A nova interface do Edge e a API de gerenciamento do Edge operam fazendo solicitações ao servidor de gerenciamento do Edge, em que o servidor de gerenciamento oferece suporte aos seguintes tipos de autenticação:
- Autenticação básica: faça login na nova interface do Edge ou faça solicitações à API de gerenciamento do Edge transmitindo seu nome de usuário e senha.
- OAuth2 / OIDC: troque suas credenciais de autenticação básica do Edge por um token de acesso e um token de atualização do OAuth2. Faça chamadas para a API Management do Edge transmitindo o token de acesso do OAuth2 no cabeçalho do portador de uma chamada de API.
O Edge oferece suporte ao uso dos seguintes provedores de identidade (IDPs) externos para autenticação:
- Linguagem de marcação para autorização de segurança (SAML) 2.0: gere tokens de acesso do OAuth a partir de declarações SAML retornadas por um provedor de identidade SAML.
- Protocolo leve de acesso a diretórios (LDAP): use os métodos de autenticação de pesquisa e vinculação para gerar tokens de acesso do OAuth.
Os IDPs SAML e LDAP oferecem suporte a um ambiente de logon único (SSO). Ao usar um IDP externo com o Edge, você pode oferecer suporte ao SSO para a nova interface do Edge e a API, além de outros serviços que você oferece e que também oferecem suporte ao seu IDP externo.
Sobre a nova estrutura de SSO da Apigee
A partir do Edge para nuvem privada 4.54.00, o componente legado apigee-sso foi substituído por um agente de identidade OpenID Connect (OIDC) moderno e leve chamado Dex. Esse adaptador de SSO é integrado diretamente ao ciclo de vida do componente apigee-openldap, eliminando a necessidade de instalar um módulo apigee-sso separado.
Como o SSO da Apigee (agente Dex) é agrupado com apigee-openldap, ele é implantado nos mesmos nós que as instâncias do OpenLDAP. O gerenciamento do ciclo de vida é processado nativamente por ações do OPDK, como apigee-service apigee-openldap start_sso e stop_sso.
A porta 9099 precisa estar aberta no nó apigee-openldap para oferecer suporte ao acesso ao SSO da Apigee de um navegador,
do IDP SAML ou LDAP externo e do servidor de gerenciamento e da nova interface do Edge. Como parte da configuração
do SSO da Apigee, você pode especificar se a conexão externa usa HTTP ou o protocolo HTTPS
criptografado.
O SSO da Apigee é um serviço sem estado que usa um banco de dados Postgres (apigee_dex) acessível na porta 5432 no nó do Postgres para persistir o estado do OAuth2 em vários nós, garantindo a alta disponibilidade. Normalmente, é possível usar o mesmo servidor Postgres instalado com o Edge, um servidor Postgres independente ou dois servidores Postgres configuradores no modo mestre/em espera. Se a carga no servidor Postgres
for alta, você também poderá criar um nó Postgres separado apenas para o banco de dados de SSO.
Suporte ao OpenID Connect (OIDC) padrão
A implementação do SAML e do LDAP do Edge depende de tokens de acesso do OpenID Connect (OIDC) e do OAuth2 padrão.
O SSO da Apigee modernizado emite tokens estritamente compatíveis com o OIDC (usando declarações padrão como email e sub, bem como tokens de atualização opacos). Para mais informações, consulte
Introdução ao OAuth 2.0.
Sobre o SAML
A autenticação SAML oferece várias vantagens. Ao usar a SAML, você pode:
- Assumir o controle total do gerenciamento de usuários. Quando os usuários saem da organização e são desprovisionados centralmente, o acesso ao Edge é negado automaticamente.
- Controlar como os usuários fazem a autenticação para acessar o Edge. É possível escolher diferentes tipos de autenticação para diferentes organizações do Edge.
- Controlar as políticas de autenticação. O provedor de SAML pode oferecer suporte a políticas de autenticação mais alinhadas aos padrões da sua empresa.
- É possível monitorar logins, logouts, tentativas de login sem sucesso e atividades de alto risco na sua implantação do Edge.
Com o SAML ativado, o acesso à nova interface do Edge e à API Management do Edge usa tokens de acesso do OAuth2. Esses tokens são gerados pelo SSO da Apigee, que aceita declarações SAML retornadas por seu IDP.
Sobre o LDAP
O Protocolo leve de acesso a diretórios (LDAP) é um protocolo de aplicativo aberto e padrão do setor para acessar e manter serviços de informações de diretórios distribuídos. Os serviços de diretório podem fornecer qualquer conjunto organizado de registros, geralmente com uma estrutura hierárquica, como um diretório de e-mails corporativos.
A autenticação LDAP no novo SSO da Apigee usa o conector LDAP integrado. O conector realiza pesquisas LDAP para organizationalRole e atributos padrão (como mail e uid) para mapear nativamente usuários legados da Apigee para declarações OIDC padrão.
O LDAP com o Edge para nuvem privada oferece suporte a métodos de autenticação de pesquisa padrão e vinculação em um servidor compatível com LDAP.
O SSO da Apigee recupera o endereço de e-mail do usuário e as declarações OIDC padrão
(por exemplo, email, preferred_username, e groups)
e atualiza o registro de usuário interno
para que haja um endereço de e-mail atual no arquivo, já que o Edge usa este e-mail para fins de autorização.
URLs da nova interface do Edge e da API
O URL usado para acessar a nova interface do Edge e a API de gerenciamento do Edge é o mesmo usado antes de ativar o SAML ou o LDAP. Para a nova interface do Edge:
http://edge_UI_IP_DNS:3001
Em que edge_UI_IP_DNS é o endereço IP ou o nome DNS da máquina que hospeda a nova interface do Edge. Como parte da configuração da nova interface do Edge, é possível especificar que a conexão use HTTP ou o protocolo HTTPS criptografado.
Para a API Management do Edge:
http://ms_IP_DNS:8080/v1
Em que ms_IP_DNS é o endereço IP ou o nome DNS do servidor de gerenciamento. Como parte da configuração da API, é possível especificar que a conexão use HTTP ou o protocolo HTTPS criptografado.
Configurar o TLS com o novo SSO da Apigee
Por padrão, a conexão com o SSO da Apigee usa HTTP na porta 9099 no nó que hospeda
apigee-openldap. O agente de identidade leve baseado em Go processa nativamente solicitações HTTP e HTTPS.
O SSO da Apigee oferece suporte a três modos de conexão:
- DEFAULT: a configuração padrão oferece suporte a solicitações HTTP na porta 9099.
- SSL_TERMINATION::ativa o acesso TLS ao SSO da Apigee na porta de sua escolha. É necessário especificar uma chave TLS e um certificado para esse modo.
- SSL_PROXY::configura o SSO da Apigee no modo de proxy, o que significa que você instalou um balanceador de carga na frente do componente e encerrou o TLS no balanceador de carga. É possível especificar a porta usada no SSO da Apigee para solicitações do balanceador de carga.