Giao diện người dùng Edge mới và API quản lý Edge hoạt động bằng cách gửi yêu cầu đến Máy chủ quản lý Edge, trong đó Máy chủ quản lý hỗ trợ các loại xác thực sau:
- Xác thực cơ bản: Đăng nhập vào Giao diện người dùng Edge mới hoặc đưa ra yêu cầu cho API quản lý Edge bằng cách truyền tên người dùng và mật khẩu của bạn.
- OAuth2 / OIDC: Trao đổi thông tin đăng nhập Xác thực cơ bản của Edge để lấy mã truy cập OAuth2 và mã làm mới. Thực hiện lệnh gọi đến API quản lý Edge bằng cách truyền mã truy cập OAuth2 trong tiêu đề Bearer của lệnh gọi API.
Edge hỗ trợ việc sử dụng các Nhà cung cấp dịch vụ danh tính (IDP) bên ngoài sau đây để xác thực:
- Ngôn ngữ đánh dấu xác nhận bảo mật (SAML) 2.0: Tạo mã truy cập OAuth từ các câu nhận định SAML do nhà cung cấp dịch vụ danh tính SAML trả về.
- Giao thức truy cập thư mục hạng nhẹ (LDAP): Sử dụng phương pháp xác thực tìm kiếm và xác thực của LDAP để tạo mã truy cập OAuth.
Cả IdP SAML và LDAP đều hỗ trợ môi trường đăng nhập một lần (SSO). Bằng cách sử dụng IDP bên ngoài với Edge, bạn có thể hỗ trợ SSO cho Giao diện người dùng và API Edge mới, ngoài mọi dịch vụ khác mà bạn cung cấp và cũng hỗ trợ IDP bên ngoài.
Giới thiệu về cấu trúc SSO mới của Apigee
Kể từ phiên bản Edge cho đám mây riêng tư 4.54.00, thành phần apigee-sso cũ đã được thay thế bằng một trình môi giới danh tính OpenID Connect (OIDC) hiện đại, gọn nhẹ có tên là Dex. Bộ chuyển đổi SSO này được tích hợp trực tiếp vào vòng đời của thành phần apigee-openldap, giúp bạn không cần cài đặt một mô-đun apigee-sso riêng biệt.
Vì SSO của Apigee (trình môi giới Dex) được tích hợp với apigee-openldap, nên SSO này được triển khai trên cùng các nút với các thực thể OpenLDAP của bạn. Việc quản lý vòng đời được xử lý theo cách tự nhiên thông qua các thao tác OPDK, chẳng hạn như apigee-service apigee-openldap start_sso và stop_sso.
Cổng 9099 phải mở trên nút apigee-openldap để hỗ trợ quyền truy cập vào SSO của Apigee từ trình duyệt,
từ IDP SAML hoặc LDAP bên ngoài, cũng như từ Máy chủ quản lý và Giao diện người dùng Edge mới. Trong quá trình định cấu hình Apigee SSO, bạn có thể chỉ định xem kết nối bên ngoài có sử dụng HTTP hay giao thức HTTPS được mã hoá hay không.
Apigee SSO là một dịch vụ không trạng thái sử dụng cơ sở dữ liệu Postgres (apigee_dex) có thể truy cập trên cổng 5432 trên nút Postgres để duy trì trạng thái OAuth2 trên nhiều nút, đảm bảo tính Sẵn sàng cao. Thông thường, bạn có thể sử dụng cùng một máy chủ Postgres mà bạn đã cài đặt với Edge, máy chủ Postgres độc lập hoặc hai máy chủ Postgres được định cấu hình ở chế độ chính/chế độ chờ. Nếu tải trên máy chủ Postgres của bạn cao, bạn cũng có thể chọn tạo một nút Postgres riêng chỉ cho cơ sở dữ liệu SSO.
Hỗ trợ OpenID Connect (OIDC) tiêu chuẩn
Việc triển khai SAML và LDAP của Edge dựa trên mã truy cập OpenID Connect (OIDC) và OAuth2 tiêu chuẩn.
Apigee SSO hiện đại chỉ phát hành các mã thông báo tuân thủ OIDC (sử dụng các xác nhận quyền sở hữu tiêu chuẩn như email và sub, cũng như mã làm mới không công khai). Để biết thêm thông tin, hãy xem phần Giới thiệu về OAuth 2.0.
Giới thiệu về SAML
Xác thực SAML mang lại một số lợi ích. Khi sử dụng SAML, bạn có thể:
- Nắm toàn quyền kiểm soát việc quản lý người dùng. Khi người dùng rời khỏi tổ chức của bạn và bị huỷ cấp phép tập trung, họ sẽ tự động bị từ chối quyền truy cập vào Edge.
