새 Edge UI 및 Edge Management API는 Edge Management Server에 요청을 전송하여 작동하며, Management Server는 다음 인증 유형을 지원합니다.
- 기본 인증: 사용자 이름과 비밀번호를 전달하여 새 Edge UI에 로그인하거나 Edge Management API에 요청을 전송합니다.
- OAuth2 / OIDC: Edge 기본 인증 사용자 인증 정보를 OAuth2 액세스 토큰 및 갱신 토큰으로 교환합니다. API 호출의 전달자 헤더에 OAuth2 액세스 토큰을 전달하여 Edge Management API를 호출합니다.
Edge는 인증을 위해 다음 외부 ID 공급업체 (IDP) 사용을 지원합니다.
- SAML (보안 보장 마크업 언어) 2.0: SAML ID 공급업체에서 반환된 SAML 어설션에서 OAuth 액세스 토큰을 생성합니다.
- LDAP (경량 디렉터리 액세스 프로토콜): LDAP의 검색 및 바인드 인증 방법을 사용하여 OAuth 액세스 토큰을 생성합니다.
SAML 및 LDAP IDP는 모두 싱글 사인온 (SSO) 환경을 지원합니다. Edge에서 외부 IDP 를 사용하면 제공하는 다른 서비스와 외부 IDP를 지원하는 서비스 외에도 새 Edge UI 및 API에 대한 SSO를 지원할 수 있습니다.
새 Apigee SSO 구조 정보
프라이빗 클라우드용 Edge 4.54.00부터 기존 apigee-sso 구성요소가 Dex라는 최신 경량 OpenID Connect (OIDC) ID 브로커로 대체되었습니다. 이 SSO 어댑터는 apigee-openldap 구성요소 수명 주기에 직접 통합되어 별도의 apigee-sso 모듈을 설치할 필요가 없습니다.
Apigee SSO (Dex 브로커)는 apigee-openldap과 번들로 제공되므로 OpenLDAP 인스턴스와 동일한 노드에 배포됩니다. 수명 주기 관리는 apigee-service apigee-openldap start_sso 및 stop_sso와 같은 OPDK 작업을 통해 기본적으로 처리됩니다.
브라우저, 외부 SAML 또는 LDAP IDP, Management Server 및 새 Edge UI에서 Apigee SSO에 액세스할 수 있도록 apigee-openldap 노드에서 포트 9099를 열어야 합니다. Apigee SSO를 구성하는 과정에서 외부 연결이 HTTP를 사용하는지 아니면 암호화된 HTTPS
프로토콜을 사용하는지 지정할 수 있습니다.
Apigee SSO는 Postgres 노드의 포트 5432에서 액세스할 수 있는 Postgres 데이터베이스(apigee_dex)를 사용하여 여러 노드에서 OAuth2 상태를 저장하고 고가용성을 보장하는 스테이트리스(Stateless) 서비스입니다. 일반적으로 Edge와 함께 설치한 동일한 Postgres 서버(독립형 Postgres 서버 또는 마스터/대기 모드로 구성된 두 개의 Postgres 서버)를 사용할 수 있습니다. Postgres
서버의 부하가 높은 경우 SSO 데이터베이스 전용으로 별도의 Postgres 노드를 만들 수도 있습니다.
표준 OpenID Connect (OIDC) 지원
SAML 및 LDAP의 Edge 구현은 표준 OpenID Connect (OIDC) 및 OAuth2 액세스 토큰을 사용합니다.
최신 Apigee SSO는 엄격하게 OIDC를 준수하는 토큰을 발급합니다 (email 및 sub와 같은 표준 클레임과 불투명 갱신 토큰을 사용). 자세한 내용은
OAuth 2.0 소개를 참고하세요.
SAML 정보
SAML 인증은 여러 이점을 제공합니다. SAML을 사용하면 다음을 수행할 수 있습니다.
- 사용자 관리를 완전히 제어합니다. 사용자가 조직을 나가고 프로비저닝 해제되면 Edge에 대한 액세스가 자동으로 거부됩니다.
