Google używa technologii AI do tłumaczenia treści na Twój preferowany język. Tłumaczenia wygenerowane przez AI mogą zawierać błędy.

Omówienie uwierzytelniania zewnętrznego dostawcy tożsamości

Nowy interfejs Edge i interfejs Edge Management API działają, wysyłając żądania do serwera zarządzania Edge, który obsługuje te typy uwierzytelniania:

Uwierzytelnianie podstawowe: zaloguj się w nowym interfejsie Edge lub wysyłaj żądania do interfejsu Edge Management API, podając nazwę użytkownika i hasło.
OAuth2 / OIDC: wymień dane logowania podstawowego Edge na token dostępu OAuth2 i token odświeżania. Wywołuj interfejs Edge Management API, przekazując token dostępu OAuth2 w nagłówku Bearer wywołania API.

Edge obsługuje uwierzytelnianie za pomocą tych zewnętrznych dostawców tożsamości:

Security Assertion Markup Language (SAML) 2.0: generuj tokeny dostępu OAuth na podstawie asercji SAML zwracanych przez dostawcę tożsamości SAML.
Lightweight Directory Access Protocol (LDAP): używaj metod uwierzytelniania wyszukiwania i powiązania LDAP do generowania tokenów dostępu OAuth.

Dostawcy tożsamości SAML i LDAP obsługują środowisko logowania jednokrotnego. Używając zewnętrznego dostawcy tożsamości z Edge, możesz obsługiwać logowanie jednokrotne w nowym interfejsie Edge i interfejsie API, a także w innych usługach, które udostępniasz i które też obsługują zewnętrznego dostawcę tożsamości.

Informacje o nowej strukturze SSO w Apigee

Od wersji Edge dla chmury prywatnej 4.54.00 starszy komponent apigee-sso został zastąpiony nowoczesnym, lekkim brokerem tożsamości OpenID Connect (OIDC) o nazwie Dex. Ten adapter logowania jednokrotnego jest zintegrowany bezpośrednio z cyklem życia komponentu apigee-openldap, co eliminuje konieczność instalowania osobnego modułu apigee-sso.

Ponieważ SSO w Apigee (broker Dex) jest dołączone do apigee-openldap, jest ono wdrażane na tych samych węzłach co instancje OpenLDAP. Zarządzanie cyklem życia odbywa się natywnie za pomocą działań OPDK, takich jak apigee-service apigee-openldap start_sso i stop_sso.

Port 9099 musi być otwarty w węźle apigee-openldap, aby obsługiwać dostęp do logowania jednokrotnego Apigee z przeglądarki, zewnętrznego dostawcy tożsamości SAML lub LDAP oraz serwera zarządzania i nowego interfejsu Edge. W ramach konfigurowania logowania jednokrotnego Apigee możesz określić, czy połączenie zewnętrzne ma używać protokołu HTTP, czy szyfrowanego protokołu HTTPS protokołu.

SSO w Apigee to usługa bezstanowa, która używa bazy danych Postgres (apigee_dex) dostępnej na porcie 5432 w węźle Postgres, aby trwale przechowywać stan OAuth2 na wielu węzłach, zapewniając wysoką dostępność. Zwykle możesz używać tego samego serwera Postgres, który został zainstalowany z Edge – samodzielnego serwera Postgres lub 2 serwerów Postgres skonfigurowanych w trybie główny/rezerwowy. Jeśli obciążenie serwera Postgres jest duże, możesz też utworzyć osobny węzeł Postgres tylko na potrzeby bazy danych logowania jednokrotnego.

Obsługa standardowego protokołu OpenID Connect (OIDC)

Implementacja SAML i LDAP w Edge opiera się na standardowych tokenach dostępu OpenID Connect (OIDC) i OAuth2. Zmodernizowane SSO w Apigee wydaje tokeny zgodne z OIDC (wykorzystujące standardowe deklaracje, takie jak email i sub, a także nieprzezroczyste tokeny odświeżania). Więcej informacji znajdziesz w artykule Wprowadzenie do OAuth 2.0.

