Avec la modernisation du niveau Apigee SSO dans la version 4.54.00, le courtier d'identité sous-jacent nécessite nativement une liaison indirecte (recherche et liaison) et ne prend plus en charge la liaison directe (simple). Pour respecter les normes de sécurité de moindre privilège, Apigee SSO utilise désormais un compte de service dédié en lecture seule pour les recherches dans l'annuaire.
Cette section décrit les mécanismes permettant d'utiliser LDAP comme fournisseur d'identité avec Apigee Edge pour le cloud privé.
Mécanisme d'authentification : recherche et liaison (liaison indirecte)
Avec la recherche et la liaison, l'utilisateur fournit un RDN (tel qu'un nom d'utilisateur ou une adresse e-mail) et son mot de passe. Apigee SSO recherche ensuite le nom unique (DN) de l'utilisateur et tente de le lier. La recherche et la liaison autorisent les correspondances partielles.
Voici les étapes d'une opération de recherche et de liaison :
- L'utilisateur saisit un identifiant, tel qu'un nom d'utilisateur ou une adresse e-mail, ainsi que son mot de passe.
- Apigee SSO effectue une recherche à l'aide d'un filtre LDAP et d'un ensemble d'identifiants de compte de service en lecture seule.
- S'il n'y a qu'une seule correspondance, Apigee SSO récupère le DN de l'utilisateur. S'il n'y a aucune correspondance ou plus d'une, Apigee SSO rejette l'utilisateur.
- Apigee SSO tente ensuite de lier le DN de l'utilisateur et le mot de passe fourni au serveur LDAP.
- Le serveur LDAP effectue l'authentification.
- Si l'opération réussit, Apigee SSO renvoie un jeton OIDC/OAuth2 que le client peut joindre à ses requêtes aux services Edge.
OpenLDAP interne (configuration par défaut)
Si vous utilisez Apigee OpenLDAP intégré (où l'hôte LDAP est défini sur localhost), le processus d'installation sécurise automatiquement la configuration. Lors de la configuration, le système provisionne automatiquement un compte de service de moindre privilège (cn=sso-reader) avec un secret généré de manière aléatoire et un accès en lecture seule limité.
Les identifiants d'administrateur racine OpenLDAP (cn=manager) sont supprimés des fichiers de configuration Apigee SSO pour éviter l'exposition d'identifiants à privilèges élevés sur le disque.
Si vous utilisez OpenLDAP interne, passez à Installer et configurer Apigee SSO.
LDAP d'entreprise externe
Si vous connectez Apigee SSO à un annuaire LDAP externe, tel qu'un Active Directory d'entreprise, vous devez fournir un compte de service en lecture seule préprovisionné dans votre annuaire avant la configuration. Apigee SSO utilisera ce compte uniquement pour les opérations de recherche et de liaison.
Propriétés de configuration LDAP externe
Pour configurer un annuaire LDAP externe, fournissez les détails de votre compte de service en lecture seule dans votre fichier de configuration. Le script setup-sso gérera automatiquement l'injection des jetons nécessaires dans la configuration.
Ajoutez les propriétés suivantes à votre fichier de configuration, par exemple /opt/silent.conf :
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Après avoir défini ces propriétés, passez à Installer et configurer Apigee SSO.