New Edge UI और Edge Management API, Edge Management Server को अनुरोध भेजकर काम करते हैं. Management Server, पुष्टि करने के इन तरीकों के साथ काम करता है:
- बुनियादी पुष्टि: अपने उपयोगकर्ता नाम और पासवर्ड का इस्तेमाल करके, New Edge UI में लॉग इन करें या Edge Management API को अनुरोध भेजें.
- OAuth2 / OIDC: Edge Basic Auth के क्रेडेंशियल को OAuth2 ऐक्सेस टोकन और रीफ़्रेश टोकन से बदलें. एपीआई कॉल के Bearer हेडर में OAuth2 ऐक्सेस टोकन पास करके, Edge मैनेजमेंट एपीआई को कॉल करें.
Edge, पुष्टि करने के लिए इन बाहरी आइडेंटिटी प्रोवाइडर (आईडीपी) का इस्तेमाल करने की सुविधा देता है:
- सिक्योरिटी असर्शन मार्कअप लैंग्वेज (एसएएमएल) 2.0: एसएएमएल आइडेंटिटी प्रोवाइडर से मिले एसएएमएल असर्शन से, OAuth ऐक्सेस टोकन जनरेट करें.
- लाइटवेट डायरेक्ट्री ऐक्सेस प्रोटोकॉल (एलडीएपी): OAuth ऐक्सेस टोकन जनरेट करने के लिए, एलडीएपी के खोज और बाइंड करने वाले पुष्टि करने के तरीकों का इस्तेमाल करें.
एसएएमएल और एलडीएपी, दोनों आईडीपी सिंगल साइन-ऑन (एसएसओ) एनवायरमेंट के साथ काम करते हैं. Edge के साथ किसी बाहरी आईडीपी का इस्तेमाल करके, New Edge UI और एपीआई के लिए एसएसओ की सुविधा चालू की जा सकती है. इसके अलावा, उन अन्य सेवाओं के लिए भी एसएसओ की सुविधा चालू की जा सकती है जिन्हें आपने उपलब्ध कराया है और जो आपके बाहरी आईडीपी के साथ काम करती हैं.
Apigee के नए एसएसओ स्ट्रक्चर के बारे में जानकारी
Edge for Private Cloud 4.54.00 से, लेगसी apigee-sso कॉम्पोनेंट को Dex नाम के आधुनिक और हल्के-फुल्के OpenID Connect (OIDC) आइडेंटिटी ब्रोकर से बदल दिया गया है. यह एसएसओ अडैप्टर, सीधे तौर पर apigee-openldap कॉम्पोनेंट के लाइफ़साइकल में इंटिग्रेट किया जाता है. इससे अलग से apigee-sso मॉड्यूल इंस्टॉल करने की ज़रूरत नहीं होती.
Apigee एसएसओ (Dex ब्रोकर) को apigee-openldap के साथ बंडल किया गया है. इसलिए, इसे आपके OpenLDAP इंस्टेंस वाले नोड पर ही डिप्लॉय किया जाता है. लाइफ़साइकल मैनेजमेंट को OPDK कार्रवाइयों, जैसे कि apigee-service apigee-openldap start_sso और stop_sso के ज़रिए नेटिव तौर पर मैनेज किया जाता है.
apigee-openldap नोड पर पोर्ट 9099 खुला होना चाहिए, ताकि ब्राउज़र, बाहरी एसएएमएल या एलडीएपी आईडीपी, मैनेजमेंट सर्वर, और नए Edge यूज़र इंटरफ़ेस (यूआई) से Apigee एसएसओ को ऐक्सेस किया जा सके. Apigee SSO को कॉन्फ़िगर करने के दौरान, यह तय किया जा सकता है कि बाहरी कनेक्शन, एचटीटीपी का इस्तेमाल करता है या एन्क्रिप्ट (सुरक्षित) किए गए एचटीटीपीएस प्रोटोकॉल का.
Apigee SSO एक स्टेटलेस सेवा है. यह Postgres डेटाबेस (apigee_dex) का इस्तेमाल करती है. इसे Postgres नोड पर पोर्ट 5432 पर ऐक्सेस किया जा सकता है. इससे कई नोड पर OAuth2 की स्थिति बनी रहती है. साथ ही, यह हाई अवेलेबिलिटी को भी पक्का करती है. आम तौर पर, उसी Postgres सर्वर का इस्तेमाल किया जा सकता है जिसे आपने Edge के साथ इंस्टॉल किया है. यह एक स्टैंडअलोन Postgres सर्वर या मास्टर/स्टैंडबाय मोड में कॉन्फ़िगर किए गए दो Postgres सर्वर हो सकते हैं. अगर आपके Postgres सर्वर पर लोड ज़्यादा है, तो सिर्फ़ एसएसओ डेटाबेस के लिए अलग Postgres नोड भी बनाया जा सकता है.
स्टैंडर्ड OpenID Connect (OIDC) के साथ काम करता है
Edge में एसएएमएल और एलडीएपी को लागू करने के लिए, स्टैंडर्ड OpenID Connect (OIDC) और OAuth2 ऐक्सेस टोकन का इस्तेमाल किया जाता है.
Apigee SSO का नया वर्शन, ओआईडीसी के मानकों के मुताबिक टोकन जारी करता है. इसमें email और sub जैसे स्टैंडर्ड क्लेम के साथ-साथ ओपेक रीफ़्रेश टोकन का इस्तेमाल किया जाता है. ज़्यादा जानकारी के लिए, OAuth 2.0 के बारे में जानकारी लेख पढ़ें.
एसएएमएल के बारे में जानकारी
एसएएमएल की मदद से पुष्टि करने के कई फ़ायदे हैं. SAML का इस्तेमाल करके, ये काम किए जा सकते हैं:
- उपयोगकर्ता खातों को मैनेज करने का पूरा कंट्रोल पाएं. जब उपयोगकर्ता आपके संगठन को छोड़ देते हैं और उन्हें केंद्रीय तौर पर हटा दिया जाता है, तो उन्हें Edge का ऐक्सेस अपने-आप नहीं मिलता.
- यह कंट्रोल करें कि उपयोगकर्ता, Edge को ऐक्सेस करने के लिए पुष्टि कैसे करें. अलग-अलग Edge संगठनों के लिए, पुष्टि करने के अलग-अलग तरीके चुने जा सकते हैं.
- पुष्टि करने से जुड़ी नीतियों को कंट्रोल करें. आपका SAML प्रोवाइडर, पुष्टि करने से जुड़ी ऐसी नीतियां लागू कर सकता है जो आपके एंटरप्राइज़ स्टैंडर्ड के मुताबिक हों.
- अपने Edge डिप्लॉयमेंट पर, लॉगिन, लॉगआउट, लॉगिन की असफल कोशिशों, और ज़्यादा जोखिम वाली गतिविधियों पर नज़र रखी जा सकती है.
SAML चालू होने पर, New Edge यूज़र इंटरफ़ेस (यूआई) और Edge मैनेजमेंट एपीआई को ऐक्सेस करने के लिए, OAuth2 ऐक्सेस टोकन का इस्तेमाल किया जाता है. ये टोकन, Apigee एसएसओ से जनरेट होते हैं. यह आपके आईडीपी से मिले एसएएमएल असर्शन को स्वीकार करता है.
LDAP के बारे में जानकारी
लाइटवेट डायरेक्ट्री ऐक्सेस प्रोटोकॉल (एलडीएपी), इंडस्ट्री-स्टैंडर्ड वाला एक ओपन ऐप्लिकेशन प्रोटोकॉल है. इसका इस्तेमाल, डिस्ट्रिब्यूट की गई डायरेक्ट्री की जानकारी वाली सेवाओं को ऐक्सेस करने और उन्हें बनाए रखने के लिए किया जाता है. डायरेक्ट्री सेवाएं, रिकॉर्ड का कोई भी व्यवस्थित सेट उपलब्ध करा सकती हैं. आम तौर पर, इसमें हैरारकी वाला स्ट्रक्चर होता है, जैसे कि कॉर्पोरेट ईमेल डायरेक्ट्री.
