Google sử dụng công nghệ AI để dịch nội dung sang ngôn ngữ bạn ưu tiên. Bản dịch bằng AI có thể có lỗi.

Quản lý người dùng, vai trò và quyền

Trang web tài liệu Apigee có nhiều thông tin về cách quản lý vai trò và quyền của người dùng. Bạn có thể quản lý người dùng bằng cả Giao diện người dùng Edge mới và API quản lý; bạn chỉ có thể quản lý vai trò và quyền bằng API quản lý.

Để biết thông tin về người dùng và cách tạo người dùng, hãy xem:

Nhiều thao tác mà bạn thực hiện để quản lý người dùng yêu cầu đặc quyền quản trị viên hệ thống. Trong quá trình cài đặt Edge dựa trên Cloud, Apigee hoạt động với vai trò quản trị viên hệ thống. Trong quá trình cài đặt Edge cho Cloud riêng tư, quản trị viên hệ thống phải thực hiện các tác vụ này như mô tả bên dưới.

Thêm người dùng

Bạn có thể tạo người dùng bằng API Edge, Giao diện người dùng Edge mới hoặc các lệnh Edge. Phần này mô tả cách sử dụng API Edge và các lệnh Edge. Để biết thông tin về cách tạo người dùng trong Giao diện người dùng Edge mới, hãy xem bài viết Tạo người dùng toàn cầu.

Sau khi tạo người dùng trong một tổ chức, bạn phải chỉ định một vai trò cho người dùng đó. Vai trò xác định quyền truy cập của người dùng trên Edge.

Hãy sử dụng lệnh sau để tạo người dùng bằng API Edge:

curl -H "Content-Type:application/xml" \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X POST http://ms_IP:8080/v1/users \
  -d '<User> \
    <FirstName>New</FirstName> \
    <LastName>User</LastName> \
    <Password>NEW_USER_PASSWORD</Password> \
    <EmailId>foo@bar.com</EmailId> \
  </User>'

Hoặc sử dụng lệnh Edge sau để tạo người dùng:

/opt/apigee/apigee-service/bin/apigee-service apigee-provision create-user -f configFile

Trong đó, configFile tạo người dùng, như ví dụ sau đây:

APIGEE_ADMINPW=SYS_ADMIN_PASSWORD    # If omitted, you will be prompted.
USER_NAME=foo@bar.com
FIRST_NAME=New
LAST_NAME=User
USER_PWD="NEW_USER_PASSWORD"
ORG_NAME=myorg

Sau đó, bạn có thể sử dụng lệnh gọi này để xem thông tin về người dùng:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com

Chỉ định người dùng vào một vai trò trong tổ chức

Trước khi có thể làm bất cứ điều gì, người dùng mới phải được chỉ định vào một vai trò trong tổ chức. Bạn có thể chỉ định người dùng vào nhiều vai trò, bao gồm: orgadmin, businessuser, opsadmin, user hoặc vào một vai trò tuỳ chỉnh được xác định trong tổ chức.

Việc chỉ định người dùng vào một vai trò trong tổ chức sẽ tự động thêm người dùng đó vào tổ chức. Chỉ định người dùng vào nhiều tổ chức bằng cách chỉ định người dùng đó vào một vai trò trong mỗi tổ chức.

Hãy sử dụng lệnh sau để chỉ định người dùng vào một vai trò trong tổ chức:

curl -X POST -H "Content-Type:application/x-www-form-urlencoded" \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users?id=foo@bar.com \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Lệnh gọi này sẽ hiển thị tất cả các vai trò được chỉ định cho người dùng. Nếu bạn muốn thêm người dùng nhưng chỉ hiển thị vai trò mới, hãy sử dụng lệnh gọi sau:

curl -X POST -H "Content-Type: application/xml" \
  http://ms_IP:8080/v1/o/org_name/users/foo@bar.com/userroles \
  -d '<Roles><Role name="role"/><Roles>' \
  -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD

Bạn có thể xem vai trò của người dùng bằng cách sử dụng lệnh sau:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/userroles

