AEM Configuración de LDAP con 6

LDAP (el L peso ligero D directorio A Acceso P protocolo) se utiliza para acceder a los servicios de directorio centralizados. Esto ayuda a reducir el esfuerzo necesario para administrar las cuentas de usuario, ya que varias aplicaciones pueden acceder a ellas. Uno de estos servidores LDAP es Active Directory. LDAP se utiliza a menudo para lograr el inicio de sesión único, que permite al usuario acceder a varias aplicaciones después de iniciar sesión una vez.

Las cuentas de usuario se pueden sincronizar entre el servidor LDAP y el repositorio, y los detalles de la cuenta LDAP se guardan en el repositorio. Esto permite asignar las cuentas a grupos de repositorios para asignar los permisos y privilegios necesarios.

El repositorio utiliza la autenticación LDAP para autenticar a estos usuarios, con credenciales que se pasan al servidor LDAP para su validación, que es necesaria antes de permitir el acceso al repositorio. Para mejorar el rendimiento, el repositorio puede almacenar en caché las credenciales validadas correctamente, con un tiempo de espera de caducidad para garantizar que la revalidación se produzca después de un periodo adecuado.

Cuando se elimina una cuenta del servidor LDAP, ya no se concede la validación y, por lo tanto, se deniega el acceso al repositorio. Los detalles de las cuentas LDAP guardadas en el repositorio también se pueden purgar.

El uso de dichas cuentas es transparente para los usuarios, ya que no ven ninguna diferencia entre las cuentas de usuario y de grupo creadas a partir de LDAP y las creadas únicamente en el repositorio.

AEM En el 6 de marzo, la compatibilidad con LDAP viene con una nueva implementación que requiere un tipo de configuración diferente a la de las versiones anteriores.

Todas las configuraciones de LDAP están ahora disponibles como configuraciones de OSGi. Se pueden configurar mediante la consola de administración web en:
https://serveraddress:4502/system/console/configMgr

AEM Para que LDAP funcione con la, debe crear tres configuraciones OSGi:

1. Un proveedor de identidad LDAP (IDP).
2. Un controlador de sincronización.
3. Un módulo de inicio de sesión externo.

Configuración del proveedor de identidad LDAP

El proveedor de identidad LDAP se utiliza para definir cómo se recuperan los usuarios del servidor LDAP.

Se encuentra en la consola de administración, en Proveedor de identidad LDAP Apache Jackrabbit Oak nombre.

Las siguientes opciones de configuración están disponibles para el proveedor de identidad LDAP:

Configuración Del Controlador De Sincronización

El controlador de sincronización definirá cómo se sincronizarán los usuarios y grupos del proveedor de identidad con el repositorio.

Se encuentra bajo la Controlador de sincronización predeterminado Apache Jackrabbit Oak nombre en la consola de administración.

Las siguientes opciones de configuración están disponibles para el Controlador de sincronización:

El módulo de inicio de sesión externo

El módulo de inicio de sesión externo se encuentra en Módulo de inicio de sesión externo de Apache Jackrabbit Oak en la consola de administración.

Su trabajo es definir qué proveedor de identidad y controlador de sincronización utilizar, enlazando de forma eficaz los dos módulos.

Estas son las opciones de configuración disponibles:

Configuración de LDAP sobre SSL

AEM Se puede configurar 6 para que se autentique con LDAP a través de SSL siguiendo el siguiente procedimiento:

1. Compruebe la Usar SSL o Usar TLS casillas de verificación al configurar Proveedor de identidad LDAP.

2. Configure el controlador de sincronización y el módulo de inicio de sesión externo según la configuración.

3. Instale los certificados SSL en su VM de Java si es necesario. Esto se puede hacer con keytool:

   keytool -import -alias localCA -file <certificate location> -keystore <keystore location>

4. Pruebe la conexión con el servidor LDAP.

Creación de certificados SSL

AEM Los certificados autofirmados se pueden utilizar al configurar la autenticación con LDAP a través de SSL. AEM A continuación se muestra un ejemplo de un procedimiento de trabajo para generar certificados para su uso con la.

