbinden, müssen Sie vor der Konfiguration ein vorab bereitgestelltes Dienstkonto mit Lesezugriff in Ihrem Verzeichnis angeben. Apigee SSO verwendet dieses Konto ausschließlich für Such- und Bindungsvorgänge.
Konfigurationseigenschaften für externes LDAP
Wenn Sie ein externes LDAP-Verzeichnis konfigurieren möchten, geben Sie die Details Ihres Dienstkontos mit Lesezugriff in der Konfigurationsdatei an. Das Skript setup-sso fügt die erforderlichen Tokens automatisch in die Konfiguration ein.
Fügen Sie der Konfigurationsdatei beispielsweise /opt/silent.conf die folgenden Eigenschaften hinzu:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Nachdem Sie diese Eigenschaften definiert haben, fahren Sie mit Apigee SSO installieren und konfigurieren fort.