Questa funzione è disponibile solo per i clienti di Adobe Managed Services.
AEM attualmente non supporta l’assegnazione di gruppi ai profili. Gli utenti devono essere aggiunti singolarmente.
AEM 6.4.3.0 introduce Admin Console supporto per le istanze AEM e autenticazione basata su Adobe IMS (Identity Management System) per Managed Services AEM clienti.
Onboarding dell’AEM in Admin Console consentirà ai clienti Managed Services dell’AEM di gestire tutti gli utenti Experienci Cloud in un’unica console. Gli utenti possono essere assegnati a profili di prodotto associati a istanze AEM, consentendo loro di accedere a un’istanza specifica.
L’autenticazione IMS funziona utilizzando il protocollo OAuth tra l’AEM e l’endpoint Adobe IMS. Dopo l’aggiunta a IMS, un utente con identità Adobe può accedere ad AEM Managed Services utilizzando le credenziali IMS.
Il flusso di accesso dell’utente è mostrato di seguito, l’utente verrà reindirizzato a IMS e facoltativamente all’IDP del cliente per la convalida SSO e quindi reindirizzato nuovamente a AEM.
L’onboarding del cliente in Admin Console è un prerequisito per l’utilizzo di Adobe IMS per l’autenticazione AEM.
Come primo passaggio, per i clienti deve essere stato eseguito il provisioning di un’organizzazione in Adobe IMS. Adobe I clienti Enterprise sono rappresentati come organizzazioni IMS nel Adobe Admin Console.
I clienti Managed Services dell’AEM devono già avere eseguito il provisioning di un’organizzazione e, come parte del provisioning IMS, le istanze dei clienti saranno rese disponibili nel Admin Console per la gestione dei diritti utente e dell’accesso.
Il passaggio a IMS per l’autenticazione degli utenti sarà uno sforzo congiunto tra AMS e i clienti, ciascuno con i propri flussi di lavoro da completare.
Una volta che un cliente esiste come organizzazione IMS e AMS ha completato il provisioning per IMS, si tratta del riepilogo dei flussi di lavoro di configurazione richiesti:
Per ulteriori informazioni sull’Adobe Nozioni di base di Identity Management, inclusa la configurazione IDP, consulta l’articolo questa pagina.
Per ulteriori informazioni su Enterprise Administration e Admin Console vedi l’articolo questa pagina.
Sono disponibili tre modi per integrare gli utenti a seconda delle dimensioni del cliente e delle sue preferenze:
Gli utenti e i gruppi possono essere creati manualmente in Admin Console UI. Questo metodo può essere utilizzato se il numero di utenti da gestire non è elevato. Ad esempio, un numero inferiore a 50 utilizzatori di AEM.
Gli utenti possono anche essere creati manualmente se il cliente sta già utilizzando questo metodo per amministrare altri prodotti Adobe come le applicazioni Analytics, Target o Creative Cloud.
Per facilitare la creazione di utenti, è possibile caricare un file CSV per aggiungere utenti in blocco:
Lo strumento User Sync consente ai clienti aziendali di creare o gestire utenti Adobi che utilizzano Active Directory o altri servizi di directory OpenLDAP testati. Gli utenti target sono amministratori di identità IT (Enterprise Directory e amministratori di sistema) che saranno in grado di installare e configurare lo strumento. Lo strumento open source è personalizzabile in modo che i clienti possano chiedere a uno sviluppatore di modificarlo in base a esigenze specifiche.
Quando viene eseguito, User Sync recupera un elenco di utenti dall’istanza di Active Directory dell’organizzazione (o da qualsiasi altra origine dati compatibile) e lo confronta con l’elenco di utenti all’interno di Admin Console. Quindi chiama l'Adobe User Management in modo che il Admin Console viene sincronizzato con la directory dell’organizzazione. Il flusso di modifica è interamente unidirezionale; tutte le modifiche apportate nel Admin Console non viene inviato alla directory.
Lo strumento consente all’amministratore di sistema di mappare i gruppi di utenti nella directory del cliente con la configurazione del prodotto e i gruppi di utenti nella Admin Console, la nuova versione di User Sync consente anche la creazione dinamica di gruppi di utenti in Admin Console.
Per configurare User Sync, l’organizzazione deve creare un set di credenziali in modo analogo a come userebbe l’User Management API .