Informacje o SAML

Uwierzytelnianie SAML ma kilka zalet. Dzięki SAML możesz:

Przejąć pełną kontrolę nad zarządzaniem użytkownikami. Gdy użytkownicy opuszczają organizację i są centralnie usuwani, automatycznie odmawia się im dostępu do Edge.
Kontrolować sposób uwierzytelniania użytkowników w celu uzyskania dostępu do Edge. Możesz wybrać różne typy uwierzytelniania dla różnych organizacji Edge.
Kontrolować zasady uwierzytelniania. Dostawca SAML może obsługiwać zasady uwierzytelniania które są bardziej zgodne ze standardami Twojej firmy.
Możesz monitorować logowania, wylogowania, nieudane próby logowania i działania o wysokim ryzyku w wdrożeniu Edge.

Gdy SAML jest włączony, dostęp do nowego interfejsu Edge i interfejsu Edge Management API odbywa się za pomocą tokenów dostępu OAuth2. Te tokeny są generowane przez logowanie jednokrotne Apigee, które akceptuje asercje SAML zwracane przez dostawcę tożsamości.

Informacje o LDAP

Lightweight Directory Access Protocol (LDAP) to otwarty, standardowy protokół aplikacji do uzyskiwania dostępu do rozproszonych usług informacji o katalogach i zarządzania nimi. Usługi katalogowe mogą udostępniać dowolny uporządkowany zbiór rekordów, często o strukturze hierarchicznej, np. firmowy katalog e-maili.

Uwierzytelnianie LDAP w nowym SSO w Apigee korzysta z wbudowanego łącznika LDAP. Łącznik wykonuje wyszukiwania LDAP pod kątem organizationalRole i standardowych atrybutów (takich jak mail i uid), aby natywnie mapować starszych użytkowników Apigee na standardowe deklaracje OIDC.

LDAP z Edge for Private Cloud obsługuje standardowe metody uwierzytelniania wyszukiwania i powiązania na serwerze zgodnym z LDAP.

SSO w Apigee pobiera adres e-mail użytkownika i standardowe deklaracje OIDC (np. email, preferred_username, i groups) oraz aktualizuje wewnętrzny rekord użytkownika tak, aby zawierał aktualny adres e-mail, ponieważ Edge używa tego adresu do celów autoryzacji .

Adresy URL nowego interfejsu Edge i interfejsu API

Adres URL, którego używasz do uzyskiwania dostępu do nowego interfejsu Edge i interfejsu Edge Management API, jest taki sam jak przed włączeniem SAML lub LDAP. W przypadku nowego interfejsu Edge:

http://edge_UI_IP_DNS:3001

gdzie edge_UI_IP_DNS to adres IP lub nazwa DNS maszyny hostującej nowy interfejs Edge. W ramach konfigurowania nowego interfejsu Edge możesz określić, czy połączenie ma używać protokołu HTTP, czy szyfrowanego protokołu HTTPS.

W przypadku interfejsu Edge Management API:

http://ms_IP_DNS:8080/v1

gdzie ms_IP_DNS to adres IP lub nazwa DNS serwera zarządzania. W ramach konfigurowania interfejsu API możesz określić, czy połączenie ma używać protokołu HTTP, czy szyfrowanego protokołu HTTPS.

Konfigurowanie protokołu TLS za pomocą nowego SSO w Apigee

Domyślnie połączenie z SSO w Apigee używa protokołu HTTP na porcie 9099 w węźle hostującym apigee-openldap. Lekki broker tożsamości oparty na Go natywnie obsługuje żądania HTTP i HTTPS.

SSO w Apigee obsługuje 3 tryby połączenia:

DEFAULT: konfiguracja domyślna obsługuje żądania HTTP na porcie 9099.
SSL_TERMINATION: umożliwia dostęp TLS do SSO w Apigee na wybranym porcie. W tym trybie musisz określić klucz i certyfikat TLS.
SSL_PROXY: konfiguruje SSO w Apigee w trybie proxy, co oznacza, że przed komponentem zainstalowano system równoważenia obciążenia i zakończono protokół TLS w systemie równoważenia obciążenia. Możesz określić port używany w SSO w Apigee na potrzeby żądań z systemu równoważenia obciążenia.