Система единого входа Apigee поддерживает два типа профилей аутентификации, которыми ранее управлял устаревший скрипт apigee-ssoadminapi.sh:
Утилита apigee-machineuser.sh позволяет управлять аккаунтами пользователей без графического интерфейса непосредственно в OpenLDAP.
О клиентах OAuth (ранее – администраторах)
В предыдущих версиях Edge для динамического создания клиентов OAuth в базе данных UAA использовались команды admin в утилите apigee-ssoadminapi.sh. В версии 4.54.00 система единого входа Apigee использует декларативную модель конфигурации (GitOps).
Вы больше не используете скрипт CLI для создания клиентов OAuth, поскольку теперь они статичны. Конфигурация клиента для интерфейса Edge определена в файле /opt/silent.conf. Клиент, используемый для машинных пользователей (edgecli), неявно настраивается в Apigee SSO.
О пользователях компьютеров
Пользователь-машина может получать токены OIDC/OAuth2 с помощью стандартного предоставления пароля без необходимости использовать браузер или интерактивную многофакторную аутентификацию. Это означает, что вы можете полностью автоматизировать процесс получения и обновления токенов для своих конвейеров и скриптов CI/CD.
Когда вы создаете пользователя компьютера с помощью утилиты apigee-machineuser.sh, аккаунт создается непосредственно в локальном каталоге OpenLDAP и явным образом помечается тегом employeeType: machineuser. Этот тег позволяет Apigee SSO безопасно аутентифицировать пользователя машины с помощью предоставления пароля, даже если для пользователей-людей строго применяется федеративная аутентификация SAML/OIDC.
Вызовите утилиту apigee-machineuser.sh
Утилита apigee-machineuser.sh автоматически устанавливается на узел, на котором размещен компонент apigee-openldap, по следующему пути:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Для утилиты доступны следующие команды:
add– создает нового пользователя компьютера в OpenLDAP.list– список всех пользователей компьютеров, зарегистрированных в OpenLDAP.setpassword: обновляет пароль для существующего пользователя компьютера.delete– навсегда удаляет пользователя компьютера из OpenLDAP.
Как добавить пользователя-машину
Используйте команду add с флагами -u и -p, чтобы создать нового пользователя машины.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Выходные данные:
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Как получить список всех пользователей компьютера
Чтобы посмотреть всех пользователей, зарегистрированных в OpenLDAP, используйте команду list. Пользователи-люди в этот список не входят.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Результат
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Как сбросить пароль пользователя машины
Чтобы обновить пароль для существующего пользователя компьютера, используйте команду setpassword.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Выходные данные:
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Как удалить пользователя компьютера
Чтобы навсегда удалить пользователя компьютера из OpenLDAP, используйте команду delete.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Выходные данные:
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.