Service-Anmeldeinformationen

Integrationen mit Adobe Experience Manager (AEM) as a Cloud Service müssen in der Lage sein, sich sicher beim AEM-Service zu authentifizieren. Die Developer Console von AEM gewährt Zugriff auf Service-Anmeldeinformationen, die es externen Anwendungen, Systemen und Services ermöglichen, programmatisch mit AEM-Autoren- oder -Veröffentlichungs-Services über HTTP zu interagieren.

AEM kann mit anderen Adobe-Produkten mithilfe von über Adobe Developer Console verwaltetes S2S OAuth integriert werden. Bei benutzerdefinierten Integrationen mit Dienstkonten werden JWT-Anmeldedaten in der AEM Developer Console verwendet und verwaltet.

Service-Anmeldeinformationen sehen zwar ähnlich aus wie Zugriffstoken für die lokale Entwicklung, unterscheiden sich aber in einigen wichtigen Punkten:

Sowohl Service-Anmeldeinformationen und die von ihnen erzeugten Zugriffstoken als auch Zugriffstoken für die lokale Entwicklung sollten geheim gehalten werden. Alle drei können nämlich verwendet werden, um Zugang zu ihrer jeweiligen AEM as a Cloud Service-Umgebung zu erhalten.

Generieren von Service-Anmeldeinformationen

Die Generierung von Service-Anmeldeinformationen ist in zwei Schritte unterteilt:

Erstellen eines technischen Kontos

Anders als Zugriffstoken für die lokale Entwicklung erfordern Service-Anmeldeinformationen die Erstellung eines technischen Kontos durch Adobe Org IMS-Administrierende, bevor sie heruntergeladen werden können. Für jeden Client, der programmtechnischen Zugriff auf AEM benötigt, sollten separate technische Konten eingerichtet werden.

Technische Konten werden einmal erstellt, die privaten Schlüssel, die zur Verwaltung der mit dem technischen Konto verbundenen Service-Anmeldeinformationen verwendet werden, können über einen längeren Zeitraum verwaltet werden. So müssen zum Beispiel neue private Schlüssel/Service-Anmeldeinformationen generiert werden, bevor der aktuelle private Schlüssel abläuft, damit Benutzende der Service-Anmeldeinformationen ununterbrochenen Zugriff haben.

Sobald die Service-Anmeldeinformationen der AEM as a Cloud Service-Umgebung initialisiert wurden, können andere AEM-Entwicklerinnen und -Entwickler in Ihrer Adobe IMS-Organisation sie herunterladen.

Herunterladen von Service-Anmeldeinformationen

Das Herunterladen der Service-Anmeldeinformationen erfolgt in ähnlichen Schritten wie die Initialisierung.

Installieren der Dienstanmeldeinformationen

Die Dienstanmeldeinformationen enthalten die Details, die erforderlich sind, um ein JWT zu generieren. Dieses wird durch ein Zugriffs-Token ersetzt, das zur Authentifizierung bei AEM as a Cloud Service verwendet wird. Die Dienstanmeldeinformationen müssen an einem sicheren Speicherort gespeichert werden, auf den die externen Anwendungen, Systeme oder Services zugreifen können, die sie für den Zugriff auf AEM verwenden. Wie und wo die Dienstanmeldeinformationen verwaltet werden, variiert von Kunde zu Kunde.

Der Einfachheit halber werden die Dienstanmeldeinformationen in diesem Tutorial über die Befehlszeile übergeben. Bestimmen Sie gemeinsam mit Ihrem IT-Sicherheits-Team, wie Sie diese Anmeldeinformationen gemäß den Sicherheitsrichtlinien Ihres Unternehmens speichern und aufrufen können.

Verwenden von Dienstanmeldeinformationen

Die Dienstanmeldeinformationen, ein vollständig geformtes JSON-Objekt, sind weder mit dem JWT noch mit dem Zugriffs-Token identisch. Stattdessen werden die Dienstanmeldeinformationen (die einen privaten Schlüssel enthalten) verwendet, um ein JWT zu generieren, das in Adobe IMS-APIs gegen ein Zugriffs-Token ausgetauscht wird.

Aktualisierungen der externen Anwendung

Damit Sie auf AEM as a Cloud Service unter Verwendung der Dienstanmeldeinformationen zugreifen können, muss die externe Anwendung auf drei Arten aktualisiert werden:

In diesem Tutorial wird das npm-Modul von Adobe @adobe/jwt-auth verwendet, um in einem einzigen Funktionsaufruf (1) das JWT auf Basis der Dienst-Anmeldeinformationen zu generieren und (2) es gegen ein Zugriffs-Token einzutauschen. Wenn Ihre Anwendung nicht auf JavaScript basiert, prüfen Sie bitte den Muster-Code in anderen Sprachen, um zu sehen, wie ein JWT aus den Dienstanmeldeinformationen erstellt und gegen ein Zugriffs-Token für Adobe IMS eingetauscht werden kann.

Lesen der Dienstanmeldeinformationen

Sehen Sie sich getCommandLineParams() an, um herauszufinden, wie derselbe Code zum Lesen der Dienstanmeldeinformations-JSON-Datei und zum Einlesen des JSON-Zugriffs-Tokens für die lokale Entwicklung verwendet wird.

function getCommandLineParams() {
    ...

