Gestore di autenticazione SAML 2.0

L’AEM viene fornito con un SAML gestore di autenticazione. Questo gestore supporta SAML 2.0 Authentication Request Protocol (profilo Web-SSO) utilizzando HTTP POST binding.

Supporta:

• firma e crittografia dei messaggi
• creazione automatica di utenti
• sincronizzazione dei gruppi con quelli esistenti nell’AEM
• Autenticazione avviata dal provider di servizi e dal provider di identità

Questo gestore memorizza il messaggio di risposta SAML crittografato nel nodo utente ( usernode/samlResponse) per facilitare la comunicazione con un fornitore di servizi di terze parti.

Configurazione del gestore di autenticazione SAML 2.0

Il Console web fornisce accesso al SAML Configurazione del gestore di autenticazione 2.0 chiamata Gestore autenticazione SAML 2.0 Adobe Granite. È possibile impostare le seguenti proprietà.

Percorso Percorso dell’archivio per il quale Sling deve utilizzare questo gestore di autenticazione. Se è vuoto, il gestore di autenticazione verrà disabilitato.

Classifica dei servizi Valore di classificazione del servizio del framework OSGi per indicare l’ordine in cui chiamare questo servizio. Si tratta di un valore intero in cui i valori più alti indicano una precedenza maggiore.

Alias certificato IDP Alias del certificato del provider di identità nel truststore globale. Se questa proprietà è vuota, il gestore di autenticazione è disabilitato. Consulta il capitolo "Aggiungere il certificato IdP al TrustStore AEM" di seguito per informazioni su come configurarlo.

URL IDP URL dell'IDP a cui inviare la richiesta di autenticazione SAML. Se questa proprietà è vuota, il gestore di autenticazione è disabilitato.

ID entità provider di servizi ID che identifica in modo univoco questo provider di servizi con il provider di identità. Se questa proprietà è vuota, il gestore di autenticazione è disabilitato.

Reindirizzamento predefinito Percorso predefinito a cui reindirizzare dopo l’autenticazione.

Attributo User-ID Nome dell’attributo contenente l’ID utente utilizzato per autenticare e creare l’utente nell’archivio CRX.

Usa crittografia Indica se il gestore di autenticazione prevede o meno asserzioni SAML crittografate.

Crea automaticamente utenti CRX Specifica se creare automaticamente o meno utenti non esistenti nel repository dopo l'autenticazione riuscita.

Aggiungi a gruppi Specifica se un utente deve essere aggiunto automaticamente ai gruppi CRX dopo la corretta autenticazione.

Appartenenza al gruppo Nome dell'attributo saml:Attribute contenente un elenco di gruppi CRX a cui l'utente deve essere aggiunto.

Aggiungi il certificato IdP al TrustStore AEM

Le asserzioni SAML sono firmate e possono essere facoltativamente crittografate. Affinché questo funzioni, devi fornire almeno il certificato pubblico dell'IdP nell'archivio. A questo scopo, devi:

1. Vai a http:/serveraddress:serverport/libs/granite/security/content/truststore.html

2. Premere il tasto Crea collegamento TrustStore

3. Immettere la password per il TrustStore e premere Salva.

4. Fai clic su Gestisci TrustStore.

5. Carica il certificato IdP.

6. Prendi nota dell’alias del certificato. L’alias è admin#1436172864930 nell’esempio seguente.

   

Aggiungere la chiave del provider di servizi e la catena di certificati al keystore AEM

1. Vai a: http://localhost:4502/libs/granite/security/content/useradmin.html
2. Modifica il authentication-service utente.
3. Creare un registro chiavi facendo clic su Crea registro chiavi in Impostazioni account.

1. Crea il certificato/coppia di chiavi per AEM. Il comando per generarlo tramite openssl deve essere simile all'esempio seguente:

   openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out certificate.crt -keyout key.pem

2. Converti la chiave nel formato PKCS#8 con codifica DER. Questo è il formato richiesto dal keystore AEM.

   openssl pkcs8 -topk8 -inform PEM -outform DER -in key.pem -out key.der -nocrypt

3. Carica il file della chiave privata facendo clic su Seleziona file di chiave privata.

4. Carica il file del certificato facendo clic su Seleziona file di portachiavi certificati.

5. Assegna un alias, come illustrato di seguito:

   

Configurare un logger per SAML

È possibile impostare un logger per eseguire il debug di eventuali problemi derivanti da una configurazione non corretta di SAML. Per farlo, segui questi passaggi:

1. Vai alla console web, all’indirizzo http://localhost:4502/system/console/configMgr

2. Cerca e fai clic sulla voce denominata Configurazione logger registrazione Sling Apache

3. Crea un logger con la seguente configurazione:

   • Livello registro: Debug
   • File di registro: logs/saml.log
   • Logger: com.adobe.granite.auth.saml