Autenticazione Adobe IMS e Admin Console Supporto per Managed Services AEM

Introduzione

AEM 6.4.3.0 introduce Admin Console supporto per le istanze AEM e l’autenticazione basata su Adobe IMS (Identity Management System) per AEM Managed Services clienti.

AEM onboarding Admin Console consentirà AEM clienti Managed Services di gestire tutti gli utenti di Experience Cloud in un’unica console. Gli utenti e i gruppi possono essere assegnati ai profili di prodotto associati alle istanze AEM, consentendo loro di accedere a un’istanza specifica.

Elementi di rilievo

• Il supporto per l’autenticazione IMS di AEM è riservato solo agli autori, agli amministratori o agli sviluppatori di AEM, non agli utenti finali esterni di siti di clienti come i visitatori del sito
• La Admin Console rappresenta AEM clienti Managed Services come organizzazioni IMS e le loro istanze come contesti di prodotto. Gli amministratori di prodotto e di sistema dei clienti potranno gestire l’accesso alle istanze
• AEM Managed Services sincronizzerà le topologie dei clienti con Admin Console. Ci sarà un'istanza di AEM contesto di prodotto Managed Services per istanza nel Admin Console.
• Profili di prodotto in Admin Console determinerà a quali istanze può accedere un utente
• È supportata l’autenticazione federata tramite provider di identità conformi a SAML 2 dei clienti
• Saranno supportati solo Enterprise ID o Federated ID (per il servizio Single Sign-On del cliente), non gli ID Adobe personali.
• User Management (in Adobe Admin Console) continuerà a essere di proprietà degli amministratori dei clienti.

Architettura

L’autenticazione IMS funziona utilizzando il protocollo OAuth tra AEM e l’endpoint Adobe IMS. Dopo l’aggiunta a IMS, un utente con identità Adobe può accedere ad AEM Managed Services utilizzando le credenziali IMS.

Il flusso di accesso dell'utente è mostrato di seguito, l'utente verrà reindirizzato a IMS ed eventualmente all'IDP del cliente per la convalida SSO e quindi reindirizzato nuovamente a AEM.

Come impostare

Organizzazione di onboarding in Admin Console

L’onboarding del cliente in Admin Console è un prerequisito per l’utilizzo di Adobe IMS per l’autenticazione AEM.

Come primo passo, i clienti devono disporre di un'organizzazione in Adobe IMS. Ad Adobe, i clienti Enterprise sono rappresentati come organizzazioni IMS nel Adobe Admin Console.

AEM i clienti Managed Services devono già disporre del provisioning di un’organizzazione e, nell’ambito del provisioning IMS, le istanze dei clienti saranno rese disponibili nel Admin Console per la gestione delle adesioni e dell’accesso degli utenti.

Il passaggio a IMS per l’autenticazione degli utenti sarà uno sforzo congiunto tra AMS e i clienti, ciascuno dei quali avrà i propri flussi di lavoro da completare.

Quando un cliente esiste come organizzazione IMS e AMS esegue il provisioning del cliente per IMS, questo è il riepilogo dei flussi di lavoro di configurazione richiesti:

1. L’amministratore di sistema designato riceve un invito ad accedere al Admin Console
2. L’amministratore di sistema richiede il dominio per confermare la proprietà del dominio (in questo esempio acme.com)
3. L'amministratore di sistema imposta le directory utente
4. L’amministratore di sistema configura il provider di identità (IDP) nel Admin Console per la configurazione SSO.
5. L’amministratore AEM gestisce i gruppi, le autorizzazioni e i privilegi locali come di consueto. Consulta Sincronizzazione utenti e gruppi

Onboarding degli utenti in Admin Console

Sono disponibili tre modi per integrare gli utenti a seconda delle dimensioni del cliente e delle loro preferenze:

1. Creare manualmente utenti e gruppi in Admin Console
2. Caricare un file CSV con gli utenti
3. Sincronizza utenti e gruppi dall'organizzazione Active Directory del cliente.

Aggiunta manuale tramite Admin Console Interfaccia

Gli utenti e i gruppi possono essere creati manualmente nel Admin Console Interfaccia utente. Questo metodo può essere utilizzato se non dispongono di un numero elevato di utenti da gestire. Ad esempio, un numero di utenti meno di 50 AEM.

Gli utenti possono anche essere creati manualmente se il cliente utilizza già questo metodo per amministrare altri prodotti di Adobe come le applicazioni di Analytics, Target o Creative Cloud.

Caricamento di file in Admin Console Interfaccia

Per facilitare la creazione di utenti, è possibile caricare un file CSV per aggiungere utenti in blocco:

Strumento User Sync

Lo strumento User Sync (UST) consente ai clienti aziendali di creare o gestire gli utenti Adobe che utilizzano Active Directory o altri servizi di directory OpenLDAP testati. Gli utenti di destinazione sono amministratori di identità IT (directory Enterprise e amministratori di sistema) che saranno in grado di installare e configurare lo strumento. Lo strumento open source è personalizzabile in modo che i clienti possano modificarlo in base a specifiche esigenze.

