نظرة عامة على مصادقة موفِّر الهوية (idP) الخارجي

تعمل واجهة مستخدم Edge الجديدة وواجهة برمجة التطبيقات لإدارة Edge من خلال إرسال طلبات إلى خادم إدارة Edge، حيث يتيح خادم الإدارة أنواع المصادقة التالية:

  • المصادقة الأساسية: يمكنك تسجيل الدخول إلى واجهة مستخدم Edge الجديدة أو إرسال طلبات إلى واجهة برمجة التطبيقات لإدارة Edge من خلال إدخال اسم المستخدم وكلمة المرور.
  • OAuth2 / OIDC: يمكنك استبدال بيانات اعتماد المصادقة الأساسية في Edge برمز دخول ورمز مميز لإعادة التحميل OAuth2. يمكنك إجراء طلبات إلى Management API لإدارة Edge من خلال إدخال رمز الدخول OAuth2 في رأس Bearer لطلب بيانات من واجهة برمجة التطبيقات.

تتيح Edge استخدام موفِّري الهوية الخارجيين التاليَين للمصادقة:

  • لغة ترميز تأكيد الأمان (SAML) 2.0: يمكنك إنشاء رموز الدخول OAuth من تأكيدات SAML التي يعرضها موفِّر هوية SAML.
  • البروتوكول الخفيف لتغيير بيانات الدليل (LDAP): يمكنك استخدام طريقتَي المصادقة "البحث" و"الربط" في LDAP لإنشاء رموز وصول OAuth.

يتيح كل من موفِّري الهوية SAML وLDAP بيئة تسجيل دخول موحَّد (SSO). من خلال استخدام موفِّر هوية خارجي مع Edge، يمكنك إتاحة تسجيل الدخول الموحَّد لواجهة مستخدم Edge الجديدة وواجهة برمجة التطبيقات، بالإضافة إلى أي خدمات أخرى تقدّمها وتتيح أيضًا استخدام موفِّر الهوية الخارجي.

لمحة عن بنية تسجيل الدخول الموحَّد الجديدة في Apigee

اعتبارًا من الإصدار 4.54.00 من Edge for Private Cloud، تم استبدال المكوّن القديم apigee-sso بوسيط هوية حديث وخفيف الوزن يستند إلى OpenID Connect (OIDC) يُعرف باسم Dex. تم دمج محوّل تسجيل الدخول الموحَّد هذا مباشرةً في دورة حياة المكوّن apigee-openldap، ما يزيل الحاجة إلى تثبيت وحدة apigee-sso منفصلة.

بما أنّ تسجيل الدخول الموحَّد في Apigee (وسيط Dex) يتم تجميعه مع apigee-openldap، يتم نشره على العُقد نفسها التي يتم عليها نشر مثيلات OpenLDAP. تتم إدارة دورة الحياة بشكل أصلي من خلال إجراءات OPDK، مثل apigee-service apigee-openldap start_sso وstop_sso.

يجب أن يكون المنفذ 9099 مفتوحًا على عقدة apigee-openldap لإتاحة الوصول إلى تسجيل الدخول الموحَّد في Apigee من متصفّح، ومن موفِّر الهوية الخارجي المستنِد إلى SAML أو LDAP ومن خادم الإدارة وواجهة مستخدم Edge الجديدة. كجزء من ضبط تسجيل الدخول الموحَّد في Apigee، يمكنك تحديد ما إذا كان الاتصال الخارجي يستخدم HTTP أو بروتوكول HTTPS المشفّر.

تسجيل الدخول الموحَّد في Apigee هو خدمة بدون حالة تستخدم قاعدة بيانات Postgres (apigee_dex) يمكن الوصول إليها على المنفذ 5432 على عقدة Postgres للاحتفاظ بحالة OAuth2 على مستوى عُقد متعددة، ما يضمن التوفّر العالي. عادةً، يمكنك استخدام خادم Postgres نفسه الذي ثبَّتته مع Edge، سواء كان خادم Postgres مستقلاً أو خادمَي Postgres تم ضبطهما في وضع الخادم الرئيسي/الخادم الاحتياطي. إذا كان الحمل على خادم Postgres مرتفعًا، يمكنك أيضًا اختيار إنشاء عقدة Postgres منفصلة لقاعدة بيانات تسجيل الدخول الموحَّد فقط.

إتاحة استخدام معيار OpenID Connect (OIDC)

يعتمد تنفيذ SAML وLDAP في Edge على معيار OpenID Connect (OIDC) ورموز الدخول OAuth2. يُصدر تسجيل الدخول الموحَّد الحديث في Apigee رموزًا متوافقة تمامًا مع OIDC (باستخدام طلبات عادية، مثل email وsub، بالإضافة إلى الرموز المميزة لإعادة التحميل غير الشفافة). لمزيد من المعلومات، يُرجى الاطّلاع على مقالة مقدّمة عن OAuth 2.0.