- 사용자가 Edge에 액세스하기 위해 인증하는 방법을 제어합니다. Edge 조직마다 다른 인증 유형을 선택할 수 있습니다.
- 인증 정책을 제어합니다. SAML 제공업체는 엔터프라이즈 표준에 더 부합하는 인증 정책을 지원할 수 있습니다.
- Edge 배포에서 로그인, 로그아웃, 실패한 로그인 시도, 위험도가 높은 활동을 모니터링할 수 있습니다.
SAML이 사용 설정된 경우 새 Edge UI 및 Edge Management API에 대한 액세스는 OAuth2 액세스 토큰을 사용합니다. 이러한 토큰은 IDP에서 반환된 SAML 어설션을 수락하는 Apigee SSO에 의해 생성됩니다.
LDAP 정보
LDAP (경량 디렉터리 액세스 프로토콜)는 분산 디렉터리 정보 서비스에 액세스하고 이를 유지보수하기 위한 개방형 산업 표준 애플리케이션 프로토콜입니다. 디렉터리 서비스는 기업 이메일 디렉터리와 같이 계층 구조가 있는 조직화된 레코드 집합을 제공할 수 있습니다.
새 Apigee SSO 내의 LDAP 인증은 기본 제공 LDAP 커넥터를 사용합니다. 커넥터는 organizationalRole 및 표준 속성 (mail, uid 등)에 대한 LDAP 검색을 실행하여 Apigee 기존 사용자를 표준 OIDC 클레임에 기본적으로 매핑합니다.
Private Cloud용 Edge의 LDAP는 LDAP 호환 서버에 대한 표준 검색 및 바인드 인증 방법을 지원합니다.
Apigee SSO는 사용자의 이메일 주소와 표준 OIDC 클레임
(예: email, preferred_username, groups)
을 가져오고 내부 사용자 레코드를 업데이트하여
파일에 현재 이메일 주소가 있도록 합니다. Edge는 이 이메일을 승인
목적으로 사용하기 때문입니다.
새 Edge UI 및 API URL
새 Edge UI 및 Edge Management API에 액세스하는 데 사용하는 URL은 SAML 또는 LDAP를 사용 설정하기 전에 사용한 URL과 동일합니다. 새 Edge UI의 경우:
http://edge_UI_IP_DNS:3001
여기서 edge_UI_IP_DNS는 새 Edge UI를 호스팅하는 머신 의 IP 주소 또는 DNS 이름입니다. 새 Edge UI를 구성하는 과정에서 연결이 HTTP를 사용하는지 아니면 암호화된 HTTPS 프로토콜을 사용하는지 지정할 수 있습니다.
Edge Management API의 경우:
http://ms_IP_DNS:8080/v1
여기서 ms_IP_DNS는 Management Server의 IP 주소 또는 DNS 이름입니다. API를 구성하는 과정에서 연결이 HTTP를 사용하는지 아니면 암호화된 HTTPS 프로토콜을 사용하는지 지정할 수 있습니다.
새 Apigee SSO로 TLS 구성
기본적으로 Apigee SSO에 대한 연결은
을 호스팅하는 노드의 포트 9099를 통해 HTTP를 사용합니다. apigee-openldap 경량 Go 기반 ID 브로커는 HTTP 및 HTTPS 요청을 기본적으로 처리합니다.
Apigee SSO는 세 가지 연결 모드를 지원합니다.
- DEFAULT: 기본 구성은 포트 9099에서 HTTP 요청을 지원합니다.
- SSL_TERMINATION: 선택한 포트에서 Apigee SSO에 대한 TLS 액세스를 사용 설정합니다. 이 모드에는 TLS 키와 인증서를 지정해야 합니다.
- SSL_PROXY: 프록시 모드로 Apigee SSO를 구성합니다. 즉, 구성요소 앞에 부하 분산기를 설치하고 부하 분산기에서 TLS를 종료했습니다. 부하 분산기의 요청에 대해 Apigee SSO에서 사용되는 포트를 지정할 수 있습니다.