Apigee-SSO installieren und konfigurieren

Ab OPDK 4.54.00 wurde die SSO-Architektur modernisiert. Der Identitätsbroker (Dex) ist jetzt direkt in die Komponente apigee-openldap eingebettet, sodass kein separates Legacy-Modul apigee-sso mehr installiert werden muss.

So aktivieren und konfigurieren Sie Apigee SSO:

  1. Maschinennutzer für die neue Edge-Benutzeroberfläche erstellen: Erstellen Sie einen Maschinennutzer, der für die neue Edge-Benutzeroberfläche erforderlich ist, um Verwaltungs-APIs aufzurufen.
  2. Attribute in der gemeinsamen Konfigurationsdatei konfigurieren: Erstellen Sie eine einzelne Konfigurationsdatei, die die Attribute enthält, die sowohl vom OpenLDAP-Dienst (SSO) als auch von der neuen Edge-Benutzeroberfläche benötigt werden.
  3. SSO-Datenbank in Postgres erstellen: Erstellen Sie eine Datenbank für SSO in der Apigee PostgreSQL-Instanz.
  4. SSO-Konfigurationen in OpenLDAP anwenden: Wenden Sie die Konfigurationsdatei an, um das integrierte Apigee SSO auf dem OpenLDAP-Knoten zu starten.
  5. Neue Edge-Benutzeroberfläche konfigurieren: Aktualisieren Sie die Attribute der neuen Edge-Benutzeroberfläche, um das neue Apigee SSO zu verwenden.

Jeder dieser Schritte wird in den folgenden Abschnitten beschrieben.

Maschinennutzer für die Benutzeroberfläche erstellen

Für die neue Edge-Benutzeroberfläche ist ein Maschinennutzer erforderlich, um Verwaltungs-APIs im Backend für bestimmte Vorgänge aufzurufen. Dazu wird ein Skript verwendet, das auf dem Knoten apigee-openldap vorinstalliert ist.

Weitere Informationen zum Skript und zu Maschinennutzern finden Sie unter Das Skript „apigee-machine-user“ verwenden.

Verwenden Sie den folgenden Befehl auf dem apigee-openldap Knoten , um einen Maschinennutzer für die neue Edge-Benutzeroberfläche zu erstellen. Verwenden Sie dabei genau dieselben Anmeldedaten, wenn Sie das Attribut im nächsten Schritt in der Konfigurationsdatei definieren. 

 /opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u ui-machine-user@apigee.com -p Secret123

Attribute in der gemeinsamen Konfigurationsdatei konfigurieren

Bevor Sie Apigee SSO und die neue Edge-Benutzeroberfläche aktivieren können, müssen Sie eine gemeinsame Konfigurationsdatei definieren (z. B. /opt/silent.conf). Sie können diesen Pfad und Dateinamen nach Bedarf für Ihre Umgebung ändern.

Fügen Sie Ihrer Datei /opt/silent.conf die folgenden grundlegenden Konfigurationsattribute hinzu:

# ==========================================
# SSO Enablement
# ==========================================
ENABLE_SSO=y

# ==========================================
# SSO Hostname/IP and Port config for Dex
# ==========================================
SSO_PUBLIC_URL_SCHEME=http
SSO_PUBLIC_URL_HOSTNAME=localhost
SSO_PUBLIC_URL_PORT=9099

# ==========================================
# Static Client UI credentials
# ==========================================
MANAGEMENT_UI_SSO_CLIENT_ID=unifiedui
MANAGEMENT_UI_SSO_CLIENT_SECRET=secret123

# ==========================================
# Management UI & SSO redirect URLs
# ==========================================
MANAGEMENT_UI_SCHEME=http
MANAGEMENT_UI_IP=localhost
MANAGEMENT_UI_PORT=3001

# ==========================================
# Management Server parameters (Required for SSO registration)
# ==========================================
MSIP=localhost
ADMIN_EMAIL=admin@apigee.com
APIGEE_ADMINPW=Secret123

