Skip to main content
Instalar o Access Manager significa colocar os serviços Auth e Identity no ar, conectados às suas dependências e prontos para responder decisões de acesso. É o passo que precisa acontecer antes que qualquer produto Lerian possa aplicar autenticação ou permissões. Este guia é para operadores que instalam o Access Manager. Para instalar ou atualizar os serviços, consulte o README do chart do Access Manager.

​
Pré-requisitos

Você não precisa dominar Kubernetes para planejar uma instalação, mas precisa de um quadro claro das peças envolvidas. Trate a lista abaixo como um checklist antes de começar.

​
Licença

O Access Manager é um recurso Enterprise e exige uma configuração de licença Lerian válida. Os serviços aplicam verificações de licença por middleware HTTP, então valide a licença antes de habilitar produtos protegidos. Veja a documentação de licença para detalhes. Se você ainda não tem uma licença, entre em contato com nosso time.

​
Modelo de deploy

Decida como você vai rodar o Access Manager. A escolha molda a resolução de tenant, a configuração do Caradhras e alguns padrões operacionais mais adiante.
  • SaaS - a Lerian roda a plataforma. Você gerencia usuários, grupos e aplicações pelo Lerian Console ou pelas APIs do Identity.
  • BYOC - você roda o Access Manager contra uma organização padrão configurada e um backend de identidade Caradhras.
Se você não tem certeza de qual modelo se aplica, confirme com seu contato Lerian antes de instalar.

​
Serviço Auth

O lado de runtime do Access Manager: ele emite e atualiza tokens, valida sessões, verifica permissões, trata logout e informações do usuário e roda desafios de MFA. O Auth precisa estar acessível pela rede a partir de cada produto Lerian protegido.

​
Serviço Identity

O lado de dados do Access Manager: usuários, grupos, aplicações, provedores de comunicação, vínculos entre aplicação e provedor e configuração de MFA. O Identity é a superfície de gerenciamento. O Identity e o Auth se conectam ao backend Caradhras configurado: o Identity gerencia os dados de identidade por ele, enquanto o Auth usa a própria conexão para tokens, MFA e decisões de autorização.

​
Backend de identidade

O Access Manager usa um backend Caradhras configurado para armazenar identidades. O Caradhras persiste seus dados de identidade no banco PostgreSQL configurado. O PostgreSQL dá suporte ao Caradhras, não o substitui. Em deploys SaaS e na maioria dos deploys BYOC, o backend vem pré-configurado. Para um deploy BYOC, configure esse backend Caradhras para o seu ambiente. O Access Manager não se conecta diretamente a APIs arbitrárias de provedores de identidade.

​
Serviços de dados e cache

  • Uma instância do PostgreSQL como banco de dados de apoio para os dados de identidade gerenciados pelo Caradhras.
  • Um cache Valkey para operações de token, de permissão e ligadas a MFA.
Provisione os dois e deixe-os acessíveis antes de o Auth e o Identity subirem. As decisões de dimensionamento e de alta disponibilidade dependem do seu modelo de deploy.

​
Conectividade dos produtos

Planeje os caminhos de rede agora para não depurá-los depois:
  • Os produtos protegidos devem alcançar o Auth pela rede.
  • Os administradores (e qualquer ferramenta de back-office) devem alcançar o Identity para gerenciar usuários, grupos, aplicações e provedores.
  • Não exponha nenhum dos dois serviços publicamente sem os controles de ingress adequados.

​
Ambiente e dados de bootstrap

Um ambiente novo cria os dados base de acesso, incluindo sua organização, papéis internos, grupos, aplicações e conjuntos de permissões, uma vez na subida. Essa é a camada de bootstrap. Depois que o ambiente está no ar, as mudanças do dia a dia acontecem pelas APIs do Identity ou pelo Lerian Console, não editando dados de bootstrap.
O bootstrap aplica seus dados iniciais apenas durante a configuração inicial do ambiente. Mudanças em recursos internos, ações, papéis, grupos, aplicações ou conjuntos de permissões em um ambiente existente devem ser entregues por atualizações controladas da plataforma, como migrações ou um conciliador idempotente.

​
Fluxo de instalação

Siga estes passos em ordem. Cada um se apoia no anterior.
1

Escolha seu modelo de deploy

Escolha SaaS ou BYOC e confirme com seu contato Lerian as decisões específicas do modelo: configuração do Caradhras e escopo de licenciamento. Anote isso, porque cada passo seguinte volta a essa escolha.
2

Prepare as dependências

Provisione a infraestrutura de apoio para que o Auth e o Identity tenham tudo o que precisam ao subir:
  • uma licença Lerian válida configurada para o ambiente.
  • uma instância PostgreSQL para dar suporte aos dados de identidade gerenciados pelo Caradhras.
  • um cache Valkey para tokens, permissões e MFA.
  • o backend de identidade Caradhras configurado.
  • caminhos de rede entre o Access Manager, suas dependências e os produtos que vão controlar o acesso em algum momento.
Não siga em frente até que cada dependência esteja acessível de onde o Access Manager vai rodar.
3

Faça o deploy do Auth e do Identity

Instale os serviços do Access Manager no seu ambiente. Consulte o README do chart do Access Manager.
4

Faça o bootstrap dos dados base de acesso

A primeira subida cria a organização base, os papéis internos, os grupos, as aplicações e os conjuntos de permissões dos quais a plataforma depende. Deixe o bootstrap terminar antes de apontar qualquer produto para os serviços.Deste ponto em diante, trate os dados de bootstrap como somente leitura. Gerencie o acesso do dia a dia pelas APIs do Identity ou pelo Lerian Console.
5

Valide os serviços

Confirme que a instalação está saudável antes que qualquer produto dependa dela:
  • O Auth e o Identity reportam estado saudável e estão acessíveis pelos produtos que vão usá-los.
  • O PostgreSQL (o banco de apoio do Caradhras) e o Valkey estão conectados e respondendo.
  • O backend de identidade Caradhras está configurado e acessível.
  • Uma requisição de token de teste funciona no Auth, e uma chamada básica do Identity (por exemplo, List Groups) funciona para o modo de deploy escolhido.
Se algo dessa lista falhar, corrija aqui. Não habilite produtos sobre uma instalação com problemas.
6

Habilite os produtos protegidos

Depois de validar a instalação, ligue o controle de acesso dentro de cada produto ou plugin Lerian definindo as variáveis do Auth no .env dele. A configuração completa por produto está em Habilitando o Access Manager.
7

Use o Access Manager

Com a instalação pronta e os produtos controlando o acesso, passe para a operação do dia a dia: pedir tokens, gerenciar usuários, grupos e aplicações, configurar MFA e chamar APIs protegidas. Comece por Usando o Access Manager para o fluxo de API, ou por Access Manager pelo Lerian Console para o fluxo visual.
Trate a instalação como um marco próprio. Recomenda-se que o Auth e o Identity estejam com deploy feito, saudáveis e validados antes de você virar qualquer produto para o modo de controle de acesso.

​
Próximos passos