Dengan modernisasi tingkat SSO Apigee di versi 4.54.00, broker identitas yang mendasarinya secara native memerlukan binding tidak langsung (penelusuran dan binding) dan tidak lagi mendukung binding langsung (sederhana). Untuk mempertahankan standar keamanan hak istimewa terendah, Apigee SSO kini menstandarkan penggunaan akun layanan khusus hanya baca untuk penelusuran direktori.
Bagian ini menjelaskan mekanisme yang dapat Anda gunakan untuk menggunakan LDAP sebagai IDP dengan Apigee Edge for Private Cloud.
Mekanisme autentikasi: penelusuran dan pengikatan (pengikatan tidak langsung)
Dengan penelusuran dan pengikatan, pengguna memberikan RDN (seperti nama pengguna atau alamat email) dan sandinya. Kemudian, Apigee SSO akan menemukan nama khusus (DN) pengguna dan mencoba mengikat. Penelusuran dan pengikatan memungkinkan pencocokan parsial.
Berikut ini langkah-langkah dalam operasi penelusuran dan pengikatan:
- Pengguna memasukkan ID, seperti nama pengguna atau alamat email, serta sandi mereka.
- Apigee SSO melakukan penelusuran menggunakan filter LDAP dan serangkaian kredensial akun layanan hanya baca.
- Jika ada satu kecocokan, Apigee SSO akan mengambil DN pengguna. Jika ada nol atau lebih dari satu kecocokan, Apigee SSO akan menolak pengguna.
- Kemudian, Apigee SSO akan mencoba mengikat DN pengguna dan sandi yang diberikan terhadap server LDAP.
- Server LDAP melakukan autentikasi.
- Jika berhasil, Apigee SSO akan menampilkan token OIDC/OAuth2 yang dapat dilampirkan klien ke permintaannya ke layanan Edge.
OpenLDAP Internal (konfigurasi default)
Jika Anda menggunakan Apigee OpenLDAP tersemat (dengan host LDAP ditetapkan ke localhost), proses penginstalan akan otomatis mengamankan konfigurasi. Selama penyiapan, sistem akan otomatis menyediakan akun layanan dengan hak istimewa terendah (cn=sso-reader) dengan rahasia yang dibuat secara acak dan akses hanya baca yang dibatasi.
Kredensial admin root OpenLDAP (cn=manager) dihapus dari file konfigurasi Apigee SSO untuk mencegah eksposur kredensial hak istimewa tinggi di disk.
Jika Anda menggunakan OpenLDAP internal, lanjutkan ke Menginstal dan mengonfigurasi Apigee SSO.
LDAP perusahaan eksternal
Jika Anda menghubungkan Apigee SSO ke direktori LDAP eksternal, seperti Active Directory perusahaan, Anda harus menyediakan akun layanan hanya baca yang telah disediakan sebelumnya di direktori Anda sebelum konfigurasi. Apigee SSO akan menggunakan akun ini hanya untuk operasi penelusuran dan pengikatan.
Properti konfigurasi LDAP eksternal
Untuk mengonfigurasi direktori LDAP eksternal, berikan detail akun layanan hanya baca Anda dalam file konfigurasi. Skrip setup-sso akan otomatis menangani injeksi token yang diperlukan ke dalam konfigurasi.
Tambahkan properti berikut ke file konfigurasi Anda, misalnya /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Setelah menentukan properti ini, lanjutkan ke Menginstal dan mengonfigurasi Apigee SSO.