এক্সটার্নাল IDP যাচাইকরণ সংক্রান্ত ওভারভিউ

নতুন Edge UI এবং Edge ম্যানেজমেন্ট API, Edge ম্যানেজমেন্ট সার্ভারে অনুরোধ করার মাধ্যমে কাজ করে, যেখানে ম্যানেজমেন্ট সার্ভার নিম্নলিখিত ধরনের যাচাইকরণ সমর্থন করে:

• প্রাথমিক যাচাইকরণ: আপনার ইউজারনেম ও পাসওয়ার্ড দিয়ে New Edge UI-তে লগ-ইন করুন অথবা Edge ম্যানেজমেন্ট API-তে অনুরোধ করুন।
• OAuth2 / OIDC: OAuth2 অ্যাক্সেস টোকেন ও রিফ্রেশ টোকেনের জন্য আপনার Edge Basic Auth ক্রেডেনশিয়াল এক্সচেঞ্জ করুন। API কলের Bearer হেডারে OAuth2 অ্যাক্সেস টোকেন পাস করে Edge ম্যানেজমেন্ট API-তে কল করুন।

যাচাইকরণের জন্য Edge নিম্নলিখিত এক্সটার্নাল পরিচয় প্রদানকারী (IDP) ব্যবহার করা সমর্থন করে:

• সিকিউরিটি এসারশন মার্কআপ ল্যাংগুয়েজ (SAML) 2.0: SAML পরিচয় প্রদানকারীর মাধ্যমে ফেরত পাঠানো SAML অ্যাসারশন থেকে OAuth অ্যাক্সেস টোকেন জেনারেট করুন।
• লাইটওয়েট ডিরেক্টরি অ্যাক্সেস প্রোটোকল (LDAP): OAuth অ্যাক্সেস টোকেন তৈরি করতে LDAP-এর সার্চ ও বাইন্ড যাচাইকরণ পদ্ধতি ব্যবহার করুন।

SAML এবং LDAP IDP, উভয়ই সিঙ্গল সাইন-অন (SSO) এনভায়রনমেন্টে কাজ করে। Edge-এর সাথে এক্সটার্নাল IDP ব্যবহার করে, আপনি প্রদান করেন এবং আপনার এক্সটার্নাল IDP-তে কাজ করে এমন অন্যান্য পরিষেবার পাশাপাশি, আপনি নতুন Edge UI এবং API-এর জন্য SSO কাজ করাতে পারবেন।

নতুন Apigee SSO স্ট্রাকচার সম্পর্কে

Private Cloud 4.54.00-এর জন্য Edge-এ শুরু করে, পুরনো apigee-sso কম্পোনেন্টটি Dex নামক একটি আধুনিক, লাইটওয়েট OpenID Connect (OIDC) আইডেন্টিটি ব্রোকার দ্বারা প্রতিস্থাপিত হয়েছে। এই SSO অ্যাডাপ্টার সরাসরি apigee-openldap কম্পোনেন্ট লাইফসাইকেলে ইন্টিগ্রেট করা হয়, যার ফলে আলাদা করে apigee-sso মডিউল ইনস্টল করার প্রয়োজন হয় না।

Apigee SSO (Dex broker) apigee-openldap-এর সাথে বান্ডেল করা থাকে বলে, এটি আপনার OpenLDAP ইনস্ট্যান্সের মতো একই নোডে ডেপ্লয় করা হয়। লাইফসাইকেল ম্যানেজমেন্ট, OPDK অ্যাকশনের মাধ্যমে নেটিভভাবে ম্যানেজ করা হয়, যেমন apigee-service apigee-openldap start_sso ও stop_sso।

ব্রাউজার থেকে, এক্সটার্নাল SAML বা LDAP IDP থেকে এবং ম্যানেজমেন্ট সার্ভার ও New Edge UI থেকে Apigee SSO অ্যাক্সেস করার জন্য apigee-openldap নোডে পোর্ট ৯০৯৯ খোলা থাকতে হবে। Apigee SSO কনফিগার করার অংশ হিসেবে, এক্সটার্নাল কানেকশন HTTP বা এনক্রিপ্ট করা HTTPS প্রোটোকল ব্যবহার করে কিনা তা আপনি নির্দিষ্ট করতে পারবেন।