Durante l’esecuzione di User Sync, recupera un elenco di utenti da Active Directory dell’organizzazione (o da qualsiasi altra origine dati compatibile) e lo confronta con l’elenco di utenti all’interno della Admin Console. Chiama quindi l'Adobe User Management in modo che Admin Console viene sincronizzato con la directory dell’organizzazione. Il flusso di variazione è interamente unidirezionale; eventuali modifiche apportate nel Admin Console non venire spinti nella directory.

Lo strumento consente all’amministratore di sistema di mappare i gruppi di utenti nella directory del cliente con la configurazione del prodotto e i gruppi di utenti nel Admin Console, la nuova versione di UST consente anche la creazione dinamica di gruppi di utenti nel Admin Console.

Per configurare User Sync, l’organizzazione deve creare un set di credenziali in modo analogo a come userebbe l’User Management API .

User Sync viene distribuito tramite l’archivio Adobe Github nel seguente percorso:

https://github.com/adobe-apiplatform/user-sync.py/releases/latest

Una versione pre-release 2.4RC1 è disponibile con supporto per la creazione di gruppi dinamici ed è disponibile qui: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1

Le principali funzioni di questa versione sono la possibilità di mappare in modo dinamico nuovi gruppi LDAP per l'iscrizione dell'utente nel Admin Console, nonché la creazione di gruppi di utenti dinamici.

Ulteriori informazioni sulle nuove funzioni per i gruppi sono disponibili qui:

https://adobe-apiplatform.github.io/user-sync.py/en/user-manual/advanced_configuration.html#additional-group-options

Guida all’uso

Gestione dei prodotti e dell’accesso utente in Admin Console

Quando l'amministratore del prodotto del cliente accede a Admin Console, vedranno più istanze del contesto di prodotto Managed Services AEM come mostrato di seguito:

In questo esempio, l’organizzazione Onboard AEM-MS dispone di 32 istanze che si estendono su topologie e ambienti diversi come Stage, Prod, ecc.

Puoi controllare i dettagli dell’istanza per identificare l’istanza:

In ogni istanza del contesto di prodotto, sarà presente un profilo di prodotto associato. Questo profilo di prodotto viene utilizzato per assegnare l’accesso a utenti e gruppi.

Tutti gli utenti e i gruppi aggiunti sotto questo profilo di prodotto potranno accedere a tale istanza come mostrato nell’esempio seguente:

Accesso a AEM

Accesso amministratore locale

AEM continuare a supportare gli accessi locali per gli utenti amministratori, in quanto la schermata di accesso dispone di un’opzione per accedere localmente:

Accesso basato su IMS

Per altri utenti, è possibile utilizzare l’accesso basato su IMS dopo che IMS è stato configurato per l’istanza. L’utente farà prima clic sul pulsante Accesso con Adobe come mostrato di seguito:

Vengono quindi reindirizzati alla schermata di accesso di IMS e immettono le proprie credenziali:

Se durante l'iniziale viene configurato un IDP federato Admin Console quindi l'utente verrà reindirizzato all'IDP del cliente per SSO.

L'IDP è Okta nell'esempio seguente:

Una volta completata l’autenticazione, l’utente verrà reindirizzato ad AEM per eseguire l’accesso:

Migrazione di utenti esistenti

Per le istanze AEM esistenti che utilizzano un altro metodo di autenticazione e che vengono ora migrate a IMS, è necessario eseguire un passaggio di migrazione.

Gli utenti esistenti nell'archivio AEM (originati localmente, tramite LDAP o SAML) possono essere migrati per puntare a IMS come IDP utilizzando l'Utilità di migrazione utenti.

Questa utility verrà eseguita dal team AMS come parte del provisioning IMS.

Gestione di autorizzazioni e ACL in AEM

Il controllo degli accessi e le autorizzazioni continueranno a essere gestiti in AEM, ciò può essere ottenuto separando i gruppi di utenti provenienti da IMS (ad esempio, AEM-GRP-008 nell’esempio seguente) e i gruppi locali in cui sono definite le autorizzazioni e il controllo degli accessi. I gruppi di utenti sincronizzati da IMS possono essere assegnati a gruppi locali e ereditare le autorizzazioni.

Nell’esempio seguente, ad esempio, i gruppi sincronizzati vengono aggiunti al gruppo Dam_Users locale.

In questo caso, un utente è stato assegnato anche a alcuni gruppi nel Admin Console. ( Si prega di notare che gli utenti e i gruppi possono essere sincronizzati da LDAP utilizzando lo strumento di sincronizzazione degli utenti o creati localmente, vedi la sezione Onboarding degli utenti inAdmin Console sopra).

L’utente fa parte dei seguenti gruppi in IMS:

Quando l’utente esegue l’accesso, le iscrizioni ai gruppi vengono sincronizzate, come illustrato di seguito:

In AEM, i gruppi di utenti sincronizzati da IMS possono essere aggiunti come membri a gruppi locali esistenti, ad esempio Utenti DAM.

Come mostrato di seguito, il gruppo AEM-GRP_008 eredita le autorizzazioni e i privilegi degli utenti DAM. Questo è un modo efficace di gestire le autorizzazioni per i gruppi sincronizzati ed è comunemente utilizzato anche nei metodi di autenticazione basati su LDAP.

Risorse Business.Adobe.com

Targeted Content Embedded Charts Document Generation Content Management Digital Rights Management Digital Asset Management