SAML 2.0-Authentifizierung saml-2-0-authentication

Beziehen Sie die öffentliche Zertifikatdatei beim IDP. Mit diesem Zertifikat kann AEM die vom IDP bereitgestellte SAML-Assertion überprüfen.

Das im PEM-Format vorliegende Zertifikat sollte in etwa wie folgt aussehen:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Melden Sie sich bei AEM Author als AEM-Admin an.

Navigieren Sie zu Tools > Sicherheit > Trust Store.

Erstellen oder öffnen Sie den Global Trust Store. Wenn Sie einen Global Trust Store erstellen, bewahren Sie das Passwort an einem sicheren Ort auf.

Erweitern Sie Zertifikat aus CER-Datei hinzufügen.

Wählen Sie Zertifikatdatei auswählen aus und laden Sie die vom IDP bereitgestellte Zertifikatdatei hoch.

Lassen Sie Benutzer Zertifikat zuordnen leer.

Klicken Sie auf Übermitteln.

Das neu hinzugefügte Zertifikat wird über dem Abschnitt Zertifikat aus CRT-Datei hinzufügen angezeigt.

Notieren Sie sich den Alias, da dieser Wert in der OSGi-Konfiguration des SAML 2.0-Authentifizierungs-Handlers verwendet wird.

Klicken Sie auf Speichern und schließen.

Navigieren Sie zu Tools > Bereitstellung > Pakete.

Erstellen Sie ein Paket:

• Paketname: Global Trust Store
• Version: 1.0.0
• Gruppe: com.your.company

Bearbeiten Sie das neue Global Trust Store-Paket.

Wählen Sie die Registerkarte Filter aus und fügen Sie einen Filter für den Stammpfad /etc/truststore hinzu.

Wählen Sie Fertig und dann Speichern aus.

Wählen Sie die Schaltfläche Erstellen für das Global Trust Store-Paket aus.

Wählen Sie nach der Erstellung Mehr > Replizieren aus, um den Global Trust Store-Knoten (/etc/truststore) für AEM Publish zu aktivieren.

Melden Sie sich bei AEM Author als AEM-Admin an, um den privaten Schlüssel hochzuladen.

Navigieren Sie zu Tools > Sicherheit > Benutzer, wählen Sie authentication-service als Benutzerin bzw. Benutzer aus und klicken Sie dann in der oberen Aktionsleiste auf Eigenschaften.

Wählen Sie die Registerkarte Keystore aus.

Erstellen oder öffnen Sie den Keystore. Bewahren Sie beim Erstellen eines Keystores das Passwort sicher auf.

• Ein öffentlicher/privater Keystore wird in diesem Keystore nur installiert, wenn eine AuthnRequest-Signierung/Verschüsselung der SAML-Assertion erforderlich ist.
• Wenn diese SAML-Integration zwar Abmeldungen unterstützt, aber keine AuthnRequest-Signierung/SAML-Assertion, dann ist ein leerer Keystore ausreichend.

Klicken Sie auf Speichern und schließen.

Erstellen Sie ein Paket mit der aktualisierten Benutzerin bzw. dem aktualisierten Benutzer authentication-service.

Nutzen Sie die folgende temporäre Problemumgehung unter Verwendung von Paketen:

1. Navigieren Sie zu Tools > Bereitstellung > Pakete.

2. Erstellen Sie ein Paket:

   • Paketname: Authentication Service
   • Version: 1.0.0
   • Gruppe: com.your.company

3. Bearbeiten Sie das neue Authentication Service Key Store-Paket.

4. Wählen Sie die Registerkarte Filter aus und fügen Sie einen Filter für den Stammpfad /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore hinzu.

   • <AUTHENTICATION SERVICE UUID> finden Sie, indem Sie zu Tools > Sicherheit > Benutzer navigieren und authentication-service als Benutzerin bzw. Benutzer auswählen. Die UUID ist der letzte Teil der URL.

5. Wählen Sie Hinzufügen und dann Speichern aus.

6. Wählen Sie die Schaltfläche Erstellen für das Authentication Service Key Store-Paket aus.

7. Wählen Sie nach der Erstellung Mehr > Replizieren aus, um den Keystore „authentication-service“ für AEM Publish zu aktivieren.

Beziehen Sie den öffentlichen Schlüssel, den privaten Schlüssel (PKCS#8 im DER-Format) und die Zertifikatkettendatei (kann der öffentliche Schlüssel sein), die zum Signieren der AuthnRequest verwendet werden, und verschlüsseln Sie die SAML-Assertion. Die Schlüssel werden in der Regel vom Sicherheits-Team der IT-Organisation bereitgestellt.

• Ein selbstsigniertes Schlüsselpaar kann mit openssl generiert werden:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Laden Sie den öffentlichen Schlüssel für den IDP hoch.

• Bei Verwendung der oben genannten openssl-Methode ist der öffentliche Schlüssel die Datei aem-public.crt.

Melden Sie sich bei AEM Author als AEM-Admin an, um den privaten Schlüssel hochzuladen.

Navigieren Sie zu Tools > Sicherheit > Trust Store, wählen Sie authentication-service als Benutzerin bzw. Benutzer aus und klicken Sie dann in der oberen Aktionsleiste auf Eigenschaften.

