ממשק המשתמש החדש של Edge ו-Edge management API פועלים על ידי שליחת בקשות ל-Edge Management Server, שתומך בסוגי האימות הבאים:
- אימות בסיסי: כדי להתחבר לממשק המשתמש החדש של Edge או לשלוח בקשות ל-Edge Management API, צריך להעביר את שם המשתמש והסיסמה.
- OAuth2 / OIDC: החלפת פרטי הכניסה של Edge Basic Auth באסימון גישה ובאסימון רענון של OAuth2. שולחים קריאות ל-Edge management API על ידי העברת טוקן הגישה מסוג OAuth2 בכותרת Bearer של קריאה ל-API.
Edge תומך בשימוש בספקי הזהויות החיצוניים (IdP) הבאים לאימות:
- Security Assertion Markup Language (SAML) 2.0: יצירת טוקני גישה של OAuth מטענות נכוֹנוּת (assertions) של SAML שמוחזרות על ידי ספק זהויות של SAML.
- Lightweight Directory Access Protocol (LDAP): שימוש בשיטות האימות של חיפוש וקישור ב-LDAP כדי ליצור טוקני גישה של OAuth.
גם ספקי זהויות ב-SAML וגם ספקי זהויות ב-LDAP תומכים בסביבת כניסה יחידה (SSO). כשמשתמשים ב-IDP חיצוני עם Edge, אפשר לתמוך ב-SSO לממשק המשתמש החדש של Edge ול-API, בנוסף לכל שירות אחר שאתם מספקים ושתומך גם ב-IDP החיצוני שלכם.
מידע על המבנה החדש של מודול SSO ב-Apigee
החל מגרסה 4.54.00 של Edge for Private Cloud, הרכיב הקודם apigee-sso הוחלף במתווך זהויות מודרני וקל משקל של OpenID Connect (OIDC) שנקרא Dex. מתאם ה-SSO הזה משולב ישירות במחזור החיים של רכיב apigee-openldap, כך שאין צורך להתקין מודול apigee-sso נפרד.
מכיוון שמודול SSO ב-Apigee (Dex broker) מצורף ל-apigee-openldap, הוא נפרס באותם צמתים כמו מופעי OpenLDAP. ניהול מחזור החיים מתבצע באופן מקורי באמצעות פעולות OPDK כמו apigee-service apigee-openldap start_sso ו-stop_sso.
היציאה 9099 צריכה להיות פתוחה בצומת apigee-openldap כדי לתמוך בגישה למודול SSO ב-Apigee מדפדפן, מספק הזהויות החיצוני SAML או LDAP, ומשרת הניהול וממשק המשתמש החדש של Edge. כחלק מהגדרת ה-SSO ב-Apigee, אתם יכולים לציין אם החיבור החיצוני משתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
מודול ה-SSO ב-Apigee הוא שירות ללא שמירת מצב (stateless) שמשתמש במסד נתונים של Postgres (apigee_dex) שנגיש דרך יציאה 5432 בצומת Postgres, כדי לשמור את מצב OAuth2 בכמה צמתים ולהבטיח זמינות גבוהה. בדרך כלל, אפשר להשתמש באותו שרת Postgres שהתקנתם עם Edge, בין אם מדובר בשרת Postgres עצמאי או בשני שרתי Postgres שהוגדרו במצב מאסטר/המתנה. אם העומס על שרת Postgres גבוה, אפשר גם ליצור צומת Postgres נפרד רק למסד הנתונים של ה-SSO.
תמיכה ב-OpenID Connect (OIDC) רגיל
ההטמעה של SAML ו-LDAP ב-Edge מסתמכת על טוקני גישה סטנדרטיים של OpenID Connect (OIDC) ו-OAuth2.
ב-Apigee SSO המודרני מונפקים טוקנים שתואמים באופן מלא ל-OIDC (באמצעות טענות סטנדרטיות כמו email ו-sub, וגם טוקנים לא שקופים לרענון). למידע נוסף, קראו את המאמר מבוא ל-OAuth 2.0.
מידע על SAML
לאימות SAML יש כמה יתרונות. באמצעות SAML אתם יכולים:
- שליטה מלאה בניהול המשתמשים. כשמשתמשים עוזבים את הארגון וההקצאה שלהם מבוטלת באופן מרכזי, הגישה שלהם ל-Edge נחסמת אוטומטית.
