«میانای کاربر Edge جدید» و «میانای برنامه‌سازی کاربردی مدیریت Edge» با ارسال درخواست به «سرور مدیریت Edge» کار می‌کنند، جایی که «سرور مدیریت» از انواع زیر از اصالت‌سنجی پشتیبانی می‌کند:
- اصالت‌سنجی پایه: با ارسال نام کاربری و گذرواژه، به سیستم New Edge UI وارد شوید یا درخواست‌هایی به Edge management API ارسال کنید.
- OAuth2 / OIDC: اعتبارنامه Edge Basic Auth خود را با کد دسترسی OAuth2 و کد بازآوری مبادله کنید. با ارسال کد دسترسی OAuth2 در سرصفحه Bearer تماس API، با Edge management API تماس بگیرید.
Edge از «ارائه‌دهندگان هویت» (IDP) خارجی زیر برای اصالت‌سنجی پشتیبانی می‌کند:
- زبان نشانه‌گذاری تصریح امنیتی (SAML) نسخه ۲.۰: تولید کد دسترسی OAuth از تصریح‌های SAML که توسط ارائه‌دهنده هویت SAML برگردانده شده است.
- پروتکل دسترسی راهنمای سبک (LDAP): از روش‌های اصالت‌سنجی جستجو و اتصال LDAP برای تولید کردن کد دسترسی OAuth استفاده کنید.
هر دو ارائه‌دهنده هویت SAML و LDAP از محیط ورود به سیستم تکی (SSO) پشتیبانی می‌کنند. بااستفاده از IDP خارجی با Edge، می‌توانید علاوه‌بر هر سرویس دیگری که ارائه می‌دهید و از IDP خارجی شما پشتیبانی می‌کند، از SSO برای «میانای کاربری و API جدید Edge» نیز پشتیبانی کنید.
درباره ساختار جدید Apigee SSO
از Edge for Private Cloud نسخه ۴.۵۴.۰۰، مؤلفه قدیمی apigee-sso با یک کارگزار هویت مدرن و سبک OpenID Connect (OIDC) به نام Dex جایگزین شده است. این آداپتور SSO مستقیماً در چرخه حیات مؤلفه apigee-openldap ادغام شده است و نیاز به نصب ماژول apigee-sso جداگانه را ازبین می‌برد.
چون Apigee SSO (کارگزار Dex) با apigee-openldap بسته‌بندی شده است، در همان گره‌های نمونه‌های OpenLDAP شما مستقر می‌شود. مدیریت چرخه حیات به‌صورت بومی ازطریق کنش‌های OPDK مانند apigee-service apigee-openldap start_sso و stop_sso انجام می‌شود.
درگاه ۹۰۹۹ باید در گره apigee-openldap باز باشد تا از دسترسی به Apigee SSO از مرورگر،
از SAML یا LDAP IDP خارجی، و از Management Server و New Edge UI پشتیبانی کند. به‌عنوان بخشی از پیکربندی
«ورود به سیستم یکپارچه Apigee»، می‌توانید مشخص کنید که اتصال خارجی از پروتکل HTTP یا پروتکل رمزگذاری‌شده HTTPS
استفاده کند.
Apigee SSO سرویسی بدون حالت است که از پایگاه داده Postgres (apigee_dex) قابل‌دسترس در درگاه ۵۴۳۲ در گره Postgres برای ماندگار کردن وضعیت OAuth2 در چندین گره استفاده می‌کند و «دسترسی‌پذیری بالا» را تضمین می‌کند. معمولاً می‌توانید از همان سرور Postgres که با Edge نصب کرده‌اید استفاده کنید، چه سرور Postgres مستقل باشد یا دو سرور Postgres که در حالت اصلی/آماده‌به‌کار پیکربندی شده‌اند. اگر بار روی سرور Postgres شما زیاد است، می‌توانید یک گره Postgres جداگانه فقط برای پایگاه داده SSO ایجاد کنید.
پشتیبانی از OpenID Connect (OIDC) استاندارد
پیاده‌سازی Edge از SAML و LDAP به نشان‌های دسترسی استاندارد OpenID Connect (OIDC) و OAuth2 متکی است.
«ورود به سیستم یکپارچه Apigee» مدرن‌شده فقط نشانه‌های سازگار با OIDC صادر می‌کند (بااستفاده از ادعاهای استاندارد مثل email و sub، و همچنین نشانه‌های بازآوری مبهم). برای اطلاعات بیشتر،
مقدمه‌ای بر OAuth 2.0 را ببینید.
درباره SAML
اصالت‌سنجی SAML مزایای متعددی دارد. بااستفاده از SAML می‌توانید:
- کنترل کامل مدیریت کاربر را دردست بگیرید. وقتی کاربران سازمانتان را ترک می‌کنند و به‌طور متمرکز لغو تأمین می‌شوند، دسترسی آن‌ها به Edge به‌طور خودکار رد می‌شود.
