SSO Apigee supporta due tipi di profili di autenticazione che in precedenza venivano gestiti dallo script apigee-ssoadminapi.sh legacy:
L'utilità apigee-machineuser.sh consente di gestire gli account utente del computer headless direttamente in OpenLDAP.
Informazioni sui client OAuth (in precedenza amministratori)
Nelle versioni precedenti di Edge, utilizzavi i comandi admin nell'utilità apigee-ssoadminapi.sh per creare dinamicamente i client OAuth nel database UAA. Nella versione 4.54.00, SSO Apigee si basa su un modello di configurazione dichiarativa (GitOps).
Non utilizzi più uno script CLI per creare i client OAuth perché ora sono statici. La configurazione del client per l'UI di Edge è definita in /opt/silent.conf. Il client utilizzato per gli utenti del computer (edgecli) viene configurato implicitamente in SSO Apigee.
Informazioni sugli utenti del computer
Un utente del computer può ottenere token OIDC/OAuth2 tramite una concessione di password standard senza richiedere un browser o l'autenticazione MFA interattiva. Ciò significa che puoi automatizzare completamente il processo di ottenimento e aggiornamento dei token per le pipeline e gli script CI/CD.
Quando crei un utente del computer con l'utilità apigee-machineuser.sh, l'account viene creato direttamente nella directory OpenLDAP locale e viene contrassegnato in modo esplicito con employeeType: machineuser. Questo tag consente a SSO Apigee di autenticare in modo sicuro l'utente del computer tramite una concessione di password, anche quando SAML/OIDC federato è applicato rigorosamente per gli utenti umani.
Richiamare l'utilità apigee-machineuser.sh
L'utilità apigee-machineuser.sh viene installata automaticamente sul nodo che ospita il componente apigee-openldap nel seguente percorso:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
I comandi disponibili per l'utilità sono:
add: crea un nuovo utente del computer in OpenLDAP.list: elenca tutti gli utenti del computer registrati in OpenLDAP.setpassword: aggiorna la password di un utente del computer esistente.delete: rimuove definitivamente l'utente del computer da OpenLDAP.
Aggiungere un utente del computer
Utilizza il comando add con i flag -u e -p per creare un nuovo utente del computer.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Output:
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Elencare tutti gli utenti del computer
Utilizza il comando list per visualizzare tutti gli utenti del computer attualmente registrati in OpenLDAP. Gli utenti umani vengono esclusi da questo elenco.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Output:
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Reimpostare la password di un utente del computer
Utilizza il comando setpassword per aggiornare la password di un utente del computer esistente.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Output:
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Eliminare un utente del computer
Utilizza il comando delete per rimuovere definitivamente un utente del computer da OpenLDAP.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Output:
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.