SAML 2.0-verificatiehandler

AEM wordt geleverd met een SAML-verificatiehandler. Deze manager verleent steun voor SAML 2.0 het Protocol van het Verzoek van de Authentificatie (Web-SSO profiel) gebruikend de HTTP POST band.

Het steunt:

ondertekening en versleuteling van berichten
automatisch maken van gebruikers
groepen synchroniseren met bestaande groepen in AEM
Serviceleverancier en identiteitsprovider hebben verificatie gestart

Deze handler slaat het gecodeerde SAML-antwoordbericht op in het user-node ( usernode/samlResponse) om de communicatie met een externe serviceprovider te vergemakkelijken.

OPMERKING

Zie een demonstratie van AEM en integratie SAML.

Als u het einde van het communityartikel wilt lezen, klikt u op: SAML integreren met Adobe Experience Manager.

De SAML 2.0-verificatiehandler configureren

De Webconsole biedt toegang tot de SAML 2.0-verificatiehandlerconfiguratie met de naam Adobe Granite SAML 2.0-verificatiehandler. De volgende eigenschappen kunnen worden ingesteld.

OPMERKING

De SAML 2.0-verificatiehandler is standaard uitgeschakeld. U moet minstens één van de volgende eigenschappen plaatsen om de manager toe te laten:

De URL van de POST Identity Provider.
De Service Provider Entiteit ID.

OPMERKING

SAML-beweringen worden ondertekend en kunnen optioneel worden versleuteld. Dit werkt alleen als u ten minste het openbare certificaat van de Identiteitsprovider in de TrustStore opgeeft. Zie Het certificaat IdP toevoegen aan de sectie TrustStore voor meer informatie.

Pad PathRepository waarvoor deze verificatiehandler moet worden gebruikt door Sling. Als dit leeg is, zal de authentificatiemanager worden onbruikbaar gemaakt.

Dienst RankingOSGi de Rangschikkende waarde van de Dienst van het Kader om op de orde te wijzen waarin om deze dienst te roepen. Dit is een geheel getal waarbij hogere waarden een hogere prioriteit aangeven.

IDP- certificaatalias - De alias van het IdP-certificaat in de algemene vertrouwde opslag. Als deze eigenschap leeg is, wordt de verificatiehandler uitgeschakeld. Zie het hoofdstuk "Add the IdP Certificate to the AEM TrustStore" hieronder over hoe u het instelt.

De URLURL van de identiteitsprovider van de IDP waarnaar de SAML-verificatieaanvraag moet worden verzonden. Als deze eigenschap leeg is, wordt de verificatiehandler uitgeschakeld.

LET OP

De hostnaam van de identiteitsprovider moet worden toegevoegd aan de OSGi-configuratie Apache Sling Referrer Filter. Zie de sectie Webconsole voor meer informatie.

De Entiteit van de Dienstverlener IDID die uniek deze dienstverlener met de identiteitsleverancier identificeert. Als deze eigenschap leeg is, wordt de verificatiehandler uitgeschakeld.

Standaard omleidingDe standaardlocatie voor omleiding na geslaagde verificatie.

OPMERKING

Deze locatie wordt alleen gebruikt als het cookie request-path niet is ingesteld. Als u om het even welke pagina onder de gevormde weg zonder geldig login-teken verzoekt, wordt het gevraagde weg opgeslagen in een koekje
en de browser wordt opnieuw omgeleid naar deze locatie nadat de verificatie is voltooid.

Kenmerk van de gebruiker-identiteitskaartDe naam van het attribuut dat de gebruiker - identiteitskaart bevat die wordt gebruikt om de gebruiker in de bewaarplaats van CRX voor authentiek te verklaren en te creëren.

OPMERKING

De gebruikers-id wordt niet overgenomen uit het knooppunt saml:Subject van de SAML-bevestiging, maar uit saml:Attribute.

Het gebruik Encryptionwhether of niet deze authentificatiemanager verwacht gecodeerde beweringen van SAML.

Autocreate CRX UsersOr of niet om automatisch niet-bestaande gebruikers in de bewaarplaats na succesvolle authentificatie tot stand te brengen.

LET OP

Als het automatisch maken van CRX-gebruikers is uitgeschakeld, moeten de gebruikers handmatig worden gemaakt.

Toevoegen aan groepenOf een gebruiker automatisch aan CRX-groepen moet worden toegevoegd na geslaagde verificatie.

Group MembershipThe name of the sample:Attribute containing a list of CRX groups this user should be added to.

Het IdP-certificaat toevoegen aan de AEM TrustStore

SAML-beweringen worden ondertekend en kunnen optioneel worden versleuteld. Dit werkt alleen als u ten minste het openbare certificaat van de IdP in de opslagplaats verstrekt. Hiervoor moet u:

Ga naar http:/serveraddress:serverport/libs/granite/security/content/truststore.html
Druk op Create TrustStore link
Ga het wachtwoord voor TrustStore in en druk Save.
Klik op Manage TrustStore.
Upload het IdP-certificaat.
Noteer het certificaat Alias. De alias is admin#1436172864930 in het onderstaande voorbeeld.

Voeg de sleutel en certificaatketen van de Serviceleverancier toe aan het AEM sleutelarchief

OPMERKING

De onderstaande stappen zijn verplicht, anders wordt de volgende uitzondering gegenereerd: com.adobe.granite.keystore.KeyStoreNotInitialisedException: Uninitialised system trust store

Ga naar: http://localhost:4502/libs/granite/security/content/useradmin.html
Bewerk de authentication-service gebruiker.
Maak een KeyStore door te klikken op Create KeyStore onder Accountinstellingen.

OPMERKING

De onderstaande stappen zijn alleen vereist als de handler berichten kan ondertekenen of ontsleutelen.

Upload het bestand met de persoonlijke sleutel door te klikken op Persoonlijk sleutelbestand selecteren. De sleutel moet in PKCS#8 formaat met DER het coderen zijn.
Upload het certificaatbestand door te klikken op Certificaatketenbestanden selecteren.
Een alias toewijzen, zoals hieronder wordt getoond:

Een logger configureren voor SAML

U kunt opstelling een Logger om het even welke kwesties zuiveren die uit het misconfigureren SAML zouden kunnen voortvloeien. U kunt dit doen door:

Ga naar de webconsole op http://localhost:4502/system/console/configMgr
Zoek naar en klik op de vermelding Configuratie van Apache Sling Logging Logger
Maak een logger met de volgende configuratie:
- Logniveau: Foutopsporing
- logbestand: logs/saml.log
- Logger: com.adobe.granite.auth.saml