Apigee SSO unterstützt zwei Arten von Authentifizierungsprofilen, die zuvor mit dem Legacy-Skript apigee-ssoadminapi.sh verwaltet wurden:
Mit dem Dienstprogramm apigee-machineuser.sh können Sie Headless-Maschinennutzerkonten direkt in OpenLDAP verwalten.
OAuth-Clients (ehemals Administratoren)
In früheren Versionen von Edge haben Sie die admin Befehle im apigee-ssoadminapi.sh Dienstprogramm verwendet, um OAuth-Clients dynamisch in der UAA-Datenbank zu erstellen. In Version 4.54.00 basiert Apigee SSO auf einem deklarativen Konfigurationsmodell (GitOps).
Sie verwenden kein CLI-Skript mehr, um OAuth-Clients zu erstellen, da sie jetzt statisch sind. Die Clientkonfiguration für die Edge-UI ist in /opt/silent.conf definiert. Der für Maschinennutzer verwendete Client (edgecli) wird implizit in Apigee SSO konfiguriert.
Maschinennutzer
Ein Maschinennutzer kann OIDC-/OAuth2-Tokens über eine Standardpasswortgewährung abrufen, ohne dass ein Browser oder eine interaktive MFA erforderlich ist. So können Sie den Prozess zum Abrufen und Aktualisieren von Tokens für Ihre CI/CD-Pipelines und -Skripts vollständig automatisieren.
Wenn Sie mit dem Dienstprogramm apigee-machineuser.sh einen Maschinennutzer erstellen, wird das Konto direkt im lokalen OpenLDAP-Verzeichnis erstellt und explizit mit employeeType: machineuser getaggt. Mit diesem Tag kann Apigee SSO den Maschinennutzer sicher über eine Passwortgewährung authentifizieren, auch wenn die föderierte SAML/OIDC für menschliche Nutzer streng erzwungen wird.
Dienstprogramm „apigee-machineuser.sh“ aufrufen
Das Dienstprogramm apigee-machineuser.sh wird automatisch auf dem Knoten installiert, auf dem die Komponente apigee-openldap gehostet wird. Der Pfad lautet:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Die verfügbaren Befehle für das Dienstprogramm sind:
add: Erstellt einen neuen Maschinennutzer in OpenLDAP.list: Listet alle in OpenLDAP registrierten Maschinennutzer auf.setpassword: Aktualisiert das Passwort für einen vorhandenen Maschinennutzer.delete: Entfernt den Maschinennutzer dauerhaft aus OpenLDAP.
Maschinennutzer hinzufügen
Verwenden Sie den Befehl add mit den Flags -u und -p, um einen neuen Maschinennutzer zu erstellen.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Ausgabe :
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Alle Maschinennutzer auflisten
Verwenden Sie den Befehl list, um alle Maschinennutzer aufzurufen, die derzeit in OpenLDAP registriert sind. Menschliche Nutzer werden aus dieser Liste herausgefiltert.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Ausgabe :
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Passwort eines Maschinennutzers zurücksetzen
Verwenden Sie den Befehl setpassword, um das Passwort für einen vorhandenen Maschinennutzer zu aktualisieren.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Ausgabe :
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Maschinennutzer löschen
Verwenden Sie den Befehl delete, um einen Maschinennutzer dauerhaft aus OpenLDAP zu entfernen.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Ausgabe :
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.