Como gerenciar usuários, papéis e permissões

O site de documentação da Apigee tem informações detalhadas sobre como gerenciar papéis e permissões de usuários. Os usuários podem ser gerenciados usando a nova interface do Edge e a API Management. Os papéis e permissões só podem ser gerenciados com a API Management.

Para informações sobre usuários e como criar usuários, consulte:

Muitas das operações realizadas para gerenciar usuários exigem privilégios de administrador do sistema. Em uma instalação do Edge baseada na nuvem, a Apigee funciona como administrador do sistema. Em uma instalação do Edge para nuvem privada, o administrador do sistema precisa realizar essas tarefas conforme descrito abaixo.

Como adicionar um usuário

É possível criar um usuário usando a API Edge, a nova interface do Edge ou comandos do Edge. Esta seção descreve como usar a API Edge e os comandos do Edge. Para informações sobre como criar usuários na nova interface do Edge, consulte Como criar usuários globais.

Depois de criar o usuário em uma organização, é necessário atribuir um papel a ele. Os papéis determinam os direitos de acesso do usuário no Edge.

Use o comando a seguir para criar um usuário com a API Edge:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

Ou use o comando do Edge a seguir para criar um usuário:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

Em que configFile cria o usuário, como mostra o exemplo a seguir:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

Em seguida, use essa chamada para conferir informações sobre o usuário:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

Como atribuir o usuário a um papel em uma organização

Antes que um novo usuário possa fazer qualquer coisa, ele precisa ser atribuído a um papel em uma organização. É possível atribuir o usuário a diferentes papéis, incluindo: orgadmin, businessuser, opsadmin, user, ou a um papel personalizado definido na organização.

A atribuição de um usuário a um papel em uma organização adiciona automaticamente esse usuário à organização. Atribua um usuário a várias organizações atribuindo-o a um papel em cada organização.

Use o comando a seguir para atribuir o usuário a um papel em uma organização:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Essa chamada mostra todos os papéis atribuídos ao usuário. Se você quiser adicionar o usuário, mas mostrar apenas o novo papel, use a seguinte chamada:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

É possível conferir os papéis do usuário usando o seguinte comando:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

Para remover um usuário de uma organização, remova todos os papéis dessa organização do usuário. Use o comando a seguir para remover um papel de um usuário:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

Como adicionar um administrador do sistema

Um administrador do sistema pode:

  • Criar organizações
  • Adicionar roteadores, processadores de mensagens e outros componentes a uma instalação do Edge
  • Configurar TLS/SSL
  • Criar outros administradores do sistema
  • Realizar todas as tarefas administrativas do Edge

Embora apenas um usuário seja o padrão para tarefas administrativas, pode haver mais de um administrador do sistema. Qualquer usuário que seja membro do papel "sysadmin" tem permissões completas para todos os recursos.

É possível criar o usuário para o administrador do sistema na nova interface do Edge ou na API. No entanto, é necessário usar a API Edge para atribuir o usuário ao papel de "sysadmin". Não é possível atribuir um usuário ao papel "sysadmin" na nova interface do Edge.

Para adicionar um administrador do sistema:

  1. Crie um usuário na nova interface do Edge ou na API.
  2. Adicione o usuário ao papel "sysadmin": 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'
  3. Verifique se o novo usuário está no papel "sysadmin": 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

    Retorna o endereço de e-mail do usuário:

    [ " foo@bar.com " ]
  4. Verifique as permissões do novo usuário: 
    curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

    Retorna:

    {
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}
  5. Depois de adicionar o novo administrador do sistema, é possível adicionar o usuário a qualquer organização.
  6. Se você quiser remover o usuário do papel de administrador do sistema, use a seguinte API: 
    curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com

    Essa chamada apenas remove o usuário do papel, ela não exclui o usuário.

Como mudar o usuário administrador do sistema padrão

Ao instalar o Edge, você especifica o endereço de e-mail do administrador do sistema. O Edge cria um usuário com esse endereço de e-mail e o define como o administrador do sistema padrão. É possível adicionar outros administradores do sistema conforme descrito acima.

Esta seção descreve como mudar o administrador do sistema padrão para um usuário diferente, e como mudar o endereço de e-mail da conta de usuário do administrador do sistema padrão atual.

Para conferir a lista de usuários configurados como administradores do sistema, use a seguinte chamada de API call:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Para determinar o administrador do sistema padrão atual, consulte o /opt/apigee/customer/defaults.sh arquivo. O arquivo contém a seguinte linha que mostra o endereço de e-mail do administrador do sistema padrão atual:

ADMIN_EMAIL=foo@bar.com

Para mudar o administrador do sistema padrão para um usuário diferente:

  1. Crie um novo administrador do sistema conforme descrito acima ou verifique se a conta de usuário do novo administrador do sistema já está configurada como administrador do sistema.
  2. Edite /opt/apigee/customer/defaults.sh para definir ADMIN_EMAIL como o endereço de e-mail do novo administrador do sistema.
  3. Edite o arquivo de configuração silenciosa usado para instalar a nova interface do Edge para definir as seguintes propriedades: 
    ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y

    É necessário incluir as propriedades SMTP porque todas as propriedades na nova interface do Edge são redefinidas.

  4. Reconfigure a nova interface do Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui start

Se você quiser apenas mudar o endereço de e-mail da conta de usuário do administrador do sistema padrão atual, primeiro atualize a conta de usuário para definir o novo endereço de e-mail e, em seguida, mude o endereço de e-mail do administrador do sistema padrão:

  1. Atualize a conta de usuário do administrador do sistema padrão atual com um novo endereço de e-mail: 
    curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'
  2. Repita as etapas 2, 3 e 4 do procedimento anterior para atualizar o /opt/apigee/customer/defaults.sh arquivo e a nova interface do Edge.

Como especificar o domínio de e-mail de um administrador do sistema

Como um nível extra de segurança, é possível especificar o domínio de e-mail necessário de um administrador do sistema do Edge. Ao adicionar um administrador do sistema, se o endereço de e-mail do usuário não estiver no domínio especificado, a adição do usuário ao papel "sysadmin" falhará.

Por padrão, o domínio necessário está vazio, o que significa que é possível adicionar qualquer endereço de e-mail ao "sysadmin" papel.

Para definir o domínio de e-mail:

  1. Abra o arquivo management-server.properties em um editor: 
    vi /opt/apigee/customer/application/management-server.properties

    Se esse arquivo não existir, crie-o.

  2. Defina a propriedade conf_security_rbac.global.roles.allowed.domains como a lista de domínios permitidos separados por vírgulas. Exemplo: 
    conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
  3. Salve as alterações.
  4. Reinicie o servidor de gerenciamento do Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

    Se você tentar adicionar um usuário ao papel "sysadmin" e o endereço de e-mail do usuário não estiver em um dos domínios especificados, a adição falhará.

Como excluir um usuário

É possível criar um usuário usando a API Edge ou a nova interface do Edge. No entanto, só é possível excluir um usuário usando a API.

Para conferir a lista de usuários atuais, incluindo o endereço de e-mail, use o seguinte curl comando:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

Use o seguinte comando curl para excluir um usuário:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL