4.54.00 sürümünde Apigee TOA katmanının modernizasyonuyla birlikte, temel kimlik aracısı yerel olarak dolaylı bağlama (arama ve bağlama) gerektirir ve artık doğrudan (basit) bağlamayı desteklemez. Apigee TOA, en az ayrıcalık güvenlik standartlarını korumak için artık dizin aramalarında özel bir salt okunur hizmet hesabı kullanmayı standart hale getiriyor.
Bu bölümde, Apigee Edge for Private Cloud ile kimlik sağlayıcı olarak LDAP'yi kullanabileceğiniz mekanizmalar açıklanmaktadır.
Kimlik doğrulama mekanizması: arama ve bağlama (dolaylı bağlama)
Arama ve bağlama ile kullanıcı, RDN (ör. kullanıcı adı veya e-posta adresi) ve şifresini sağlar. Apigee TOA, kullanıcının ayırt edici adını (DN) bulur ve bağlamaya çalışır. Arama ve bağlama, kısmi eşleşmelere izin verir.
Aşağıda, arama ve bağlama işlemindeki adımlar gösterilmektedir:
- Kullanıcı, kullanıcı adı veya e-posta adresi gibi bir tanımlayıcı ve şifresini girer.
- Apigee SSO, bir LDAP filtresi ve salt okunur hizmet hesabı kimlik bilgileri grubu kullanarak arama yapar.
- Tam olarak bir eşleşme varsa Apigee TOA, kullanıcının DN'sini alır. Eşleşme yoksa veya birden fazla eşleşme varsa Apigee SSO, kullanıcıyı reddeder.
- Ardından Apigee SSO, kullanıcının DN'sini ve sağlanan şifreyi LDAP sunucusuna bağlamaya çalışır.
- LDAP sunucusu kimlik doğrulama işlemini gerçekleştirir.
- Başarılı olursa Apigee TOA, istemcinin Edge hizmetlerine yönelik isteklerine ekleyebileceği bir OIDC/OAuth2 jetonu döndürür.
Dahili OpenLDAP (varsayılan yapılandırma)
Yerleşik Apigee OpenLDAP'yi kullanıyorsanız (LDAP ana makinesi localhost olarak ayarlanmışsa) yükleme işlemi, yapılandırmanın güvenliğini otomatik olarak sağlar. Kurulum sırasında sistem, rastgele oluşturulmuş bir gizli anahtar ve kısıtlı salt okuma erişimiyle en az ayrıcalık hizmet hesabını (cn=sso-reader) otomatik olarak hazırlar.
OpenLDAP kök yönetici kimlik bilgileri (cn=manager), yüksek ayrıcalıklı kimlik bilgilerinin diskte görünmesini önlemek için Apigee TOA yapılandırma dosyalarından kaldırılır.
Dahili OpenLDAP kullanıyorsanız Apigee SSO'yu yükleme ve yapılandırma bölümüne gidin.
Harici kurumsal LDAP
Apigee TOA'yı kurumsal Active Directory gibi harici bir LDAP dizinine bağlıyorsanız yapılandırmadan önce dizininizde önceden sağlanmış salt okunur bir hizmet hesabı sağlamanız gerekir. Apigee TOA, bu hesabı yalnızca arama ve bağlama işlemleri için kullanır.
Harici LDAP yapılandırma özellikleri
Harici bir LDAP dizini yapılandırmak için yapılandırma dosyanızda salt okunur hizmet hesabı ayrıntılarınızı sağlayın. setup-sso komut dosyası, gerekli jetonların yapılandırmaya eklenmesini otomatik olarak gerçekleştirir.
Yapılandırma dosyanıza (ör. /opt/silent.conf) aşağıdaki özellikleri ekleyin:
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
Bu özellikleri tanımladıktan sonra Apigee TOA'yı yükleme ve yapılandırma bölümüne geçin.