Externe IdP-Authentifizierung – Übersicht

Die neue Edge-Benutzeroberfläche und die Edge Management API senden Anfragen an den Edge Management Server, wobei der Management Server die folgenden Authentifizierungstypen unterstützt:

  • Standardauthentifizierung: Melden Sie sich in der neuen Edge-Benutzeroberfläche an oder senden Sie Anfragen an die Edge Management API, indem Sie Ihren Nutzernamen und Ihr Passwort übergeben.
  • OAuth2 / OIDC: Tauschen Sie Ihre Edge-Anmeldedaten für die Standardauthentifizierung gegen ein OAuth2-Zugriffstoken und ein Aktualisierungstoken ein. Senden Sie Aufrufe an die Edge Management API, indem Sie das OAuth2-Zugriffstoken im Bearer-Header eines API-Aufrufs übergeben.

Edge unterstützt die Verwendung der folgenden externen Identitätsanbieter (IDPs) für die Authentifizierung:

  • Security Assertion Markup Language (SAML) 2.0: Generieren Sie OAuth-Zugriffstokens aus SAML-Assertions, die von einem SAML-Identitätsanbieter zurückgegeben werden.
  • Lightweight Directory Access Protocol (LDAP): Verwenden Sie die LDAP-Authentifizierungsmethoden für Suche und Bindung zur Generierung von OAuth-Zugriffstokens.

Sowohl SAML- als auch LDAP-IDPs unterstützen eine Umgebung mit Einmalanmeldung (Single Sign-On, SSO). Wenn Sie einen externen IDP mit Edge verwenden, können Sie SSO für die neue Edge-Benutzeroberfläche und die API sowie für alle anderen von Ihnen bereitgestellten Dienste unterstützen, die auch Ihren externen IDP unterstützen.

Neue Apigee SSO-Struktur

Ab Edge for Private Cloud 4.54.00 wurde die Legacy-Komponente apigee-sso durch einen modernisierten, schlanken OpenID Connect-Identitätsbroker (OIDC) namens Dex ersetzt. Dieser SSO-Adapter ist direkt in den Lebenszyklus der Komponente apigee-openldap integriert, sodass kein separates apigee-sso-Modul installiert werden muss.

Da Apigee SSO (Dex-Broker) mit apigee-openldap gebündelt ist, wird es auf denselben Knoten wie Ihre OpenLDAP-Instanzen bereitgestellt. Die Lebenszyklusverwaltung erfolgt nativ über OPDK-Aktionen wie apigee-service apigee-openldap start_sso und stop_sso.

Port 9099 muss auf dem Knoten apigee-openldap geöffnet sein, um den Zugriff auf Apigee SSO über einen Browser, über den externen SAML- oder LDAP-IDP sowie über den Management Server und die neue Edge-Benutzeroberfläche zu ermöglichen. Im Rahmen der Konfiguration von Apigee SSO können Sie angeben, ob die externe Verbindung HTTP oder das verschlüsselte HTTPS Protokoll verwendet.

Apigee SSO ist ein zustandsloser Dienst, der eine Postgres-Datenbank (apigee_dex) verwendet, auf die über Port 5432 auf dem Postgres-Knoten zugegriffen werden kann, um den OAuth2-Status auf mehreren Knoten beizubehalten und so Hochverfügbarkeit zu gewährleisten. In der Regel können Sie denselben Postgres-Server verwenden, den Sie mit Edge installiert haben, entweder einen eigenständigen Postgres Server oder zwei Postgres-Server, die im Master/Standby-Modus konfiguriert sind. Wenn die Last auf Ihrem Postgres Server hoch ist, können Sie auch einen separaten Postgres-Knoten nur für die SSO-Datenbank erstellen.

Unterstützung für Standard-OpenID Connect (OIDC)

Die Edge-Implementierung von SAML und LDAP basiert auf Standard-OpenID Connect- (OIDC-) und OAuth2-Zugriffstokens. Apigee SSO gibt ausschließlich OIDC-konforme Tokens aus (mit Standard-Claims wie email und sub sowie undurchsichtigen Aktualisierungstokens). Weitere Informationen finden Sie unter Einführung in OAuth 2.0.

