Autenticazione Adobe IMS e Admin Console Supporto per Managed Services AEM

NOTA

Questa funzione è disponibile solo per i clienti di Adobe Managed Services.

NOTA

AEM attualmente non supporta l’assegnazione di gruppi ai profili. Gli utenti devono essere aggiunti singolarmente.

Introduzione

AEM 6.4.3.0 introduce Admin Console supporto per le istanze AEM e l’autenticazione basata su Adobe IMS (Identity Management System) per AEM Managed Services clienti.

AEM onboarding Admin Console consentirà AEM clienti Managed Services di gestire tutti gli utenti di Experience Cloud in un’unica console. Gli utenti e i gruppi possono essere assegnati ai profili di prodotto associati alle istanze AEM, consentendo loro di accedere a un’istanza specifica.

Elementi di rilievo

  • Il supporto per l’autenticazione IMS di AEM è riservato solo agli autori, agli amministratori o agli sviluppatori di AEM, non agli utenti finali esterni di siti di clienti come i visitatori del sito
  • La Admin Console rappresenta AEM clienti Managed Services come organizzazioni IMS e le loro istanze come contesti di prodotto. Gli amministratori di prodotto e di sistema dei clienti potranno gestire l’accesso alle istanze
  • AEM Managed Services sincronizzerà le topologie dei clienti con Admin Console. Ci sarà un'istanza di AEM contesto di prodotto Managed Services per istanza nel Admin Console.
  • Profili di prodotto in Admin Console determinerà a quali istanze può accedere un utente
  • È supportata l’autenticazione federata tramite provider di identità conformi a SAML 2 dei clienti
  • Saranno supportati solo Enterprise ID o Federated ID (per il servizio Single Sign-On del cliente), non gli ID Adobe personali.
  • User Management (in Adobe Admin Console) continuerà a essere di proprietà degli amministratori dei clienti.

Architettura

L’autenticazione IMS funziona utilizzando il protocollo OAuth tra AEM e l’endpoint Adobe IMS. Dopo l’aggiunta a IMS, un utente con identità Adobe può accedere ad AEM Managed Services utilizzando le credenziali IMS.

Il flusso di accesso dell'utente è mostrato di seguito, l'utente verrà reindirizzato a IMS ed eventualmente all'IDP del cliente per la convalida SSO e quindi reindirizzato nuovamente a AEM.

image2018-9-23_23-55-8

Come impostare

Organizzazione di onboarding in Admin Console

L’onboarding del cliente in Admin Console è un prerequisito per l’utilizzo di Adobe IMS per l’autenticazione AEM.

Come primo passo, i clienti devono disporre di un'organizzazione in Adobe IMS. Ad Adobe, i clienti Enterprise sono rappresentati come organizzazioni IMS nel Adobe Admin Console.

AEM i clienti Managed Services devono già disporre del provisioning di un’organizzazione e, nell’ambito del provisioning IMS, le istanze dei clienti saranno rese disponibili nel Admin Console per la gestione delle adesioni e dell’accesso degli utenti.

Il passaggio a IMS per l’autenticazione degli utenti sarà uno sforzo congiunto tra AMS e i clienti, ciascuno dei quali avrà i propri flussi di lavoro da completare.

Quando un cliente esiste come organizzazione IMS e AMS esegue il provisioning del cliente per IMS, questo è il riepilogo dei flussi di lavoro di configurazione richiesti:

image2018-9-23_23-33-25

  1. L’amministratore di sistema designato riceve un invito ad accedere al Admin Console
  2. L’amministratore di sistema richiede il dominio per confermare la proprietà del dominio (in questo esempio acme.com)
  3. L'amministratore di sistema imposta le directory utente
  4. L’amministratore di sistema configura il provider di identità (IDP) nel Admin Console per la configurazione SSO.
  5. L’amministratore AEM gestisce i gruppi, le autorizzazioni e i privilegi locali come di consueto. Consulta Sincronizzazione utenti e gruppi
NOTA

Per ulteriori informazioni su Adobe Identity Management Basics, inclusa la configurazione IDP, consulta l’articolo questa pagina.

Per ulteriori informazioni sull’amministrazione Enterprise e Admin Console vedi l'articolo questa pagina.

Onboarding degli utenti in Admin Console

Sono disponibili tre modi per integrare gli utenti a seconda delle dimensioni del cliente e delle loro preferenze:

  1. Creare manualmente utenti e gruppi in Admin Console
  2. Caricare un file CSV con gli utenti
  3. Sincronizza utenti e gruppi dall'organizzazione Active Directory del cliente.

Aggiunta manuale tramite Admin Console Interfaccia

Gli utenti e i gruppi possono essere creati manualmente nel Admin Console Interfaccia utente. Questo metodo può essere utilizzato se non dispongono di un numero elevato di utenti da gestire. Ad esempio, un numero di utenti meno di 50 AEM.

Gli utenti possono anche essere creati manualmente se il cliente utilizza già questo metodo per amministrare altri prodotti di Adobe come le applicazioni di Analytics, Target o Creative Cloud.

image2018-9-23_20-39-9

Caricamento di file in Admin Console Interfaccia

Per facilitare la creazione di utenti, è possibile caricare un file CSV per aggiungere utenti in blocco:

image2018-9-23_18-59-57

Strumento User Sync

Lo strumento User Sync (UST) consente ai clienti aziendali di creare o gestire gli utenti Adobe che utilizzano Active Directory o altri servizi di directory OpenLDAP testati. Gli utenti di destinazione sono amministratori di identità IT (directory Enterprise e amministratori di sistema) che saranno in grado di installare e configurare lo strumento. Lo strumento open source è personalizzabile in modo che i clienti possano modificarlo in base a specifiche esigenze.

Durante l’esecuzione di User Sync, recupera un elenco di utenti da Active Directory dell’organizzazione (o da qualsiasi altra origine dati compatibile) e lo confronta con l’elenco di utenti all’interno della Admin Console. Chiama quindi l'Adobe User Management in modo che Admin Console viene sincronizzato con la directory dell’organizzazione. Il flusso di variazione è interamente unidirezionale; eventuali modifiche apportate nel Admin Console non venire spinti nella directory.

Lo strumento consente all’amministratore di sistema di mappare i gruppi di utenti nella directory del cliente con la configurazione del prodotto e i gruppi di utenti nel Admin Console, la nuova versione di UST consente anche la creazione dinamica di gruppi di utenti nel Admin Console.

Per configurare User Sync, l’organizzazione deve creare un set di credenziali in modo analogo a come userebbe l’User Management API .

image2018-9-23_13-36-56

User Sync viene distribuito tramite l’archivio Adobe Github nel seguente percorso:

https://github.com/adobe-apiplatform/user-sync.py/releases/latest

Una versione pre-release 2.4RC1 è disponibile con supporto per la creazione di gruppi dinamici ed è disponibile qui: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1

Le principali funzioni di questa versione sono la possibilità di mappare in modo dinamico nuovi gruppi LDAP per l'iscrizione dell'utente nel Admin Console, nonché la creazione di gruppi di utenti dinamici.

Ulteriori informazioni sulle nuove funzioni per i gruppi sono disponibili qui:

https://adobe-apiplatform.github.io/user-sync.py/en/user-manual/advanced_configuration.html#additional-group-options

NOTA

Per ulteriori informazioni sullo strumento User Sync, consulta la pagina della documentazione.

Lo strumento User Sync deve essere registrato come client UMAPI di Adobe I/O utilizzando la procedura descritta qui.

È possibile trovare la documentazione della console Adobe I/O qui.

La User Management L’API utilizzata dallo strumento User Sync viene descritta in posizione.

NOTA

La configurazione IMS AEM sarà gestita dal team di Adobe Managed Services. Tuttavia, l’amministratore del cliente può modificarlo in base alle proprie esigenze (ad esempio, Appartenenza al gruppo automatico o Mappatura gruppo). Il client IMS verrà registrato anche dal team Managed Services.

