วิธีการกำหนดค่า SAML Group Mapping กับ Microsoft Entra ID

การแมปกลุ่ม SAML จะกำหนดสิทธิ์การเข้าถึงทีม Apidog จากกลุ่มที่รวมอยู่ใน SAML assertion ของผู้ใช้ ช่วยลดงานการจัดการสมาชิกทีมด้วยตนเอง โดยใช้ผู้ให้บริการข้อมูลประจำตัวเป็นแหล่งที่มาของข้อมูลสมาชิกกลุ่ม

บทช่วยสอนนี้ใช้ Microsoft Entra ID คุณจะต้องเพิ่มเคลม groups, แมปกลุ่ม Entra กับทีม Apidog และยืนยันสิทธิ์การอนุญาตโครงการเริ่มต้นที่กำหนดเมื่อเข้าสู่ระบบ

ก่อนที่คุณจะเริ่มต้น

คุณต้องมี:

• องค์กร Apidog Enterprise ที่กำหนดค่า SAML SSO ไว้แล้ว;
• สิทธิ์การเข้าถึงระดับ Organization Owner หรือ Organization Admin ใน Apidog;
• สิทธิ์ผู้ดูแลระบบในการเข้าถึงแอปพลิเคชัน Microsoft Entra enterprise ที่ใช้สำหรับ Apidog;
• กลุ่ม Entra อย่างน้อยหนึ่งกลุ่มและผู้ใช้ทดสอบที่ได้รับมอบหมายให้เข้าถึงกลุ่มนั้น

หากยังไม่ได้กำหนดค่า SAML ให้ดำเนินการ กำหนดค่า Microsoft Entra ID ให้เสร็จสิ้นก่อน

การแมปกลุ่ม SAML จะควบคุมการเข้าถึงทีมและโครงการ Apidog ไม่ได้ให้สิทธิ์การเข้าถึง API ที่ใช้งานจริง หรือแทนที่การอนุญาตการทำงานในขณะรันไทม์

วิธีการกำหนดสิทธิ์การเข้าถึงโครงการเริ่มต้น

เมื่อกลุ่มตรงกัน Apidog จะเพิ่มผู้ใช้เข้าสู่ทีมที่ถูกแมป และได้รับสิทธิ์การเข้าถึงโครงการเริ่มต้นจากบทบาททีมที่เลือกไว้

Apidog จะสร้างการเป็นสมาชิกโครงการที่ขาดหายไป หรืออัปเดตการเป็นสมาชิกโครงการที่ยังไม่มีบทบาท บทบาทโครงการที่กำหนดด้วยตนเองที่มีอยู่จะไม่ถูกเขียนทับระหว่างการลงชื่อเข้าใช้ SAML ในภายหลัง

ขั้นตอนที่ 1: เพิ่มเคลม groups ใน Microsoft Entra ID

1. ลงชื่อเข้าใช้ศูนย์การดูแลระบบ Microsoft Entra
2. ไปที่ Enterprise applications และเปิดแอปพลิเคชันที่ใช้สำหรับ Apidog SSO
3. เลือก Single sign-on จากนั้นเปิด Attributes & Claims
4. เลือก Add a group claim
5. เลือก All groups
6. เปิดใช้งาน Customize the name of the group claim และป้อน groups เป็นชื่อเคลม
7. บันทึกเคลม

กำหนดค่าเคลมกลุ่มเพื่อให้ Apidog ได้รับ Entra group Object ID ในแอตทริบิวต์ groups

Apidog ใช้ Object ID ของกลุ่มในเคลมนี้ ไม่ได้ดึงข้อมูลอื่น ๆ เกี่ยวกับกลุ่มจาก Microsoft Entra ID

ขั้นตอนที่ 2: คัดลอกชื่อกลุ่ม Entra และ Object ID

1. ใน Microsoft Entra ID ให้เปิด Groups
2. เลือกกลุ่มที่ควรได้รับสิทธิ์การเข้าถึงใน Apidog
3. คัดลอก Name และ Object ID

ใช้ Object ID ที่แสดงบนหน้ากลุ่ม Entra ห้ามใช้ application ID, tenant ID หรือชื่อที่แสดงแทน Object ID

เปิดหน้านี้ทิ้งไว้ขณะที่คุณกำหนดค่าการแมปใน Apidog

ขั้นตอนที่ 3: แมปกลุ่มกับทีม Apidog

1. เปิดองค์กรใน Apidog
2. ไปที่การตั้งค่า SAML Group ขององค์กร
3. เพิ่มการแมปกลุ่ม
4. ป้อนชื่อกลุ่ม Entra และวาง Object ID ของกลุ่ม
5. เลือกทีม Apidog ที่กลุ่มควรจะเข้าถึง
6. เลือกบทบาททีมที่ต้องการสำหรับแต่ละทีมที่ถูกแมป
7. บันทึกการแมป

แมป Entra group Object ID กับทีม Apidog และบทบาททีมที่ต้องการ

ไม่มีตัวเลือกบทบาทโครงการแยกต่างหากในการแมปกลุ่ม SAML บทบาทโครงการเริ่มต้นมาจากบทบาททีมที่แสดงในตารางด้านบน ปรับบทบาทโครงการของผู้ใช้ในภายหลังจากการตั้งค่าสมาชิกโครงการเมื่อต้องการสิทธิ์การเข้าถึงที่แตกต่างกัน

