วิธีการตั้งค่านโยบายองค์กรใน Apidog

นโยบายระดับองค์กร (Enterprise Policies) ใช้กฎระดับองค์กรสำหรับการจัดการข้อมูลประจำตัว, การรับสมาชิก, การเข้าถึงเซสชัน SSO และรางวัลการเชิญ เจ้าขององค์กรและผู้ดูแลระบบสามารถกำหนดค่านโยบายเหล่านี้ได้จากการตั้งค่าความปลอดภัยขององค์กร

บทแนะนำนี้อธิบายขอบเขตของแต่ละนโยบาย วิธีการกำหนดค่า และสิ่งที่ต้องทดสอบก่อนที่จะนำไปใช้งานจริงในวงกว้าง

ก่อนเริ่มต้น

• องค์กรต้องใช้แผน Enterprise
• คุณต้องเป็นเจ้าขององค์กร (Organization Owner) หรือผู้ดูแลระบบองค์กร (Organization Admin)
• นโยบายที่มีอยู่ใน Apidog On-Premises อาจแตกต่างจากเอกสาร SaaS
• ใช้ผู้ใช้ทดสอบ, ข้อมูลประจำตัวสมมติ และโปรเจกต์ที่ไม่ใช่สำหรับการผลิตเพื่อตรวจสอบ

เหล่านี้คือนโยบายพื้นที่ทำงาน (workspace policies) ไม่ได้ใช้แทนที่การควบคุมรันไทม์ใน API Gateway, เซิร์ฟเวอร์การอนุญาต, Service Mesh หรือแอปพลิเคชัน

ขั้นตอนที่ 1: เปิดนโยบายระดับองค์กร

1. เปิดองค์กร Apidog
2. ไปที่ Organization Settings (การตั้งค่าองค์กร)
3. ในส่วน Security (ความปลอดภัย) เลือก Enterprise Policies (นโยบายระดับองค์กร)

เฉพาะเจ้าขององค์กรและผู้ดูแลระบบเท่านั้นที่สามารถเปลี่ยนแปลงนโยบายระดับองค์กรได้

ปัจจุบันหน้านี้ประกอบด้วยสี่นโยบาย:

• นโยบายข้อมูลประจำตัวการตรวจสอบสิทธิ์ (Auth Credential Policy)
• นโยบายเครดิตการเชิญ (Invitation Credit Policy)
• นโยบายเซสชัน SSO (SSO Session Policy)
• นโยบายโดเมนอีเมลของสมาชิก (Member Email Domain Policy)

ขั้นตอนที่ 2: กำหนดค่านโยบายข้อมูลประจำตัวการตรวจสอบสิทธิ์

นโยบายข้อมูลประจำตัวการตรวจสอบสิทธิ์จะตรวจสอบฟิลด์การตรวจสอบสิทธิ์ที่ละเอียดอ่อนที่รองรับเมื่อผู้ใช้แก้ไขหรือบันทึกการตรวจสอบสิทธิ์ API, การตรวจสอบสิทธิ์โฟลเดอร์, การตรวจสอบสิทธิ์คำขอ, แผนงานความปลอดภัย, กรณีทดสอบ API และสถานการณ์การทดสอบ

เลือกโหมดค่าดิบ

กำหนดค่า ห้ามใช้ค่าดิบในฟิลด์ที่ละเอียดอ่อนของการตรวจสอบสิทธิ์ (Forbid raw values in Auth sensitive fields):

เลือกโหมดอ้างอิง

กำหนดค่า อนุญาตเฉพาะตัวแปรภายในหรือ Vault Secret ในการตรวจสอบสิทธิ์ (Allow only local variables or Vault Secret in Auth) ด้วยโหมด ปิด, เตือน หรือ บล็อก เดียวกัน

เมื่อเปิดใช้งานการควบคุมนี้ ฟิลด์ที่ละเอียดอ่อนควรใช้ตัวแปรเฉพาะภายในหรือการอ้างอิง Vault Secret ตัวแปรที่มีค่าเริ่มต้นที่ใช้ร่วมกันอาจเตือนหรือบล็อกตามโหมดที่เลือก

Apidog ถือว่าสิ่งต่อไปนี้เป็นการอ้างอิงที่อนุญาตสำหรับนโยบายข้อมูลประจำตัว:

• ค่าว่าง;
• การอ้างอิงตัวแปร เช่น {{variableName}};
• การอ้างอิง Vault Secret เช่น {{vault:key}}

ควบคุมการแสดงค่า Vault

เปิดใช้งาน Vault Secret ไม่สามารถเปิดเผยในข้อความธรรมดาได้ (Vault Secret cannot be revealed in plaintext) เมื่อผู้ใช้ไม่ควรสามารถแสดงค่า Vault Secret ใน UI ได้

ทดสอบก่อนบล็อก

สำหรับการนำไปใช้แบบควบคุม:

1. ใช้ เตือน (Warn) ในโปรเจกต์นำร่อง;
2. ทดสอบ API Key, Bearer Token, Basic Auth, OAuth 2.0 และประเภทการตรวจสอบสิทธิ์อื่นๆ ที่องค์กรใช้;
3. แทนที่ค่าดิบด้วยตัวแปรที่ได้รับอนุมัติหรือรูปแบบ Vault;
4. ยืนยันว่าเวิร์กโฟลว์ที่ถูกต้องยังคงบันทึกและทำงาน;
5. เปลี่ยนเป็น บล็อก (Block) เมื่อจัดการกับข้อยกเว้นแล้ว

นโยบายครอบคลุมฟิลด์ที่ละเอียดอ่อนที่ระบุในเอกสารสำหรับการตรวจสอบสิทธิ์แบบ API Key, Bearer Token, Basic และ Digest Auth, OAuth 1.0 และ 2.0, Hawk, AWS, NTLM, Akamai EdgeGrid, JWT Bearer และการตรวจสอบสิทธิ์แบบผสม

ขั้นตอนที่ 3: กำหนดค่านโยบายเซสชัน SSO

นโยบายเซสชัน SSO ควบคุมว่าผู้ใช้สามารถเข้าถึง My Teams (ทีมของฉัน) ได้หรือไม่ในขณะที่ลงชื่อเข้าใช้ผ่าน SSO ขององค์กรปัจจุบัน

1. ยืนยันว่า SSO ได้รับการกำหนดค่าสำหรับองค์กรแล้ว
2. บนหน้า Enterprise Policies (นโยบายระดับองค์กร) ค้นหา SSO Session Policy (นโยบายเซสชัน SSO)
3. เปิดใช้งาน จำกัด My Teams ในเซสชัน SSO (Restrict My Teams in SSO sessions)
4. บันทึกนโยบาย

เมื่อเปิดใช้งาน My Teams จะไม่สามารถใช้งานได้ในระหว่างเซสชัน SSO ขององค์กรนั้น

การตั้งค่านี้ถูกปิดใช้งานโดยค่าเริ่มต้นและสามารถเปิดใช้งานได้หลังจากที่ SSO ได้รับการกำหนดค่าแล้วเท่านั้น ผู้ใช้ที่ถูกจำกัดจะต้องออกจากระบบและใช้วิธีการลงชื่อเข้าใช้แบบปกติเพื่อเข้าถึง My Teams การกลับไปยังองค์กร SSO ต้องลงชื่อเข้าใช้ผ่าน SSO อีกครั้ง

นโยบายนี้ไม่ใช่การหมดเวลาที่ไม่ได้ใช้งานหรือการตั้งค่าระยะเวลาเซสชันสูงสุด โดยจะแยกการเข้าถึง My Teams ภายในเซสชัน SSO ขององค์กรปัจจุบัน

ทดสอบขอบเขตเซสชัน

ใช้ผู้ใช้ทดสอบที่ไม่ใช่ผู้ดูแลระบบ:

1. ลงชื่อเข้าใช้ผ่านจุดเข้าสู่ระบบ SSO ขององค์กร;
2. ยืนยันว่าองค์กรพร้อมใช้งาน;
3. พยายามเปิด My Teams และยืนยันข้อความจำกัด;
4. เลือก ออกจากระบบและสลับ (Sign out and switch);
5. ลงชื่อเข้าใช้ด้วยวิธีปกติและยืนยันว่า My Teams พร้อมใช้งาน;
6. ยืนยันว่าการกลับไปยังองค์กร SSO ต้องใช้ SSO

ขั้นตอนที่ 4: กำหนดค่านโยบายอีเมลสมาชิก

นโยบายอีเมลสมาชิกจำกัดการเป็นสมาชิกองค์กรเฉพาะโดเมนอีเมลที่ได้รับอนุมัติ Apidog จะตรวจสอบอีเมลที่ได้รับการยืนยันขั้นสุดท้ายของผู้ใช้ ไม่ใช่แค่ที่อยู่ที่มีการส่งคำเชิญไปเท่านั้น

1. กำหนดค่าโดเมนอีเมลที่ได้รับอนุญาตอย่างน้อยหนึ่งโดเมนสำหรับองค์กร
2. เปิด Security (ความปลอดภัย) > Enterprise Policies (นโยบายระดับองค์กร)
3. ค้นหา Member Email Policy (นโยบายอีเมลสมาชิก)
4. เปิดใช้งานนโยบายและบันทึก

กำหนดค่าโดเมนที่ผู้ใช้ที่ได้รับการตรวจสอบสิทธิ์สามารถเป็นสมาชิกองค์กรได้

กฎการเข้าร่วมเดียวกันนี้ใช้กับ:

• คำเชิญทางอีเมล;
• ลิงก์คำเชิญ;
• SSO;
• SCIM

หากอีเมลที่ได้รับการตรวจสอบสิทธิ์ขั้นสุดท้ายไม่ตรงกับโดเมนที่อนุญาต Apidog จะปฏิเสธความพยายามเข้าร่วม จะไม่มีการสร้างการเป็นสมาชิกองค์กร, ทีม หรือโปรเจกต์ ผู้ใช้จะไม่ใช้ที่นั่ง และผู้ใช้จะไม่ปรากฏในรายชื่อสมาชิกหรือการส่งออกสมาชิก

ผู้ใช้ที่ถูกปฏิเสธจะได้รับข้อความโดเมนไม่ตรงกัน และการปฏิเสธจะถูกบันทึกในบันทึกการตรวจสอบ (Audit Logs)

ทดสอบที่อยู่อีเมลที่ได้รับอนุมัติอย่างน้อยหนึ่งรายการและที่อยู่ที่ไม่ได้รับอนุญาตหนึ่งรายการสำหรับแต่ละเส้นทางการเข้าร่วมที่องค์กรใช้

ขั้นตอนที่ 5: กำหนดค่านโยบายรางวัลการเชิญ

นโยบายรางวัลการเชิญควบคุมว่าคำเชิญที่เกี่ยวข้องกับองค์กรที่มีสิทธิ์สามารถสร้างเครดิตรางวัลการเชิญได้หรือไม่

1. เปิด Security (ความปลอดภัย) > Enterprise Policies (นโยบายระดับองค์กร)
2. ค้นหา Invitation Reward Policy (นโยบายรางวัลการเชิญ)
3. เปิดหรือปิดใช้งานรางวัลการเชิญ
4. บันทึกการตั้งค่า

การปิดใช้งานนโยบายจะหยุดคำเชิญที่เกี่ยวข้องกับองค์กรที่มีสิทธิ์ในอนาคตจากการสร้างเครดิตรางวัล ไม่ได้ลบเครดิตที่ได้รับไปแล้ว

นี่เป็นการตั้งค่าการดูแลระบบ ไม่ใช่การควบคุมการเข้าถึงหรือนโยบายความปลอดภัย ไม่ควรถูกอธิบายว่าเป็นคุณสมบัติการระงับอีเมลเชิญ