Navigieren Sie zu Tools > Sicherheit > Benutzer, wählen Sie authentication-service als Benutzerin bzw. Benutzer aus und klicken Sie dann in der oberen Aktionsleiste auf Eigenschaften.

Wählen Sie die Registerkarte Keystore aus.

Erstellen oder öffnen Sie den Keystore. Bewahren Sie beim Erstellen eines Keystores das Passwort sicher auf.

Wählen Sie Privaten Schlüssel aus DER-Datei hinzufügen aus und fügen Sie den privaten Schlüssel und die Kettendatei zu AEM hinzu:

• Alias: Geben Sie einen aussagekräftigen Namen ein. Häufig wird der Name des IDP verwendet.
• Datei mit privatem Schlüssel: Laden Sie die Datei mit dem privaten Schlüssel hoch (PKCS#8 im DER-Format).
  • Bei Verwendung der oben genannten openssl-Methode ist dies die Datei aem-private-pkcs8.der.
• Zertifikatkettendateien auswählen: Laden Sie die zugehörige Kettendatei hoch (dies kann der öffentliche Schlüssel sein).
  • Bei Verwendung der oben genannten openssl-Methode ist dies die Datei aem-public.crt.
• Klicken Sie auf Übermitteln

Das neu hinzugefügte Zertifikat wird über dem Abschnitt Zertifikat aus CRT-Datei hinzufügen angezeigt.

• Notieren Sie sich den Alias, da dieser Wert in der OSGi-Konfiguration des SAML 2.0-Authentifizierungs-Handlers verwendet wird.

Klicken Sie auf Speichern und schließen.

Erstellen Sie ein Paket mit der aktualisierten Benutzerin bzw. dem aktualisierten Benutzer authentication-service.

Nutzen Sie die folgende temporäre Problemumgehung unter Verwendung von Paketen:

1. Navigieren Sie zu Tools > Bereitstellung > Pakete.

2. Erstellen Sie ein Paket:

   • Paketname: Authentication Service
   • Version: 1.0.0
   • Gruppe: com.your.company

3. Bearbeiten Sie das neue Authentication Service Key Store-Paket.

4. Wählen Sie die Registerkarte Filter aus und fügen Sie einen Filter für den Stammpfad /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore hinzu.

   • <AUTHENTICATION SERVICE UUID> finden Sie, indem Sie zu Tools > Sicherheit > Benutzer navigieren und authentication-service als Benutzerin bzw. Benutzer auswählen. Die UUID ist der letzte Teil der URL.

5. Wählen Sie Hinzufügen und dann Speichern aus.

6. Wählen Sie die Schaltfläche Erstellen für das Authentication Service Key Store-Paket aus.

7. Wählen Sie nach der Erstellung Mehr > Replizieren aus, um den Keystore „authentication-service“ für AEM Publish zu aktivieren.

Erstellen Sie eine OSGi-Konfigurationsdatei in Ihrem Projekt unter /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json und öffnen Sie diese in Ihrer IDE.

• Ändern Sie /wknd-examples/ zu Ihrem /<project name>/.
• Die Kennung nach dem Zeichen ~ im Dateinamen sollte diese Konfiguration eindeutig identifizieren, etwa über den Namen des IDP, z. B. ...~okta.cfg.json. Es sollte ein alphanumerischer Wert mit Bindestrichen sein.

Fügen Sie folgenden JSON-Inhalt in die Datei com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json ein und aktualisieren Sie die wknd-Verweise nach Bedarf.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Aktualisieren Sie die Werte entsprechend den Anforderungen Ihres Projekts. Beschreibungen der Konfigurationseigenschaften finden Sie oben unter SAML 2.0-Authentifizierungs-Handler – OSGi-Konfigurationsglossar.

Es wird empfohlen, ist jedoch nicht erforderlich, OSGi-Umgebungsvariablen und -Geheimnisse zu verwenden, wenn Werte nicht mehr mit dem Versionszyklus synchron sind oder sich die Werte zwischen ähnlichen Umgebungstypen/Service-Ebenen unterscheiden. Standardwerte können mithilfe der Syntax $[env:..;default=the-default-value]" festgelegt werden, wie oben dargestellt.

Erstellen (oder bearbeiten) Sie eine OSGi-Konfigurationsdatei in Ihrem Projekt unter /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Ändern Sie /wknd-examples/ zu Ihrem /<project name>/.

Stellen Sie sicher, dass der Wert allow.empty auf true festgelegt ist, allow.hosts (oder allow.hosts.regexp, falls von Ihnen bevorzugt) den IDP-Ursprung enthält und filter.methods POST umfasst. Die OSGi-Konfiguration sollte in etwa wie folgt aussehen:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Erstellen Sie eine OSGi-Konfigurationsdatei in Ihrem Projekt unter /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json.

• Ändern Sie /wknd-examples/ zu Ihrem Projektnamen.
• Die Kennung nach dem Zeichen ~ im Dateinamen sollte diese Konfiguration eindeutig identifizieren, etwa über den Namen des IDP, z. B. ...CORSPolicyImpl~okta.cfg.json. Es sollte ein alphanumerischer Wert mit Bindestrichen sein.

Fügen Sie folgenden JSON-Inhalt in die Datei com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json ein.