Con la modernización del nivel de SSO de Apigee en la versión 4.54.00, el agente de identidad subyacente requiere de forma nativa un enlace indirecto (búsqueda y enlace) y ya no admite el enlace directo (simple). Para mantener los estándares de seguridad de privilegio mínimo, el SSO de Apigee ahora se estandariza en el uso de una cuenta de servicio dedicada de solo lectura para las búsquedas de directorios.
En esta sección, se describen los mecanismos con los que puedes usar LDAP como un IdP con Apigee Edge para nube privada.
Mecanismo de autenticación: búsqueda y enlace (enlace indirecto)
Con la búsqueda y el enlace, el usuario proporciona un RDN (como un nombre de usuario o una dirección de correo electrónico) y su contraseña. Luego, el SSO de Apigee encuentra el nombre distintivo (DN) del usuario y trata de realizar el enlace. La búsqueda y el enlace permiten coincidencias parciales.
A continuación, se muestran los pasos de una operación de búsqueda y enlace:
- El usuario ingresa un identificador, como un nombre de usuario o una dirección de correo electrónico, además de su contraseña.
- El SSO de Apigee realiza una búsqueda con un filtro LDAP y un conjunto de credenciales de cuenta de servicio de solo lectura.
- Si hay exactamente una coincidencia, el SSO de Apigee recupera el DN del usuario. Si no hay coincidencias o hay más de una, el SSO de Apigee rechaza al usuario.
- Luego, el SSO de Apigee intenta vincular el DN del usuario y la contraseña proporcionada con el servidor LDAP.
- El servidor LDAP realiza la autenticación.
- Si la operación se realiza correctamente, el SSO de Apigee devuelve un token de OIDC/OAuth2 que el cliente puede adjuntar a sus solicitudes a los servicios de Edge.
OpenLDAP interno (configuración predeterminada)
Si usas el OpenLDAP de Apigee incorporado (en el que el host LDAP está configurado como localhost), el proceso de instalación protege automáticamente la configuración. Durante la configuración, el sistema aprovisiona automáticamente una cuenta de servicio de privilegio mínimo (cn=sso-reader) con un secreto generado de forma aleatoria y acceso restringido de solo lectura.
Las credenciales de administrador raíz de OpenLDAP (cn=manager) se eliminan de los archivos de configuración del SSO de Apigee para evitar la exposición de credenciales de alto privilegio en el disco.
Si usas OpenLDAP interno, continúa con Instala y configura el SSO de Apigee.
LDAP corporativo externo
Si conectas el SSO de Apigee a un directorio LDAP externo, como un Active Directory corporativo, debes proporcionar una cuenta de servicio de solo lectura aprovisionada previamente en tu directorio antes de la configuración. El SSO de Apigee usará esta cuenta estrictamente para las operaciones de búsqueda y enlace.
Propiedades de configuración de LDAP externo
Para configurar un directorio LDAP externo, proporciona los detalles de tu cuenta de servicio de solo lectura en el archivo de configuración. La secuencia de comandos setup-sso se encargará automáticamente de insertar los tokens necesarios en la configuración.
Agrega las siguientes propiedades a tu archivo de configuración, por ejemplo, /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Después de definir estas propiedades, continúa con Instala y configura el SSO de Apigee.