لمحة عن SAML

توفّر مصادقة SAML عدة مزايا. من خلال استخدام SAML، يمكنك إجراء ما يلي:

  • التحكّم بشكل كامل في إدارة المستخدمين: عندما يغادر المستخدمون مؤسستك ويتم إلغاء توفير حساباتهم مركزيًا، يتم تلقائيًا رفض وصولهم إلى Edge.
  • التحكّم في طريقة مصادقة المستخدمين للوصول إلى Edge: يمكنك اختيار أنواع مصادقة مختلفة لمؤسسات Edge المختلفة.
  • التحكّم في سياسات المصادقة: قد يتيح موفِّر SAML سياسات مصادقة تتوافق بشكل أكبر مع معايير مؤسستك.
  • يمكنك تتبُّع عمليات تسجيل الدخول وتسجيل الخروج ومحاولات تسجيل الدخول غير الناجحة والأنشطة عالية المخاطر على عملية نشر Edge.

عند تفعيل SAML، يستخدم الوصول إلى واجهة مستخدم Edge الجديدة وواجهة برمجة التطبيقات لإدارة Edge رموز وصول OAuth2. يتم إنشاء هذه الرموز من خلال تسجيل الدخول الموحَّد في Apigee الذي يقبل تأكيدات SAML التي يعرضها موفِّر الهوية.

لمحة عن LDAP

البروتوكول الخفيف لتغيير بيانات الدليل (LDAP) هو بروتوكول تطبيقات مفتوح ومتوافق مع معايير الصناعة للوصول إلى خدمات معلومات الدليل الموزّعة والحفاظ عليها. قد تقدّم خدمات الدليل أي مجموعة منظَّمة من السجلات، غالبًا ما تكون ذات بنية هرمية، مثل دليل البريد الإلكتروني للشركة.

تستخدم مصادقة LDAP ضمن تسجيل الدخول الموحَّد الجديد في Apigee موصِّل LDAP المضمّن. يُجري الموصِّل عمليات بحث LDAP عن organizationalRole والسمات العادية (مثل mail وuid) لربط مستخدمي Apigee القدامى بشكل أصلي بطلبات OIDC العادية.

يتيح LDAP مع Edge for the Private Cloud طريقتَي المصادقة العاديتَين "البحث" و"الربط" على خادم متوافق مع LDAP.

يستردّ تسجيل الدخول الموحَّد في Apigee عنوان البريد الإلكتروني للمستخدم وطلبات OIDC العادية (مثل email وpreferred_username وgroups) ويعدِّل سجلّ المستخدم الداخلي بحيث يكون هناك عنوان بريد إلكتروني حالي في الملف، لأنّ Edge يستخدم هذا البريد الإلكتروني لأغراض التفويض.

عناوين URL لواجهة مستخدم Edge الجديدة وواجهة برمجة التطبيقات

عنوان URL الذي تستخدمه للوصول إلى واجهة مستخدم Edge الجديدة وواجهة برمجة التطبيقات لإدارة Edge هو نفسه الذي استخدمته قبل تفعيل SAML أو LDAP. بالنسبة إلى واجهة مستخدم Edge الجديدة:

http://edge_UI_IP_DNS:3001

حيث edge_UI_IP_DNS هو عنوان IP أو اسم نظام أسماء النطاقات (DNS) للجهاز الذي يستضيف واجهة مستخدم Edge الجديدة. كجزء من ضبط واجهة مستخدم Edge الجديدة، يمكنك تحديد ما إذا كان الاتصال يستخدم HTTP أو بروتوكول HTTPS المشفّر.

بالنسبة إلى واجهة برمجة التطبيقات لإدارة Edge:

http://ms_IP_DNS:8080/v1

حيث ms_IP_DNS هو عنوان IP أو اسم نظام أسماء النطاقات (DNS) لخادم الإدارة. كجزء من ضبط واجهة برمجة التطبيقات، يمكنك تحديد ما إذا كان الاتصال يستخدم HTTP أو الـ بروتوكول HTTPS المشفّر.

ضبط بروتوكول أمان طبقة النقل (TLS) باستخدام تسجيل الدخول الموحَّد الجديد في Apigee

تلقائيًا، يستخدم الاتصال بتسجيل الدخول الموحَّد في Apigee بروتوكول HTTP على المنفذ 9099 على العقدة التي تستضيف apigee-openldap. يتعامل وسيط الهوية الخفيف الوزن المستند إلى Go بشكل أصلي مع طلبات HTTP وHTTPS.

يتيح تسجيل الدخول الموحَّد في Apigee ثلاثة أوضاع اتصال:

  • الإعدادات التلقائية: تتيح الإعدادات التلقائية طلبات HTTP على المنفذ 9099.
  • SSL_TERMINATION: يتيح الوصول إلى تسجيل الدخول الموحَّد في Apigee عبر بروتوكول أمان طبقة النقل (TLS) على المنفذ الذي تختاره. يجب تحديد مفتاح وشهادة بروتوكول أمان طبقة النقل (TLS) لهذا الوضع.
  • SSL_PROXY: يضبط تسجيل الدخول الموحَّد في Apigee في وضع الخادم الوكيل، ما يعني أنّك ثبَّت جهاز موازنة حمل أمام المكوّن وأنهيت بروتوكول أمان طبقة النقل (TLS) على جهاز موازنة الحمل. يمكنك تحديد المنفذ المستخدَم على تسجيل الدخول الموحَّد في Apigee للطلبات الواردة من جهاز موازنة الحمل.