ภาพรวมของการตรวจสอบสิทธิ์ IDP ภายนอก

New Edge UI และ Edge Management API ทำงานโดยการส่งคำขอไปยัง Edge Management Server, ซึ่ง Management Server รองรับการตรวจสอบสิทธิ์ประเภทต่อไปนี้

• การตรวจสอบสิทธิ์พื้นฐาน: เข้าสู่ระบบ New Edge UI หรือส่งคำขอไปยัง Edge Management API โดยส่งชื่อผู้ใช้และรหัสผ่าน
• OAuth2 / OIDC: แลกเปลี่ยนข้อมูลเข้าสู่ระบบการตรวจสอบสิทธิ์พื้นฐานของ Edge เป็นโทเค็นเพื่อการเข้าถึง OAuth2 และโทเค็นการรีเฟรช ส่งการเรียกไปยัง Edge Management API โดยส่งโทเค็นเพื่อการเข้าถึง OAuth2 ในส่วนหัว Bearer ของการเรียก API

Edge รองรับการใช้ผู้ให้บริการข้อมูลประจำตัว (IDP) ภายนอกต่อไปนี้สำหรับการตรวจสอบสิทธิ์

• ภาษามาร์กอัปเพื่อยืนยันความปลอดภัย (SAML) 2.0: สร้างโทเค็นเพื่อการเข้าถึง OAuth จากการยืนยัน SAML ที่ส่งคืนโดยผู้ให้บริการข้อมูลประจำตัว SAML
• Lightweight Directory Access Protocol (LDAP): ใช้วิธีการตรวจสอบสิทธิ์การค้นหาและการผูก ของ LDAP เพื่อสร้างโทเค็นเพื่อการเข้าถึง OAuth

ทั้ง IDP ของ SAML และ LDAP รองรับสภาพแวดล้อมการลงชื่อเพียงครั้งเดียว (SSO) การใช้ IDP ภายนอก กับ Edge จะช่วยให้คุณรองรับ SSO สำหรับ New Edge UI และ API นอกเหนือจากบริการอื่นๆ ที่คุณ ให้บริการและรองรับ IDP ภายนอกด้วย

เกี่ยวกับโครงสร้าง Apigee SSO ใหม่

ตั้งแต่ Edge for Private Cloud 4.54.00 เป็นต้นไป คอมโพเนนต์ apigee-sso เดิมจะถูกแทนที่ด้วยตัวกลางข้อมูลประจำตัว OpenID Connect (OIDC) ที่ทันสมัยและมีขนาดเล็กที่เรียกว่า Dex อะแดปเตอร์ SSO นี้จะผสานรวมเข้ากับวงจรชีวิตของคอมโพเนนต์ apigee-openldap โดยตรง จึงไม่จำเป็นต้องติดตั้งโมดูล apigee-sso แยกต่างหาก

เนื่องจาก Apigee SSO (ตัวกลาง Dex) มาพร้อมกับ apigee-openldap จึงมีการติดตั้งใช้งานในโหนดเดียวกับอินสแตนซ์ OpenLDAP การจัดการวงจรชีวิตจะจัดการโดยเนทีฟผ่านการดำเนินการ OPDK เช่น apigee-service apigee-openldap start_sso และ stop_sso

พอร์ต 9099 ต้องเปิดในโหนด apigee-openldap เพื่อรองรับการเข้าถึง Apigee SSO จากเบราว์เซอร์ จาก IDP ภายนอกของ SAML หรือ LDAP รวมถึงจาก Management Server และ New Edge UI คุณสามารถระบุได้ว่าการเชื่อมต่อภายนอกใช้โปรโตคอล HTTP หรือ HTTPS ที่เข้ารหัส เป็นส่วนหนึ่งของการกำหนดค่า Apigee SSO

Apigee SSO เป็นบริการแบบ Stateless ที่ใช้ฐานข้อมูล Postgres (apigee_dex) ซึ่งเข้าถึงได้ในพอร์ต 5432 ในโหนด Postgres เพื่อเก็บสถานะ OAuth2 ไว้ในหลายๆ โหนด จึงมั่นใจได้ถึงความพร้อมใช้งานสูง โดยปกติแล้ว คุณ สามารถใช้เซิร์ฟเวอร์ Postgres เดียวกันกับที่ติดตั้งด้วย Edge ไม่ว่าจะเป็นเซิร์ฟเวอร์ Postgres แบบสแตนด์อโลนหรือเซิร์ฟเวอร์ Postgres 2 เครื่องที่กำหนดค่าในโหมดสแตนด์บาย หากภาระงานในเซิร์ฟเวอร์ Postgres สูง คุณสามารถเลือกสร้างโหนด Postgres แยกต่างหากสำหรับฐานข้อมูล SSO ได้ด้วย

การรองรับ OpenID Connect (OIDC) มาตรฐาน

การติดตั้งใช้งาน SAML และ LDAP ของ Edge อาศัยโทเค็นเพื่อการเข้าถึง OpenID Connect (OIDC) และ OAuth2 มาตรฐาน Apigee SSO ที่ทันสมัยจะออกโทเค็นที่เป็นไปตามข้อกำหนด OIDC อย่างเคร่งครัด (โดยใช้การอ้างสิทธิ์มาตรฐาน เช่น email และ sub รวมถึงโทเค็นการรีเฟรชแบบทึบแสง) ดูข้อมูลเพิ่มเติมได้ที่ ข้อมูลเบื้องต้นเกี่ยวกับ OAuth 2.0