Để xoá người dùng khỏi một tổ chức, hãy xoá tất cả vai trò trong tổ chức đó khỏi người dùng. Hãy sử dụng lệnh sau để xoá một vai trò khỏi người dùng:

curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/o/org_name/userroles/role/users/foo@bar.com

Thêm quản trị viên hệ thống

Quản trị viên hệ thống có thể:

Tạo tổ chức
Thêm Bộ định tuyến, Bộ xử lý thông báo và các thành phần khác vào quá trình cài đặt Edge
Định cấu hình TLS/SSL
Tạo thêm quản trị viên hệ thống
Thực hiện tất cả các tác vụ quản trị Edge

Mặc dù chỉ có một người dùng là người dùng mặc định cho các tác vụ quản trị, nhưng có thể có nhiều hơn một quản trị viên hệ thống. Bất kỳ người dùng nào là thành viên của vai trò "sysadmin" đều có đầy đủ quyền đối với tất cả tài nguyên.

Bạn có thể tạo người dùng cho quản trị viên hệ thống trong Giao diện người dùng Edge mới hoặc API. Tuy nhiên, bạn phải sử dụng API Edge để chỉ định người dùng vào vai trò "sysadmin". Bạn không thể chỉ định người dùng vào vai trò "sysadmin" trong Giao diện người dùng Edge mới.

Cách thêm quản trị viên hệ thống:

Tạo người dùng trong Giao diện người dùng Edge mới hoặc API.

Thêm người dùng vào vai trò "sysadmin":

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  -X POST http://ms_IP:8080/v1/userroles/sysadmin/users -d 'id=foo@bar.com'

Đảm bảo rằng người dùng mới có vai trò "sysadmin":
```
curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users
```
Trả về địa chỉ email của người dùng:
```
[ " foo@bar.com " ]
```

Kiểm tra quyền của người dùng mới:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/users/foo@bar.com/permissions

Trả về:

{
  "resourcePermission" : [ {
  "path" : "/",
    "permissions" : [ "get", "put", "delete" ]
  } ]
}

Sau khi thêm quản trị viên hệ thống mới, bạn có thể thêm người dùng vào bất kỳ tổ chức nào.

Lưu ý: Người dùng quản trị viên hệ thống mới không thể đăng nhập vào Giao diện người dùng Edge mới cho đến khi bạn thêm người dùng đó vào ít nhất một tổ chức.
Nếu sau này bạn muốn xoá người dùng khỏi vai trò quản trị viên hệ thống, bạn có thể sử dụng API sau:
```
curl -X DELETE -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/userroles/sysadmin/users/foo@bar.com
```
Xin lưu ý rằng lệnh gọi này chỉ xoá người dùng khỏi vai trò, chứ không xoá người dùng.

Thay đổi người dùng quản trị viên hệ thống mặc định

Khi cài đặt Edge, bạn sẽ chỉ định địa chỉ email của quản trị viên hệ thống. Edge tạo một người dùng có địa chỉ email đó và đặt người dùng đó làm quản trị viên hệ thống mặc định. Sau này, bạn có thể thêm quản trị viên hệ thống khác như mô tả ở trên.

Phần này mô tả cách thay đổi quản trị viên hệ thống mặc định thành một người dùng khác, và cách thay đổi địa chỉ email của tài khoản người dùng cho quản trị viên hệ thống mặc định hiện tại.

Để xem danh sách người dùng hiện được định cấu hình làm quản trị viên hệ thống, hãy sử dụng lệnh gọi API sau:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms_IP:8080/v1/userroles/sysadmin/users

Để xác định quản trị viên hệ thống mặc định hiện tại, hãy xem tệp /opt/apigee/customer/defaults.sh. Tệp này chứa dòng sau đây cho biết địa chỉ email của quản trị viên hệ thống mặc định hiện tại:

ADMIN_EMAIL=foo@bar.com

Cách thay đổi quản trị viên hệ thống mặc định thành một người dùng khác:

