L'authentification unique Apigee est compatible avec deux types de profils d'authentification qui étaient auparavant gérés par le script hérité apigee-ssoadminapi.sh :
L'utilitaire apigee-machineuser.sh vous permet de gérer les comptes d'utilisateurs de machines sans interface graphique directement dans OpenLDAP.
À propos des clients OAuth (anciennement administrateurs)
Dans les versions précédentes d'Edge, vous utilisiez les admin commandes de l'utilitaire apigee-ssoadminapi.sh pour créer dynamiquement des clients OAuth dans la base de données UAA. Dans la version 4.54.00, l'authentification unique Apigee repose sur un modèle de configuration déclarative (GitOps).
Vous n'utilisez plus de script CLI pour créer des clients OAuth, car ils sont désormais statiques. La configuration du client pour l'interface utilisateur Edge est définie dans /opt/silent.conf. Le client utilisé pour les utilisateurs de machines (edgecli) est configuré de manière implicite dans l'authentification unique Apigee.
À propos des utilisateurs de machines
Un utilisateur de machine peut obtenir des jetons OIDC/OAuth2 via une autorisation de mot de passe standard sans nécessiter de navigateur ni d'authentification multifacteur interactive. Cela signifie que vous pouvez automatiser complètement le processus d'obtention et d'actualisation des jetons pour vos pipelines et scripts CI/CD.
Lorsque vous créez un utilisateur de machine avec l'utilitaire apigee-machineuser.sh, le compte est créé directement dans l'annuaire OpenLDAP local et est explicitement tagué avec employeeType: machineuser. Ce tag permet à l'authentification unique Apigee d'authentifier de manière sécurisée l'utilisateur de machine via une autorisation de mot de passe, même lorsque SAML/OIDC fédéré est strictement appliqué aux utilisateurs humains.
Appeler l'utilitaire apigee-machineuser.sh
L'utilitaire apigee-machineuser.sh est automatiquement installé sur le nœud hébergeant le composant apigee-openldap au chemin suivant :
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Voici les commandes disponibles pour l'utilitaire :
add: crée un utilisateur de machine dans OpenLDAP.list: liste tous les utilisateurs de machines enregistrés dans OpenLDAP.setpassword: met à jour le mot de passe d'un utilisateur de machine existant.delete: supprime définitivement l'utilisateur de machine d'OpenLDAP.
Ajouter un utilisateur de machine
Utilisez la commande add avec les options -u et -p pour créer un utilisateur de machine.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Résultat :
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Lister tous les utilisateurs de machines
Utilisez la commande list pour afficher tous les utilisateurs de machines actuellement enregistrés dans OpenLDAP. Les utilisateurs humains sont exclus de cette liste.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Résultat :
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Réinitialiser le mot de passe d'un utilisateur de machine
Utilisez la commande setpassword pour mettre à jour le mot de passe d'un utilisateur de machine existant.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Résultat :
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Supprimer un utilisateur de machine
Utilisez la commande delete pour supprimer définitivement un utilisateur de machine d'OpenLDAP.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Résultat :
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.