Yeni Edge kullanıcı arayüzü ve Edge Management API, Edge Management Server'a istek göndererek çalışır. Management Server aşağıdaki kimlik doğrulama türlerini destekler:
- Temel kimlik doğrulama: Kullanıcı adınızı ve şifrenizi ileterek Yeni Edge kullanıcı arayüzüne giriş yapın veya Edge yönetim API'sine istekte bulunun.
- OAuth2 / OIDC: Edge Basic Auth kimlik bilgilerinizi bir OAuth2 erişim jetonu ve yenileme jetonuyla değiştirin. Bir API çağrısının Bearer başlığında OAuth2 erişim jetonunu ileterek Edge Management API'ye çağrı yapın.
Edge, kimlik doğrulama için aşağıdaki harici kimlik sağlayıcıların (IdP'ler) kullanılmasını destekler:
- Güvenlik Onayı Biçimlendirme Dili (SAML) 2.0: SAML kimlik sağlayıcı tarafından döndürülen SAML onaylarından OAuth erişim jetonları oluşturun.
- Basit Dizin Erişimi Protokolü (LDAP): OAuth erişim jetonları oluşturmak için LDAP'nin arama ve bağlama kimlik doğrulama yöntemlerini kullanın.
Hem SAML hem de LDAP IdP'leri tek oturum açma (TOA) ortamını destekler. Edge ile harici bir IdP kullanarak, sunduğunuz ve harici IdP'nizi de destekleyen diğer hizmetlere ek olarak yeni Edge kullanıcı arayüzü ve API'si için TOA'yı destekleyebilirsiniz.
Yeni Apigee TOA yapısı hakkında
Edge for Private Cloud 4.54.00 sürümünden itibaren eski apigee-sso bileşeni, Dex adlı modern ve hafif bir OpenID Connect (OIDC) kimlik aracısıyla değiştirildi. Bu TOA bağdaştırıcısı doğrudan apigee-openldap bileşen yaşam döngüsüne entegre edildiğinden ayrı bir apigee-sso modülünün yüklenmesi gerekmez.
Apigee TOA (Dex aracısı) apigee-openldap ile birlikte sunulduğundan OpenLDAP örneklerinizle aynı düğümlere dağıtılır. Yaşam döngüsü yönetimi, apigee-service apigee-openldap start_sso ve stop_sso gibi OPDK işlemleri aracılığıyla yerel olarak gerçekleştirilir.
Tarayıcıdan, harici SAML veya LDAP IdP'den, yönetim sunucusundan ve yeni Edge kullanıcı arayüzünden Apigee TOA'ya erişimi desteklemek için apigee-openldap düğümünde 9099 bağlantı noktası açık olmalıdır. Apigee TOA'yı yapılandırırken harici bağlantının HTTP mi yoksa şifrelenmiş HTTPS protokolünü mü kullanacağını belirtebilirsiniz.
Apigee TOA, OAuth2 durumunu birden fazla düğümde kalıcı hale getirmek için Postgres düğümünde 5432 numaralı bağlantı noktasından erişilebilen bir Postgres veritabanı (apigee_dex) kullanan durumsuz bir hizmettir ve yüksek kullanılabilirlik sağlar. Genellikle, Edge ile yüklediğiniz aynı Postgres sunucusunu (bağımsız bir Postgres sunucusu veya ana/bekleme modunda yapılandırılmış iki Postgres sunucusu) kullanabilirsiniz. Postgres sunucunuzdaki yük fazlaysa yalnızca TOA veritabanı için ayrı bir Postgres düğümü oluşturmayı da seçebilirsiniz.
Standart OpenID Connect (OIDC) desteği
SAML ve LDAP'nin Edge uygulaması, standart OpenID Connect (OIDC) ve OAuth2 erişim jetonlarını kullanır.
Modernize edilmiş Apigee SSO, kesinlikle OIDC uyumlu jetonlar yayınlar (email ve sub gibi standart taleplerin yanı sıra opak yenileme jetonları kullanır). Daha fazla bilgi için OAuth 2.0'a giriş başlıklı makaleyi inceleyin.
SAML hakkında
SAML kimlik doğrulamasının çeşitli avantajları vardır. SAML'yi kullanarak şunları yapabilirsiniz:
- Kullanıcı yönetiminin tam kontrolünü elinize alın. Kullanıcılar kuruluşunuzdan ayrıldığında ve temel hazırlıkları merkezi olarak kaldırıldığında Edge'e erişimleri otomatik olarak reddedilir.
