SAML 2.0驗證處理常式

AEM隨附SAML驗證處理常式。此處理常式支援使用HTTP POST系結的SAML 2.0驗證請求通訊協定（Web-SSO描述檔）。

它支援：

此處理常式會將加密的SAML回應訊息儲存在使用者節點(usernode/samlResponse)中，以利與協力廠商服務提供者通訊。

注意

若要閱讀端對端社群文章，請按一下：將SAML與Adobe Experience Manager整合。

設定SAML 2.0驗證處理常式

Web控制台提供對SAML 2.0驗證處理常式組態的存取，稱為Adobe Granite SAML 2.0驗證處理常式。可以設定以下屬性。

注意

SAML 2.0驗證處理常式預設為停用。您必須至少設定以下屬性之一才能啟用處理程式：

注意

SAML斷言會經過簽署，並可選擇加密。為了達到此目的，您必須至少在TrustStore中提供身分提供者的公開憑證。如需詳細資訊，請參閱將IdP憑證新增至TrustStore區段。

PathRepository 路徑，Sling應使用此驗證處理常式。如果此為空白，則會停用驗證處理常式。

服務排名OSGi Framework服務排名值，以指出呼叫此服務的順序。這是一個整數值，其中較高的值指定較高的優先順序。

IDP憑證 別名全域信任存放區中IdP憑證的別名。如果此屬性為空，則禁用驗證處理程式。請參閱下方的「將IdP憑證新增至AEM TrustStore」一章，瞭解如何設定。

SAML驗證 請求應傳送至之IDP的身分提供者URL。如果此屬性為空，則禁用驗證處理程式。

注意

必須將身分提供者主機名稱新增至Apache Sling Referrer Filter OSGi組態。有關詳細資訊，請參閱Web控制台部分。

服務提供者實體 IDID，此IDID可唯一識別此服務提供者與身分提供者。如果此屬性為空，則禁用驗證處理程式。

預設重 新導向成功驗證後，要重新導向的預設位置。

注意

此位置僅在未設定request-path Cookie時使用。如果您要求設定路徑下方的任何頁面，但沒有有效的登入Token，請求的路徑會儲存在Cookie中
成功驗證後，瀏覽器將重新導向至此位置。

User-ID屬 性包含用於在CRX儲存庫中驗證和建立用戶的用戶ID的屬性的名稱。

注意

使用者ID不會從SAML斷言的saml:Subject節點取得，而是從此saml:Attribute取得。

使用加密此驗證處理常式是否需要加密的SAML斷言。

自動建立CRX 用戶成功驗證後是否在儲存庫中自動建立非現有用戶。

注意

如果禁用了CRX用戶的自動建立，則必須手動建立用戶。

新增至群 組成功驗證後，使用者是否應自動新增至CRX群組。

群組成員資格包含此使用者應加入之CRX群組清單的saml:Attribute的名稱。

SAML斷言會經過簽署，並可選擇加密。為了使此功能發揮作用，您必須至少在儲存庫中提供IdP的公共證書。為此，您需要：

前往http:/serveraddress:serverport/libs/granite/security/content/truststore.html
按Create TrustStore連結
輸入TrustStore的密碼，然後按Save。
按一下管理TrustStore。
上傳IdP憑證。
記下證書別名。別名為admin#1436172864930，如下例所示。

注意

以下步驟為必要步驟，否則會引發下列例外：com.adobe.granite.keystore.KeyStoreNotInitialisedException: Uninitialised system trust store

注意

只有當處理程式應能夠簽署或解密訊息時，才需要下列步驟。

您可以設定記錄器，以除錯任何因SAML設定錯誤而可能產生的問題。您可以透過下列方式執行此動作：

前往Web控制台，網址為http://localhost:4502/system/console/configMgr
搜尋並按一下名為Apache Sling Logging Logger Configuration的項目
使用以下配置建立記錄器：
- 記錄檔層級：除 錯
- 日誌檔案： logs/saml.log
- Logger: com.adobe.granite.auth.saml