เกี่ยวกับ SAML

การตรวจสอบสิทธิ์ SAML มีข้อดีหลายประการ การใช้ SAML ช่วยให้คุณทำสิ่งต่อไปนี้ได้

• ควบคุมการจัดการผู้ใช้ได้อย่างเต็มที่ เมื่อผู้ใช้ออกจากองค์กรและถูก ยกเลิกการจัดสรรจากส่วนกลาง ระบบจะปฏิเสธการเข้าถึง Edge ของผู้ใช้โดยอัตโนมัติ
• ควบคุมวิธีที่ผู้ใช้ตรวจสอบสิทธิ์เพื่อเข้าถึง Edge คุณสามารถเลือกประเภทการตรวจสอบสิทธิ์ที่แตกต่างกันสำหรับองค์กร Edge ที่แตกต่างกันได้
• ควบคุมนโยบายการตรวจสอบสิทธิ์ ผู้ให้บริการ SAML อาจรองรับนโยบายการตรวจสอบสิทธิ์ ที่สอดคล้องกับมาตรฐานขององค์กรคุณมากขึ้น
• คุณสามารถตรวจสอบการเข้าสู่ระบบ การออกจากระบบ การพยายามเข้าสู่ระบบที่ไม่สำเร็จ และกิจกรรมที่มีความเสี่ยงสูงในการติดตั้งใช้งาน Edge

เมื่อเปิดใช้ SAML การเข้าถึง New Edge UI และ Edge Management API จะใช้โทเค็นเพื่อการเข้าถึง OAuth2 โทเค็นเหล่านี้สร้างขึ้นโดย Apigee SSO ซึ่งยอมรับการยืนยัน SAML ที่ส่งคืนโดย IDP

เกี่ยวกับ LDAP

Lightweight Directory Access Protocol (LDAP) เป็นโปรโตคอลแอปพลิเคชันแบบเปิดที่เป็นมาตรฐานอุตสาหกรรม สำหรับการเข้าถึงและดูแลรักษาสิ่งที่บริการข้อมูลไดเรกทอรีแบบกระจาย บริการไดเรกทอรี อาจมีชุดระเบียนที่จัดระเบียบไว้ ซึ่งมักจะมีโครงสร้างแบบลำดับชั้น เช่น ไดเรกทอรีอีเมลขององค์กร

การตรวจสอบสิทธิ์ LDAP ภายใน Apigee SSO ใหม่จะใช้ตัวเชื่อมต่อ LDAP ในตัว ตัวเชื่อมต่อจะทำการค้นหา LDAP สำหรับ organizationalRole และแอตทริบิวต์มาตรฐาน (เช่น mail และ uid) เพื่อแมปผู้ใช้เดิมของ Apigee กับการอ้างสิทธิ์ OIDC มาตรฐานโดยเนทีฟ

LDAP กับ Edge for the Private Cloud รองรับวิธีการตรวจสอบสิทธิ์การค้นหาและการผูกมาตรฐานกับเซิร์ฟเวอร์ที่เข้ากันได้กับ LDAP

Apigee SSO จะดึงอีเมลและการอ้างสิทธิ์ OIDC มาตรฐานของผู้ใช้ (เช่น email, preferred_username และ groups) และอัปเดตระเบียนผู้ใช้ภายใน เพื่อให้มีอีเมลปัจจุบันในไฟล์ เนื่องจาก Edge ใช้อีเมลนี้เพื่อวัตถุประสงค์ในการให้สิทธิ์

URL ของ New Edge UI และ API

URL ที่คุณใช้เข้าถึง New Edge UI และ Edge Management API จะเหมือนกับ URL ที่ใช้ก่อนที่คุณจะเปิดใช้ SAML หรือ LDAP สำหรับ New Edge UI

http://edge_UI_IP_DNS:3001

โดย edge_UI_IP_DNS คือที่อยู่ IP หรือชื่อ DNS ของเครื่องที่ โฮสต์ New Edge UI คุณสามารถระบุได้ว่าการเชื่อมต่อใช้ โปรโตคอล HTTP หรือ HTTPS ที่เข้ารหัสเป็นส่วนหนึ่งของการกำหนดค่า New Edge UI

สำหรับ Edge Management API

http://ms_IP_DNS:8080/v1

โดย ms_IP_DNS คือที่อยู่ IP หรือชื่อ DNS ของ Management Server คุณสามารถระบุได้ว่าการเชื่อมต่อใช้โปรโตคอล HTTP หรือ HTTPS ที่เข้ารหัสเป็นส่วนหนึ่งของการกำหนดค่า API

กำหนดค่า TLS ด้วย Apigee SSO ใหม่

โดยค่าเริ่มต้น การเชื่อมต่อกับ Apigee SSO จะใช้ HTTP ผ่านพอร์ต 9099 ในโหนดที่โฮสต์ apigee-openldap ตัวกลางข้อมูลประจำตัวที่ใช้ Go ที่มีขนาดเล็กจะจัดการคำขอ HTTP และ HTTPS โดยเนทีฟ

Apigee SSO รองรับโหมดการเชื่อมต่อ 3 โหมด ได้แก่

• DEFAULT: การกำหนดค่าเริ่มต้นรองรับคำขอ HTTP ในพอร์ต 9099
• SSL_TERMINATION: เปิดใช้การเข้าถึง TLS ไปยัง Apigee SSO ในพอร์ตที่คุณ เลือก คุณต้องระบุคีย์และใบรับรอง TLS สำหรับโหมดนี้
• SSL_PROXY: กำหนดค่า Apigee SSO ในโหมดพร็อกซี ซึ่งหมายความว่าคุณได้ติดตั้ง ตัวจัดสรรภาระงานไว้ด้านหน้าคอมโพเนนต์และสิ้นสุด TLS ในตัวจัดสรรภาระงาน คุณสามารถระบุพอร์ตที่ใช้ใน Apigee SSO สำหรับคำขอจากตัวจัดสรรภาระงาน