Adobe IMS Authentication and Admin Console Support for AEM Managed Services

Introduzione

AEM 6.4.3.0 introduce Admin Console il supporto per le istanze AEM e l'autenticazione basata su Adobe IMS(Identity Management System) per i clienti AEM Managed Services.

AEM l’onboarding in Admin Console consentirà AEM clienti Managed Services di gestire tutti gli utenti di Experience Cloud in un’unica console. Gli utenti e i gruppi possono essere assegnati ai profili di prodotto associati alle istanze AEM, consentendo loro di accedere a un’istanza specifica.

Elementi di rilievo

• Il supporto per l’autenticazione IMS di AEM è riservato solo agli autori, agli amministratori o agli sviluppatori di AEM, non agli utenti finali esterni di siti di clienti come i visitatori del sito
• I Admin Console rappresentano AEM clienti Managed Services come organizzazioni IMS e le loro istanze come contesti di prodotto. Gli amministratori di prodotto e di sistema dei clienti potranno gestire l’accesso alle istanze
• AEM Managed Services sincronizzerà le topologie dei clienti con Admin Console. Ci sarà un'istanza di AEM contesto di prodotto Managed Services per istanza in Admin Console.
• I profili di prodotto in Admin Console determinano a quali istanze può accedere un utente
• È supportata l’autenticazione federata tramite provider di identità conformi a SAML 2 dei clienti
• Saranno supportati solo Enterprise ID o Federated ID (per il servizio Single Sign-On del cliente), non gli ID Adobe personali.
• User Management (ad Adobe Admin Console) continuerà a essere di proprietà degli amministratori dei clienti.

Architettura

L’autenticazione IMS funziona utilizzando il protocollo OAuth tra AEM e l’endpoint IMS di Adobe. Dopo l’aggiunta a IMS, un utente con identità Adobe può accedere ad AEM Managed Services utilizzando le credenziali IMS.

Il flusso di accesso dell'utente è mostrato di seguito, l'utente verrà reindirizzato a IMS ed eventualmente all'IDP del cliente per la convalida SSO e quindi reindirizzato nuovamente a AEM.

Come impostare

Onboarding Organizzazioni in Admin Console

L’onboarding del cliente in Admin Console è un prerequisito per utilizzare Adobe IMS per l’autenticazione AEM.

Come primo passo, i clienti devono disporre di un’organizzazione in Adobe IMS. I clienti Adobe Enterprise sono rappresentati come organizzazioni IMS nell’ Adobe Admin Console.

AEM i clienti Managed Services devono già disporre del provisioning di un’organizzazione e, nell’ambito del provisioning IMS, le istanze dei clienti saranno rese disponibili in Admin Console per la gestione delle adesioni e dell’accesso degli utenti.

Il passaggio a IMS per l’autenticazione degli utenti sarà uno sforzo congiunto tra AMS e i clienti, ciascuno dei quali avrà i propri flussi di lavoro da completare.

Quando un cliente esiste come organizzazione IMS e AMS esegue il provisioning del cliente per IMS, questo è il riepilogo dei flussi di lavoro di configurazione richiesti:

1. L'amministratore di sistema designato riceve un invito ad accedere a Admin Console
2. L’amministratore di sistema richiede il dominio per confermare la proprietà del dominio (in questo esempio acme.com)
3. L’amministratore di sistema imposta le directory utente
4. L’amministratore di sistema configura il provider di identità (IDP) in Admin Console per la configurazione SSO.
5. L’amministratore AEM gestisce i gruppi, le autorizzazioni e i privilegi locali come di consueto. Consulta Sincronizzazione utenti e gruppi

Onboarding degli utenti in Admin Console

Sono disponibili tre modi per integrare gli utenti a seconda delle dimensioni del cliente e delle loro preferenze:

1. Creare manualmente utenti e gruppi in Admin Console
2. Caricare un file CSV con gli utenti
3. Sincronizza utenti e gruppi dall'organizzazione Active Directory del cliente.

Aggiunta manuale tramite Admin Console interfaccia utente

Gli utenti e i gruppi possono essere creati manualmente nell'interfaccia utente Admin Console. Questo metodo può essere utilizzato se non dispongono di un numero elevato di utenti da gestire. Ad esempio, un numero di utenti meno di 50 AEM.

Gli utenti possono anche essere creati manualmente se il cliente utilizza già questo metodo per amministrare altri prodotti di Adobe come le applicazioni di Analytics, Target o Creative Cloud.

Caricamento di file nell’ Admin Console interfaccia utente

Per facilitare la creazione di utenti, è possibile caricare un file CSV per aggiungere utenti in blocco:

Strumento User Sync

Lo strumento User Sync (UST) consente ai clienti aziendali di creare o gestire gli utenti Adobe che utilizzano Active Directory o altri servizi di directory OpenLDAP testati. Gli utenti di destinazione sono amministratori di identità IT (directory Enterprise e amministratori di sistema) che saranno in grado di installare e configurare lo strumento. Lo strumento open source è personalizzabile in modo che i clienti possano modificarlo in base a specifiche esigenze.