ขั้นตอนที่ 4: ทดสอบการแมป

ใช้บัญชีทดสอบแทนบัญชีผู้ดูแลระบบ

1. ยืนยันว่าผู้ใช้ทดสอบเป็นสมาชิกของกลุ่ม Entra ที่ถูกแมป
2. ออกจากระบบ Apidog
3. ลงชื่อเข้าใช้ผ่านจุดเข้าใช้งาน SSO ขององค์กร
4. เปิดทีมที่ถูกแมปและยืนยันว่าสามารถเข้าถึงได้
5. ตรวจสอบบทบาททีมของผู้ใช้
6. เปิดโครงการของทีมและยืนยันบทบาทโครงการเริ่มต้น

หากผู้ใช้มีบทบาทโครงการที่กำหนดด้วยตนเองอยู่แล้ว ให้ยืนยันว่าบทบาทยังคงไม่เปลี่ยนแปลงหลังจากการลงชื่อเข้าใช้ SSO อีกครั้ง

ยืนยันการลบการเป็นสมาชิก

ควรทดสอบการลบกลุ่มก่อนนำไปใช้งานจริง

1. ลบผู้ใช้ทดสอบออกจากกลุ่ม Entra ที่ถูกแมป
2. รอให้การเปลี่ยนแปลงของผู้ให้บริการข้อมูลประจำตัวเสร็จสมบูรณ์
3. ให้ผู้ใช้ลงชื่อเข้าใช้ผ่าน SSO อีกครั้ง
4. ตรวจสอบการเป็นสมาชิกทีมและการเป็นสมาชิกโครงการที่เกี่ยวข้อง

เมื่อผู้ใช้ไม่อยู่ในกลุ่มที่ถูกแมปอีกต่อไป Apidog อาจลบผู้ใช้ออกจากทีมที่เกี่ยวข้องระหว่างการซิงโครไนซ์ SAML หากการเป็นสมาชิกทีมถูกลบ การเป็นสมาชิกโครงการในทีมนั้นก็จะถูกลบไปด้วย

อย่าใช้บัญชีที่ใช้งานจริงสำหรับการทดสอบการลบครั้งแรก บันทึกผลลัพธ์ที่สังเกตได้สำหรับการกำหนดค่าข้อมูลประจำตัวและขั้นตอนการยกเลิกการใช้งานของคุณ

การแก้ไขปัญหา

ข้อจำกัดที่สำคัญ

• Apidog ไม่ได้สร้างหรือลบกลุ่มผู้ให้บริการข้อมูลประจำตัวผ่าน SCIM
• การแมปกลุ่ม SAML ไม่ได้ให้การตั้งค่าบทบาทแยกต่างหากสำหรับแต่ละโครงการ
• บทบาทโครงการที่กำหนดไว้แล้วจะไม่ถูกรีเซ็ตเมื่อลงชื่อเข้าใช้ SSO ในภายหลัง
• หากมีการแมปหลายรายการที่สามารถใช้กับผู้ใช้และทีมเดียวกันได้ ให้ทดสอบผลลัพธ์ก่อนนำไปใช้งานจริง แทนที่จะสมมติกฎลำดับความสำคัญ
• บทบาท Workspace ไม่ได้อนุญาตการเรียกใช้ API ที่ใช้งานจริง

บทช่วยสอนการกำกับดูแล API ที่เกี่ยวข้อง:

บทช่วยสอนเหล่านี้ครอบคลุมการควบคุมเสริมสำหรับการกำกับดูแล API workspace ขององค์กร:

• กรอบการกำกับดูแล API — เชื่อมโยงความเป็นเจ้าของ การควบคุม หลักฐาน และการตัดสินใจตลอดวงจรชีวิต
• การแมปกลุ่ม SAML ด้วย Microsoft Entra ID — กำหนดสิทธิ์การเข้าถึงทีมจากกลุ่มผู้ให้บริการข้อมูลประจำตัว
• เครื่องสแกนรหัสลับ — ตรวจสอบข้อมูลประจำตัวที่อาจถูกเปิดเผยในสินทรัพย์ Apidog ที่รองรับ
• บันทึกการตรวจสอบ — ตรวจสอบและส่งออกกิจกรรมการบริหารจัดการองค์กร
• การจัดสรร SCIM — จัดการผู้ใช้องค์กรตลอดวงจรชีวิตข้อมูลประจำตัว
• นโยบายองค์กร — กำหนดค่าการควบคุมข้อมูลประจำตัว การเป็นสมาชิก เซสชัน SSO และการเชิญ
• ทีม API แบบบริการตนเอง — อนุญาตให้ทีมที่สร้างโดยสมาชิกทำงานได้ในขณะที่ยังคงดูแลความเป็นเจ้าของ
• การผสานรวม GitHub Enterprise Cloud — เชื่อมต่อ GHE.com repositories ที่รองรับสำหรับเวิร์กโฟลว์ OpenAPI

เอกสารอย่างเป็นทางการที่เกี่ยวข้อง:

• การแมปกลุ่มกับทีม
• การกำหนดค่า Microsoft Entra ID
• บทนำสู่การจัดสรร SCIM
• บทบาทและสิทธิ์ขององค์กร