Com a modernização da camada de SSO da Apigee na versão 4.54.00, o agente de identidade subjacente exige nativamente a vinculação indireta (pesquisa e vinculação) e não oferece mais suporte à vinculação direta (simples). Para manter os padrões de segurança de privilégio mínimo, o SSO da Apigee agora é padronizado no uso de uma conta de serviço dedicada e somente leitura para pesquisas de diretório.
Esta seção descreve os mecanismos com que você pode usar o LDAP como um IdP com a Apigee Edge para nuvem privada.
Mecanismo de autenticação: pesquisa e vinculação (vinculação indireta)
Com a pesquisa e vinculação, o usuário fornece um RDN (como um nome de usuário ou endereço de e-mail) e a senha. O SSO da Apigee encontra o nome diferenciado (DN) do usuário e tenta vincular. A pesquisa e vinculação permite correspondências parciais.
A seguir, mostramos as etapas de uma operação de pesquisa e vinculação:
- O usuário insere um identificador, como um nome de usuário ou endereço de e-mail, além da senha.
- O SSO da Apigee realiza uma pesquisa usando um filtro LDAP e um conjunto de credenciais de conta de serviço somente leitura.
- Se houver exatamente uma correspondência, o SSO da Apigee vai recuperar o DN do usuário. Se houver zero ou mais de uma correspondência, o SSO da Apigee vai rejeitar o usuário.
- Em seguida, o SSO da Apigee tenta vincular o DN do usuário e a senha fornecida ao servidor LDAP.
- O servidor LDAP realiza a autenticação.
- Se for bem-sucedido, o SSO da Apigee vai retornar um token OIDC/OAuth2 que o cliente pode anexar às solicitações aos serviços da Edge.
OpenLDAP interno (configuração padrão)
Se você estiver usando o OpenLDAP da Apigee incorporado (em que o host LDAP está definido como localhost), o processo de instalação vai proteger automaticamente a configuração. Durante a configuração, o sistema provisiona automaticamente uma conta de serviço de privilégio mínimo (cn=sso-reader) com um secret gerado aleatoriamente e acesso somente leitura restrito.
As credenciais de administrador raiz do OpenLDAP (cn=manager) são eliminadas dos arquivos de configuração do SSO da Apigee para evitar a exposição de credenciais de alto privilégio no disco.
Se você estiver usando o OpenLDAP interno, acesse Instalar e configurar o SSO da Apigee.
LDAP corporativo externo
Se você estiver conectando o SSO da Apigee a um diretório LDAP externo, como um Active Directory corporativo, será necessário fornecer uma conta de serviço somente leitura pré-provisionada no diretório antes da configuração. O SSO da Apigee vai usar essa conta estritamente para operações de pesquisa e vinculação.
Propriedades de configuração do LDAP externo
Para configurar um diretório LDAP externo, forneça os detalhes da conta de serviço somente leitura no arquivo de configuração. O script setup-sso vai processar automaticamente a injeção dos tokens necessários na configuração.
Adicione as seguintes propriedades ao arquivo de configuração, por exemplo, /opt/silent.conf:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Depois de definir essas propriedades, acesse Instalar e configurar o SSO da Apigee.