- Kiểm soát cách người dùng xác thực để truy cập vào Edge. Bạn có thể chọn nhiều loại xác thực cho nhiều tổ chức Edge.
- Kiểm soát các chính sách xác thực. Nhà cung cấp SAML của bạn có thể hỗ trợ các chính sách xác thực phù hợp hơn với tiêu chuẩn của doanh nghiệp.
- Bạn có thể giám sát các hoạt động đăng nhập, đăng xuất, đăng nhập không thành công và các hoạt động có rủi ro cao trong quá trình triển khai Edge.
Khi SAML được bật, quyền truy cập vào Giao diện người dùng Edge mới và API quản lý Edge sẽ sử dụng mã truy cập OAuth2. Các mã thông báo này do Apigee SSO tạo ra, chấp nhận các câu khẳng định SAML do IDP của bạn trả về.
Giới thiệu về LDAP
Giao thức truy cập thư mục hạng nhẹ (LDAP) là một giao thức ứng dụng mở, theo tiêu chuẩn ngành để truy cập và duy trì các dịch vụ thông tin thư mục phân tán. Các dịch vụ danh mục có thể cung cấp mọi tập hợp bản ghi có tổ chức, thường có cấu trúc phân cấp, chẳng hạn như danh mục email của công ty.
Tính năng xác thực LDAP trong Apigee SSO mới sử dụng trình kết nối LDAP tích hợp sẵn. Trình kết nối thực hiện các lượt tìm kiếm LDAP cho organizationalRole và các thuộc tính tiêu chuẩn (chẳng hạn như mail và uid) để liên kết người dùng cũ của Apigee với các thông báo xác nhận quyền sở hữu OIDC tiêu chuẩn.
LDAP với Edge cho Đám mây riêng tư hỗ trợ các phương thức xác thực Tìm kiếm và Liên kết tiêu chuẩn đối với máy chủ tương thích với LDAP.
Apigee SSO truy xuất địa chỉ email của người dùng và các thông báo xác nhận quyền sở hữu OIDC tiêu chuẩn
(ví dụ: email, preferred_username và groups)
rồi cập nhật bản ghi người dùng nội bộ
để có địa chỉ email hiện tại trong tệp, vì Edge sử dụng email này cho mục đích uỷ quyền.
Giao diện người dùng và URL API mới của Edge
URL mà bạn dùng để truy cập vào Giao diện người dùng Edge mới và API quản lý Edge giống với URL được dùng trước khi bạn bật SAML hoặc LDAP. Đối với giao diện người dùng Edge mới:
http://edge_UI_IP_DNS:3001
Trong đó edge_UI_IP_DNS là địa chỉ IP hoặc tên DNS của máy lưu trữ Giao diện người dùng Edge mới. Trong quá trình định cấu hình Giao diện người dùng Edge mới, bạn có thể chỉ định rằng kết nối sử dụng giao thức HTTP hoặc giao thức HTTPS đã mã hoá.
Đối với API quản lý Edge:
http://ms_IP_DNS:8080/v1
Trong đó ms_IP_DNS là địa chỉ IP hoặc tên DNS của Máy chủ quản lý. Trong quá trình định cấu hình API, bạn có thể chỉ định rằng kết nối sử dụng giao thức HTTP hoặc giao thức HTTPS đã mã hoá.
Định cấu hình TLS bằng SSO mới của Apigee
Theo mặc định, kết nối với Apigee SSO sử dụng HTTP qua cổng 9099 trên nút lưu trữ apigee-openldap. Trình quản lý danh tính gọn nhẹ dựa trên Go xử lý các yêu cầu HTTP và HTTPS theo cách tự nhiên.
SSO Apigee hỗ trợ 3 chế độ kết nối:
- MẶC ĐỊNH: Cấu hình mặc định hỗ trợ các yêu cầu HTTP trên cổng 9099.
- SSL_TERMINATION: Cho phép truy cập TLS vào Apigee SSO trên cổng mà bạn chọn. Bạn phải chỉ định khoá và chứng chỉ TLS cho chế độ này.
- SSL_PROXY: Định cấu hình Apigee SSO ở chế độ proxy, tức là bạn đã cài đặt một trình cân bằng tải ở phía trước thành phần và chấm dứt TLS trên trình cân bằng tải. Bạn có thể chỉ định cổng được dùng trên Apigee SSO cho các yêu cầu từ bộ cân bằng tải.