La nouvelle interface utilisateur Edge et l'API Management Edge fonctionnent en envoyant des requêtes au serveur de gestion Edge, qui accepte les types d'authentification suivants :
- Authentification de base : connectez-vous à la nouvelle interface utilisateur Edge ou envoyez des requêtes à l'API de gestion Edge en transmettant votre nom d'utilisateur et votre mot de passe.
- OAuth2 / OIDC : échangez vos identifiants d'authentification de base Edge contre un jeton d'accès OAuth2 et un jeton d'actualisation. Effectuez des appels à l'API Management Edge en transmettant le jeton d'accès OAuth2 dans l'en-tête Bearer d'un appel d'API.
Edge est compatible avec les fournisseurs d'identité externes suivants pour l'authentification :
- SAML (Security Assertion Markup Language) 2.0 : générez des jetons d'accès OAuth à partir d'assertions SAML renvoyées par un fournisseur d'identité SAML.
- LDAP (Lightweight Directory Access Protocol) : utilisez les méthodes d'authentification de recherche et de liaison de LDAP pour générer des jetons d'accès OAuth.
Les fournisseurs d'identité SAML et LDAP sont compatibles avec un environnement d'authentification unique (SSO). En utilisant un fournisseur d'identité externe avec Edge, vous pouvez prendre en charge l'authentification unique pour la nouvelle interface utilisateur Edge et l'API, en plus de tous les autres services que vous fournissez et qui sont également compatibles avec votre fournisseur d'identité externe.
À propos de la nouvelle structure d'authentification unique Apigee
À partir d'Edge pour Private Cloud 4.54.00, l'ancien composant apigee-sso a été remplacé par un courtier d'identité OpenID Connect (OIDC) modernisé et léger appelé Dex. Cet adaptateur d'authentification unique est intégré directement au cycle de vie du composant apigee-openldap, ce qui élimine le besoin d'installer un module apigee-sso distinct.
Étant donné qu'Apigee SSO (courtier Dex) est fourni avec apigee-openldap, il est déployé sur les mêmes nœuds que vos instances OpenLDAP. La gestion du cycle de vie est gérée de manière native via des actions OPDK telles que apigee-service apigee-openldap start_sso et stop_sso.
Le port 9099 doit être ouvert sur le nœud apigee-openldap pour permettre l'accès à Apigee SSO depuis un navigateur,
depuis le fournisseur d'identité SAML ou LDAP externe, ainsi que depuis le serveur de gestion et la nouvelle interface utilisateur Edge. Lors de la configuration
d'Apigee SSO, vous pouvez spécifier si la connexion externe utilise HTTP ou le protocole HTTPS
chiffré.
Apigee SSO est un service sans état qui utilise une base de données Postgres (apigee_dex) accessible sur le port 5432 du nœud Postgres pour conserver l'état OAuth2 sur plusieurs nœuds, ce qui garantit une haute disponibilité. En règle générale, vous
pouvez utiliser le même serveur Postgres que celui que vous avez installé avec Edge, qu'il s'agisse d'un serveur Postgres
autonome ou de deux serveurs Postgres configurés en mode maître/veille. Si la charge sur votre serveur Postgres
est élevée, vous pouvez également choisir de créer un nœud Postgres distinct pour la base de données SSO.
Compatibilité avec OpenID Connect (OIDC) standard
L'implémentation Edge de SAML et LDAP s'appuie sur OpenID Connect (OIDC) standard et sur des jetons d'accès OAuth2.
L'authentification unique Apigee modernisée émet des jetons strictement conformes à OIDC (utilisant des revendications standards telles que email et sub, ainsi que des jetons d'actualisation opaques). Pour en savoir plus, consultez
Présentation d'OAuth 2.0.
À propos de SAML
L'authentification SAML offre plusieurs avantages. Avec SAML, vous pouvez effectuer les opérations suivantes :
- Contrôler entièrement la gestion des utilisateurs. Lorsque les utilisateurs quittent votre organisation et sont désactivés de manière centralisée, l'accès à Edge leur est automatiquement refusé.
