CLI를 사용하여 조직별 LDAP 사용자 레지스트리 작성

apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
total_results: 2
results:
  - title: API Manager User Registry
    realm: provider/default-idp-2
  - title: Corporate LDAP user registry
    realm: provider/corporate-ldap

name: registry_name
title: "display_title"
integration_url: LDAP_integration_url
user_managed: true_or_false
user_registry_managed: false
directory_type: ad
external_group_mapping_enabled: true_or_false
case_sensitive: true_or_false
email_required: true_or_false
email_unique_if_exist: true_or_false
identity_providers:
 - name: provider_name
   title: provider_title
endpoint:
  endpoint: "ldap_server_url_and_port"
configuration:
  authentication_method: authentication_method
  authenticated_bind: "true_or_false"
  admin_dn: "admin_dn"
  admin_password: admin_password
  search_dn_base: "search_dn_base"
  search_dn_scope: search_dn_scope  
  search_dn_filter_prefix: prefix
  search_dn_filter_suffix: suffix
  attribute_mapping:
    dn: "distinguished_name"
    cn: "common_name"
    sn: "last_name"
    mail: "email_address"
    userPassword: "password"

apic integrations:list --server mgmt_endpoint_url --subcollection user-registry

"ldap://server.com:389"

• compose_dn - 사용자 이름에서 사용자 LDAP 식별 이름(DN)을 작성할 수 있는 경우 이 형식을 설정하십시오. 예를 들어, uid=<username>,ou=People,dc=company,dc=com 는 사용자 이름으로 구성할 수 있는 DN 형식입니다. 작성(DN)이 올바른 옵션인지 확신할 수 없는 경우에는 LDAP 관리자에게 문의하십시오. LDAP 레지스트리를 사용하여 API를 보안하는 경우 compose_dn은 DataPower API Gateway에서 지원되지 않습니다.
• compose_upn - LDAP 디렉토리에서 사용자 프린시펄 이름과의 바인딩을 지원하는 경우 이 형식을 설정하십시오(예: john@acme.com). Microsoft Active Directory가 작성 UPN 인증을 지원하는 LDAP 디렉토리의 예제입니다. LDAP 디렉토리가 UPN 바인드를 지원하는지 여부를 잘 모르는 경우 LDAP 관리자에게 문의하십시오.
  참고: 관리 바인드 DN및 관리 바인드 비밀번호는 이 인증 방법과 함께 사용되지 않습니다.
• search_dn - 사용자 이름에서 사용자 LDAP 식별 이름을 구성할 수 없는 경우 이 형식을 선택하십시오(예: 사용자의 기본 DN이 다를 경우). 이 형식에서는 LDAP 디렉토리에서 사용자를 검색하기 위해 관리자 DN 및 비밀번호를 요구할 수 있습니다. LDAP 디렉토리가 익명 바인드를 허용하는 경우 관리 DN 및 비밀번호를 생략할 수 있습니다. LDAP 디렉토리가 익명 바인드를 허용하는지 여부를 잘 모르는 경우 LDAP 관리자에게 문의하십시오.

apic user-registries:create --server mgmt_endpoint_url --org organization_name ldap_config_file.yaml

• mgmt_endpoint_url은 플랫폼 API 엔드포인트 URL입니다.
• organization_name은 제공자 조직의 name 특성 값입니다.
• ldap_config_file은 LDAP 사용자 레지스트리의 구성을 정의하는 YAML 파일의 이름입니다.

registry_name registry_url

1. 다음 명령을 사용해서 LDAP 사용자 레지스트리의 URL을 판별하십시오(또는 레지스트리 작성 요약에서 복사한 후 붙여넣을 수 있음).

   apic user-registries:list --server mgmt_endpoint_url --org organization_name

2. 다음 명령을 입력하여 제공자 조직의 구성원으로 관리 서버에 로그인하십시오.

   apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

   모든 사용 가능한 ID 제공자의 목록을 보려면 다음 명령을 입력하여 --realm 매개변수에 사용하기 위해 ID 제공자를 판별할 수 있습니다(이 명령을 사용하기 위해 로그인될 필요 없음).

   apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

   예를 들면 다음과 같습니다.

   apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
   total_results: 2
   results:
     - title: API Manager User Registry
       realm: provider/default-idp-2
     - title: Corporate LDAP user registry
       realm: provider/corporate-ldap

   title 값은 사용할 ID 제공자를 판별할 수 있게 해야 합니다. 그리고 표시한 realm 값에서 직접 해당하는 --realm 매개변수를 복사할 수 있습니다. 설치 API Connect 후 관리자가 생성한 모든 ID 제공자의 이름은 생성 시점에 결정됩니다. 제공자 조직의 멤버로서 로그인을 위한 기본 API Manager 로컬 사용자 레지스트리는 default-idp-2입니다.

