SAML 2.0 認証ハンドラー

AEM には、SAML 認証ハンドラーが付属しています。このハンドラは、 SAML 2.0 Authentication Request Protocol （Web-SSO プロファイル）を使用する場合は、 HTTP POST 連結。

次の機能をサポートします。

• メッセージの署名と暗号化
• ユーザーの自動作成
• AEM でグループを既存のグループに同期させる
• サービスプロバイダーと ID プロバイダーで開始される認証

このハンドラーは、暗号化された SAML 応答メッセージをユーザーノード（usernode/samlResponse）に格納して、サードパーティのサービスプロバイダーとの通信を容易にします。

SAML 2.0 認証ハンドラーの設定

Web コンソールを使用すると、SAML 2.0 認証ハンドラーの設定（Adobe Granite SAML 2.0 Authentication Handler）にアクセスできます。設定可能なプロパティを以下に示します。

パス この認証ハンドラーが Sling によって使用される場合のリポジトリのパスです。このプロパティが空の場合は、認証ハンドラーが無効になります。

サービスランキング このサービスを呼び出す順序を示す OSGi フレームワークサービスランキングの値です。これは整数値で、値が大きいほど優先順位が高くなります。

IDP 証明書エイリアス グローバル TrustStore における IdP の証明書のエイリアスです。このプロパティが空の場合は、認証ハンドラーが無効になります。設定方法については、以下の「AEM TrustStore への IdP 証明書の追加」の章を参照してください。

IDP URL SAML 認証要求を送信する必要のある IDP の URL です。このプロパティが空の場合は、認証ハンドラーが無効になります。

サービスプロバイダーのエンティティ ID このサービスプロバイダーを ID プロバイダーとして一意に識別する ID です。このプロパティが空の場合は、認証ハンドラーが無効になります。

デフォルトのリダイレクト 認証が成功した後のデフォルトのリダイレクト先です。

ユーザー ID 属性 CRX リポジトリでのユーザーの認証および作成に使用されるユーザー ID を格納する属性の名前です。

暗号化を使用 この認証ハンドラーが暗号化された SAML アサーションを使用するかどうかを示します。

CRX ユーザーを自動作成 認証が成功した後に、リポジトリで既存のユーザー以外のユーザーを自動的に作成するかどうかを示します。

グループに追加 認証が成功した後に、CRX グループにユーザーを自動的に追加する必要があるかどうかを示します。

グループメンバーシップ このユーザが追加されるべき CRX グループのリストを含む saml:Attribute の名前です。

IdP 証明書をAEM TrustStore に追加する

SAML アサーションは署名され、オプションで暗号化できます。 この機能を使用するには、リポジトリ内の IdP の公開証明書を少なくとも指定する必要があります。 これをおこなうには、次の手順を実行します。

1. http:/serveraddress:serverport/libs/granite/security/content/truststore.html に移動します。

2. TrustStore リンクを作成 を押します。

3. TrustStore のパスワードを入力し、 保存.

4. クリック： TrustStore を管理.

5. IdP 証明書をアップロードします。

6. 証明書のエイリアスをメモします。 エイリアスはです。 admin#1436172864930 を次の例に示します。

   

AEM キーストアへのサービスプロバイダーキーと証明書チェーンを追加

1. http://localhost:4502/libs/granite/security/content/useradmin.html に移動します。
2. authentication-service ユーザーを編集します。
3. アカウント設定 の キーストアを作成 をクリックしてキーストアを作成します。

1. AEM の証明書／鍵のペアを作成します。OpenSSL を使用して生成するコマンドは、次の例のようになります。

   openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out certificate.crt -keyout key.pem

2. キーを DER エンコードを使用して PKCS#8 形式に変換します。これは、AEM キーストアで必要な形式です。

   openssl pkcs8 -topk8 -inform PEM -outform DER -in key.pem -out key.der -nocrypt

3. 秘密鍵ファイルを選択 をクリックして秘密鍵ファイルをアップロードします。

4. 「 」をクリックして証明書ファイルをアップロードします 証明書チェーンファイルを選択.

5. 次に示すように、エイリアスを割り当てます。

   

SAML 用のロガーの設定

SAML の設定ミスに起因する問題をデバッグするロガーを設定できます。 手順は次のとおりです。

1. Web コンソール（http://localhost:4502/system/console/configMgr）に移動

2. を検索して、 Apache Sling Logging Logger Configuration

3. 次の設定でロガーを作成します。

   • ログレベル： デバッグ
   • ログファイル： logs/saml.log
   • ロガー： com.adobe.granite.auth.saml