Désactiver l'authentification de base sur Edge

Une fois que vous avez activé SAML ou LDAP sur Edge, vous pouvez désactiver l'authentification de base. Toutefois, avant de désactiver l'authentification de base:

• Assurez-vous d'avoir ajouté tous les utilisateurs Edge, y compris les administrateurs système, à votre IDP.
• Assurez-vous d'avoir testé minutieusement l'authentification de votre fournisseur d'identité dans la nouvelle interface utilisateur Edge et l'API de gestion Edge.

Afficher le profil de sécurité actuel

Vous pouvez afficher le profil de sécurité Edge pour déterminer la configuration actuelle et vérifier si l'authentification de base et un fournisseur d'identité externe sont actuellement activés. Utilisez l'appel d'API de gestion Edge suivant sur le serveur de gestion Edge pour afficher le profil de sécurité actuel utilisé par Edge :

curl -H "accept:application/xml" http://localhost:8080/v1/securityprofile -u sysAdminEmail:pWord

Si vous n'avez pas encore configuré de fournisseur d'identité externe, la réponse s'affiche comme suit, ce qui signifie que l'authentification de base est activée :

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
    </UserAccessControl>
</SecurityProfile>

Si vous avez déjà activé un fournisseur d'identité externe, l'élément <ssoserver> doit apparaître dans la réponse :

<SecurityProfile enabled="true" name="securityprofile">
    <UserAccessControl enabled="true">
        <SSOServer>
            <BasicAuthEnabled>true</BasicAuthEnabled>
            <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
            <ServerUrl>http://35.197.37.220:9099</ServerUrl>
        </SSOServer>
    </UserAccessControl>
</SecurityProfile>

Notez que la version avec un fournisseur d'identité externe activé affiche également <BasicAuthEnabled>true</BasicAuthEnabled>, ce qui signifie que l'authentification de base est toujours activée.

Désactiver l'authentification de base

Utilisez l'appel d'API Management Edge suivant sur le serveur de gestion Edge pour désactiver l'authentification de base.

Pour désactiver l'authentification de base, transmettez l'objet XML renvoyé dans la section précédente en tant que charge utile. La seule différence est que vous définissez <BasicAuthEnabled> sur false, comme illustré dans l'exemple suivant :

curl -H "Content-Type: application/xml"
http://localhost:8080/v1/securityprofile  -u sysAdminEmail:pWord -d
 '<SecurityProfile enabled="true" name="securityprofile">
  <UserAccessControl enabled="true">
    <SSOServer>
      <BasicAuthEnabled>false</BasicAuthEnabled>
      <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
      <ServerUrl>http://35.197.37.220:9099</ServerUrl>
  </SSOServer>
 </UserAccessControl>
</SecurityProfile>'

Une fois que vous avez désactivé l'authentification de base, tout appel d'API Management Edge qui transmet des identifiants d'authentification de base renvoie l'erreur suivante :

<Error>
    <Code>security.SecurityProfileBasicAuthDisabled</Code>
    <Message>Basic Authentication scheme not allowed</Message>
    <Contexts/>
</Error>

Réactiver l'authentification de base

Si, pour une raison quelconque, vous devez réactiver l'authentification de base, vous devez procéder comme suit :

1. Connectez-vous à n'importe quel nœud Edge ZooKeeper.
2. Exécutez le script bash suivant pour désactiver toute la sécurité :

   #! /bin/bash
   /opt/apigee/apigee-zookeeper/bin/zkCli.sh -server localhost:2181 <<EOF
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   quit
   EOF

   Le résultat s'affiche au format suivant :

   Connecting to localhost:2181
   Welcome to ZooKeeper!
   JLine support is enabled
   WATCHER::
   WatchedEvent state:SyncConnected
   type:None path:null
   [zk: localhost:2181(CONNECTED) 0]
   set /system/securityprofile <SecurityProfile></SecurityProfile>
   cZxid = 0x89
   ...
   [zk: localhost:2181(CONNECTED) 1] quit
   Quitting...

3. Réactivez l'authentification de base et l'authentification du fournisseur d'identité externe :

   curl -H "Content-Type: application/xml" http://localhost:8080/v1/securityprofile
     -u sysAdminEmail:pWord -d '<SecurityProfile enabled="true" name="securityprofile">
     <UserAccessControl enabled="true">
     <SSOServer>
     <BasicAuthEnabled>true</BasicAuthEnabled>
     <PublicKeyEndPoint>/token_key</PublicKeyEndPoint>
     <ServerUrl>http://35.197.37.220:9099</ServerUrl>
     </SSOServer>
     </UserAccessControl>
     </SecurityProfile>'

Vous pouvez à présent utiliser à nouveau l'authentification de base. Pour passer de l'authentification unique à l'authentification de base dans la nouvelle interface utilisateur Edge, définissez AUTH_MODE=basic et MANAGEMENT_UI_SSO_ENABLED=n dans votre fichier de configuration de la nouvelle interface utilisateur Edge, puis exécutez /opt/apigee/apigee-service/bin/apigee-service edge-management-ui configure-sso -f configFile, suivi de /opt/apigee/apigee-service/bin/apigee-service edge-management-ui restart (ou exécutez /opt/apigee/apigee-setup/bin/setup.sh -p ue -f configFile).