La sincronizzazione degli utenti viene distribuita tramite l’archivio Github di Adobe nella posizione seguente:
https://github.com/adobe-apiplatform/user-sync.py/releases/latest
È disponibile una versione non definitiva 2.4RC1 con supporto per la creazione di gruppi dinamici, disponibile qui: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1
Le funzioni principali di questa versione sono la possibilità di mappare dinamicamente nuovi gruppi LDAP per l’iscrizione degli utenti nel Admin Consolenonché la creazione dinamica di gruppi di utenti.
Ulteriori informazioni sulle nuove funzioni per i gruppi sono disponibili qui:
Per ulteriori informazioni sullo strumento User Sync, consulta pagina della documentazione.
Lo strumento User Sync deve essere registrato come client UMAPI di Adobe I/O seguendo la procedura descritta qui.
È possibile trovare la documentazione della console Adobe I/O qui.
Il User Management L'API utilizzata dallo strumento User Sync viene descritta qui posizione.
La configurazione IMS dell’AEM verrà gestita dal team di Adobe Managed Services. Tuttavia, l’amministratore del cliente può modificarla in base alle proprie esigenze (ad esempio iscrizione automatica al gruppo o mappatura del gruppo). Anche il client IMS verrà registrato dal team Managed Services.
Quando l’amministratore del prodotto del cliente accede a Admin Console, verranno visualizzate più istanze del contesto di prodotto Managed Services dell’AEM come mostrato di seguito:
In questo esempio, l’organizzazione AEM-MS-Onboard dispone di 32 istanze che si estendono su topologie e ambienti diversi come Stage, Prod, ecc.
I dettagli dell’istanza possono essere controllati per identificarla:
In ogni istanza del contesto di prodotto sarà presente un profilo di prodotto associato. Questo profilo di prodotto viene utilizzato per assegnare l’accesso agli utenti.
Tutti gli utenti aggiunti in questo profilo di prodotto potranno accedere a tale istanza come mostrato nell’esempio seguente:
AEM può continuare a supportare gli accessi locali per gli utenti Admin, in quanto la schermata di accesso dispone di un’opzione per accedere localmente:
Per altri utenti, è possibile utilizzare l’accesso basato su IMS dopo che IMS è stato configurato per l’istanza. L’utente farà prima clic sul pulsante Accedi con un Adobe come mostrato di seguito:
Vengono quindi reindirizzati alla schermata di accesso di IMS e immettono le relative credenziali:
Se un IDP federato è configurato durante il Admin Console , l'utente verrà reindirizzato all'IDP del cliente per l'SSO.
L’IDP è Okta nell’esempio seguente:
Una volta completata l’autenticazione, l’utente verrà reindirizzato ad AEM per eseguire l’accesso:
Per le istanze AEM esistenti che utilizzano un altro metodo di autenticazione e ora stanno eseguendo la migrazione a IMS, è necessario un passaggio di migrazione.
Gli utenti esistenti nell’archivio AEM (originato localmente, tramite LDAP o SAML) possono essere migrati per indicare IMS come IDP utilizzando l’utility di migrazione utenti.
Questa utility verrà eseguita dal team AMS come parte del provisioning IMS.
Il controllo degli accessi e le autorizzazioni continueranno a essere gestiti in AEM; a questo scopo è possibile separare i gruppi di utenti provenienti da IMS (ad esempio AEM-GRP-008 nell’esempio seguente) e dai gruppi locali in cui sono definite le autorizzazioni e il controllo degli accessi. I gruppi di utenti sincronizzati da IMS possono essere assegnati a gruppi locali ed ereditare le autorizzazioni.
Nell’esempio seguente, ad esempio, i gruppi sincronizzati vengono aggiunti al gruppo Dam_Users locale.
In questo caso, un utente è stato assegnato anche ad alcuni gruppi nella Admin Console. ( Gli utenti e i gruppi possono essere sincronizzati da LDAP utilizzando lo strumento di sincronizzazione degli utenti o creati localmente, consulta la sezione Onboarding degli utenti inAdmin Console sopra).
I gruppi di utenti vengono sincronizzati solo quando gli utenti accedono all’istanza.
L’utente fa parte dei seguenti gruppi in IMS:
Quando l’utente esegue l’accesso, le iscrizioni ai gruppi vengono sincronizzate, come illustrato di seguito:
In AEM, i gruppi di utenti sincronizzati da IMS possono essere aggiunti come membri a gruppi locali esistenti, ad esempio DAM Users.
Come mostrato di seguito, il gruppo AEM-GRP_008 eredita le autorizzazioni e i privilegi degli utenti DAM. Si tratta di un modo efficace per gestire le autorizzazioni per i gruppi sincronizzati ed è comunemente utilizzato anche nei metodi di autenticazione basati su LDAP.