จัดการผู้ใช้ที่เป็นเครื่องด้วย apigee-machineuser.sh

Apigee SSO รองรับโปรไฟล์การตรวจสอบสิทธิ์ 2 ประเภทที่เดิมจัดการโดยสคริปต์ apigee-ssoadminapi.sh แบบเดิม ดังนี้

ยูทิลิตี apigee-machineuser.sh ช่วยให้คุณจัดการบัญชีผู้ใช้เครื่องแบบไม่มีส่วนหัวใน OpenLDAP ได้โดยตรง

เกี่ยวกับไคลเอ็นต์ OAuth (เดิมคือผู้ดูแลระบบ)

ใน Edge เวอร์ชันก่อนหน้า คุณใช้คำสั่ง admin ในยูทิลิตี apigee-ssoadminapi.sh เพื่อสร้างไคลเอ็นต์ OAuth ในฐานข้อมูล UAA แบบไดนามิก ในเวอร์ชัน 4.54.00 Apigee SSO จะใช้โมเดลการกำหนดค่าแบบประกาศ (GitOps)

คุณจะไม่ใช้สคริปต์ CLI เพื่อสร้างไคลเอ็นต์ OAuth อีกต่อไป เนื่องจากตอนนี้ไคลเอ็นต์เป็นแบบคงที่ การกำหนดค่าไคลเอ็นต์สำหรับ UI ของ Edge จะกำหนดไว้ใน /opt/silent.conf ส่วนไคลเอ็นต์ที่ใช้สำหรับผู้ใช้เครื่อง (edgecli) จะได้รับการกำหนดค่าโดยนัยใน Apigee SSO

เกี่ยวกับผู้ใช้เครื่อง

ผู้ใช้เครื่องสามารถรับโทเค็น OIDC/OAuth2 ผ่านการให้สิทธิ์รหัสผ่านมาตรฐานโดยไม่ต้องใช้เบราว์เซอร์หรือ MFA แบบโต้ตอบ ซึ่งหมายความว่าคุณสามารถทำให้กระบวนการรับและรีเฟรชโทเค็นสำหรับไปป์ไลน์และสคริปต์ CI/CD เป็นแบบอัตโนมัติอย่างสมบูรณ์

เมื่อคุณสร้างผู้ใช้เครื่องด้วยยูทิลิตี apigee-machineuser.sh ระบบจะสร้างบัญชีในไดเรกทอรี OpenLDAP ในเครื่องโดยตรงและติดแท็ก employeeType: machineuser อย่างชัดเจน แท็กนี้ช่วยให้ Apigee SSO ตรวจสอบสิทธิ์ผู้ใช้เครื่องได้อย่างปลอดภัยผ่านการให้สิทธิ์รหัสผ่าน แม้ว่าจะมีการบังคับใช้ SAML/OIDC แบบรวมศูนย์อย่างเข้มงวดกับผู้ใช้ที่เป็นบุคคลก็ตาม

เรียกใช้ยูทิลิตี apigee-machineuser.sh

ระบบจะติดตั้งยูทิลิตี apigee-machineuser.sh ในโหนดที่โฮสต์คอมโพเนนต์ apigee-openldap โดยอัตโนมัติในเส้นทางต่อไปนี้

/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh

คำสั่งที่ใช้ได้สำหรับยูทิลิตีมีดังนี้

  • add: สร้างผู้ใช้เครื่องใหม่ใน OpenLDAP
  • list: แสดงผู้ใช้เครื่องทั้งหมดที่ลงทะเบียนใน OpenLDAP
  • setpassword: อัปเดตรหัสผ่านสำหรับผู้ใช้เครื่องที่มีอยู่
  • delete: นำผู้ใช้เครื่องออกจาก OpenLDAP อย่างถาวร

เพิ่มผู้ใช้เครื่อง

ใช้คำสั่ง add ร่วมกับแฟล็ก -u และ -p เพื่อสร้างผู้ใช้เครื่องใหม่

/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!

เอาต์พุต:

Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.

แสดงผู้ใช้เครื่องทั้งหมด

ใช้คำสั่ง list เพื่อดูผู้ใช้เครื่องทั้งหมดที่ลงทะเบียนใน OpenLDAP ในปัจจุบัน ระบบจะกรองผู้ใช้ที่เป็นบุคคลออกจากรายการนี้

/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list

เอาต์พุต:

Listing all machine users in OpenLDAP:
dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com
uid: jenkins-bot@apigee.com
mail: jenkins-bot@apigee.com

รีเซ็ตรหัสผ่านของผู้ใช้เครื่อง

ใช้คำสั่ง setpassword เพื่ออัปเดตรหัสผ่านสำหรับผู้ใช้เครื่องที่มีอยู่

/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!

เอาต์พุต:

Password for machine user 'jenkins-bot@apigee.com' updated successfully.

ลบผู้ใช้เครื่อง

ใช้คำสั่ง delete เพื่อนำผู้ใช้เครื่องออกจาก OpenLDAP อย่างถาวร

/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com

เอาต์พุต:

Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.