Apigee SSO হল একটি স্টেটলেস পরিষেবা যা Postgres ডেটাবেস (apigee_dex) ব্যবহার করে। এটি Postgres নোডের 5432 পোর্টে অ্যাক্সেসযোগ্য, যা একাধিক নোড জুড়ে OAuth2 স্টেট বজায় রাখে এবং উচ্চ প্রাপ্যতা নিশ্চিত করে। সাধারণত, আপনি Edge-এর সাথে ইনস্টল করা একই Postgres সার্ভার ব্যবহার করতে পারেন, এটি একটি স্বতন্ত্র Postgres সার্ভার বা মাস্টার/স্ট্যান্ডবাই মোডে কনফিগার করা দুটি Postgres সার্ভার হতে পারে। আপনার Postgres সার্ভারে লোড বেশি হলে, আপনি SSO ডেটাবেসের জন্য আলাদা Postgres নোড তৈরি করার বিকল্পও বেছে নিতে পারেন।

স্ট্যান্ডার্ড OpenID Connect (OIDC)-এর জন্য সহায়তা

SAML এবং LDAP-এর Edge ইমপ্লিমেন্টেশন স্ট্যান্ডার্ড OpenID Connect (OIDC) এবং OAuth2 অ্যাক্সেস টোকেনের উপর নির্ভর করে। আধুনিক Apigee SSO কঠোরভাবে OIDC-সম্মত টোকেন ইস্যু করে (email ও sub-এর মতো স্ট্যান্ডার্ড দাবি এবং তার সাথে সাথে অপেক্স রিফ্রেশ টোকেন ব্যবহার করে)। আরও তথ্যের জন্য, OAuth 2.0-এর ভূমিকা দেখুন।

SAML সম্পর্কে

SAML যাচাইকরণ অনেক সুবিধা প্রদান করে। SAML ব্যবহার করে আপনি এগুলি করতে পারবেন:

• ব্যবহারকারী ম্যানেজমেন্টের সম্পূর্ণ নিয়ন্ত্রণ নিন। ব্যবহারকারীরা আপনার সংস্থা ছেড়ে চলে গেলে এবং তাদের কেন্দ্রীয়ভাবে ডিপ্রভিশন করা হলে, তাদের Edge-এ অ্যাক্সেস অটোমেটিক প্রত্যাখ্যান করা হয়।
• Edge অ্যাক্সেস করার জন্য ব্যবহারকারীরা কীভাবে যাচাইকরণ করবেন তা নিয়ন্ত্রণ করুন। আপনি বিভিন্ন Edge সংস্থার জন্য বিভিন্ন ধরনের যাচাইকরণ বেছে নিতে পারেন।
• যাচাইকরণ নীতি নিয়ন্ত্রণ করুন। আপনার SAML পরিষেবা প্রদানকারী এমন যাচাইকরণ নীতি মেনে চলতে পারে যা আপনার এন্টারপ্রাইজ স্ট্যান্ডার্ডের সাথে আরও বেশি সামঞ্জস্যপূর্ণ।
• আপনি Edge ডেপ্লয়মেন্টে লগ-ইন, লগ-আউট, লগ-ইন করার অসফল চেষ্টা এবং উচ্চ-ঝুঁকির অ্যাক্টিভিটি মনিটর করতে পারবেন।

SAML চালু থাকলে, New Edge UI এবং Edge ম্যানেজমেন্ট API-এর অ্যাক্সেস OAuth2 অ্যাক্সেস টোকেন ব্যবহার করে। এইসব টোকেন Apigee SSO দ্বারা তৈরি করা হয় যা আপনার IDP-এর দ্বারা ফেরত দেওয়া SAML অ্যাসারশন গ্রহণ করে।

LDAP সম্পর্কে

লাইটওয়েট ডিরেক্টরি অ্যাক্সেস প্রোটোকল (LDAP) হল একটি ওপেন, ইন্ডাস্ট্রির নির্ধারিত স্ট্যান্ডার্ড অ্যাপ্লিকেশন প্রোটোকল যা ডিস্ট্রিবিউটেড ডিরেক্টরি তথ্য পরিষেবা অ্যাক্সেস ও ম্যানেজ করার জন্য ব্যবহার করা হয়। ডিরেক্টরি পরিষেবা রেকর্ডগুলির যেকোনও সংগঠিত সেট প্রদান করতে পারে, প্রায়শই একটি শ্রেণিবদ্ধ কাঠামোর সাথে, যেমন একটি কর্পোরেট ইমেল ডিরেক্টরি।