- קובעים איך המשתמשים מאמתים את הזהות שלהם כדי לגשת ל-Edge. אפשר לבחור סוגי אימות שונים לארגונים שונים ב-Edge.
- שליטה במדיניות האימות. יכול להיות שספק ה-SAML שלכם תומך במדיניות אימות שתואמת יותר לסטנדרטים של הארגון שלכם.
- אתם יכולים לעקוב אחרי התחברויות, התנתקויות, ניסיונות התחברות שנכשלו ופעילויות בסיכון גבוה בפריסה של Edge.
כש-SAML מופעל, הגישה לממשק המשתמש החדש של Edge ול-Edge Management API מתבצעת באמצעות טוקני גישה מסוג OAuth2. האסימונים האלה נוצרים על ידי Apigee SSO שמקבל טענות נכוֹנוּת (assertion) של SAML שמוחזרות על ידי ספק הזהויות.
מידע על LDAP
Lightweight Directory Access Protocol (LDAP) הוא פרוטוקול אפליקציה פתוח ומקובל בתחום, שמשמש לגישה לשירותי מידע של ספריות מבוזרות ולתחזוקה שלהם. שירותי ספרייה עשויים לספק כל קבוצה מאורגנת של רשומות, לרוב עם מבנה היררכי, כמו ספריית אימייל של חברה.
אימות LDAP במודול SSO ב-Apigee החדש משתמש במחבר LDAP המובנה שלו. המחבר מבצע חיפושי LDAP של organizationalRole ומאפיינים סטנדרטיים (כמו mail ו-uid) כדי למפות באופן מקורי משתמשים מדור קודם של Apigee להצהרות OIDC סטנדרטיות.
LDAP עם Edge לענן פרטי תומך בשיטות אימות סטנדרטיות של חיפוש וקישור מול שרת שתואם ל-LDAP.
מודול SSO ב-Apigee מאחזר את כתובת האימייל של המשתמש ואת טענות ה-OIDC הרגילות (לדוגמה, email, preferred_username ו-groups) ומעדכן את רשומת המשתמש הפנימית, כך שכתובת האימייל שמופיעה בקובץ תהיה עדכנית, כי מערכת Edge משתמשת באימייל הזה למטרות הרשאה.
כתובות URL חדשות של ממשק המשתמש ושל ה-API של Edge
כתובת ה-URL שמשמשת לגישה לממשק המשתמש החדש של Edge ול-Edge management API זהה לזו ששימשה לפני שהפעלתם את SAML או LDAP. בממשק המשתמש החדש של Edge:
http://edge_UI_IP_DNS:3001
כאשר edge_UI_IP_DNS הוא כתובת ה-IP או שם ה-DNS של המכונה שמארחת את ממשק המשתמש החדש של Edge. כחלק מהגדרת ממשק המשתמש החדש של Edge, אתם יכולים לציין שהחיבור ישתמש ב-HTTP או בפרוטוקול HTTPS המוצפן.
ל-Edge management API:
http://ms_IP_DNS:8080/v1
כאשר ms_IP_DNS הוא כתובת ה-IP או שם ה-DNS של שרת הניהול. כחלק מהגדרת ה-API, אתם יכולים לציין שהחיבור ישתמש בפרוטוקול HTTP או בפרוטוקול HTTPS המוצפן.
הגדרת TLS עם ה-SSO החדש ב-Apigee
כברירת מחדל, החיבור למודול SSO ב-Apigee משתמש ב-HTTP דרך יציאה 9099 בצומת שמארח את apigee-openldap. מתווך הזהויות הקל שמבוסס על Go מטפל באופן מקורי בבקשות HTTP ו-HTTPS.
מודול SSO ב-Apigee תומך בשלושה מצבי חיבור:
- DEFAULT: הגדרת ברירת המחדל תומכת בבקשות HTTP ביציאה 9099.
- SSL_TERMINATION: מאפשר גישת TLS למודול SSO ב-Apigee ביציאה שתבחרו. במצב הזה צריך לציין מפתח ואישור TLS.
- SSL_PROXY: מגדיר את ה-SSO ב-Apigee במצב שרת proxy, כלומר התקנתם מאזן עומסים לפני הרכיב וסיימתם את ה-TLS במאזן העומסים. אתם יכולים לציין את היציאה שמשמשת במודול SSO ב-Apigee לבקשות ממאזן העומסים.