پیکربندی کردن SAML IDP

مشخصات SAML سه نهاد را تعریف می‌کند:

• اصلی (کاربر جدید واسط کاربر Edge)
• فراهم‌ساز خدمات (Apigee SSO)
• ارائه‌دهنده هویت (ادعای SAML را برمی‌گرداند)

وقتی SAML فعال باشد، مدیر (کاربر «میانای کاربری New Edge») دسترسی به ارائه‌دهنده خدمات (Apigee SSO) را درخواست می‌کند. سپس Apigee SSO (در نقش کارگزار هویت فدرال) ادعای هویت را از SAML IDP درخواست و دریافت می‌کند و از آن ادعا برای تولید نشان‌های OIDC و OAuth2 موردنیاز برای دسترسی به «میانای کاربری New Edge» استفاده می‌کند. سپس کاربر به «میانای کاربری New Edge» هدایت می‌شود.

این فرایند به‌صورت زیر است:

در این نمودار:

1. کاربر با درخواست به نشانی وب ورود به سیستم واسط کاربر Edge سعی می‌کند به «واسط کاربر Edge جدید» دسترسی پیدا کند. برای مثال: https://edge_management_ui_IP_DNS:3001
2. درخواست‌های تأییدنشده به Apigee SSO هدایت می‌شوند.
3. SSO درخواست را به SAML IDP هدایت می‌کند. برای مثال، https://idp.customer.com.
4. اگر کاربر به سیستم ارائه‌دهنده هویت وارد نشده باشد، از او خواسته می‌شود به سیستم وارد شود.
5. کاربر به سیستم وارد می‌شود.
6. کاربر توسط SAML IDP اصالت‌سنجی می‌شود، که یک ادعای SAML 2.0 تولید می‌کند و آن را به Apigee SSO برمی‌گرداند.
7. Apigee SSO ادعا را اعتبارسنجی می‌کند، هویت کاربر را از ادعا استخراج می‌کند، نشانه‌های اصالت‌سنجی OIDC/OAuth2 را برای New Edge UI تولید می‌کند، و کاربر را به صفحه اصلی New Edge UI در نشانی وب زیر هدایت می‌کند:

   https://edge_management_ui_IP_DNS:3001/edge

‫Edge از بسیاری‌از ارائه‌دهندگان هویت، ازجمله Okta و Microsoft Active Directory Federation Services (ADFS) پشتیبانی می‌کند. برای Okta، بخش زیر را ببینید.

برای پیکربندی SAML IDP،‏ Edge به نشانی ایمیل برای شناسایی کاربر نیاز دارد. بنابراین، ارائه‌دهنده هویت باید نشانی ایمیلی را به‌عنوان بخشی از ادعای هویت برگرداند.

علاوه‌براین، باید IDP خود را با اطلاعات زیر پیکربندی کنید تا مطمئن شوید که می‌تواند با Apigee SSO ارتباط برقرار کند:

protocol://apigee_sso_IP_DNS:port/callback

http://1.2.3.4:9099/callback

درحال پیکربندی Okta

برای پیکربندی Okta:

1. وارد سیستم Okta شوید.
2. برنامه‌ها را انتخاب کنید و سپس برنامه SAML خود را انتخاب کنید.
3. برگه تکالیف را برای افزودن کاربران به برنامه انتخاب کنید. این کاربران می‌توانند به سیستم New Edge UI وارد شوند و تماس‌های Edge API برقرار کنند. بااین‌حال، ابتدا باید هر کاربر را به سازمان Edge اضافه کنید و نقش کاربر را مشخص کنید. برای اطلاعات بیشتر، به ثبت کاربران جدید Edge مراجعه کنید.
4. برگه ورود به سیستم را برای دریافت نشانی وب فراداده «ارائه‌دهنده هویت» انتخاب کنید. برای پیکربندی تنظیمات SAML در فایل /opt/apigee/customer/application/openldap.properties به این مورد نیاز دارید.
5. برگه عمومی را برای پیکربندی برنامه Okta انتخاب کنید، همان‌طور که در جدول زیر نشان داده شده است:

   تنظیم	شرح
   نشانی وب ورود به سیستم یک‌باره	نشانی وب هدایت مجدد به SSO را برای استفاده پس‌از وارد کردن اطلاعات اعتباری Okta توسط کاربر مشخص می‌کند. این نشانی وب به این شکل است: http://apigee_sso_IP_DNS:9099/callback اگر Apigee SSO «امنیت لایه انتقال» را خاتمه دهد: https://apigee_sso_IP_DNS:9443/callback اگر ترازکننده بار «امنیت لایه انتقال» را خاتمه دهد: https://load_balancer_IP_or_DNS:443/callback
   از این برای «نشانی وب گیرنده» و «نشانی وب مقصد» استفاده کنید	این چارگوش انتخاب را تنظیم کنید.
   URI مخاطب (شناسه نهاد ارائه‌دهنده خدمات)	این را روی apigee-saml-login-opdk تنظیم کنید. این شناسه نهاد Edge SP پیش‌فرض است. اگر این مقدار را بااستفاده از ویژگی lib_settings_saml_entity_issuer در پیکربندی‌تان لغو می‌کنید، شناسه نهاد سفارشی‌تان را در اینجا مشخص کنید.
   Default RelayState	خالی بگذارید.
   قالب شناسه نام	EmailAddress را مشخص کنید.
   نام کاربری برنامه	Okta username را مشخص کنید.
   بیانیه‌های مشخصه	مشخصه‌هایی را که به دارایی‌های SAML_USERNAME_ATTR،‏ SAML_EMAIL_ATTR، و SAML_GROUPS_ATTR در پیکربندی‌تان نگاشت می‌شوند مشخص کنید. معمولاً باید name، email، و groups را نگاشت کنید.

پس‌از پیکربندی، Okta ادعای SAML را باموفقیت درطول ورود به سیستم به Apigee SSO برمی‌گرداند.