- کنترل کنید کاربران چگونه برای دسترسی به Edge اصالت‌سنجی کنند. می‌توانید انواع مختلفی از اصالت‌سنجی را برای سازمان‌های مختلف Edge انتخاب کنید.
- خط‌مشی‌های اصالت‌سنجی را کنترل کنید. ارائه‌دهنده SAML شما ممکن است از خط‌مشی‌های اصالت‌سنجی‌ای پشتیبانی کند که بیشتر با استانداردهای سازمانی شما مطابقت دارد.
- می‌توانید ورود به سیستم، خروج از سیستم، تلاش‌های ناموفق برای ورود به سیستم، و فعالیت‌های پرخطر را در استقرار Edge خود پایش کنید.
با فعال بودن SAML، دسترسی به New Edge UI و Edge management API از کدهای دسترسی OAuth2 استفاده می‌کند. این توکن‌ها توسط Apigee SSO تولید می‌شوند که ادعاهای SAML برگردانده‌شده توسط ارائه‌دهنده هویت شما را می‌پذیرد.
درباره LDAP
«پروتکل دسترسی راهنمای سبک» (LDAP) یک پروتکل کاربردی استاندارد صنعتی و باز برای دسترسی و نگهداری سرویس‌های اطلاعات راهنمای توزیع‌شده است. سرویس‌های دایرکتوری ممکن است هر مجموعه سازمان‌یافته‌ای از سوابق را ارائه دهند، اغلب با ساختاری سلسله‌مراتبی، مانند دایرکتوری ایمیل شرکتی.
اصالت‌سنجی LDAP در «ورود تک‌باره Apigee» جدید از رابط LDAP داخلی آن استفاده می‌کند. پیونددهنده جستجوهای LDAP را برای organizationalRole و مشخصه‌های استاندارد (مثل mail و uid) انجام می‌دهد تا کاربران قدیمی Apigee را به‌صورت بومی به ادعاهای استاندارد OIDC نگاشت کند.
LDAP با Edge برای Private Cloud از روش‌های اصالت‌سنجی استاندارد «جستجو» و «اتصال» درمقابل سرور سازگار با LDAP پشتیبانی می‌کند.
Apigee SSO نشانی ایمیل کاربر و ادعاهای استاندارد OIDC را بازیابی می‌کند
(برای مثال، email، preferred_username، و groups)
و سابقه کاربر داخلی را به‌روز می‌کند
تا نشانی ایمیل فعلی در فایل وجود داشته باشد، زیرا Edge از این ایمیل برای اهداف مجوز استفاده می‌کند.
نشانی‌های وب جدید میانای برنامه‌سازی کاربردی و واسط کاربر Edge
نشانی وبی که برای دسترسی به New Edge UI و Edge management API استفاده می‌کنید همان نشانی وبی است که قبل‌از فعال کردن SAML یا LDAP استفاده می‌کردید. برای واسط کاربر Edge جدید:
http://edge_UI_IP_DNS:3001
در اینجا edge_UI_IP_DNS نشانی IP یا نام ساناد دستگاه میزبان «واسط کاربر New Edge» است. به‌عنوان بخشی از پیکربندی «میانای کاربری Edge جدید»، می‌توانید مشخص کنید که اتصال از پروتکل HTTP یا پروتکل رمزگذاری‌شده HTTPS استفاده کند.
برای Edge management API:
http://ms_IP_DNS:8080/v1
که در آن ms_IP_DNS نشانی IP یا نام ساناد «سرور مدیریت» است. به‌عنوان بخشی از پیکربندی API، می‌توانید مشخص کنید که اتصال از HTTP یا پروتکل HTTPS رمزگذاری‌شده استفاده کند.
پیکربندی «امنیت لایه انتقال» با «ورود به سیستم یکپارچه Apigee» جدید
به‌طور پیش‌فرض، اتصال به Apigee SSO از HTTP روی درگاه ۹۰۹۹ در گره میزبان apigee-openldap استفاده می‌کند. کارگزار هویت سبک مبتنی بر Go درخواست‌های HTTP و HTTPS را به‌طور بومی مدیریت می‌کند.
Apigee SSO از سه حالت اتصال پشتیبانی می‌کند:
- پیش‌فرض: پیکربندی پیش‌فرض از درخواست‌های HTTP در درگاه ۹۰۹۹ پشتیبانی می‌کند.
- SSL_TERMINATION: دسترسی TLS به Apigee SSO را در درگاه انتخابی شما فعال می‌کند. باید کلید و گواهی TLS را برای این حالت مشخص کنید.
- SSL_PROXY: «ورود به سیستم یک‌باره Apigee» را در حالت پروکسی پیکربندی می‌کند، یعنی شما یک ترازکننده بار در جلوی مؤلفه نصب کرده‌اید و TLS را در ترازکننده بار خاتمه داده‌اید. می‌توانید درگاه مورداستفاده در Apigee SSO را برای درخواست‌های متعادل‌کننده بار مشخص کنید.