La nueva IU de Edge y la API de Management de Edge operan mediante la realización de solicitudes al servidor de administración de Edge, en el que el servidor de administración admite los siguientes tipos de autenticación:
- Autenticación básica: Accede a la nueva IU de Edge o realiza solicitudes a la API de administración de Edge pasando tu nombre de usuario y contraseña.
- OAuth2 / OIDC: Intercambia tus credenciales de autenticación básica de Edge por un token de acceso y un token de actualización de OAuth2. Realiza llamadas a la API de Management de Edge pasando el token de acceso de OAuth2 en el encabezado Bearer de una llamada a la API.
Edge admite el uso de los siguientes proveedores de identidad (IDP) externos para la autenticación:
- Lenguaje de marcado para confirmaciones de seguridad (SAML) 2.0: Genera tokens de acceso de OAuth a partir de las aserciones de SAML que devuelve un proveedor de identidad de SAML.
- Protocolo ligero de acceso a directorios (LDAP): Usa los métodos de autenticación de búsqueda y vinculación de LDAP para generar tokens de acceso de OAuth.
Los IDP de SAML y LDAP admiten un entorno de inicio de sesión único (SSO). Si usas un IDP externo con Edge, puedes admitir SSO para la nueva IU y API de Edge, además de cualquier otro servicio que proporciones y que también admita tu IDP externo.
Acerca de la nueva estructura de SSO de Apigee
A partir de Edge para la nube privada 4.54.00, el componente heredado apigee-sso se reemplazó por un agente de identidad de OpenID Connect (OIDC) modernizado y ligero llamado Dex. Este adaptador de SSO se integra directamente en el ciclo de vida del componente apigee-openldap, lo que elimina la necesidad de instalar un módulo apigee-sso independiente.
Debido a que el SSO de Apigee (agente de Dex) se incluye con apigee-openldap, se implementa en los mismos nodos que tus instancias de OpenLDAP. La administración del ciclo de vida se controla de forma nativa a través de acciones de OPDK, como apigee-service apigee-openldap start_sso y stop_sso.
El puerto 9099 debe estar abierto en el nodo apigee-openldap para admitir el acceso al SSO de Apigee desde un navegador,
desde el IDP externo de SAML o LDAP, y desde el servidor de administración y la nueva IU de Edge. Como parte de la configuración
del SSO de Apigee, puedes especificar si la conexión externa usa HTTP o el protocolo HTTPS
encriptado.
El SSO de Apigee es un servicio sin estado que usa una base de datos de Postgres (apigee_dex) accesible en el puerto 5432 del nodo de Postgres para conservar el estado de OAuth2 en varios nodos, lo que garantiza la alta disponibilidad. Por lo general, puedes usar el mismo servidor de Postgres que instalaste con Edge, ya sea un servidor de Postgres independiente o dos servidores de Postgres configurados en modo principal/en espera. Si la carga en tu servidor de Postgres
es alta, también puedes crear un nodo de Postgres independiente solo para la base de datos de SSO.
Compatibilidad con OpenID Connect (OIDC) estándar
La implementación de SAML y LDAP de Edge se basa en OpenID Connect (OIDC) estándar y tokens de acceso de OAuth2.
El SSO de Apigee modernizado emite tokens estrictamente compatibles con OIDC (con el uso de reclamos estándar como email y sub, así como tokens de actualización opacos). Para obtener más información, consulta
Introducción a OAuth 2.0.
Acerca de SAML
La autenticación de SAML ofrece varias ventajas. Si utiliza SAML, puede hacer lo siguiente:
- Tener control total de la administración de usuarios. Cuando los usuarios abandonan tu organización y se anulan de forma centralizada, se les deniega automáticamente el acceso a Edge.
- Controlar cómo se autentican los usuarios para acceder a Edge. Puedes elegir diferentes tipos de autenticación para diferentes organizaciones de Edge.
- Controlar las políticas de autenticación. Tu proveedor de SAML puede admitir políticas de autenticación que se ajusten más a los estándares de tu empresa.
- Puedes supervisar los accesos, los cierres de sesión, los intentos de acceso fallidos y las actividades de alto riesgo en tu implementación de Edge.
Con SAML habilitado, el acceso a la nueva IU de Edge y a la API de administración de Edge usa tokens de acceso de OAuth2. Estos tokens los genera el SSO de Apigee, que acepta las aserciones de SAML que devuelve tu IDP.
Acerca de LDAP
El Protocolo ligero de acceso a directorios (LDAP) es un protocolo de aplicación abierto y estándar de la industria para acceder a servicios de información de directorios distribuidos y mantenerlos. Los servicios de directorio pueden proporcionar cualquier conjunto organizado de registros, a menudo con una estructura jerárquica, como un directorio de correo electrónico corporativo.
La autenticación de LDAP dentro del nuevo SSO de Apigee usa su conector LDAP integrado. El conector realiza búsquedas de LDAP para organizationalRole y atributos estándar (como mail y uid) para asignar de forma nativa usuarios heredados de Apigee a reclamos OIDC estándar.
LDAP con Edge para la nube privada admite métodos de autenticación de búsqueda estándar y vinculación en un servidor compatible con LDAP.
El SSO de Apigee recupera la dirección de correo electrónico del usuario y los reclamos OIDC estándar
(por ejemplo, email, preferred_username, y groups)
y actualiza el registro interno del usuario
para que haya una dirección de correo electrónico actual en el archivo, ya que Edge usa este correo electrónico para fines de autorización.
URLs de la nueva IU y API de Edge
La URL que usas para acceder a la nueva IU de Edge y a la API de Management de Edge es la misma que usabas antes de habilitar SAML o LDAP. Para la nueva IU de Edge:
http://edge_UI_IP_DNS:3001
Donde edge_UI_IP_DNS es la dirección IP o el nombre de DNS de la máquina que aloja la nueva IU de Edge. Como parte de la configuración de la nueva IU de Edge, puedes especificar que la conexión use HTTP o el protocolo HTTPS encriptado.
Para la API de administración de Edge:
http://ms_IP_DNS:8080/v1
Donde ms_IP_DNS es la dirección IP o el nombre de DNS del servidor de administración. Como parte de la configuración de la API, puedes especificar que la conexión use HTTP o el protocolo HTTPS encriptado.
Configura TLS con el nuevo SSO de Apigee
De forma predeterminada, la conexión al SSO de Apigee usa HTTP a través del puerto 9099 en el nodo que aloja
apigee-openldap. El agente de identidad ligero basado en Go controla de forma nativa las solicitudes HTTP y HTTPS.
El SSO de Apigee admite tres modos de conexión:
- DEFAULT: La configuración predeterminada admite solicitudes HTTP en el puerto 9099.
- SSL_TERMINATION: Habilita el acceso TLS al SSO de Apigee en el puerto que elijas. Debes especificar una clave y un certificado TLS para este modo.
- SSL_PROXY: Configura el SSO de Apigee en modo proxy, lo que significa que instalaste un balanceador de cargas delante del componente y finalizaste TLS en el balanceador de cargas. Puedes especificar el puerto que se usa en el SSO de Apigee para las solicitudes del balanceador de cargas.