Apigee एसएसओ के नए वर्शन में एलडीएपी ऑथेंटिकेशन के लिए, पहले से मौजूद एलडीएपी कनेक्टर का इस्तेमाल किया जाता है. कनेक्टर, organizationalRole और स्टैंडर्ड एट्रिब्यूट (जैसे, mail और uid) के लिए LDAP सर्च करता है, ताकि Apigee के लेगसी उपयोगकर्ताओं को स्टैंडर्ड ओआईडीसी दावों के साथ मैप किया जा सके.
प्राइवेट क्लाउड के लिए Edge के साथ LDAP, LDAP के साथ काम करने वाले सर्वर के लिए, स्टैंडर्ड सर्च और बाइंड पुष्टि करने के तरीकों के साथ काम करता है.
Apigee SSO, उपयोगकर्ता का ईमेल पता और स्टैंडर्ड ओआईडीसी दावे (जैसे, email, preferred_username, और groups) वापस पाता है. साथ ही, उपयोगकर्ता के इंटरनल रिकॉर्ड को अपडेट करता है, ताकि फ़ाइल में मौजूद ईमेल पता मौजूदा हो. ऐसा इसलिए, क्योंकि Edge इस ईमेल का इस्तेमाल अनुमति देने के लिए करता है.
Edge के नए यूज़र इंटरफ़ेस (यूआई) और एपीआई के यूआरएल
New Edge यूज़र इंटरफ़ेस (यूआई) और Edge Management API को ऐक्सेस करने के लिए इस्तेमाल किया जाने वाला यूआरएल वही है जो एसएएमएल या एलडीएपी को चालू करने से पहले इस्तेमाल किया जाता था. Edge के नए यूज़र इंटरफ़ेस (यूआई) के लिए:
http://edge_UI_IP_DNS:3001
जहां edge_UI_IP_DNS, Edge के नए यूज़र इंटरफ़ेस (यूआई) को होस्ट करने वाली मशीन का आईपी पता या डीएनएस नाम है. New Edge UI को कॉन्फ़िगर करने के दौरान, यह तय किया जा सकता है कि कनेक्शन के लिए एचटीटीपी या एन्क्रिप्ट (सुरक्षित) किए गए एचटीटीपीएस प्रोटोकॉल का इस्तेमाल किया जाए.
Edge Management API के लिए:
http://ms_IP_DNS:8080/v1
जहां ms_IP_DNS, मैनेजमेंट सर्वर का आईपी पता या डीएनएस नाम है. एपीआई को कॉन्फ़िगर करते समय, यह तय किया जा सकता है कि कनेक्शन के लिए एचटीटीपी का इस्तेमाल किया जाए या एन्क्रिप्ट (सुरक्षित) किए गए एचटीटीपीएस प्रोटोकॉल का.
Apigee के नए एसएसओ के साथ टीएलएस को कॉन्फ़िगर करना
डिफ़ॉल्ट रूप से, Apigee SSO से कनेक्शन के लिए, apigee-openldap को होस्ट करने वाले नोड पर पोर्ट 9099 के ज़रिए एचटीटीपी का इस्तेमाल किया जाता है. Go पर आधारित आइडेंटिटी ब्रोकर, एचटीटीपी और एचटीटीपीएस अनुरोधों को नेटिव तौर पर हैंडल करता है.
Apigee एसएसओ, कनेक्शन के तीन मोड के साथ काम करता है:
- डिफ़ॉल्ट: डिफ़ॉल्ट कॉन्फ़िगरेशन, पोर्ट 9099 पर एचटीटीपी अनुरोधों के साथ काम करता है.
- SSL_TERMINATION: इससे आपकी पसंद के पोर्ट पर, Apigee एसएसओ के लिए टीएलएस ऐक्सेस चालू हो जाता है. इस मोड के लिए, आपको टीएलएस कुंजी और सर्टिफ़िकेट की जानकारी देनी होगी.
- SSL_PROXY: यह Apigee SSO को प्रॉक्सी मोड में कॉन्फ़िगर करता है. इसका मतलब है कि आपने कॉम्पोनेंट के सामने लोड बैलेंसर इंस्टॉल किया है और लोड बैलेंसर पर टीएलएस बंद कर दिया है. लोड बैलेंसर से मिलने वाले अनुरोधों के लिए, Apigee SSO पर इस्तेमाल किए जाने वाले पोर्ट की जानकारी दी जा सकती है.