Apigee SSO admite dos tipos de perfiles de autenticación que antes administraba la secuencia de comandos heredada apigee-ssoadminapi.sh:
La utilidad apigee-machineuser.sh te permite administrar cuentas de usuario de máquinas sin interfaz directamente en OpenLDAP.
Acerca de los clientes de OAuth (antes administradores)
En versiones anteriores de Edge, usabas los comandos admin en la utilidad apigee-ssoadminapi.sh para crear clientes de OAuth de forma dinámica en la base de datos de UAA. En 4.54.00, Apigee SSO se basa en un modelo de configuración declarativa (GitOps).
Ya no usas una secuencia de comandos de CLI para crear clientes de OAuth, ya que ahora son estáticos. La configuración del cliente para la IU de Edge se define en /opt/silent.conf. Mientras que el cliente que se usa para los usuarios de máquinas (edgecli) se configura de forma implícita en Apigee SSO.
Acerca de los usuarios de máquinas
Un usuario de máquinas puede obtener tokens de OIDC/OAuth2 a través de una concesión de contraseña estándar sin necesidad de un navegador ni MFA interactiva. Esto significa que puedes automatizar por completo el proceso de obtención y actualización de tokens para tus canalizaciones y secuencias de comandos de CI/CD.
Cuando creas un usuario de máquinas con la utilidad apigee-machineuser.sh, la cuenta se crea directamente en el directorio OpenLDAP local y se etiqueta de forma explícita con employeeType: machineuser. Esta etiqueta permite que Apigee SSO autentique de forma segura al usuario de máquinas a través de una concesión de contraseña, incluso cuando se aplica estrictamente SAML/OIDC federado para los usuarios humanos.
Invoca la utilidad apigee-machineuser.sh
La utilidad apigee-machineuser.sh se instala automáticamente en el nodo que aloja el componente apigee-openldap en la siguiente ruta de acceso:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Los comandos disponibles para la utilidad son los siguientes:
add: Crea un usuario de máquinas nuevo en OpenLDAP.list: Muestra todos los usuarios de máquinas registrados en OpenLDAP.setpassword: Actualiza la contraseña de un usuario de máquinas existente.delete: Quita de forma permanente el usuario de máquinas de OpenLDAP.
Agrega un usuario de máquinas
Usa el comando add con las marcas -u y -p para crear un usuario de máquinas nuevo.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Resultado:
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Muestra todos los usuarios de máquinas
Usa el comando list para ver todos los usuarios de máquinas registrados actualmente en OpenLDAP. Los usuarios humanos se filtran de esta lista.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Resultado:
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Restablece la contraseña de un usuario de máquinas
Usa el comando setpassword para actualizar la contraseña de un usuario de máquinas existente.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Resultado:
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Borra un usuario de máquinas
Usa el comando delete para quitar de forma permanente un usuario de máquinas de OpenLDAP.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Resultado:
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.