   이 apic login 명령어에 대한 자세한 내용은 ‘관리 서버에 로그인하기 ’를 참조하십시오.

3. 다음 명령어를 입력하세요(끝에 있는 하이픈 기호는 이 명령어가 명령줄에서 입력을 받는다는 의미입니다):

   apic configured-catalog-user-registries:create --server mgmt_endpoint_url --org organization_name --catalog catalog_name -

   여기서 catalog_name 은name필수 카탈로그의 특성입니다. 명령은 다음을 리턴합니다.

   Reading CONFIGURED_CATALOG_USER_REGISTRY_FILE arg from stdin

4. 다음 데이터를 입력한 후 줄 바꾸기를 입력하십시오.

   user_registry_url: ldap_registry_url

   여기서 ldap_registry_url은 1 단계에서 확인한 LDAP 레지스트리의 URL 입니다.
5. 입력을 중지하려면 CTRL D 를 누르세요.

1. 다음 명령을 실행하여 업데이트하려는 LDAP 사용자 레지스트리의 이름 또는 ID를 판별하십시오(또는 레지스트리 작성에서 요약을 사용할 수 있음).

   apic user-registries:list --server mgmt_endpoint_url --org organization_name

   명령은 이 조직의 모든 사용자 레지스트리 목록을 리턴합니다(이름 및 바로 뒤에 레지스트리 URL이 표시됨). 레지스트리 ID는 URL의 끝에 있습니다. 예: https://company.com/api/user-registries/x-x-x-x-x/registry_id.
2. 다음 명령어를 입력하세요(끝에 있는 하이픈 기호는 이 명령어가 명령줄에서 입력을 받는다는 의미입니다):

   apic user-registries:update --server mgmt_endpoint_url --org organization_name registry_name_or_id -

   여기서, registry_name_or_id는 업데이트하려는 LDAP 사용자 레지스트리의 이름 또는 ID입니다(이전 단계에서 판별된). 이 명령에서는 다음과 같은 항목을 리턴합니다.

   Reading USER_REGISTRY_FILE arg from stdin

3. 다음 데이터를 입력한 후 줄 바꾸기를 입력하십시오.

   user_managed: true_or_false

   여기서 true 는 레지스트리를 쓰기 가능하게 하고, 는 레지스트리를 false 읽기 전용으로 만듭니다.
4. 입력을 중지하려면 CTRL D 를 누르세요.

• API의 보안 정의에서 기본 인증에 사용하려면 기본 인증 보안 정의 작성을 참조하십시오.
• 네이티브 OAuth 공급자에 대한 사용자 보안 구성에서 인증에 사용하려면, ‘네이티브 OAuth 공급자에 대한 사용자 보안 구성’을 참조하십시오.

name: sdn-ldap
title: "SDN LDAP User Registry"
integration_url: https://mycompany.com/api/cloud/integrations/user-registry/xxx-xxx-xxx
user_managed: true
user_registry_managed: false
directory_type: standard
case_sensitive: false
identity_providers:
  - name: ldap
    title: "SDN LDAP Identity Provider"
endpoint:
  endpoint: "ldap://mycompany.com:389"
configuration:
  authentication_method: search_dn
  authenticated_bind: "true"
  admin_dn: "cn=admin,dc=company,dc=com"
  admin_password: xxxx
  search_dn_base: "dc=company,dc=com"
  search_dn_scope: sub
  search_dn_filter_prefix: (uid=
  search_dn_filter_suffix: )
  attribute_mapping:
    dn: "uid=[username],ou=users,dc=company,dc=com"
    cn: "[first_name] [last_name]"
    sn: "[last_name]"
    mail: "[email]"
    userPassword: "[password]"