Apigee SSO hỗ trợ 2 loại hồ sơ xác thực mà trước đây được quản lý bằng tập lệnh apigee-ssoadminapi.sh cũ:
Tiện ích apigee-machineuser.sh cho phép bạn quản lý tài khoản người dùng máy không có giao diện người dùng ngay trong OpenLDAP.
Giới thiệu về ứng dụng OAuth (trước đây là Quản trị viên)
Trong các phiên bản trước của Edge, bạn đã dùng các lệnh admin trong tiện ích apigee-ssoadminapi.sh để tạo động các ứng dụng OAuth trong cơ sở dữ liệu UAA. Trong phiên bản 4.54.00, tính năng SSO của Apigee dựa trên mô hình cấu hình khai báo (GitOps).
Bạn không còn sử dụng tập lệnh CLI để tạo ứng dụng OAuth nữa vì các ứng dụng này hiện ở dạng tĩnh. Cấu hình ứng dụng cho giao diện người dùng Edge được xác định trong /opt/silent.conf. Trong khi đó, ứng dụng khách dùng cho người dùng máy (edgecli) được định cấu hình ngầm trong Apigee SSO.
Giới thiệu về người dùng máy
Người dùng máy có thể lấy mã thông báo OIDC/OAuth2 thông qua quy trình cấp mật khẩu tiêu chuẩn mà không cần trình duyệt hoặc MFA tương tác. Điều này có nghĩa là bạn có thể tự động hoá hoàn toàn quy trình lấy và làm mới mã thông báo cho quy trình và tập lệnh CI/CD.
Khi bạn tạo người dùng máy bằng tiện ích apigee-machineuser.sh, tài khoản sẽ được tạo trực tiếp trong thư mục OpenLDAP cục bộ và được gắn thẻ rõ ràng bằng employeeType: machineuser. Thẻ này cho phép dịch vụ đăng nhập một lần (SSO) của Apigee xác thực người dùng máy một cách an toàn thông qua việc cấp mật khẩu, ngay cả khi SAML/OIDC liên kết được thực thi nghiêm ngặt đối với người dùng là con người.
Gọi tiện ích apigee-machineuser.sh
Tiện ích apigee-machineuser.sh được tự động cài đặt trên nút lưu trữ thành phần apigee-openldap theo đường dẫn sau:
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh
Các lệnh có sẵn cho tiện ích này là:
add: Tạo người dùng máy mới trong OpenLDAP.list: Liệt kê tất cả người dùng máy đã đăng ký trong OpenLDAP.setpassword: Cập nhật mật khẩu cho người dùng máy hiện có.delete: Xoá vĩnh viễn người dùng máy khỏi OpenLDAP.
Thêm người dùng máy
Sử dụng lệnh add với cờ -u và -p để tạo một người dùng máy mới.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh add -u jenkins-bot@apigee.com -p BotSecret123!
Kết quả:
Machine user 'jenkins-bot@apigee.com' created successfully in OpenLDAP.
Liệt kê tất cả người dùng máy
Dùng lệnh list để xem tất cả người dùng máy hiện đã đăng ký trong OpenLDAP. Người dùng là con người sẽ bị lọc ra khỏi danh sách này.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh list
Kết quả:
Listing all machine users in OpenLDAP: dn: uid=jenkins-bot@apigee.com,ou=users,ou=global,dc=apigee,dc=com uid: jenkins-bot@apigee.com mail: jenkins-bot@apigee.com
Đặt lại mật khẩu của người dùng máy
Sử dụng lệnh setpassword để cập nhật mật khẩu cho người dùng máy hiện tại.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh setpassword -u jenkins-bot@apigee.com -p NewSecret456!
Kết quả:
Password for machine user 'jenkins-bot@apigee.com' updated successfully.
Xoá người dùng máy
Sử dụng lệnh delete để xoá vĩnh viễn người dùng máy khỏi OpenLDAP.
/opt/apigee/apigee-openldap/bin/apigee-machineuser.sh delete -u jenkins-bot@apigee.com
Kết quả:
Machine user 'jenkins-bot@apigee.com' deleted successfully from OpenLDAP.