1. Asegúrese de tener una biblioteca SSL instalada y en funcionamiento. Este procedimiento utilizará OpenSSL como ejemplo.

2. Cree un archivo de configuración OpenSSL (cnf) personalizado. Esto se puede hacer copiando el archivo de configuración openssl.cnf ​ predeterminado y personalizándolo. En sistemas UNIX, normalmente se encuentra en /usr/lib/ssl/openssl.cnf

3. Continúe creando la clave raíz de la CA ejecutando el siguiente comando en un terminal:

   openssl genpkey -algorithm [public key algorithm] -out certificatefile.key -pkeyopt [public key algorithm option]
   

4. A continuación, cree un nuevo certificado autofirmado:

   openssl req -new -x509 -days [number of days for certification] -key certificatefile.key -out root-ca.crt -config CA/openssl.cnf

5. Inspect utiliza el certificado recién generado para asegurarse de que todo está en orden:

   openssl x509 -noout -text -in root-ca.crt

6. Asegúrese de que existen todas las carpetas especificadas en el archivo de configuración de certificado (.cnf). Si no es así, créelos.

7. Cree una semilla aleatoria ejecutando, por ejemplo:

   openssl rand -out private/.rand 8192

8. Mueva los archivos .pem creados a las ubicaciones configuradas en el archivo .cnf.

9. Finalmente, agregue el certificado al repositorio de claves Java.

Habilitar el registro de depuración

El registro de depuración se puede habilitar tanto para el proveedor de identidad LDAP como para el módulo de inicio de sesión externo para solucionar los problemas de conexión.

Para habilitar el registro de depuración, debe:

1. Vaya a la consola de administración web.
2. Busque "Configuración del registrador de Apache Sling" y cree dos registradores con las siguientes opciones:

• Nivel de registro: depuración

• Archivo de registro logs/ldap.log

• Patrón de mensajes: {0,date,dd.MM.yyyy HH:mm:ss.SSS} *{4}* {2}

• Registrador: org.apache.jackrabbit.oak.security.authentication.ldap

• Nivel de registro: depuración

• Archivo de registro: logs/external.log

• Patrón de mensajes: {0,date,dd.MM.yyyy HH:mm:ss.SSS} *{4}* {2}

• Registrador: org.apache.jackrabbit.oak.spi.security.authentication.external

Una palabra sobre afiliación grupal

AEM Los usuarios sincronizados a través de LDAP pueden formar parte de diferentes grupos en el espacio de trabajo de. AEM Estos grupos pueden ser grupos LDAP externos que se agregarán a los grupos como parte del proceso de sincronización, pero también pueden ser grupos que se agregan por separado y que no forman parte del esquema de afiliación original del grupo LDAP.

AEM En la mayoría de los casos, estos pueden ser grupos agregados por un administrador de la red local de identidad o por cualquier otro proveedor de identidad.

AEM Si se elimina un usuario de un grupo en el servidor LDAP, el cambio también se reflejará en el lado del usuario tras la sincronización. El cambio también se reflejará en el lado del usuario en el que se haya realizado la sincronización. Sin embargo, todas las demás afiliaciones de grupo del usuario que no fueron agregadas por LDAP permanecerán en su lugar.

AEM y gestiona la depuración de usuarios de grupos externos utilizando rep:externalId propiedad. Esta propiedad se agrega automáticamente a cualquier usuario o grupo sincronizado por el controlador de sincronización y contiene información sobre el proveedor de identidad de origen.

Para obtener más información, consulte Documentación de Apache Oak sobre Sincronización de usuarios y grupos.

Problemas conocidos

Si planea utilizar LDAP sobre SSL, asegúrese de que los certificados que está utilizando se crean sin la opción de comentario Netscape. Si esta opción está habilitada, la autenticación fallará con un error de protocolo de enlace SSL.

Recursos de Business.Adobe.com

Multichannel Communication Content Insights Auto Form Fill Targeted Content Responsive Forms Managed Cloud