Durante l’esecuzione di User Sync, recupera un elenco di utenti da Active Directory dell’organizzazione (o da qualsiasi altra origine dati compatibile) e lo confronta con l’elenco di utenti all’interno di Admin Console. Chiama quindi l'API Adobe User Management in modo che il Admin Console sia sincronizzato con la directory dell'organizzazione. Il flusso di variazione è interamente unidirezionale; eventuali modifiche apportate in Admin Console non vengono inviate alla directory.

Lo strumento consente all’amministratore di sistema di mappare i gruppi di utenti nella directory del cliente con la configurazione del prodotto e i gruppi di utenti nel Admin Console, la nuova versione di UST consente anche la creazione dinamica di gruppi di utenti nel Admin Console.

Per configurare User Sync, l’organizzazione deve creare un set di credenziali in modo analogo a come userebbe l’User Management API .

User Sync viene distribuito tramite l’archivio Adobe Github nel seguente percorso:

https://github.com/adobe-apiplatform/user-sync.py/releases/latest

Una versione pre-release 2.4RC1 è disponibile con supporto per la creazione di gruppi dinamici ed è disponibile qui: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1

Le funzionalità principali di questa versione sono la possibilità di mappare in modo dinamico nuovi gruppi LDAP per l'iscrizione dell'utente in Admin Console, così come la creazione di gruppi di utenti dinamici.

Ulteriori informazioni sulle nuove funzioni per i gruppi sono disponibili qui:

https://github.com/adobe-apiplatform/user-sync.py/blob/v2/docs/en/user-manual/advanced_configuration

Guida all’uso

Gestione dei prodotti e dell'accesso utente in Admin Console

Quando l’amministratore del prodotto del cliente accede a Admin Console, visualizza più istanze del contesto di prodotto Managed Services AEM come mostrato di seguito:

In questo esempio, l'organizzazione AEM-MS-Onboard dispone di 32 istanze che si estendono su topologie e ambienti diversi come Stage, Prod, ecc.

Puoi controllare i dettagli dell’istanza per identificare l’istanza:

In ogni istanza del contesto di prodotto, sarà presente un profilo di prodotto associato. Questo profilo di prodotto viene utilizzato per assegnare l’accesso a utenti e gruppi.

Tutti gli utenti e i gruppi aggiunti sotto questo profilo di prodotto potranno accedere a tale istanza come mostrato nell’esempio seguente:

Accesso a AEM

Accesso amministratore locale

AEM continuare a supportare gli accessi locali per gli utenti amministratori, in quanto la schermata di accesso dispone di un’opzione per accedere localmente:

Accesso basato su IMS

Per altri utenti, è possibile utilizzare l’accesso basato su IMS dopo che IMS è stato configurato per l’istanza. L'utente farà prima clic sul pulsante Accedi con Adobe come mostrato di seguito:

Vengono quindi reindirizzati alla schermata di accesso di IMS e immettono le proprie credenziali:

Se durante la configurazione iniziale di Admin Console viene configurato un IDP federato, l'utente verrà reindirizzato all'IDP del cliente per l'accesso SSO.

L'IDP è Okta nell'esempio seguente:

Una volta completata l’autenticazione, l’utente verrà reindirizzato ad AEM per eseguire l’accesso:

Migrazione di utenti esistenti

Per le istanze AEM esistenti che utilizzano un altro metodo di autenticazione e che vengono ora migrate a IMS, è necessario eseguire un passaggio di migrazione.

Gli utenti esistenti nell'archivio AEM (originati localmente, tramite LDAP o SAML) possono essere migrati per puntare a IMS come IDP utilizzando l'Utilità di migrazione utenti.

Questa utility verrà eseguita dal team AMS come parte del provisioning IMS.

Gestione di autorizzazioni e ACL in AEM

Il controllo degli accessi e le autorizzazioni continueranno a essere gestiti in AEM, ciò può essere ottenuto separando i gruppi di utenti provenienti da IMS (ad esempio, AEM-GRP-008 nell’esempio seguente) e i gruppi locali in cui sono definite le autorizzazioni e il controllo degli accessi. I gruppi di utenti sincronizzati da IMS possono essere assegnati a gruppi locali e ereditare le autorizzazioni.

Nell’esempio seguente, ad esempio, i gruppi sincronizzati vengono aggiunti al gruppo Dam_Users locale.

In questo caso, un utente è stato assegnato anche ad alcuni gruppi nel Admin Console. ( Tieni presente che gli utenti e i gruppi possono essere sincronizzati da LDAP utilizzando lo strumento di sincronizzazione degli utenti o creati localmente, consulta la sezione Utenti di onboarding alAdmin Console precedente).

L’utente fa parte dei seguenti gruppi in IMS:

Quando l’utente esegue l’accesso, le iscrizioni ai gruppi vengono sincronizzate, come illustrato di seguito:

In AEM, i gruppi di utenti sincronizzati da IMS possono essere aggiunti come membri a gruppi locali esistenti, ad esempio Utenti DAM.

Come mostrato di seguito, il gruppo AEM-GRP_008 eredita le autorizzazioni e i privilegi degli utenti DAM. Questo è un modo efficace di gestire le autorizzazioni per i gruppi sincronizzati ed è comunemente utilizzato anche nei metodi di autenticazione basati su LDAP.