SAML

Die SAML-Authentifizierung bietet mehrere Vorteile. Mit SAML können Sie Folgendes tun:

  • Sie haben die vollständige Kontrolle über die Nutzerverwaltung. Wenn Nutzer Ihre Organisation verlassen und die Bereitstellung zentral aufgehoben wird, wird ihnen automatisch der Zugriff auf Edge verweigert.
  • Sie können steuern, wie sich Nutzer authentifizieren, um auf Edge zuzugreifen. Sie können verschiedene Authentifizierungstypen für verschiedene Edge-Organisationen auswählen.
  • Sie können Authentifizierungsrichtlinien steuern. Ihr SAML-Anbieter unterstützt möglicherweise Authentifizierungsrichtlinien die besser zu Ihren Unternehmensstandards passen.
  • Sie können An- und Abmeldungen, fehlgeschlagene Anmeldeversuche und Aktivitäten mit hohem Risiko in Ihrer Edge-Bereitstellung beobachten.

Wenn SAML aktiviert ist, werden für den Zugriff auf die neue Edge-Benutzeroberfläche und die Edge Management API OAuth2-Zugriffstokens verwendet. Diese Tokens werden von Apigee SSO generiert, das SAML-Assertions akzeptiert, die von Ihrem IDP zurückgegeben werden.

LDAP

Das Lightweight Directory Access Protocol (LDAP) ist ein offenes Industriestandard-Anwendungsprotokoll für den Zugriff auf und die Verwaltung von verteilten Verzeichnisinformationsdiensten. Verzeichnis dienste können eine beliebige organisierte Menge von Datensätzen mit einer hierarchischen Struktur bereitstellen, z. B. ein Unternehmens-E-Mail-Verzeichnis.

Die LDAP-Authentifizierung in Apigee SSO verwendet den integrierten LDAP-Connector. Der Connector führt LDAP-Suchen nach organizationalRole und Standardattributen (z. B. mail und uid) durch, um Legacy-Nutzer von Apigee nativ Standard-OIDC-Claims zuzuordnen.

LDAP mit Edge for Private Cloud unterstützt Standardauthentifizierungsmethoden für Suche und Bindung auf einem LDAP-kompatiblen Server.

Apigee SSO ruft die E-Mail-Adresse des Nutzers und die Standard-OIDC-Claims (z. B. email, preferred_username und groups) ab und aktualisiert den internen Nutzerdatensatz sodass eine aktuelle E-Mail-Adresse vorhanden ist, da Edge diese E-Mail-Adresse für Autorisierungszwecke verwendet.

Neue Edge-Benutzeroberfläche und API-URLs

Die URL, die Sie für den Zugriff auf die neue Edge-Benutzeroberfläche und die Edge Management API verwenden, ist dieselbe wie vor der Aktivierung von SAML oder LDAP. Für die neue Edge-Benutzeroberfläche:

http://edge_UI_IP_DNS:3001

Dabei ist edge_UI_IP_DNS die IP-Adresse oder der DNS-Name des Computers, auf dem die neue Edge-Benutzeroberfläche gehostet wird. Im Rahmen der Konfiguration der neuen Edge-Benutzeroberfläche können Sie angeben, ob die Verbindung HTTP oder das verschlüsselte HTTPS-Protokoll verwenden soll.

Für die Edge Management API:

http://ms_IP_DNS:8080/v1

Dabei ist ms_IP_DNS die IP-Adresse oder der DNS-Name des Management Servers. Im Rahmen der Konfiguration der API können Sie angeben, ob die Verbindung HTTP oder das verschlüsselte HTTPS-Protokoll verwenden soll.

TLS mit neuem Apigee SSO konfigurieren

Standardmäßig verwendet die Verbindung zu Apigee SSO HTTP über Port 9099 auf dem Knoten, auf dem apigee-openldap gehostet wird. Der schlanke Go-basierte Identitätsbroker verarbeitet HTTP- und HTTPS-Anfragen nativ.

Apigee SSO unterstützt drei Verbindungsmodi:

  • DEFAULT: Die Standardkonfiguration unterstützt HTTP-Anfragen auf Port 9099.
  • SSL_TERMINATION: Ermöglicht den TLS-Zugriff auf Apigee SSO auf dem von Ihnen ausgewählten Port. Für diesen Modus müssen Sie einen TLS-Schlüssel und ein Zertifikat angeben.
  • SSL_PROXY: Konfiguriert Apigee SSO im Proxy-Modus. Das bedeutet, dass Sie einen Load-Balancer vor der Komponente installiert und TLS auf dem Load-Balancer beendet haben. Sie können den Port angeben, der auf Apigee SSO für Anfragen vom Load Balancer verwendet wird.