Guida all’uso

Gestione dei prodotti e dell’accesso utente in Admin Console

Quando l'amministratore del prodotto del cliente accede a Admin Console, vedranno più istanze del contesto di prodotto Managed Services AEM come mostrato di seguito:

screen_shot_2018-09-17at105804pm

In questo esempio, l’organizzazione Onboard AEM-MS dispone di 32 istanze che si estendono su topologie e ambienti diversi come Stage, Prod, ecc.

screen_shot_2018-09-17at105517pm

Puoi controllare i dettagli dell’istanza per identificare l’istanza:

screen_shot_2018-09-17at105601pm

In ogni istanza del contesto di prodotto, sarà presente un profilo di prodotto associato. Questo profilo di prodotto viene utilizzato per assegnare l’accesso a utenti e gruppi.

image2018-9-18_7-48-50

Tutti gli utenti e i gruppi aggiunti sotto questo profilo di prodotto potranno accedere a tale istanza come mostrato nell’esempio seguente:

screen_shot_2018-09-17at105623pm

Accesso a AEM

Accesso amministratore locale

AEM continuare a supportare gli accessi locali per gli utenti amministratori, in quanto la schermata di accesso dispone di un’opzione per accedere localmente:

screen_shot_2018-09-18at121056am

Accesso basato su IMS

Per altri utenti, è possibile utilizzare l’accesso basato su IMS dopo che IMS è stato configurato per l’istanza. L’utente farà prima clic sul pulsante Accesso con Adobe come mostrato di seguito:

image2018-9-18_0-10-32

Vengono quindi reindirizzati alla schermata di accesso di IMS e immettono le proprie credenziali:

screen_shot_2018-09-17at115629pm

Se durante l'iniziale viene configurato un IDP federato Admin Console quindi l'utente verrà reindirizzato all'IDP del cliente per SSO.

L'IDP è Okta nell'esempio seguente:

screen_shot_2018-09-17at115734pm

Una volta completata l’autenticazione, l’utente verrà reindirizzato ad AEM per eseguire l’accesso:

screen_shot_2018-09-18at120124am

Migrazione di utenti esistenti

Per le istanze AEM esistenti che utilizzano un altro metodo di autenticazione e che vengono ora migrate a IMS, è necessario eseguire un passaggio di migrazione.

Gli utenti esistenti nell'archivio AEM (originati localmente, tramite LDAP o SAML) possono essere migrati per puntare a IMS come IDP utilizzando l'Utilità di migrazione utenti.

Questa utility verrà eseguita dal team AMS come parte del provisioning IMS.

Gestione di autorizzazioni e ACL in AEM

Il controllo degli accessi e le autorizzazioni continueranno a essere gestiti in AEM, ciò può essere ottenuto separando i gruppi di utenti provenienti da IMS (ad esempio, AEM-GRP-008 nell’esempio seguente) e i gruppi locali in cui sono definite le autorizzazioni e il controllo degli accessi. I gruppi di utenti sincronizzati da IMS possono essere assegnati a gruppi locali e ereditare le autorizzazioni.

Nell’esempio seguente, ad esempio, i gruppi sincronizzati vengono aggiunti al gruppo Dam_Users locale.

In questo caso, un utente è stato assegnato anche a alcuni gruppi nel Admin Console. ( Si prega di notare che gli utenti e i gruppi possono essere sincronizzati da LDAP utilizzando lo strumento di sincronizzazione degli utenti o creati localmente, vedi la sezione Onboarding degli utenti inAdmin Console sopra).

NOTA

I gruppi di utenti vengono sincronizzati solo quando gli utenti accedono all'istanza.

screen_shot_2018-09-17at94207pm

L’utente fa parte dei seguenti gruppi in IMS:

screen_shot_2018-09-17at94237pm

Quando l’utente esegue l’accesso, le iscrizioni ai gruppi vengono sincronizzate, come illustrato di seguito:

screen_shot_2018-09-17at94033pm

In AEM, i gruppi di utenti sincronizzati da IMS possono essere aggiunti come membri a gruppi locali esistenti, ad esempio Utenti DAM.

screen_shot_2018-09-17at95804pm

Come mostrato di seguito, il gruppo AEM-GRP_008 eredita le autorizzazioni e i privilegi degli utenti DAM. Questo è un modo efficace di gestire le autorizzazioni per i gruppi sincronizzati ed è comunemente utilizzato anche nei metodi di autenticazione basati su LDAP.

screen_shot_2018-09-17at110505pm

In questa pagina