[Integration]{class="badge positive"}

Konfigurieren der externen Microsoft-Einstiegs-ID für die Kundenauthentifizierung

[AEM Forms as a Cloud Service]{class="badge informative"}

Dieses Anwendungsbeispiel zeigt, wie die externe Microsoft Entra-ID als Identitätsanbieter für Kunden einer AEM Forms-Anwendung verwendet werden kann. Kunden können sich selbst registrieren und mit dem Benutzerfluss „Entra External ID Sign-up/Sign-In“ anmelden, während AEM SAML 2.0 verwendet, um sich zu authentifizieren und den Kunden zu autorisieren.

Nach erfolgreicher Authentifizierung synchronisiert AEM das Kundenkonto und verwendet einen SAML-Post-Sync-Hook, um Profilattribute wie die eingegebene Objekt-ID, die E-Mail-Adresse, den Vornamen und den Nachnamen zu erfassen. Diese Attribute können dann an Adobe Experience Platform (AEP) gesendet werden, um das Kundenprofil für nachgelagerte Anwendungsfälle der Personalisierung und Interaktion zu erstellen oder zu aktualisieren.

​1. Erstellen oder Auswählen der zusätzlichen externen Mandanten-ID

Erstellen oder wählen Sie den Mandanten der Microsoft Entra External ID aus, der Kundenidentitäten verwalten soll.

Für diesen POC:

Dieser Mandant enthält:

​2. Erstellen eines Flusses für angemeldete und angemeldete Benutzer

Gehen Sie zu:

Externe Identitäten → Benutzerflüsse → neuen Benutzerfluss

Erstellen Sie ein:

Benutzerfluss Anmelden und).

Identitätsanbieter

Klicken Sie auf:

Benutzerattribute

Konfigurieren Sie den zu erfassenden Benutzerfluss:

Diese Attribute werden Teil des Kundenprofils Entra und können später bei der SAML-Bestätigung an AEM zurückgegeben werden.

​3. Erstellen der AEM Enterprise-Anwendung

Gehen Sie zu:

Unternehmensanwendungen → Neue Anwendung

Erstellen Sie eine Enterprise-Anwendung, die keine Galerie ist.

Für diesen POC:

Anwendungsname:

AEM Entra POC

Diese Unternehmensanwendung stellt AEM als SAML Service Provider (SP) dar.

​4. Konfigurieren von SAML Single Sign-On

Öffnen Sie:

Unternehmensanwendungen → AEM Entra POC → Single Sign-on → SAML

Konfigurieren unter „Einfache SAML Konfiguration“ Folgendes.

Kennung (Entitäts-ID)

Die Kennung muss mit der im AEM SAML-Authentifizierungs-Handler konfigurierten serviceProviderEntityId übereinstimmen.

Für diesen POC:

https://publish-p133654-e1305513.adobeaemcloud.com

Antwort-URL / Assertion Consumer Service (ACS)

Für den Bankenantrag:

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

Zusätzliche AEM SAML-Pfade können bei Bedarf als zusätzliche Antwort-URLs registriert werden.

Beispielsweise haben wir während des ersten POC auch Folgendes verwendet:

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

Die Antwort-URL muss mit dem AEM SAML-Callback-Endpunkt übereinstimmen.

​5. Konfigurieren von SAML-Attributen und -Ansprüchen

Gehen Sie zu:

AEM Entra POC → Single Sign-on → Attribute und Ansprüche

Eindeutige Benutzerkennung (Name und ID)

Konfigurieren:

Unique User Identifier (Name ID) → user.objectid

Dadurch wird die ENTRA-Objekt-ID als SAML-Name-ID verwendet.

Zusätzliche Forderungen

Konfigurieren Sie die folgenden Ansprüche:

Der zusätzliche objectId ist beabsichtigt.

Der AEM SAML-Post-Sync-Hook verwendet diesen Anspruch, um die ursprüngliche Entra-Objekt-ID abzurufen:

objectId → user.objectid

Beispiel:

36fcb7e1-5d30-416d-a342-51367829251c

Dieser Wert kann dann als Kundenidentität (crmid) beim Senden des Kundenprofils an Adobe Experience Platform verwendet werden.

​6. Herunterladen des Entra-SAML-Signaturzertifikats

Suchen Sie auf der Seite SAML-Konfiguration nach:

SAML-Zertifikate

Herunterladen:

Zertifikat (base64)

Dadurch wird eine .cer Zertifikatdatei erstellt.

Das Zertifikat wird anschließend in den AEM Global Trust Store importiert damit AEM von Microsoft Entra signierte SAML-Assertionen überprüfen kann.

Notieren Sie sich auch die folgenden Eingabewerte.

Login URL

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

Dies wird zum AEM SAML-Handler:

idpUrl

Microsoft Eintragskennung

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

Dies wird zum AEM SAML-Handler:

idpIdentifier

​7. Zugriff auf Unternehmensanwendungen konfigurieren

Gehen Sie zu:

Unternehmensanwendungen → AEM Entra POC → Eigenschaften

Konfigurieren Sie für diesen kundenorientierten POC Folgendes:

Assignment required? = No

Dadurch können Kunden, die den Benutzerfluss für externe IDs verwenden, auf die AEM Enterprise-Anwendung zugreifen, ohne dass ein Administrator jeden Kunden einzeln zuweisen muss.

Wenn eine Zuweisung erforderlich ist, kann ein nicht zugewiesener Kunde einen Fehler erhalten, z. B.:

AADSTS50105

​8. Verknüpfen der Unternehmensanwendung mit dem Benutzerfluss

Gehen Sie zu:

Externe Identitäten → Benutzerflüsse →Benutzerfluss "[/Anmelden] → Anwendungen

Klicken Sie auf:

Anwendung hinzufügen

Hinzufügen:

AEM Entra POC

Dadurch wird die Anmeldung/Anmeldung beim Kunden mit der AEM SAML Enterprise-Anwendung verbunden.

Die beiden Komponenten haben unterschiedliche Zuständigkeiten:

Beim Verknüpfen der Enterprise-Anwendung mit dem Benutzerfluss werden diese beiden Teile verbunden.

Resultierende Authentifizierungsarchitektur

Kunde greift auf AEM Banking-Anwendung zu

→ AEM erkennt geschützte Inhalte

→ AEM SAML Authentication Handler

Externe Microsoft-ID →

→ AEM Entra POC Unternehmensanwendung

→ Fluss für die Anmeldung/Anmeldung

→ Kunde meldet sich an oder erstellt ein Konto

→ Entra generiert eine signierte SAML-Bestätigung

→ SAML-Antwort wird an AEM /saml_login gesendet

→ AEM validiert die Bestätigung mithilfe des Entra-Signaturzertifikats

→ AEM erstellt oder synchronisiert den Kunden

→ AEM SAML-Post-Sync-Hook wird ausgeführt

→ Kundenprofil kann an Adobe Experience Platform gesendet werden