Tạo quản trị viên hệ thống mới như mô tả ở trên hoặc đảm bảo rằng tài khoản người dùng của quản trị viên hệ thống mới đã được định cấu hình làm quản trị viên hệ thống.
Chỉnh sửa /opt/apigee/customer/defaults.sh để đặt ADMIN_EMAIL thành địa chỉ email của quản trị viên hệ thống mới.
Chỉnh sửa tệp cấu hình im lặng mà bạn đã dùng để cài đặt Giao diện người dùng Edge mới để đặt các thuộc tính sau:
```
ADMIN_EMAIL=NEW_SYS_ADMIN_EMAIL
APIGEE_ADMINPW=NEW_SYS_ADMIN_PASSWORD
SMTPHOST=smtp.gmail.com
SMTPPORT=465
SMTPUSER=foo@gmail.com
SMTPPASSWORD=bar
SMTPSSL=y
```
Xin lưu ý rằng bạn phải thêm các thuộc tính SMTP vì tất cả thuộc tính trên Giao diện người dùng Edge mới đều được đặt lại.

Định cấu hình lại Giao diện người dùng Edge mới:

/opt/apigee/apigee-service/bin/apigee-service edge-management-ui stop
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui setup -f configFile
/opt/apigee/apigee-service/bin/apigee-service edge-management-ui start

Nếu bạn chỉ muốn thay đổi địa chỉ email của tài khoản người dùng cho quản trị viên hệ thống mặc định hiện tại , trước tiên, hãy cập nhật tài khoản người dùng để đặt địa chỉ email mới, sau đó thay đổi địa chỉ email của quản trị viên hệ thống mặc định:

Cập nhật tài khoản người dùng của người dùng quản trị viên hệ thống mặc định hiện tại bằng địa chỉ email mới:

curl -H content-type:application/json -X PUT -u CURRENT_SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD \
  http://ms_IP:8080/v1/users/CURRENT_SYS_ADMIN_EMAIL \
  -d '{"emailId": "NEW_SYS_ADMIN_EMAIL", "lastName": "admin", "firstName": "admin"}'

Lặp lại các bước 2, 3 và 4 trong quy trình trước để cập nhật tệp /opt/apigee/customer/defaults.sh và cập nhật Giao diện người dùng Edge mới.

Chỉ định miền email của quản trị viên hệ thống

Để tăng cường bảo mật, bạn có thể chỉ định miền email bắt buộc của quản trị viên hệ thống Edge Khi thêm quản trị viên hệ thống, nếu địa chỉ email của người dùng không thuộc miền đã chỉ định, thì việc thêm người dùng vào vai trò "sysadmin" sẽ không thành công.

Theo mặc định, miền bắt buộc sẽ trống, nghĩa là bạn có thể thêm bất kỳ địa chỉ email nào vào vai trò "sysadmin".

Cách đặt miền email:

Mở tệp management-server.properties trong trình chỉnh sửa:
```
vi /opt/apigee/customer/application/management-server.properties
```
Nếu tệp này không tồn tại, hãy tạo tệp đó.
Đặt thuộc tính conf_security_rbac.global.roles.allowed.domains thành danh sách các miền được phép phân tách bằng dấu phẩy. Ví dụ:
```
conf_security_rbac.global.roles.allowed.domains=myCo.com,yourCo.com
```
Lưu thay đổi.
Khởi động lại Máy chủ quản lý Edge:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
```
Nếu bạn cố gắng thêm người dùng vào vai trò "sysadmin" và địa chỉ email của người dùng không thuộc một trong các miền đã chỉ định, thì quá trình thêm sẽ không thành công.

Xoá người dùng

Bạn có thể tạo người dùng bằng API Edge hoặc Giao diện người dùng Edge mới. Tuy nhiên, bạn chỉ có thể xoá người dùng bằng API.

Để xem danh sách người dùng hiện tại, bao gồm cả địa chỉ email, hãy sử dụng lệnh curl sau:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD http://ms-IP:8080/v1/users

Hãy sử dụng lệnh curl sau để xoá người dùng:

curl -u SYS_ADMIN_EMAIL:SYS_ADMIN_PASSWORD -X DELETE http://ms_IP:8080/v1/users/USER_EMAIL