Gestionnaire d’authentification SAML 2.0

AEM est livré avec un gestionnaire d’authentification SAML. Ce gestionnaire fournit la prise en charge du protocole de requête d’authentification SAML 2.0 (profil web-SSO) à l’aide de la liaison HTTP POST.

Il prend en charge :

• la signature et le chiffrement des messages ;
• la création automatique d’utilisateurs ;
• synchronisation de groupes avec les groupes existants dans AEM
• Authentification initiée par le fournisseur de services et le fournisseur d’identité

Ce gestionnaire stocke le message de réponse SAML chiffré dans le nœud utilisateur (usernode/samlResponse) pour faciliter la communication avec un fournisseur tiers.

Configuration du gestionnaire d’authentification SAML 2.0

La console web permet d’accéder à la configuration de gestionnaire d’authentification SAML 2.0 appelée Gestionnaire d’authentification SAML 2.0 Adobe Granite. Les propriétés suivantes peuvent être définies.

Chemin Chemin du référentiel pour lequel ce gestionnaire d’authentification doit être utilisé par Sling. Si le champ est vide, le gestionnaire d’authentification est désactivé.

Classement des services Valeur de classement du service de structure OSGi pour indiquer l’ordre dans lequel appeler ce service. Il s’agit d’un nombre entier, et les valeurs les plus élevées indiquent une priorité plus élevée.

Alias de certificat IDP L’alias du certificat IdP dans le TrustStore global. Si cette propriété n’est pas renseignée, le gestionnaire d’authentification est désactivé. Voir le chapitre Ajout du certificat IdP au TrustStore AEM ci-dessous sur la façon de le configurer.

URL IDP URL du fournisseur d’identité auquel la demande d’authentification SAML doit être envoyée. Si cette propriété n’est pas renseignée, le gestionnaire d’authentification est désactivé.

Identifiant d’entité du fournisseur de services Identifiant qui identifie de manière unique ce fournisseur de services auprès du fournisseur d’identité. Si cette propriété n’est pas renseignée, le gestionnaire d’authentification est désactivé.

Redirection par défaut L’emplacement par défaut vers lequel rediriger après une authentification réussie.

Attribut User-ID Nom de l’attribut contenant l’ID utilisateur utilisé pour authentifier et créer l’utilisateur dans le référentiel CRX.

Utiliser le chiffrement Que ce gestionnaire d’authentification attende ou non des assertions SAML chiffrées.

Création automatique d’utilisateurs CRX Si vous souhaitez créer automatiquement des utilisateurs non existants dans le référentiel après une authentification réussie.

Ajouter aux groupes Si un utilisateur doit être automatiquement ajouté aux groupes CRX après une authentification réussie.

Appartenance à un groupe Le nom du saml:Attribute contenant une liste des groupes CRX auxquels cet utilisateur doit être ajouté.

Ajout du certificat IdP au TrustStore AEM

Les assertions SAML sont signées et peuvent éventuellement être chiffrées. Pour que cela fonctionne, vous devez fournir au moins le certificat public de l’IdP dans le référentiel. Pour ce faire, vous devez :

1. Accédez à http:/serveraddress:serverport/libs/granite/security/content/truststore.html

2. Appuyez sur la touche Créer un lien TrustStore

3. Saisissez le mot de passe du TrustStore et appuyez sur Enregistrer.

4. Cliquez sur Gérer TrustStore.

5. Téléchargez le certificat IdP.

6. Notez l’alias du certificat. L’alias est admin#1436172864930 dans l’exemple ci-dessous.

   

Ajoutez la clé de fournisseur et la chaîne de certificats au KeyStore AEM.

1. Accédez à : http://localhost:4502/libs/granite/security/content/useradmin.html
2. Modifiez la variable authentication-service utilisateur.
3. Créez un KeyStore en cliquant sur Créer le KeyStore sous Paramètres du compte.

1. Téléchargez le fichier de clé privée en cliquant sur Sélectionner le fichier de clé privée. La clé doit être au format PKCS#8 avec codage DER.

2. Téléchargez le fichier de certificat en cliquant sur Sélectionner les fichiers de la chaîne de certificats.

3. Attribuez un alias, comme illustré ci-dessous :

   

Configuration d’un enregistreur pour SAML

Vous pouvez configurer un enregistreur afin de déboguer tous les problèmes pouvant résulter d’une mauvaise configuration de SAML. Vous pouvez le faire en procédant comme suit :

1. Accédez à la console web à l’adresse http://localhost:4502/system/console/configMgr

2. Recherchez et cliquez sur l’entrée appelée Configuration de l’enregistreur de journalisation Apache Sling

3. Créez un enregistreur avec la configuration suivante :

   • Niveau de consignation : débogage
   • Fichier journal : logs/saml.log
   • Enregistreur : com.adobe.granite.auth.saml

Ressources Business.Adobe.com

Multichannel Communication Auto Text Summarization Customer Communications Managed Cloud Content Management Content Management System