この機能は、Adobe Managed Services のお客様にのみご利用いただけます。
AEM 6.4.3.0では、AEMインスタンスとAdobeIMS(Identity Managementシステム)ベースの認証をAEMManaged Servicesのお客様に対してAdmin Consoleサポートします。
AEM onboarding to Admin Consoleを使用すると、AEMManaged Servicesのお客様は1つのコンソールですべてのExperience Cloudユーザーを管理できます。 ユーザーとグループをAEMインスタンスに関連付けられた製品プロファイルに割り当て、特定のインスタンスにログインできます。
IMS 認証は、AEM と Adobe IMS エンドポイントの間で OAuth プロトコルを使用して機能します。ユーザーが IMS に追加され、Adobe Identity を持つようになると、IMS 資格情報を使用して AEM Managed Services インスタンスにログインできます。
ユーザーログインフローを以下に示します。ユーザーは IMS にリダイレクトされ、オプションで SSO 検証のためにカスタマー IDP にリダイレクトされてから、AEM にリダイレクトされます。
お客様がAdmin Consoleにオンボーディングするのは、AEM認証にAdobeIMSを使用する前提条件です。
最初のステップとして、Adobe IMS に組織をプロビジョニングする必要があります。Adobe Admin Consoleでは、Adobe企業のお客様はIMS組織として表されます。
AEMManaged Servicesのお客様は、既に組織をプロビジョニングしておく必要があります。また、IMSプロビジョニングの一環として、お客様のインスタンスをAdmin Consoleで利用して、ユーザーの権利付与とアクセスを管理できます。
ユーザー認証のための IMS への移行は、AMS とお客様の共同作業となり、それぞれがワークフローを完了させます。
顧客が IMS 組織として存在し、AMS が顧客の IMS へのプロビジョニングを完了したら、次のような設定ワークフローを実行する必要があります。
お客様の規模と好みに応じて、ユーザーをオンボードする方法は 3 つあります。
ユーザーとグループは、Admin Console UIで手動で作成できます。 この方法は、管理するユーザー数が多くない場合に使用できます。(例:AEM ユーザーが 50 人未満の場合)
Analytics、Target、Creative Cloud などの他の Adobe 製品を管理するためにすでにこの方法を使用している場合は、ユーザーを手動で作成することもできます。
ユーザー作成を簡単に処理するには、CSV ファイルをアップロードしてまとめて追加します。
ユーザー同期ツール(UST)は、Active Directory または他のテスト済み OpenLDAP ディレクトリサービスを利用して、Adobe ユーザーを作成または管理することができます。対象ユーザーは、このツールをインストールおよび設定できる IT ID 管理者(エンタープライズディレクトリとシステムの管理者)です。オープンソースツールはカスタマイズ可能であるため、顧客は特定の要件に合うように開発者に修正させることができます。
ユーザー同期を実行すると、組織のActive Directory(または他の互換性のあるデータソース)からユーザーのリストが取得され、Admin Console内のユーザーのリストと比較されます。 次に、AdobeUser Management APIを呼び出して、Admin Consoleが組織のディレクトリと同期されるようにします。 変化の流れは完全に一方向です。Admin Consoleで行った編集は、ディレクトリにプッシュされません。
このツールを使用すると、システム管理者は顧客のディレクトリ内のユーザーグループを製品構成とAdmin Console内のユーザーグループにマッピングできます。新しいUSTバージョンでは、Admin Console内にユーザーグループを動的に作成することもできます。
ユーザー同期を設定するには、User Management API を使用する場合と同様に、組織が一連の資格情報を作成する必要があります。
ユーザー同期は、次の場所にある Adobe Github リポジトリを介して配布されます。
https://github.com/adobe-apiplatform/user-sync.py/releases/latest
プレリリース版のバージョン2.4RC1は、動的グループ作成のサポートで利用でき、次の場所にあります。https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1
このリリースの主な機能は、Admin Consoleのユーザーメンバーシップに対して新しいLDAPグループを動的にマッピングする機能と、動的なユーザーグループの作成です。
新しいグループ機能の詳細については、次を参照してください。
https://github.com/adobe-apiplatform/user-sync.py/blob/v2/docs/en/user-manual/advanced_configuration
AEM IMS の設定は、Adobe Managed Services チームによって処理されます。ただし、お客様の管理者は必要に応じて変更することができます(例えば、自動グループメンバーシップやグループマッピングなど)。IMS クライアントは、ご自身の Managed Services チームによっても登録されます。
お客様の製品管理者がAdmin Consoleにログインすると、AEMManaged Services製品コンテキストの複数のインスタンスが次のように表示されます。
この例では、AEM-MS-Onboard 組織は、Stage、Prod など、さまざまなトポロジと環境にまたがる 32 のインスタンスがあります。
詳細を確認してインスタンスを識別できます。
各製品コンテキストインスタンスの下に、関連付けられた製品プロファイルがあります。この製品プロファイルは、ユーザーおよびグループにアクセス権を割り当てるために使用されます。
この製品プロファイルの下に追加されたすべてのユーザーおよびグループは、以下の例に示すように、そのインスタンスにログインできます。
AEM では引き続き、管理ユーザーのローカルログインをサポートし、ログイン画面にはローカルでログインするオプションがあります。
他のユーザーの場合は、IMS がインスタンスに設定された後に、IMS ベースのログインを使用できます。ユーザーはまず、下に示すように、「Sign in with Adobe」ボタンをクリックします。
その後、ユーザーは IMS ログイン画面にリダイレクトされ、資格情報を入力します。
Admin Consoleの初回セットアップ中にFederated IDPが設定された場合、ユーザーはSSO用のお客様のIDPにリダイレクトされます。
以下の例では、IDP は Okta です。
認証が完了すると、ユーザーは AEM にリダイレクトされてログインします。
別の認証方式を使用していて、現在 IMS に移行されている既存の AEM インスタンスの場合、移行手順が必要です。
AEMリポジトリ内の既存のユーザー(ローカルソース、LDAPまたはSAML)は、User Migration Utilityを使用して、IDPとしてIMSに移行できます。
このユーティリティは、IMS プロビジョニングの一部として AMS チームによって実行されます。
アクセス制御と権限は、AEMで引き続き管理されます。これは、IMSからのユーザーグループ(下の例ではAEM-GRP-008)と、権限とアクセス制御が定義されたローカルグループを分離することで実現できます。 IMS から同期されたユーザーグループは、ローカルグループに割り当てられ、権限を継承することができます。
以下の例では、同期グループをローカル Dam_Users グループに追加しています。
ここでは、Admin Console内のいくつかのグループにも1人のユーザーが割り当てられています。 (ユーザーとグループは、ユーザー同期ツールを使用してLDAPから同期できるか、ローカルに作成できます。上記のOnboarding Users to theAdmin Consoleを参照してください)。
ユーザーグループは、ユーザーがインスタンスにログインした場合にのみ同期されます。
ユーザーは、IMS の以下のグループの一部です。
ユーザーがログインすると、以下に示すように、グループメンバーシップが同期されます。
AEM では、IMS から同期されたユーザーグループを既存のローカルグループ(DAM ユーザーなど)にメンバーとして追加できます。
以下に示すように、グループ AEM-GRP_008 は DAM ユーザーの権限と特権を継承します。これは同期されたグループに対する権限を管理する効果的な方法であり、LDAP ベースの認証方法でも一般的に使用されています。