वर्शन 4.54.00 में, Apigee SSO के टियर को बेहतर बनाया गया है. इसलिए, अब आइडेंटिटी ब्रोकर को इनडायरेक्ट बाइंडिंग (खोजें और बाइंड करें) की ज़रूरत होती है. साथ ही, अब डायरेक्ट (सिंपल) बाइंडिंग की सुविधा उपलब्ध नहीं है. कम से कम विशेषाधिकार वाले सुरक्षा स्टैंडर्ड को बनाए रखने के लिए, Apigee SSO अब डायरेक्ट्री में खोज के लिए, सिर्फ़ रीड-ओनली ऐक्सेस वाले सेवा खाते का इस्तेमाल करता है.
इस सेक्शन में, उन तरीकों के बारे में बताया गया है जिनकी मदद से, Apigee Edge for Private Cloud के साथ LDAP को IDP के तौर पर इस्तेमाल किया जा सकता है.
ऑथेंटिकेशन का तरीका: खोजें और बाइंड करें (इनडायरेक्ट बाइंडिंग)
खोजें और बाइंड करें की मदद से, उपयोगकर्ता RDN (जैसे, उपयोगकर्ता नाम या ईमेल पता) और अपना पासवर्ड डालता है. इसके बाद, Apigee SSO, उपयोगकर्ता का डिस्टिंग्विश्ड नेम (डीएन) ढूंढता है और बाइंड करने की कोशिश करता है. खोजें और बाइंड करें की मदद से, मेल न खाने वाले नतीजे भी खोजे जा सकते हैं.
यहां, खोजें और बाइंड करें की प्रोसेस के चरण दिए गए हैं:
- उपयोगकर्ता, कोई आइडेंटिफ़ायर डालता है. जैसे, उपयोगकर्ता नाम या ईमेल पता. साथ ही, अपना पासवर्ड भी डालता है.
- Apigee SSO, एलडीएपी फ़िल्टर और सिर्फ़ रीड-ओनली ऐक्सेस वाले सेवा खाते के क्रेडेंशियल के सेट का इस्तेमाल करके खोज करता है.
- अगर सिर्फ़ एक नतीजा मिलता है, तो Apigee SSO, उपयोगकर्ता का डीएन वापस लाता है. अगर कोई नतीजा नहीं मिलता या एक से ज़्यादा नतीजे मिलते हैं, तो Apigee SSO, उपयोगकर्ता को अस्वीकार कर देता है.
- इसके बाद, Apigee SSO, एलडीएपी सर्वर के ख़िलाफ़ उपयोगकर्ता के डीएन और दिए गए पासवर्ड को बाइंड करने की कोशिश करता है.
- एलडीएपी सर्वर, ऑथेंटिकेशन की प्रोसेस पूरी करता है.
- अगर यह प्रोसेस पूरी हो जाती है, तो Apigee SSO, OIDC/OAuth2 टोकन दिखाता है. क्लाइंट, Edge की सेवाओं के लिए अपने अनुरोधों में इस टोकन को जोड़ सकता है.
इंटरनल OpenLDAP (डिफ़ॉल्ट कॉन्फ़िगरेशन)
अगर आपने Apigee में शामिल OpenLDAP का इस्तेमाल किया है (जिसमें एलडीएपी होस्ट को localhost पर सेट किया गया है), तो इंस्टॉलेशन की प्रोसेस के दौरान, कॉन्फ़िगरेशन को अपने-आप सुरक्षित कर दिया जाता है. सेटअप के दौरान, सिस्टम कम से कम विशेषाधिकार वाले सेवा खाते (cn=sso-reader) को अपने-आप उपलब्ध कराता है. इसमें, रैंडम तरीके से जनरेट किया गया सीक्रेट और सिर्फ़ रीड-ओनली ऐक्सेस की सुविधा होती है.
Apigee SSO की कॉन्फ़िगरेशन फ़ाइलों से, OpenLDAP के रूट एडमिन क्रेडेंशियल (cn=manager) हटा दिए जाते हैं. ऐसा इसलिए किया जाता है, ताकि डिस्क पर ज़्यादा विशेषाधिकार वाले क्रेडेंशियल सार्वजनिक न हो जाएं.
अगर आपने इंटरनल OpenLDAP का इस्तेमाल किया है, तो Apigee SSO को इंस्टॉल और कॉन्फ़िगर करें.
एक्सटर्नल कॉर्पोरेट एलडीएपी
अगर आपको Apigee SSO को किसी एक्सटर्नल एलडीएपी डायरेक्ट्री से कनेक्ट करना है, जैसे कि कॉर्पोरेट ऐक्टिव डायरेक्ट्री, तो आपको कॉन्फ़िगरेशन से पहले, अपनी डायरेक्ट्री में सिर्फ़ रीड-ओनली ऐक्सेस वाला सेवा खाता उपलब्ध कराना होगा. Apigee SSO, इस खाते का इस्तेमाल सिर्फ़ खोजें और बाइंड करें की प्रोसेस के लिए करेगा.
एक्सटर्नल एलडीएपी के कॉन्फ़िगरेशन की प्रॉपर्टी
किसी एक्सटर्नल एलडीएपी डायरेक्ट्री को कॉन्फ़िगर करने के लिए, अपनी कॉन्फ़िगरेशन फ़ाइल में सिर्फ़ रीड-ओनली ऐक्सेस वाले सेवा खाते की जानकारी डालें. setup-sso स्क्रिप्ट, कॉन्फ़िगरेशन में ज़रूरी टोकन डालने की प्रोसेस को अपने-आप मैनेज करेगी.
उदाहरण के लिए, /opt/silent.conf के लिए, अपनी कॉन्फ़िगरेशन फ़ाइल में ये प्रॉपर्टी जोड़ें:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
इन प्रॉपर्टी को तय करने के बाद, Apigee SSO को इंस्टॉल और कॉन्फ़िगर करें.