Manipulador de autenticação SAML 2.0

AEM é fornecido com um manipulador de autenticação SAML. Este manipulador fornece suporte para o SAML 2.0 Authentication Request Protocol (perfil Web-SSO) usando o vínculo HTTP POST.

Ele suporta:

• assinatura e criptografia de mensagens
• criação automática de usuários
• sincronização de grupos com os existentes no AEM
• Autenticação iniciada pelo provedor de serviço e provedor de identidade

Este manipulador armazena a mensagem de resposta SAML criptografada no nó do usuário ( usernode/samlResponse) para facilitar a comunicação com um Provedor de serviço de terceiros.

Configurando o manipulador de autenticação SAML 2.0

O console Web fornece acesso à configuração do SAML 2.0 Authentication Handler chamada Adobe Granite SAML 2.0 Authentication Handler. As seguintes propriedades podem ser definidas.

Caminho PathRepository para o qual esse manipulador de autenticação deve ser usado pelo Sling. Se estiver vazio, o manipulador de autenticação será desativado.

Valor de classificação do serviço de classificação OSGi Framework para indicar a ordem na qual chamar esse serviço. Esse é um valor inteiro em que valores mais altos designam precedência mais alta.

Certificado IDP AliasO alias do certificado do IdP no Truststore global. Se essa propriedade estiver vazia, o manipulador de autenticação será desativado. Consulte o capítulo "Adicionar o certificado IdP ao AEM TrustStore" abaixo sobre como configurá-lo.

URL do provedor de identidade do IDP para o qual a Solicitação de autenticação SAML deve ser enviada. Se essa propriedade estiver vazia, o manipulador de autenticação será desativado.

provedor de serviço Entity IDID que identifica exclusivamente esse provedor de serviço com o provedor de identidade. Se essa propriedade estiver vazia, o manipulador de autenticação será desativado.

Redirecionamento padrãoO local padrão para redirecionar após a autenticação bem-sucedida.

Atributo da ID do usuário O nome do atributo que contém a ID do usuário usada para autenticar e criar o usuário no repositório CRX.

Usar criptografiaIndependentemente deste manipulador de autenticação esperar ou não asserções SAML criptografadas.

Criação automática de usuários CRXede criar ou não automaticamente usuários não existentes no repositório após a autenticação bem-sucedida.

Adicionar a gruposSe um usuário deve ser adicionado automaticamente a grupos CRX após uma autenticação bem-sucedida.

Associação de grupoO nome do mesmo atributo:que contém uma lista de grupos CRX aos quais este usuário deve ser adicionado.

Adicione o certificado IdP ao AEM TrustStore

As asserções SAML são assinadas e podem, opcionalmente, ser criptografadas. Para que isso funcione, é necessário fornecer pelo menos o certificado público do IdP no repositório. Para fazer isso, é necessário:

1. Vá para http:/serveraddress:serverport/libs/granite/security/content/truststore.html

2. Pressione o link Create TrustStore

3. Digite a senha do TrustStore e pressione Save.

4. Clique em Gerenciar TrustStore.

5. Carregue o certificado IdP.

6. Anote o certificado Alias. O alias é admin#1436172864930 no exemplo abaixo.

   

Adicione a chave do Provedor de serviço e a cadeia de certificados ao armazenamento de chaves AEM

1. Ir para: http://localhost:4502/libs/granite/security/content/useradmin.html
2. Edite o usuário authentication-service.
3. Crie um KeyStore clicando em Create KeyStore em Configurações da conta.

1. Carregue o arquivo de chave privada clicando em Selecionar arquivo de chave privada. A chave precisa estar no formato PKCS#8 com codificação DER.

2. Carregue o arquivo de certificado clicando em Selecionar arquivos da cadeia de certificados.

3. Atribua um Alias, como mostrado abaixo:

   

Configurar um Logger para SAML

Você pode configurar um Logger para depurar quaisquer problemas que possam surgir de uma configuração incorreta do SAML. Você pode fazer isso:

1. Ir para o Web Console, em http://localhost:4502/system/console/configMgr

2. Procure e clique na entrada Configuração do Apache Sling Logging Logger

3. Crie um agente de log com a seguinte configuração:

   • Nível de log: Depuração
   • Arquivo de registro: logs/saml.log
   • Logger: com.adobe.granite.auth.saml