    // Read in the credentials from the provided JSON file
    // Since both the Local Development Access Token and Service Credentials files are JSON, this same approach can be re-used
    if (parameters.file) {
        parameters.developerConsoleCredentials = JSON.parse(fs.readFileSync(parameters.file));
    }

    ...
    return parameters;
}

Erstellen eines JWT und Austausch gegen ein Zugriffs-Token

Wenn die Dienstanmeldeinformationen gelesen sind, werden sie zum Generieren eines JWT verwendet, das dann über Adobe IMS-APIs gegen ein Zugriffs-Token ausgetauscht wird. Mit diesem Zugriffs-Token können Sie dann auf AEM as a Cloud Service zugreifen.

Diese Beispielanwendung basiert auf Node.js. Daher empfiehlt es sich, das npm-Modul @adobe/jwt-auth zu verwenden, um (1) die JWT-Generierung und (2) den Austausch mit Adobe IMS zu vereinfachen. Wenn Ihre Anwendung in einer anderen Sprache entwickelt wurde, sehen Sie sich in den entsprechenden Code-Beispielen an, wie die HTTP-Anfrage an Adobe IMS mithilfe anderer Programmiersprachen erstellt wird.

 async function getAccessToken(developerConsoleCredentials) {

     if (developerConsoleCredentials.accessToken) {
         // This is a Local Development access token
         return developerConsoleCredentials.accessToken;
     } else {
         // This is the Service Credentials JSON object that must be exchanged with Adobe IMS for an access token
         let serviceCredentials = developerConsoleCredentials.integration;

         // Use the @adobe/jwt-auth library to pass the service credentials generated a JWT and exchange that with Adobe IMS for an access token.
         // If other programming languages are used, please see these code samples: https://www.adobe.io/authentication/auth-methods.html#!AdobeDocs/adobeio-auth/master/JWT/samples/samples.md
         let { access_token } = await auth({
             clientId: serviceCredentials.technicalAccount.clientId, // Client Id
             technicalAccountId: serviceCredentials.id,              // Technical Account Id
             orgId: serviceCredentials.org,                          // Adobe IMS Org Id
             clientSecret: serviceCredentials.technicalAccount.clientSecret, // Client Secret
             privateKey: serviceCredentials.privateKey,              // Private Key to sign the JWT
             metaScopes: serviceCredentials.metascopes.split(','),   // Meta Scopes defining level of access the access token should provide
             ims: `https://${serviceCredentials.imsEndpoint}`,       // IMS endpoint used to obtain the access token from
         });

         return access_token;
     }
 }

Je nachdem, welche JSON-Datei über den Befehlszeilenparameter „file“ übergeben wird – entweder das Zugriffs-Token-JSON für die lokale Entwicklung oder das Dienstanmeldeinformationen-JSON –, leitet die Anwendung jetzt ein Zugriffs-Token ab.

Beachten Sie, dass die Dienstanmeldeinformationen zwar nur alle 365 Tage ablaufen, das JWT und das entsprechende Zugriffs-Token jedoch häufiger ablaufen und vor ihrem Ablauf aktualisiert werden müssen. Dies kann mit einem „refresh_token“ [bereitgestellt von Adobe IMS](https://www.adobe.io/authentication/auth-methods.html#!AdobeDocs/adobeio-auth/master/OAuth/OAuth.md#access-tokens) erfolgen.

Konfigurieren des Zugriffs in AEM

Das aus Service-Anmeldeinformationen abgeleitete Zugriffstoken verwendet ein technisches Konto AEM-Benutzer mit Mitgliedschaft in der AEM-Benutzergruppe Mitwirkende.

Sobald das technische Konto AEM-Benutzer in AEM vorhanden ist (nach der ersten HTTP-Anfrage mit dem Zugriffstoken), können die Berechtigungen dieses AEM-Benutzers wie für andere AEM-Benutzer verwaltet werden.

Führen Sie mit dem technischen Konto, das in AEM über Schreibberechtigungen für Assets verfügt, die Anwendung erneut aus:

$ node index.js \
    aem=https://author-p1234-e5678.adobeaemcloud.com \
    folder=/wknd-shared/en/adventures/napa-wine-tasting \
    propertyName=metadata/dc:rights \
    propertyValue="WKND Restricted Use" \
    file=service_token.json

Die Ausgabe an das Terminal sieht wie folgt aus:

200 - OK @ https://author-p1234-e5678.adobeaemcloud.com/api/assets/wknd-shared/en/adventures/napa-wine-tasting.json
200 - OK @ https://author-p1234-e5678.adobeaemcloud.com/api/assets/wknd-shared/en/adventures/napa-wine-tasting/AdobeStock_277654931.jpg.json
200 - OK @ https://author-p1234-e5678.adobeaemcloud.com/api/assets/wknd-shared/en/adventures/napa-wine-tasting/AdobeStock_286664352.jpg.json
200 - OK @ https://author-p1234-e5678.adobeaemcloud.com/api/assets/wknd-shared/en/adventures/napa-wine-tasting/AdobeStock_239751461.jpg.json
200 - OK @ https://author-p1234-e5678.adobeaemcloud.com/api/assets/wknd-shared/en/adventures/napa-wine-tasting/AdobeStock_280313729.jpg.json

Überprüfen der Änderungen

Herzlichen Glückwunsch!

Nachdem wir nun programmatisch auf AEM as a Cloud Service zugegriffen haben, verwenden wir ein lokales Entwicklungs-Zugriffstoken und ein produktionsfähiges Service-to-Service-Zugriffstoken!