Autenticazione e Admin Console Supporto per AEM Managed Services

Ultimo aggiornamento: 2023-12-05
  • Argomenti:
  • Security
    Visualizza ulteriori informazioni su questo argomento
NOTA

Questa funzione è disponibile solo per i clienti Adobe Managed Services.

Introduzione

AEM 6.4.3.0 introduce Admin Console supporto per le istanze AEM e autenticazione basata su Adobe IMS (Identity Management System) per Managed Services AEM clienti.

Onboarding dell’AEM in Admin Console consentirà ai clienti Managed Services dell’AEM di gestire tutti gli utenti Experienci Cloud in un’unica console. Gli utenti possono essere assegnati a profili di prodotto associati a istanze AEM, consentendo loro di accedere a un’istanza specifica.

Elementi di rilievo

  • Il supporto per l’autenticazione AEM IMS è riservato solo agli autori, agli amministratori o agli sviluppatori AEM e non agli utenti finali esterni del sito del cliente, come i visitatori del sito
  • Il Admin Console rappresenterà i clienti Managed Services dell’AEM come organizzazioni IMS e le loro istanze come contesti di prodotto. Gli amministratori di prodotto e sistema del cliente potranno gestire l’accesso alle istanze
  • AEM Managed Services sincronizzerà le topologie dei clienti con Admin Console. Nell’ sarà presente un’istanza del contesto di prodotto AEM Managed Services per istanza Admin Console.
  • Profili di prodotto in Admin Console determina le istanze a cui un utente può accedere
  • È supportata l’autenticazione federata tramite i provider di identità conformi a SAML 2 dei clienti
  • Saranno supportati solo Enterprise ID e Federated ID (per il Single Sign-On del cliente), non gli ID Adobe personali.
  • User Management (nell'Adobe Admin Console) continuerà a essere di proprietà degli amministratori dei clienti.

Architettura

L’autenticazione IMS funziona utilizzando il protocollo OAuth tra l’AEM e l’endpoint Adobe IMS. Dopo l’aggiunta a IMS, un utente con identità Adobe può accedere ad AEM Managed Services utilizzando le credenziali IMS.

Il flusso di accesso dell’utente è mostrato di seguito, l’utente verrà reindirizzato a IMS e facoltativamente all’IDP del cliente per la convalida SSO e quindi reindirizzato nuovamente a AEM.

image2018-9-23_23-55-8

Come Impostare

Onboarding di organizzazioni in Admin Console

L’onboarding del cliente in Admin Console è un prerequisito per l’utilizzo di Adobe IMS per l’autenticazione AEM.

Come primo passaggio, per i clienti deve essere stato eseguito il provisioning di un’organizzazione in Adobe IMS. Adobe I clienti Enterprise sono rappresentati come organizzazioni IMS nel Adobe Admin Console.

I clienti Managed Services dell’AEM devono già avere eseguito il provisioning di un’organizzazione e, come parte del provisioning IMS, le istanze dei clienti saranno rese disponibili nel Admin Console per la gestione dei diritti utente e dell’accesso.

Il passaggio a IMS per l’autenticazione degli utenti sarà uno sforzo congiunto tra AMS e i clienti, ciascuno con i propri flussi di lavoro da completare.

Una volta che un cliente esiste come organizzazione IMS e AMS ha completato il provisioning per IMS, si tratta del riepilogo dei flussi di lavoro di configurazione richiesti:

image2018-9-23_23-33-25

  1. L’amministratore di sistema designato riceve un invito ad accedere al Admin Console
  2. L’amministratore di sistema richiede il dominio per confermare la proprietà del dominio (in questo esempio acme.com)
  3. L’amministratore di sistema configura le directory utente
  4. L’amministratore di sistema configura il provider di identità (IDP) in Admin Console per la configurazione SSO.
  5. L’amministratore AEM gestisce i gruppi locali, le autorizzazioni e i privilegi come di consueto. Consulta User and Group Sync
NOTA

Per ulteriori informazioni sull’Adobe Nozioni di base di Identity Management, inclusa la configurazione IDP, consulta l’articolo questa pagina.

Per ulteriori informazioni su Enterprise Administration e Admin Console vedi l’articolo questa pagina.