নতুন Apigee SSO-এর মধ্যে LDAP যাচাইকরণ তার বিল্ট-ইন LDAP কানেক্টর ব্যবহার করে। কানেক্টরটি organizationalRole এবং স্ট্যান্ডার্ড অ্যাট্রিবিউটের (যেমন mail এবং uid) জন্য LDAP সার্চ করে যাতে Apigee লিগ্যাসি ব্যবহারকারীদের স্ট্যান্ডার্ড OIDC ক্লেমে নেটিভভাবে ম্যাপ করা যায়।

প্রাইভেট ক্লাউডের জন্য Edge সহ LDAP, LDAP-এর সাথে মানানসই সার্ভারের ক্ষেত্রে স্ট্যান্ডার্ড সার্চ ও বাইন্ড যাচাইকরণ পদ্ধতিকে সাপোর্ট করে।

Apigee SSO ব্যবহারকারীর ইমেল আইডি ও সাধারণ OIDC দাবি (যেমন, email, preferred_username ও groups) রিট্রিভ করে এবং ইন্টার্নাল ব্যবহারকারীর রেকর্ড আপডেট করে যাতে ফাইলে বর্তমান ইমেল আইডি থাকে, কারণ Edge অনুমোদন উদ্দেশ্যে এই ইমেল আইডি ব্যবহার করে।

নতুন Edge UI এবং API URL

আপনি New Edge UI এবং Edge ম্যানেজমেন্ট API অ্যাক্সেস করার জন্য যে URL ব্যবহার করেন তা SAML বা LDAP চালু করার আগে ব্যবহার করা URL-এর মতোই। নতুন Edge UI-এর জন্য:

http://edge_UI_IP_DNS:3001

যেখানে edge_UI_IP_DNS হল IP অ্যাড্রেস বা মেশিনের DNS নাম যা New Edge UI হোস্ট করছে। New Edge UI কনফিগার করার অংশ হিসেবে, আপনি নির্দিষ্ট করতে পারবেন যে কানেকশনটি HTTP বা এনক্রিপ্ট করা HTTPS প্রোটোকল ব্যবহার করবে।

Edge ম্যানেজমেন্ট API-এর জন্য:

http://ms_IP_DNS:8080/v1

যেখানে ms_IP_DNS হল ম্যানেজমেন্ট সার্ভারের IP অ্যাড্রেস বা DNS নাম। API কনফিগার করার অংশ হিসেবে, আপনি উল্লেখ করতে পারেন যে কানেকশন HTTP বা এনক্রিপ্ট করা HTTPS প্রোটোকল ব্যবহার করবে।

নতুন Apigee SSO-এর সাথে TLS কনফিগার করুন

ডিফল্ট হিসেবে, Apigee SSO-এর সাথে কানেকশন, apigee-openldap হোস্টিং নোডের পোর্ট 9099-এ HTTP ব্যবহার করে। লাইটওয়েট Go-ভিত্তিক আইডেন্টিটি ব্রোকার নেটিভভাবে HTTP ও HTTPS অনুরোধ ম্যানেজ করে।

Apigee SSO-তে তিনটি কানেকশন মোড কাজ করে:

• ডিফল্ট: ডিফল্ট কনফিগারেশন পোর্ট ৯০৯৯-এ HTTP অনুরোধ কাজ করে।
• SSL_TERMINATION: আপনার পছন্দের পোর্টে Apigee SSO-তে TLS অ্যাক্সেস চালু করে। এই মোডের জন্য আপনাকে অবশ্যই TLS কী ও সার্টিফিকেট উল্লেখ করতে হবে।
• SSL_PROXY: প্রক্সি মোডে Apigee SSO কনফিগার করে, এর অর্থ হল আপনি কম্পোনেন্টের সামনে একটি লোড ব্যালেন্সার ইনস্টল করেছেন এবং লোড ব্যালেন্সারে TLS বন্ধ করেছেন। আপনি লোড ব্যালেন্সার থেকে অনুরোধের জন্য Apigee SSO-তে ব্যবহৃত পোর্ট নির্দিষ্ট করতে পারেন।