Con la modernizzazione del livello SSO Apigee nella versione 4.54.00, il broker di identità sottostante richiede in modo nativo l'associazione indiretta (ricerca e associazione) e non supporta più l'associazione diretta (semplice). Per mantenere gli standard di sicurezza con privilegio minimo, SSO Apigee ora standardizza l'utilizzo di un account di servizio di sola lettura dedicato per le ricerche nella directory.
Questa sezione descrive i meccanismi con cui puoi utilizzare LDAP come IdP con Apigee Edge per il cloud privato.
Meccanismo di autenticazione: ricerca e associazione (associazione indiretta)
Con ricerca e associazione, l'utente fornisce un RDN (ad esempio un nome utente o un indirizzo email) e la relativa password. Apigee SSO trova quindi il nome distinto (DN) dell'utente e tenta di eseguire l'associazione. La ricerca e l'associazione consentono corrispondenze parziali.
Di seguito sono riportati i passaggi di un'operazione di ricerca e associazione:
- L'utente inserisce un identificatore, ad esempio un nome utente o un indirizzo email, e la relativa password.
- SSO Apigee esegue una ricerca utilizzando un filtro LDAP e un insieme di credenziali dell'account di servizio di sola lettura.
- Se esiste esattamente una corrispondenza, Apigee SSO recupera il DN dell'utente. Se non ci sono corrispondenze o ce n'è più di una, SSO Apigee rifiuta l'utente.
- SSO Apigee tenta quindi di autenticare il DN dell'utente e la password fornita al server LDAP.
- Il server LDAP esegue l'autenticazione.
- In caso di esito positivo, Apigee SSO restituisce un token OIDC/OAuth2 che il client può allegare alle richieste ai servizi Edge.
OpenLDAP interno (configurazione predefinita)
Se utilizzi Apigee OpenLDAP incorporato (dove l'host LDAP è impostato su localhost), la procedura di installazione protegge automaticamente la configurazione. Durante la configurazione, il sistema esegue automaticamente il provisioning di un account di servizio con privilegio minimo (cn=sso-reader) con un secret generato in modo casuale e accesso di sola lettura limitato.
Le credenziali di amministratore root di OpenLDAP (cn=manager) vengono eliminate dai file di configurazione di SSO Apigee per impedire l'esposizione di credenziali con privilegi elevati su disco.
Se utilizzi OpenLDAP interno, procedi con l'installazione e la configurazione di SSO Apigee.
LDAP aziendale esterno
Se connetti SSO Apigee a una directory LDAP esterna, ad esempio un Active Directory aziendale, devi fornire un account di servizio di sola lettura con provisioning preliminare nella directory prima della configurazione. SSO Apigee utilizzerà questo account esclusivamente per le operazioni di ricerca e associazione.
Proprietà di configurazione LDAP esterna
Per configurare una directory LDAP esterna, fornisci i dettagli dell'account di servizio di sola lettura nel file di configurazione. Lo script setup-sso gestirà automaticamente l'inserimento dei token necessari nella configurazione.
Aggiungi le seguenti proprietà al file di configurazione, ad esempio /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Dopo aver definito queste proprietà, procedi con l'installazione e la configurazione di Apigee SSO.