SSO w Apigee obsługuje 2 typy profili uwierzytelniania, którymi wcześniej zarządzał starszy skrypt apigee-ssoadminapi.sh:
Narzędzie apigee-machineuser.sh umożliwia zarządzanie kontami użytkowników komputerów bez interfejsu graficznego bezpośrednio w OpenLDAP.
Informacje o klientach OAuth (wcześniej administratorach)
W poprzednich wersjach Edge do dynamicznego tworzenia klientów OAuth w bazie danych UAA używano poleceń admin w narzędziu apigee-ssoadminapi.sh. W wersji 4.54.00 SSO w Apigee korzysta z deklaratywnego modelu konfiguracji (GitOps).
Nie musisz już używać skryptu CLI do tworzenia klientów OAuth, ponieważ są oni teraz statyczni. Konfiguracja klienta dla interfejsu Edge jest zdefiniowana w pliku /opt/silent.conf. Klient używany przez użytkowników komputerów (edgecli) jest niejawnie skonfigurowany w SSO w Apigee.
Informacje o użytkownikach komputerów
Użytkownik komputera może uzyskać tokeny OIDC/OAuth2 za pomocą standardowego przyznania hasła bez konieczności używania przeglądarki ani interaktywnego uwierzytelniania wieloskładnikowego. Oznacza to, że możesz całkowicie zautomatyzować proces uzyskiwania i odświeżania tokenów dla potoków i skryptów CI/CD.
Gdy utworzysz użytkownika komputera za pomocą narzędzia apigee-machineuser.sh, konto zostanie utworzone bezpośrednio w lokalnym katalogu OpenLDAP i wyraźnie oznaczone tagiem employeeType: machineuser. Ten tag umożliwia SSO w Apigee bezpieczne uwierzytelnianie użytkownika komputera za pomocą przyznania hasła, nawet jeśli w przypadku użytkowników obowiązuje federacyjne SAML/OIDC.
Wywoływanie narzędzia apigee-machineuser.sh
Narzędzie apigee-machineuser.sh jest automatycznie instalowane na węźle hostującym komponent apigee-openldap w tej ścieżce:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Dostępne polecenia narzędzia:
add: tworzy nowego użytkownika komputera w OpenLDAP.list: wyświetla listę wszystkich użytkowników komputerów zarejestrowanych w OpenLDAP.setpassword: aktualizuje hasło istniejącego użytkownika komputera.delete: trwale usuwa użytkownika komputera z OpenLDAP.
Dodawanie użytkownika komputera
Aby utworzyć nowego użytkownika komputera, użyj polecenia add z flagami -u i -p.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Dane wyjściowe:
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Wyświetlanie listy wszystkich użytkowników komputerów
Aby wyświetlić wszystkich użytkowników komputerów zarejestrowanych obecnie w OpenLDAP, użyj polecenia list. Użytkownicy są filtrowani z tej listy.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Dane wyjściowe:
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Resetowanie hasła użytkownika komputera
Aby zaktualizować hasło istniejącego użytkownika komputera, użyj polecenia setpassword.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Dane wyjściowe:
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Usuwanie użytkownika komputera
Aby trwale usunąć użytkownika komputera z OpenLDAP, użyj polecenia delete.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Dane wyjściowe:
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.