Onboarding degli utenti in Admin Console

Sono disponibili tre modi per integrare gli utenti a seconda delle dimensioni del cliente e delle sue preferenze:

  1. Creare manualmente utenti e gruppi in Admin Console
  2. Carica un file CSV con gli utenti
  3. Sincronizza utenti e gruppi con Active Directory aziendale del cliente.

Aggiunta manuale tramite Admin Console UI

Gli utenti e i gruppi possono essere creati manualmente in Admin Console UI. Questo metodo può essere utilizzato se non hanno molti utenti da gestire. Ad esempio, meno di 50 persone affette da AEM.

Gli utenti possono anche essere creati manualmente se il cliente sta già utilizzando questo metodo per amministrare altri prodotti di Adobe come le applicazioni Adobe Analytics, Adobe Target o Adobe Creative Cloud.

image2018-9-23_20-39-9

Caricamento di file in Admin Console UI

Per facilitare la creazione di utenti, è possibile caricare un file CSV per aggiungere utenti in blocco:

image2018-9-23_18-59-57

Strumento User Sync

Lo strumento User Sync consente ai clienti aziendali di creare o gestire utenti Adobi che utilizzano Active Directory o altri servizi di directory OpenLDAP testati. Gli utenti target sono amministratori di identità IT (Enterprise Directory e amministratori di sistema) che saranno in grado di installare e configurare lo strumento. Lo strumento open-source è personalizzabile in modo che i clienti possano chiedere a uno sviluppatore di modificarlo in base alle proprie esigenze.

Quando viene eseguito, User Sync recupera un elenco di utenti dall’istanza di Active Directory dell’organizzazione (o da qualsiasi altra origine dati compatibile) e lo confronta con l’elenco di utenti all’interno di Admin Console. Quindi chiama l'Adobe User Management in modo che il Admin Console viene sincronizzato con la directory dell’organizzazione. Il flusso di modifica è interamente unidirezionale, ovvero qualsiasi modifica apportata nel Admin Console non viene inviato alla directory.

Lo strumento consente all’amministratore di sistema di mappare i gruppi di utenti nella directory del cliente con la configurazione del prodotto e i gruppi di utenti nella Admin Console, la nuova versione di User Sync consente anche la creazione dinamica di gruppi di utenti in Admin Console.

Per impostare User Sync, l’organizzazione deve creare un set di credenziali in modo analogo a come userebbe la User Management API.

image2018-9-23_13-36-56

La sincronizzazione degli utenti viene distribuita tramite l’archivio Github di Adobe nella posizione seguente:

https://github.com/adobe-apiplatform/user-sync.py/releases/latest

È disponibile una versione non definitiva 2.4RC1 con supporto per la creazione di gruppi dinamici, disponibile qui: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1

Le funzioni principali di questa versione sono la possibilità di mappare dinamicamente nuovi gruppi LDAP per l’iscrizione degli utenti nel Admin Consolee la creazione dinamica di gruppi di utenti.

Ulteriori informazioni sulle nuove funzioni per i gruppi sono disponibili qui:

https://adobe-apiplatform.github.io/user-sync.py/en/user-manual/advanced_configuration.html#additional-group-options

NOTA

Per ulteriori informazioni sullo strumento User Sync, consultate pagina della documentazione.

Lo strumento User Sync deve essere registrato come client UMAPI di Adobe I/O seguendo la procedura descritta qui.

È possibile trovare la documentazione della console Adobe I/O qui.

Il User Management L'API utilizzata dallo strumento User Sync viene descritta qui posizione.

NOTA

La configurazione AEM IMS sarà gestita dal team Adobe Managed Services. Tuttavia, l’amministratore del cliente può modificarla in base alle proprie esigenze (ad esempio, Iscrizione automatica al gruppo o Mappatura del gruppo). Anche il client IMS verrà registrato dal team Managed Services.

