กําหนดค่า SAML IDP

ข้อกำหนด SAML กำหนดเอนทิตี 3 รายการดังนี้

  • Principal (ผู้ใช้ New Edge UI)
  • ผู้ให้บริการ (Apigee SSO)
  • ผู้ให้บริการข้อมูลประจำตัว (แสดงผลการยืนยัน SAML)

เมื่อเปิดใช้ SAML แล้ว Principal (ผู้ใช้ New Edge UI) จะขอสิทธิ์เข้าถึงผู้ให้บริการ (Apigee SSO) จากนั้น Apigee SSO (ในบทบาทเป็น Federated Identity Broker) จะขอและรับการยืนยันข้อมูลประจำตัวจาก SAML IDP และใช้การยืนยันดังกล่าวเพื่อสร้างโทเค็น OIDC และ OAuth2 ที่จำเป็นสำหรับการเข้าถึง New Edge UI จากนั้นระบบจะเปลี่ยนเส้นทางผู้ใช้กลับไปยัง New Edge UI

กระบวนการนี้มีลักษณะดังนี้

ขั้นตอนการตรวจสอบสิทธิ์ SAML

ในแผนภาพนี้

  1. ผู้ใช้พยายามเข้าถึง New Edge UI โดยส่งคำขอไปยัง URL สำหรับเข้าสู่ระบบของ Edge UI เช่น https://edge_management_ui_IP_DNS:3001
  2. ระบบจะเปลี่ยนเส้นทางคำขอที่ยังไม่ได้รับการตรวจสอบสิทธิ์ไปยัง Apigee SSO
  3. SSO จะเปลี่ยนเส้นทางคำขอไปยัง SAML IDP เช่น https://idp.customer.com
  4. หากผู้ใช้ไม่ได้เข้าสู่ระบบผู้ให้บริการข้อมูลประจำตัว ระบบจะแจ้งให้เข้าสู่ระบบ
  5. ผู้ใช้เข้าสู่ระบบ
  6. SAML IDP จะตรวจสอบสิทธิ์ผู้ใช้ ซึ่งจะสร้างการยืนยัน SAML 2.0 และส่งกลับ ไปยัง Apigee SSO
  7. Apigee SSO จะตรวจสอบการยืนยัน แยกข้อมูลประจำตัวของผู้ใช้ออกจากข้อมูลการยืนยัน สร้างโทเค็นการตรวจสอบสิทธิ์ OIDC/OAuth2 สำหรับ New Edge UI และเปลี่ยนเส้นทางผู้ใช้ไปยัง หน้าหลักของ New Edge UI ที่ URL ต่อไปนี้ 
    https://edge_management_ui_IP_DNS:3001/edge

Edge รองรับ IDP หลายรายการ ซึ่งรวมถึง Okta และ Microsoft Active Directory Federation Services (ADFS) สำหรับ Okta โปรดดูส่วนต่อไปนี้

หากต้องการกำหนดค่า SAML IDP, Edge จะต้องใช้อีเมลเพื่อระบุผู้ใช้ ดังนั้น ผู้ให้บริการข้อมูลประจำตัวจึงต้องแสดงผลอีเมลเป็นส่วนหนึ่งของการยืนยันข้อมูลประจำตัว

นอกจากนี้ คุณจะต้องกำหนดค่า IDP ด้วยข้อมูลต่อไปนี้เพื่อให้แน่ใจว่า IDP สามารถสื่อสารกับ Apigee SSO ได้

การตั้งค่า คำอธิบาย
Assertion Consumer Service URL (Single Sign On URL)

นี่คือ URL เปลี่ยนเส้นทางกลับไปยัง Apigee SSO หลังจากที่ผู้ใช้ป้อนข้อมูลเข้าสู่ระบบของ IDP โดยมีรูปแบบดังนี้

protocol://apigee_sso_IP_DNS:port/callback

เช่น

http://1.2.3.4:9099/callback
รหัสเอนทิตี SP (หรือ Audience URI)

โดยค่าเริ่มต้น Apigee SSO คาดหวังให้รหัสเอนทิตี SP เป็น apigee-saml-login-opdk

หากคุณลบล้างค่าเริ่มต้นนี้โดยการตั้งค่าพร็อพเพอร์ตี้ lib_settings_saml_entity_issuer ในการกำหนดค่า ให้ระบุรหัสเอนทิตีที่กำหนดเองที่นี่แทน

การกำหนดค่า Okta

วิธีกำหนดค่า Okta

  1. เข้าสู่ระบบ Okta
  2. เลือกแอปพลิเคชัน แล้วเลือกแอปพลิเคชัน SAML
  3. เลือกแท็บการมอบหมาย เพื่อเพิ่มผู้ใช้ลงในแอปพลิเคชัน ผู้ใช้เหล่านี้ จะเข้าสู่ระบบ New Edge UI และทำการเรียก API ของ Edge ได้ อย่างไรก็ตาม คุณต้องเพิ่มผู้ใช้แต่ละราย ลงในองค์กร Edge และระบุบทบาทของผู้ใช้ก่อน ดูข้อมูลเพิ่มเติมได้ที่ ลงทะเบียนผู้ใช้ Edge รายใหม่
  4. เลือกแท็บลงชื่อเข้าใช้ เพื่อรับ URL ของข้อมูลเมตาของผู้ให้บริการข้อมูลประจำตัว คุณจะต้องใช้ URL นี้เพื่อกำหนดค่าการตั้งค่า SAML ในไฟล์ /opt/apigee/customer/application/openldap.properties
  5. เลือกแท็บทั่วไป เพื่อกำหนดค่าแอปพลิเคชัน Okta ดังที่แสดงใน ตารางต่อไปนี้
    การตั้งค่า คำอธิบาย
    Single Sign On URL

    ระบุ URL เปลี่ยนเส้นทางกลับไปยัง SSO เพื่อใช้หลังจากที่ผู้ใช้ป้อนข้อมูลเข้าสู่ระบบ Okta URL นี้มีรูปแบบดังนี้

    http://apigee_sso_IP_DNS:9099/callback

    หาก Apigee SSO สิ้นสุด TLS

    https://apigee_sso_IP_DNS:9443/callback

    หากตัวจัดสรรภาระงานสิ้นสุด TLS

    https://load_balancer_IP_or_DNS:443/callback
    ใช้ URL นี้สำหรับ URL ผู้รับและ URL ปลายทาง เลือกช่องทำเครื่องหมายนี้
    Audience URI (รหัสเอนทิตี SP) ตั้งค่าเป็น apigee-saml-login-opdk นี่คือรหัสเอนทิตี SP ของ Edge โดยค่าเริ่มต้น หากคุณลบล้างค่านี้โดยใช้พร็อพเพอร์ตี้ lib_settings_saml_entity_issuer ในการกำหนดค่า ให้ระบุรหัสเอนทิตีที่กำหนดเองที่นี่แทน
    Default RelayState เว้นว่างไว้
    รูปแบบ Name ID ระบุ EmailAddress
    ชื่อผู้ใช้แอปพลิเคชัน ระบุ Okta username
    Attribute Statements ระบุแอตทริบิวต์ที่แมปกับพร็อพเพอร์ตี้ SAML_USERNAME_ATTR, SAML_EMAIL_ATTR และ SAML_GROUPS_ATTR ในการกำหนดค่า โดยปกติแล้ว คุณควรแมป name, email และ groups

เมื่อกำหนดค่าแล้ว Okta จะส่งการยืนยัน SAML กลับไปยัง Apigee SSO ได้สำเร็จระหว่างการเข้าสู่ระบบ