- Kullanıcıların Edge'e erişmek için nasıl kimlik doğrulayacağını kontrol edin. Farklı Edge kuruluşları için farklı kimlik doğrulama türleri seçebilirsiniz.
- Kimlik doğrulama politikalarını kontrol edin. SAML sağlayıcınız, kurumsal standartlarınıza daha uygun kimlik doğrulama politikalarını destekleyebilir.
- Edge dağıtımınızda girişleri, çıkışları, başarısız giriş denemelerini ve yüksek riskli etkinlikleri izleyebilirsiniz.
SAML etkinleştirildiğinde, yeni Edge kullanıcı arayüzüne ve Edge Management API'sine erişim için OAuth2 erişim jetonları kullanılır. Bu jetonlar, Apigee TOA tarafından oluşturulur. Apigee TOA, IdP'niz tarafından döndürülen SAML onaylarını kabul eder.
LDAP hakkında
Basit Dizin Erişimi Protokolü (LDAP), dağıtılmış dizin bilgisi hizmetlerine erişmek ve bunları korumak için kullanılan açık ve endüstri standardı bir uygulama protokolüdür. Dizin hizmetleri, genellikle hiyerarşik bir yapıya sahip olan ve düzenli bir kayıt kümesi (ör. kurumsal e-posta dizini) sağlayabilir.
Yeni Apigee SSO'daki LDAP kimlik doğrulaması, yerleşik LDAP bağlayıcısını kullanır. Bağlayıcı, Apigee eski kullanıcılarını standart OIDC talepleriyle yerel olarak eşlemek için organizationalRole ve standart özellikler (ör. mail ve uid) için LDAP aramaları gerçekleştirir.
Private Cloud için Edge ile LDAP, LDAP uyumlu bir sunucuya karşı standart arama ve bağlama kimlik doğrulama yöntemlerini destekler.
Apigee TOA, kullanıcının e-posta adresini ve standart OIDC taleplerini (ör. email, preferred_username ve groups) alır ve dahili kullanıcı kaydını günceller. Böylece, Edge bu e-postayı yetkilendirme amacıyla kullandığından dosyada güncel bir e-posta adresi bulunur.
Yeni Edge kullanıcı arayüzü ve API URL'leri
Yeni Edge kullanıcı arayüzüne ve Edge yönetim API'sine erişmek için kullandığınız URL, SAML veya LDAP'yi etkinleştirmeden önce kullandığınız URL ile aynıdır. Yeni Edge kullanıcı arayüzü için:
http://edge_UI_IP_DNS:3001
edge_UI_IP_DNS, yeni Edge kullanıcı arayüzünü barındıran makinenin IP adresi veya DNS adıdır. Yeni Edge kullanıcı arayüzünü yapılandırırken bağlantının HTTP veya şifrelenmiş HTTPS protokolünü kullanacağını belirtebilirsiniz.
Edge Management API için:
http://ms_IP_DNS:8080/v1
ms_IP_DNS, Yönetim Sunucusu'nun IP adresi veya DNS adıdır. API'yi yapılandırma kapsamında, bağlantının HTTP veya şifrelenmiş HTTPS protokolünü kullanmasını belirtebilirsiniz.
Yeni Apigee TOA ile TLS'yi yapılandırma
Varsayılan olarak, Apigee SSO'ya bağlantı, apigee-openldap öğesini barındıran düğümde 9099 bağlantı noktası üzerinden HTTP kullanır. Go tabanlı basit kimlik aracısı, HTTP ve HTTPS isteklerini yerel olarak işler.
Apigee TOA üç bağlantı modunu destekler:
- VARSAYILAN: Varsayılan yapılandırma, 9099 numaralı bağlantı noktasındaki HTTP isteklerini destekler.
- SSL_TERMINATION: Seçtiğiniz bağlantı noktasında Apigee TOA'ya TLS erişimini etkinleştirir. Bu mod için bir TLS anahtarı ve sertifikası belirtmeniz gerekir.
- SSL_PROXY: Apigee TOA'yı proxy modunda yapılandırır. Bu, bileşenin önüne bir yük dengeleyici yüklediğiniz ve yük dengeleyicide TLS'yi sonlandırdığınız anlamına gelir. Yük dengeleyiciden gelen istekler için Apigee TOA'da kullanılan bağlantı noktasını belirtebilirsiniz.