在 4.54.00 版中，Apigee SSO 層級已完成現代化，因此基礎身分中介服務原生需要間接繫結 (搜尋和繫結)，不再支援直接 (簡單) 繫結。為維持最小權限安全性標準，Apigee SSO 現在會標準化使用專屬的唯讀服務帳戶進行目錄搜尋。
本節說明如何將 LDAP 做為 Apigee Edge for Private Cloud 的 IDP。
驗證機制：搜尋並繫結 (間接繫結)
使用搜尋和繫結時，使用者會提供 RDN (例如使用者名稱或電子郵件地址) 和密碼。接著，Apigee SSO 會找出使用者的辨別名稱 (DN)，並嘗試繫結。搜尋和繫結允許部分相符的結果。
以下是搜尋和繫結作業的步驟：
- 使用者輸入 ID (例如使用者名稱或電子郵件地址) 和密碼。
- Apigee SSO 會使用 LDAP 篩選器和一組唯讀服務帳戶憑證執行搜尋。
- 如果只有一個相符項目，Apigee SSO 會擷取使用者的 DN。如果相符項目為零或超過一個，Apigee SSO 會拒絕使用者。
- Apigee SSO 接著會嘗試將使用者的 DN 和提供的密碼繫結至 LDAP 伺服器。
- LDAP 伺服器會執行驗證。
- 如果成功，Apigee SSO 會傳回 OIDC/OAuth2 權杖，用戶端可將權杖附加至 Edge 服務要求。
內部 OpenLDAP (預設設定)
如果您使用內嵌的 Apigee OpenLDAP (LDAP 主機設為 localhost)，安裝程序會自動保護設定。設定期間，系統會自動佈建最小權限服務帳戶 (cn=sso-reader)，並隨機產生密鑰，以及限制唯讀存取權。
Apigee SSO 設定檔中已移除 OpenLDAP 根管理員憑證 (cn=manager)，防止磁碟上洩漏高權限憑證。
如果您使用的是內部 OpenLDAP，請前往「安裝及設定 Apigee SSO」。
外部公司 LDAP
如要將 Apigee SSO 連結至外部 LDAP 目錄 (例如企業 Active Directory)，您必須先在目錄中提供預先佈建的唯讀服務帳戶，才能進行設定。Apigee SSO 只會使用這個帳戶執行搜尋和繫結作業。
外部 LDAP 設定屬性
如要設定外部 LDAP 目錄，請在設定檔中提供唯讀服務帳戶詳細資料。setup-sso 指令碼會自動將必要權杖插入設定。
在設定檔中新增下列屬性，例如 /opt/silent.conf：
ENABLE_SSO=y SSO_EXTERNAL_LDAP=y SSO_LDAP_HOST=corp-ad.company.com SSO_LDAP_PORT=636 # Set to false for secure connection SSO_LDAP_INSECURE_SKIP_VERIFY=false # The DN and password of your pre-provisioned read-only service account SSO_LDAP_BIND_DN="cn=svc-apigee,ou=ServiceAccounts,dc=corp,dc=com" SSO_LDAP_BIND_PW="password" # The base DN for user searches SSO_LDAP_USER_BASE_DN="ou=Employees,dc=corp,dc=com" # The filter used to search for the user SSO_LDAP_USER_FILTER="(&(objectClass=user)(objectCategory=person))" # The attribute containing the user's email address SSO_LDAP_USER_EMAIL_ATTR="mail" # (Optional) The attribute containing the user's ID # SSO_LDAP_USER_ID_ATTR="sAMAccountName" # (Optional) The attribute containing the user's display name # SSO_LDAP_USER_NAME_ATTR="displayName"
定義這些屬性後，請繼續安裝及設定 Apigee SSO。