הגדרת LDAP

במסגרת המודרניזציה של מודול SSO ב-Apigee בגרסה 4.54.00, מתווך הזהויות הבסיסי דורש באופן מובנה קישור עקיף (חיפוש וקישור) ולא תומך יותר בקישור ישיר (פשוט). כדי לשמור על תקני אבטחה של הרשאות מינימליות, מעכשיו מודול SSO ב-Apigee משתמש באופן סטנדרטי בחשבון שירות ייעודי עם הרשאת קריאה בלבד לחיפושים בספרייה.

בקטע הזה מתוארים המנגנונים שבעזרתם אפשר להשתמש ב-LDAP כספק זהויות (IdP) ב-Apigee Edge לענן פרטי.

מנגנון אימות: חיפוש וקישור (קישור עקיף)

בחיפוש וקישור, המשתמש מספק RDN (כמו שם משתמש או כתובת אימייל) ואת הסיסמה שלו. לאחר מכן, מודול SSO ב-Apigee מוצא את השם הייחודי (DN) של המשתמש ומנסה לבצע כבילה (bind). החיפוש והקישור מאפשרים התאמות חלקיות.

השלבים בפעולת חיפוש וקישור מוצגים בהמשך:

• המשתמש מזין מזהה, כמו שם משתמש או כתובת אימייל, וגם את הסיסמה שלו.
• מודול ה-SSO ב-Apigee מבצע חיפוש באמצעות מסנן LDAP וקבוצה של פרטי כניסה לחשבון שירות לקריאה בלבד.
• אם יש בדיוק התאמה אחת, מודול ה-SSO ב-Apigee מאחזר את ה-DN של המשתמש. אם אין התאמות או שיש יותר מהתאמה אחת, מודול SSO ב-Apigee דוחה את המשתמש.
• לאחר מכן, מודול SSO ב-Apigee מנסה לקשר את ה-DN של המשתמש והסיסמה שסופקה לשרת ה-LDAP.
• שרת ה-LDAP מבצע את האימות.
• אם הפעולה מצליחה, מודול ה-SSO ב-Apigee מחזיר אסימון OIDC/OAuth2 שהלקוח יכול לצרף לבקשות שלו לשירותי Edge.

‫OpenLDAP פנימי (הגדרת ברירת המחדל)

אם אתם משתמשים ב-Apigee OpenLDAP המוטמע (כאשר מארח ה-LDAP מוגדר ל-localhost), תהליך ההתקנה מאבטח את ההגדרה באופן אוטומטי. במהלך ההגדרה, המערכת מקצה באופן אוטומטי חשבון שירות עם הרשאות מינימליות (cn=sso-reader) עם סוד שנוצר באופן אקראי וגישת קריאה בלבד מוגבלת.

פרטי הכניסה של אדמין הבסיס ב-OpenLDAP‏ (cn=manager) מוסרים מקובצי התצורה של מודול SSO ב-Apigee כדי למנוע חשיפה של פרטי כניסה עם הרשאות גבוהות בדיסק.

אם אתם משתמשים ב-OpenLDAP פנימי, המשיכו להתקנה והגדרה של מודול SSO ב-Apigee.

LDAP חיצוני של חברה

אם אתם מחברים את מודול SSO ב-Apigee לספריית LDAP חיצונית, כמו Active Directory של חברה, עליכם לספק חשבון שירות לקריאה בלבד שהוקצה מראש בספרייה לפני ההגדרה. מודול SSO ב-Apigee ישתמש בחשבון הזה רק לפעולות חיפוש וכבילה (bind).

מאפייני הגדרה של LDAP חיצוני

כדי להגדיר ספריית LDAP חיצונית, צריך לספק את פרטי חשבון השירות לקריאה בלבד בקובץ התצורה. הסקריפט setup-sso יטפל באופן אוטומטי בהוספת הטוקנים הנדרשים להגדרות האישיות.

מוסיפים את המאפיינים הבאים לקובץ התצורה, לדוגמה /opt/silent.conf:

ENABLE_SSO=y
SSO_EXTERNAL_LDAP=y
SSO_LDAP_HOST=corp-ad.company.com
SSO_LDAP_PORT=636

# Set to false for secure connection
SSO_LDAP_INSECURE_SKIP_VERIFY=false

# The DN and password of your pre-provisioned read-only service account
SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com"
SSO_LDAP_BIND_PW="password"

# The base DN for user searches
SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com"

# The filter used to search for the user
SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))"

# The attribute containing the user's email address
SSO_LDAP_USER_EMAIL_ATTR="mail"

# (Optional) The attribute containing the user's ID
# SSO_LDAP_USER_ID_ATTR="sAMAccountName"

# (Optional) The attribute containing the user's display name
# SSO_LDAP_USER_NAME_ATTR="displayName"

אחרי שמגדירים את המאפיינים האלה, ממשיכים להתקנה והגדרה של מודול SSO ב-Apigee.