Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Ringkasan autentikasi IDP eksternal

UI Edge Baru dan API pengelolaan Edge beroperasi dengan membuat permintaan ke Server Pengelolaan Edge, tempat Server Pengelolaan mendukung jenis autentikasi berikut:

Autentikasi dasar: Login ke UI Edge Baru atau buat permintaan ke API pengelolaan Edge dengan meneruskan nama pengguna dan sandi Anda.
OAuth2 / OIDC: Tukarkan kredensial Autentikasi Dasar Edge Anda dengan token akses OAuth2 dan token refresh. Lakukan panggilan ke API pengelolaan Edge dengan meneruskan token akses OAuth2 token di header Bearer panggilan API.

Edge mendukung penggunaan Penyedia Identitas (IDP) eksternal berikut untuk autentikasi:

Security Assertion Markup Language (SAML) 2.0: Buat token akses OAuth dari pernyataan SAML yang ditampilkan oleh penyedia identitas SAML.
Lightweight Directory Access Protocol (LDAP): Gunakan metode autentikasi penelusuran dan pengikatan LDAP untuk membuat token akses OAuth.

IDP SAML dan LDAP mendukung lingkungan single sign-on (SSO). Dengan menggunakan IDP eksternal dengan Edge, Anda dapat mendukung SSO untuk UI dan API Edge Baru selain layanan lain yang Anda berikan dan yang juga mendukung IDP eksternal Anda.

Tentang struktur SSO Apigee baru

Mulai dari Edge untuk Private Cloud 4.54.00, komponen apigee-sso lama telah diganti dengan broker identitas OpenID Connect (OIDC) ringan dan modern yang disebut Dex. Adaptor SSO ini diintegrasikan langsung ke dalam siklus proses komponen apigee-openldap, sehingga tidak perlu menginstal modul apigee-sso terpisah.

Karena SSO Apigee (broker Dex) disertakan dengan apigee-openldap, SSO ini di-deploy di node yang sama dengan instance OpenLDAP Anda. Pengelolaan siklus proses ditangani secara native melalui tindakan OPDK seperti apigee-service apigee-openldap start_sso dan stop_sso.

Port 9099 harus terbuka di node apigee-openldap untuk mendukung akses ke SSO Apigee dari browser, dari IDP SAML atau LDAP eksternal, serta dari Server Pengelolaan dan UI Edge Baru. Sebagai bagian dari konfigurasi SSO Apigee, Anda dapat menentukan apakah koneksi eksternal menggunakan HTTP atau protokol HTTPS terenkripsi.

SSO Apigee adalah layanan stateless yang menggunakan database Postgres (apigee_dex) yang dapat diakses di port 5432 di node Postgres untuk menyimpan status OAuth2 di beberapa node, sehingga memastikan ketersediaan tinggi. Biasanya, Anda dapat menggunakan server Postgres yang sama dengan yang Anda instal dengan Edge, baik server Postgres mandiri maupun dua server Postgres yang dikonfigurasi dalam mode master/standby. Jika beban di server Postgres Anda tinggi, Anda juga dapat memilih untuk membuat node Postgres terpisah hanya untuk database SSO.

Dukungan untuk OpenID Connect (OIDC) standar

Implementasi SAML dan LDAP Edge mengandalkan token akses OpenID Connect (OIDC) dan OAuth2 standar. SSO Apigee yang dimodernisasi menerbitkan token yang sepenuhnya sesuai dengan OIDC (menggunakan klaim standar seperti email dan sub, serta token refresh buram). Untuk mengetahui informasi selengkapnya, lihat Pengantar OAuth 2.0.

Tentang SAML

Autentikasi SAML menawarkan beberapa keuntungan. Dengan menggunakan SAML, Anda dapat:

Mengontrol sepenuhnya pengelolaan pengguna. Saat pengguna keluar dari organisasi Anda dan di- deprovisi secara terpusat, mereka akan otomatis ditolak aksesnya ke Edge.
Mengontrol cara pengguna melakukan autentikasi untuk mengakses Edge. Anda dapat memilih jenis autentikasi yang berbeda untuk organisasi Edge yang berbeda.
Mengontrol kebijakan autentikasi. Penyedia SAML Anda mungkin mendukung kebijakan autentikasi yang lebih sesuai dengan standar perusahaan Anda.
Anda dapat memantau login, logout, upaya login yang gagal, dan aktivitas berisiko tinggi pada deployment Edge Anda.

Dengan SAML diaktifkan, akses ke UI Edge Baru dan API pengelolaan Edge menggunakan token akses OAuth2. Token ini dibuat oleh SSO Apigee yang menerima pernyataan SAML yang ditampilkan oleh IDP Anda.

Tentang LDAP

Lightweight Directory Access Protocol (LDAP) adalah protokol aplikasi standar industri yang terbuka untuk mengakses dan mempertahankan layanan informasi direktori terdistribusi. Layanan direktori dapat menyediakan kumpulan data terorganisir apa pun, sering kali dengan struktur hierarkis, seperti direktori email perusahaan.

Autentikasi LDAP dalam SSO Apigee baru menggunakan konektor LDAP bawaannya. Konektor melakukan penelusuran LDAP untuk organizationalRole dan atribut standar (seperti mail dan uid) untuk memetakan pengguna lama Apigee ke klaim OIDC standar secara native.

LDAP dengan Edge untuk Private Cloud mendukung metode autentikasi Penelusuran dan Pengikatan standar terhadap server yang kompatibel dengan LDAP.

SSO Apigee mengambil alamat email pengguna dan klaim OIDC standar (misalnya, email, preferred_username, dan groups) serta memperbarui data pengguna internal sehingga ada alamat email saat ini dalam file, karena Edge menggunakan email ini untuk tujuan otorisasi

URL UI dan API Edge Baru

URL yang Anda gunakan untuk mengakses UI Edge Baru dan API pengelolaan Edge sama dengan yang digunakan sebelum Anda mengaktifkan SAML atau LDAP. Untuk UI Edge Baru:

http://edge_UI_IP_DNS:3001

Dengan edge_UI_IP_DNS adalah alamat IP atau nama DNS mesin yang menghosting UI Edge Baru. Sebagai bagian dari konfigurasi UI Edge Baru, Anda dapat menentukan bahwa koneksi menggunakan HTTP atau protokol HTTPS terenkripsi.

Untuk API pengelolaan Edge:

http://ms_IP_DNS:8080/v1

Dengan ms_IP_DNS adalah alamat IP atau nama DNS Server Pengelolaan. Sebagai bagian dari konfigurasi API, Anda dapat menentukan bahwa koneksi menggunakan HTTP atau protokol HTTPS terenkripsi.

Mengonfigurasi TLS dengan SSO Apigee Baru

Secara default, koneksi ke SSO Apigee menggunakan HTTP melalui port 9099 di node yang menghosting apigee-openldap. Broker identitas berbasis Go yang ringan menangani permintaan HTTP dan HTTPS secara native.

SSO Apigee mendukung tiga mode koneksi:

DEFAULT: Konfigurasi default mendukung permintaan HTTP di port 9099.
SSL_TERMINATION: Mengaktifkan akses TLS ke SSO Apigee di port pilihan Anda. Anda harus menentukan kunci dan sertifikat TLS untuk mode ini.
SSL_PROXY: Mengonfigurasi SSO Apigee dalam mode proxy, yang berarti Anda menginstal load balancer di depan komponen dan menghentikan TLS di load balancer. Anda dapat menentukan port yang digunakan di SSO Apigee untuk permintaan dari load balancer.