با مدرن‌سازی ردیف Apigee SSO در نسخه ۴.۵۴.۰۰، کارگزار هویت زیربنایی به‌طور پیش‌فرض به اتصال غیرمستقیم (جستجو و اتصال) نیاز دارد و دیگر از اتصال مستقیم (ساده) پشتیبانی نمی‌کند. برای حفظ استانداردهای امنیتی حداقل امتیاز، Apigee SSO اکنون از حساب سرویس اختصاصی فقط خواندنی برای جستجوهای دایرکتوری استفاده می‌کند.
این بخش سازوکارهایی را که با آن‌ها می‌توانید از LDAP به‌عنوان IDP با Apigee Edge برای «ابر خصوصی» استفاده کنید شرح می‌دهد.
سازوکار اصالت‌سنجی: جستجو و پیوند (پیوند غیرمستقیم)
با جستجو و اتصال، کاربر یک RDN (مانند نام کاربری یا نشانی ایمیل) و گذرواژه خود را ارائه می‌دهد. سپس Apigee SSO نام متمایز (DN) کاربر را پیدا می‌کند و تلاش می‌کند تا متصل شود. جستجو و پیوند اجازه مطابقت جزئی می‌دهد.
در زیر مراحل عملیات جستجو و ترابست نشان داده شده است:
- کاربر شناسه‌ای مثل نام کاربری یا نشانی ایمیل به‌علاوه گذرواژه‌اش را وارد می‌کند.
- Apigee SSO بااستفاده از فیلتر LDAP و مجموعه‌ای از اطلاعات کاربری حساب خدمات فقط خواندنی جستجو انجام می‌دهد.
- اگر دقیقاً یک مطابقت وجود داشته باشد، Apigee SSO نام متمایز کاربر را بازیابی می‌کند. اگر هیچ موردی یا بیش‌از یک مورد مطابقت داشته باشد، «شناسایی یگانه Apigee» کاربر را رد می‌کند.
- سپس Apigee SSO تلاش می‌کند DN کاربر و گذرواژه ارائه‌شده را به سرور LDAP متصل کند.
- سرور LDAP اصالت‌سنجی را انجام می‌دهد.
- درصورت موفقیت، Apigee SSO یک کد OIDC/OAuth2 برمی‌گرداند که مشتری می‌تواند آن را به درخواست‌های خود برای سرویس‌های Edge پیوست کند.
ال‌دپ باز داخلی (پیکربندی پیش‌فرض)
اگر از Apigee OpenLDAP جاسازی‌شده استفاده می‌کنید (که میزبان LDAP روی localhost تنظیم شده است)، فرایند نصب به‌طور خودکار پیکربندی را ایمن می‌کند. درطول راه‌اندازی، سیستم به‌طور خودکار یک حساب سرویس با حداقل امتیاز (cn=sso-reader) با یک رمز تولیدشده به‌صورت تصادفی و دسترسی محدود فقط خواندنی فراهم می‌کند.
اعتبارنامه سرپرست ریشه OpenLDAP (cn=manager) از فایل‌های پیکربندی Apigee SSO حذف شده است تا از افشای اعتبارنامه با امتیاز بالا در دیسک جلوگیری شود.
اگر از OpenLDAP داخلی استفاده می‌کنید، به نصب و پیکربندی Apigee SSO بروید.
ال‌دپ شرکتی خارجی
اگر Apigee SSO را به دایرکتوری LDAP خارجی، مانند Active Directory شرکتی، متصل می‌کنید، باید قبل‌از پیکربندی، یک حساب سرویس فقط خواندنی ازپیش تأمین‌شده در دایرکتوری خود ارائه دهید. Apigee SSO از این حساب صرفاً برای عملیات جستجو و ترابست استفاده خواهد کرد.
ویژگی‌های پیکربندی ال‌دپ خارجی
برای پیکربندی فهرست راهنمای LDAP خارجی، جزئیات حساب سرویس فقط خواندنی‌تان را در فایل پیکربندی‌تان ارائه دهید. دستورگان setup-sso به‌طور خودکار تزریق کردن کدهای لازم به پیکربندی را مدیریت خواهد کرد.
ویژگی‌های زیر را به فایل پیکربندی خود اضافه کنید، برای مثال /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
پس‌از تعریف این ویژگی‌ها، به نصب و پیکربندی Apigee SSO بروید.