- Contrôler la manière dont les utilisateurs s'authentifient pour accéder à Edge. Vous pouvez choisir différents types d'authentification pour différentes organisations Edge.
- Contrôler les règles d'authentification. Votre fournisseur SAML peut être compatible avec des règles d'authentification plus conformes aux normes de votre entreprise.
- Vous pouvez surveiller les connexions, les déconnexions, les tentatives de connexion infructueuses et les activités à haut risque sur votre déploiement Edge.
Lorsque SAML est activé, l'accès à la nouvelle interface utilisateur Edge et à l'API Management Edge utilise des jetons d'accès OAuth2. Ces jetons sont générés par Apigee SSO, qui accepte les assertions SAML renvoyées par votre fournisseur d'identité.
À propos de LDAP
LDAP (Lightweight Directory Access Protocol) est un protocole d'application ouvert et standard dans l'industrie qui permet d'accéder aux services d'annuaire distribués et de les gérer. Les services d'annuaire peuvent fournir n'importe quel ensemble organisé d'enregistrements, souvent avec une structure hiérarchique, comme un annuaire d'adresses e-mail d'entreprise.
L'authentification LDAP dans la nouvelle authentification unique Apigee utilise son connecteur LDAP intégré. Le connecteur effectue des recherches LDAP pour organizationalRole et des attributs standards (tels que mail et uid) afin de mapper de manière native les anciens utilisateurs Apigee aux revendications OIDC standards.
LDAP avec Edge pour Private Cloud est compatible avec les méthodes d'authentification de recherche et de liaison standards sur un serveur compatible avec LDAP.
Apigee SSO récupère l'adresse e-mail de l'utilisateur et les revendications OIDC standards
(par exemple, email, preferred_username, et groups)
et met à jour l'enregistrement utilisateur interne
afin qu'une adresse e-mail actuelle soit enregistrée, car Edge utilise cet e-mail à des fins d'autorisation.
URL de la nouvelle interface utilisateur Edge et de l'API
L'URL que vous utilisez pour accéder à la nouvelle interface utilisateur Edge et à l'API de gestion Edge est la même que celle utilisée avant d'activer SAML ou LDAP. Pour la nouvelle interface utilisateur Edge :
http://edge_UI_IP_DNS:3001
Où edge_UI_IP_DNS est l'adresse IP ou le nom DNS de la machine hébergeant la nouvelle interface utilisateur Edge. Lors de la configuration de la nouvelle interface utilisateur Edge, vous pouvez spécifier que la connexion utilise HTTP ou le protocole HTTPS chiffré.
Pour l'API de gestion Edge :
http://ms_IP_DNS:8080/v1
Où ms_IP_DNS est l'adresse IP ou le nom DNS du serveur de gestion. Lors de la configuration de l'API, vous pouvez spécifier que la connexion utilise HTTP ou le protocole HTTPS chiffré.
Configurer TLS avec la nouvelle authentification unique Apigee
Par défaut, la connexion à Apigee SSO utilise HTTP sur le port 9099 du nœud hébergeant
apigee-openldap. Le courtier d'identité léger basé sur Go gère de manière native les requêtes HTTP et HTTPS.
Apigee SSO est compatible avec trois modes de connexion :
- DEFAULT : la configuration par défaut est compatible avec les requêtes HTTP sur le port 9099.
- SSL_TERMINATION: : permet l'accès TLS à Apigee SSO sur le port de votre choix. Vous devez spécifier une clé et un certificat TLS pour ce mode.
- SSL_PROXY: : configure Apigee SSO en mode proxy, ce qui signifie que vous avez installé un équilibreur de charge devant le composant et que vous avez arrêté TLS sur l'équilibreur de charge. Vous pouvez spécifier le port utilisé sur Apigee SSO pour les requêtes provenant de l'équilibreur de charge.