この機能は、Adobe Managed Services のお客様にのみご利用いただけます。
AEM では、現在、プロファイルへのグループの割り当てをサポートしていません。代わりに、ユーザーを個別に追加する必要があります。
AEM 6.4.3.0 では、AEM インスタンスに対する Admin Console のサポートおよび AEM Managed Services のお客様のための Adobe IMS(Identity Management System)ベースの認証が導入されました。
AEM が Admin Console をオンボーディングしたことにより、AEM Managed Services のお客様は 1 つのコンソールですべての Experience Cloud ユーザーを管理できます。AEMインスタンスに関連付けられた製品プロファイルにユーザーを割り当てて、特定のインスタンスにログインできます。
IMS 認証は、AEMとAdobe IMSエンドポイントの間で OAuth プロトコルを使用して機能します。 ユーザーが IMS に追加され、Adobe ID を持つようになると、IMS 資格情報を使用して AEM Managed Services インスタンスにログインできます。
ユーザーログインフローを以下に示します。ユーザーは IMS にリダイレクトされ、必要に応じて SSO 検証のために顧客 IDP にリダイレクトされてから、AEMにリダイレクトされます。
Admin Console へお客様をオンボーディングすることは、AEM 認証に Adobe IMS を使用するための前提条件です。
最初のステップとして、Adobe IMS に組織をプロビジョニングする必要があります。Adobe Enterprise のお客様は、Adobe Admin Console に IMS 組織として表されています。
AEM Managed Services のお客様は、すでに組織がプロビジョニングされています。また、IMS プロビジョニングの一環として、ユーザーの使用権限とアクセスを管理するために、Admin Console でカスタマーインスタンスを利用できるようになります。
ユーザー認証のための IMS への移行は、AMS とお客様の共同作業となり、それぞれがワークフローを完了させます。
顧客が IMS 組織として存在し、AMS が顧客の IMS へのプロビジョニングを完了したら、次のような設定ワークフローを実行する必要があります。
ユーザーをオンボードする方法は、お客様の規模と好みに応じて 3 つあります。
ユーザーとグループは、Admin Console の UI で手動で作成できます。この方法は、管理するユーザー数が多くない場合に使用できます。 例えば、AEMユーザーが 50 人未満の場合、
また、Analytics、Target、Creative Cloudアプリケーションなど、他のAdobe製品の管理に既にこの方法を使用している場合は、手動でユーザーを作成することもできます。
CSV ファイルをアップロードしてユーザーをまとめて登録すると、ユーザーの作成を簡単に処理できます。
Adobe同期ツール (UST) を使用すると、企業のお客様は、Active Directory や他のテスト済みの OpenLDAP ディレクトリサービスを利用して、ユーザーを作成または管理できます。 対象ユーザーは、ツールをインストールおよび設定できる IT ID 管理者(Enterprise Directory および System Admin)です。 オープンソースツールはカスタマイズ可能なので、顧客は独自の要件に合わせて開発者に変更してもらうことができます。
ユーザー同期が実行されると、組織の Active Directory(または他の互換性のあるデータソース)からユーザーのリストを取得し、それを Admin Console. その後、Adobeを呼び出します User Management API で Admin Console は組織のディレクトリと同期されます。 変更の流れは完全に一方向です。Admin Console で行った編集はディレクトリにプッシュされません。
このツールを使用すると、システム管理者は、お客様のディレクトリ内のユーザーグループを、 Admin Consoleまた、新しい UST バージョンでは、 Admin Console.
ユーザー同期を設定するには、User Management API を使用する場合と同様に、お客様の組織で一連の資格情報を作成する必要があります。
ユーザー同期は、次の場所にある Adobe Github リポジトリを介して配布されます。
https://github.com/adobe-apiplatform/user-sync.py/releases/latest
次の場所にあるプレリリースバージョンの 2.4RC1 は、動的グループの作成をサポートしています。https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1
このリリースの主な機能は、Admin Console でユーザーのメンバーシップに合わせて新しい LDAP グループを動的にマッピングする機能と、動的にユーザーグループを作成する機能です。
新しいグループ機能の詳細については、こちらを参照してください。
AEM IMS の設定は、Adobe Managed Services チームによって処理されます。 ただし、顧客管理者は要件(自動グループメンバーシップやグループマッピングなど)に従って変更できます。 IMS クライアントもManaged Servicesチームによって登録されます。
お客様の製品管理者が Admin Console にログインすると、次に示すように、AEM Managed Services 製品コンテキストの複数のインスタンスが表示されます。
この例では、AEM-MS-Onboard 組織には、ステージング、実稼働など、さまざまなトポロジと環境にまたがる 32 のインスタンスがあります。
詳細を確認するとインスタンスを識別できます。
各製品コンテキストのインスタンスの下に、関連する製品プロファイルがあります。この製品プロファイルは、ユーザーにアクセス権を割り当てる際に使用します。
この製品プロファイルの下に追加されたユーザーは、次の例に示すように、そのインスタンスにログインできます。
ログイン画面にはローカルでログインするオプションがあるので、AEMは引き続き管理者ユーザーのローカルログインをサポートできます。
他のユーザーの場合は、IMS がインスタンスに設定された後に、IMS ベースのログインを使用できます。ユーザーが最初に Adobe ボタンをクリックします。
その後、ユーザーは IMS ログイン画面にリダイレクトされ、資格情報を入力します。
Admin Console の初期設定中にフェデレーテッド IDP が設定される場合、ユーザーは SSO 用のカスタマー IDP にリダイレクトされます。
次の例では、IDP は Okta です。
認証が完了すると、ユーザーは AEM にリダイレクトされてログインします。
別の認証方法を使用しており、現在 IMS に移行中の既存のAEMインスタンスの場合は、移行手順が必要です。
AEM リポジトリ内の既存ユーザー(LDAP または SAML を介してローカルに提供される)は、IDP がユーザー移行ユーティリティを使用しているため、IMS を指すように移行できます。
このユーティリティは、IMS プロビジョニングの一環として AMS チームによって実行されます。
アクセス制御とアクセス許可は引き続き AEM で管理されます。これは、IMS からのユーザーグループ(以下の例では AEM-GRP-008)と、アクセス許可とアクセス制御が定義されているローカルグループの分離を使用して実現できます。IMS から同期されたユーザーグループは、ローカルグループに割り当てられ、権限を継承することができます。
以下の例では、同期グループをローカル Dam_Users グループに追加しています。
ここでは、ユーザーは Admin Console のいくつかのグループにも割り当てられています。(ユーザーとグループは、ユーザー同期ツールを使用して LDAP から同期することも、ローカルで作成することもできます。前述の Admin Console へのユーザーのオンボードを参照してください)。
ユーザーグループは、ユーザーがインスタンスにログインした場合にのみ同期されます。
ユーザーは、IMS の以下のグループの一部です。
ユーザーがログインすると、以下に示すように、グループメンバーシップが同期されます。
AEM では、IMS から同期されたユーザーグループを既存のローカルグループ(DAM ユーザーなど)にメンバーとして追加できます。
以下に示すように、グループは AEM-GRP_008 は、DAM ユーザーの権限と権限を継承します。 これは、同期されたグループの権限を効果的に管理する方法で、LDAP ベースの認証方法でも一般的に使用されます。