Guida all’uso

Gestione dei prodotti e dell’accesso degli utenti in Admin Console

Quando l’amministratore del prodotto del cliente accede a Admin Console, verranno visualizzate più istanze del contesto di prodotto Managed Services dell’AEM come mostrato di seguito:

screen_shot_2018-09-17alle105804pm

In questo esempio, l’organizzazione AEM-MS-Onboard dispone di 32 istanze che si estendono su topologie e ambienti diversi, come Stage, Prod e così via.

screen_shot_2018-09-17alle105517pm

I dettagli dell’istanza possono essere controllati per identificarla:

screen_shot_2018-09-17alle105601pm

In ogni istanza del contesto di prodotto sarà presente un profilo di prodotto associato. Questo profilo di prodotto viene utilizzato per assegnare l’accesso agli utenti.

image2018-9-18_7-48-50

Tutti gli utenti aggiunti in questo profilo di prodotto potranno accedere a tale istanza come mostrato nell’esempio seguente:

screen_shot_2018-09-17alle105623pm

Accesso all’AEM

Accesso amministratore locale

AEM può continuare a supportare gli accessi locali per gli utenti Admin, in quanto la schermata di accesso dispone di un’opzione per accedere localmente:

screen_shot_2018-09-18 121056

Accesso basato su IMS

Per altri utenti, è possibile utilizzare l’accesso basato su IMS dopo che IMS è stato configurato per l’istanza. L’utente fa prima clic su Accedi con un Adobe come mostrato di seguito:

image2018-9-18_0-10-32

Vengono quindi reindirizzati alla schermata di accesso di IMS e immettono le relative credenziali:

screen_shot_2018-09-17alle115629pm

Se un IDP federato è configurato durante il Admin Console , l'utente verrà reindirizzato all'IDP del cliente per l'SSO.

L’IDP è Okta nell’esempio seguente:

screen_shot_2018-09-17alle115734pm

Una volta completata l’autenticazione, l’utente verrà reindirizzato ad AEM per eseguire l’accesso:

screen_shot_2018-09-18 120124

Migrazione degli utenti esistenti

Per le istanze AEM esistenti che utilizzano un altro metodo di autenticazione e ora stanno eseguendo la migrazione a IMS, è necessario un passaggio di migrazione.

Gli utenti esistenti nell’archivio AEM (originato localmente, tramite LDAP o SAML) possono essere migrati per indicare IMS come IDP utilizzando l’utility di migrazione utenti.

Questa utility verrà eseguita dal team AMS come parte del provisioning IMS.

Gestione di autorizzazioni e ACL in AEM

Il controllo degli accessi e le autorizzazioni continueranno a essere gestiti in AEM; a questo scopo è possibile separare i gruppi di utenti provenienti da IMS (ad esempio AEM-GRP-008 nell’esempio seguente) e dai gruppi locali in cui sono definite le autorizzazioni e il controllo degli accessi. I gruppi di utenti sincronizzati da IMS possono essere assegnati a gruppi locali ed ereditare le autorizzazioni.

Nell’esempio seguente, ad esempio, i gruppi sincronizzati vengono aggiunti al gruppo Dam_Users locale.

In questo caso, un utente è stato assegnato anche ad alcuni gruppi nella Admin Console. Gli utenti e i gruppi possono essere sincronizzati da LDAP utilizzando lo strumento User Sync o creati localmente. Consulta Onboarding degli utenti inAdmin Console precedenti).

NOTA

I gruppi di utenti vengono sincronizzati solo quando gli utenti accedono all’istanza.

screen_shot_2018-09-17alle94207pm

L’utente fa parte dei seguenti gruppi in IMS:

screen_shot_2018-09-17alle94237pm

Quando l’utente esegue l’accesso, le iscrizioni ai gruppi vengono sincronizzate, come illustrato di seguito:

screen_shot_2018-09-17alle94033pm

In AEM, i gruppi di utenti sincronizzati da IMS possono essere aggiunti come membri a gruppi locali esistenti, ad esempio DAM Users.

screen_shot_2018-09-17alle95804pm

Come mostrato di seguito, il gruppo AEM-GRP_008 eredita le autorizzazioni e i privilegi degli utenti DAM. Si tratta di un modo efficace per gestire le autorizzazioni per i gruppi sincronizzati ed è comunemente utilizzato anche nei metodi di autenticazione basati su LDAP.

screen_shot_2018-09-17alle110505pm

In questa pagina