ตรวจสอบนโยบายทั้งสี่

ใช้เมทริกซ์การทดสอบขนาดเล็กและบันทึกผลลัพธ์

หลังจากทดสอบแล้ว ให้ตรวจสอบบันทึกการตรวจสอบ (Audit Logs) สำหรับเหตุการณ์การเป็นสมาชิกหรือการปฏิเสธที่เกี่ยวข้องกับนโยบายที่รองรับซึ่งเกี่ยวข้องกับเวิร์กโฟลว์

การแก้ไขปัญหา

ข้อจำกัดที่สำคัญ

• นโยบายข้อมูลประจำตัวการตรวจสอบสิทธิ์ใช้กับฟิลด์การตรวจสอบสิทธิ์และเวิร์กโฟลว์ที่ระบุในเอกสาร ไม่ใช่ทุกฟิลด์ข้อความอิสระ, สคริปต์, ไฟล์ หรือที่เก็บภายนอก
• นโยบายเซสชัน SSO จำกัด My Teams ในเซสชัน SSO ขององค์กรเดียว ไม่ใช่การหมดเวลาเซสชัน, นโยบายอุปกรณ์ หรือการควบคุมเครือข่าย
• นโยบายอีเมลสมาชิกควบคุมการเข้าร่วม อย่าสันนิษฐานว่าจะลบสมาชิกที่มีอยู่ซึ่งที่อยู่ไม่ตรงกันโดยอัตโนมัติ เว้นแต่พฤติกรรมนั้นจะถูกระบุในเอกสารและทดสอบแยกต่างหาก
• นโยบายรางวัลการเชิญไม่ใช่การควบคุมความปลอดภัย
• ไม่มีนโยบายใดเหล่านี้บังคับใช้การตรวจสอบสิทธิ์หรือการอนุญาตในการรับส่งข้อมูล API ที่ใช้งานจริง

บทแนะนำเกี่ยวกับการกำกับดูแล API ที่เกี่ยวข้อง:

บทแนะนำเหล่านี้ครอบคลุมการควบคุมเสริมสำหรับการกำกับดูแลพื้นที่ทำงาน API ขององค์กร:

• กรอบการกำกับดูแล API (API Governance Framework) — เชื่อมโยงความเป็นเจ้าของ, การควบคุม, หลักฐาน และการตัดสินใจวงจรชีวิต
• การจับคู่กลุ่ม SAML กับ Microsoft Entra ID (SAML Group Mapping with Microsoft Entra ID) — กำหนดการเข้าถึงทีมจากกลุ่มผู้ให้บริการข้อมูลระบุตัวตน
• เครื่องสแกนความลับ (Secret Scanner) — ตรวจสอบข้อมูลประจำตัวที่อาจถูกเปิดเผยในทรัพย์สิน Apidog ที่รองรับ
• บันทึกการตรวจสอบ (Audit Logs) — ตรวจสอบและส่งออกกิจกรรมการบริหารองค์กร
• การจัดเตรียม SCIM (SCIM Provisioning) — จัดการผู้ใช้องค์กรผ่านวงจรชีวิตข้อมูลระบุตัวตน
• นโยบายระดับองค์กร (Enterprise Policies) — กำหนดค่าการควบคุมข้อมูลประจำตัว, การเป็นสมาชิก, เซสชัน SSO และการเชิญ
• ทีม API แบบบริการตนเองที่ได้รับการกำกับดูแล (Self-Service API Teams) — อนุญาตให้สมาชิกสร้างทีมในขณะที่ยังคงดูแลความเป็นเจ้าของ
• การรวม GitHub Enterprise Cloud (GitHub Enterprise Cloud Integration) — เชื่อมต่อที่เก็บ GHE.com ที่รองรับสำหรับเวิร์กโฟลว์ OpenAPI

เอกสารทางการที่เกี่ยวข้อง:

• นโยบายระดับองค์กร (Enterprise Policies)
• Vault Secret ใน Apidog
• เครื่องสแกนความลับ (Secret Scanner)
• ภาพรวม SSO (SSO Overview)
• บันทึกการตรวจสอบ (Audit Logs)