# ==========================================
# Machine user for UI
# ==========================================
UI_MACHINE_USER=ui-machine-user@apigee.com
UI_MACHINE_PWD=Secret123

# ==========================================
# Postgres connection parameters
# ==========================================
PG_HOST=postgres_host
PG_USER=apigee
PG_PWD=postgres_password

# ==========================================
# Other UI Parameters
# ==========================================
# Set to sso to enable SSO, default value is basic.
AUTH_MODE=sso

# Y to use internal LDAP for authentication, N to use external IDP
SSO_LOCAL_LDAP=y

MANAGEMENT_UI_APP_ENV=OPDK
MANAGEMENT_UI_SSO_ENABLED=y
MANAGEMENT_UI_SSO_CSRF_SECRET=secret
MANAGEMENT_UI_SSO_CSRF_EXPIRATION_HOURS=24
MANAGEMENT_UI_SSO_STRICT_TRANSPORT_SECURITY_AGE_HOURS=24
MANAGEMENT_UI_SSO_PUBLIC_KEY_CACHE_HOURS=0.5

Verteilung von SSO-Attributen

Apigee SSO-Attribute sind auf die folgenden Konfigurationsdateien verteilt:

  • /opt/silent.conf (oder Ihre benutzerdefinierte Konfigurationsdatei): Enthält die grundlegenden Konfigurationsattribute für SSO und die neue Edge-Benutzeroberfläche.
  • /opt/apigee/customer/application/openldap.properties: Enthält zusätzliche SSO-Konfigurationsattribute für optionale Funktionen wie SAML und HTTPS.

Das Skript setup-sso in der Komponente apigee-openldap parst die Variablen aus beiden oben genannten Dateien. Je nach Anwendungsfall müssen Sie die entsprechenden Attribute in den Konfigurationsdateien konfigurieren.

Die folgenden Schritte sind je nach Umgebung optional:

SSO-Datenbank in Postgres erstellen

Erstellen Sie auf dem Knoten, auf dem apigee-postgresql ausgeführt wird (Masterknoten in der Primär-Standby-Konfiguration), eine Datenbank für SSO:

/opt/apigee/apigee-service/bin/apigee-service apigee-postgresql setup-sso-db

SSO-Konfigurationen in OpenLDAP anwenden

Da Apigee SSO in die Verzeichniskomponente eingebettet ist, müssen Sie kein eigenständiges Paket installieren. Wenden Sie einfach die Konfigurationsdatei auf den OpenLDAP-Knoten an.

So aktivieren und starten Sie Apigee SSO:
  1. Melden Sie sich auf dem Knoten an, auf dem apigee-openldap gehostet wird.
  2. Führen Sie den Befehl setup-sso aus und übergeben Sie Ihre Konfigurationsdatei: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap setup-sso -f /opt/silent.conf

Neue Edge-Benutzeroberfläche konfigurieren

Sobald Apigee SSO ausgeführt wird, müssen Sie die neue Edge-Benutzeroberfläche so konfigurieren, dass sie damit kommunizieren kann.

Nachdem Sie einen externen Identitätsanbieter auf der neuen Edge-Benutzeroberfläche aktiviert haben, verwendet die neue Edge-Benutzeroberfläche OIDC/OAuth2, um eine Verbindung zum Management Server herzustellen. Sie müssen sich keine Gedanken über ablaufende Tokens zwischen der neuen Edge-Benutzeroberfläche und dem Edge Management Server machen. Abgelaufene Tokens werden automatisch aktualisiert.

  1. Melden Sie sich auf dem Knoten an, auf dem die neue Edge-Benutzeroberfläche gehostet wird.
  2. Achten Sie darauf, dass die Datei /opt/silent.conf auf diesem Knoten verfügbar ist.
  3. Wenden Sie die Konfiguration mit dem Skript setup an: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui setup -f /opt/silent.conf