单点登录

单点登录(SSO)允许用户在提供一次身份验证凭据（如用户名和密码）后访问多个系统。 单独的系统（称为受信任验证器）执行该验证并向Experience Manager提供用户凭据。 Experience Manager检查并强制用户访问权限（即确定允许用户访问哪些资源）。

SSO身份验证处理程序服务(com.adobe.granite.auth.sso.impl.SsoAuthenticationHandler)处理受信任身份验证器提供的身份验证结果。 SSO身份验证处理程序按此顺序在以下位置中搜索ssid（SSO标识符）作为特殊属性的值：

  1. 请求标头
  2. Cookie
  3. 请求参数

找到值后，搜索即完成，并使用此值。

配置以下两个服务以识别存储ssid的属性的名称：

  • 登录模块。
  • SSO身份验证服务。

您必须为两个服务指定相同的属性名称。 属性包含在提供给Repository.login的SimpleCredentials中。 属性值不相关且被忽略，仅存在属性值就很重要并得到验证。

配置SSO

要为AEM实例配置SSO，您需要配置SSO身份验证处理程序:

  1. 使用AEM时，有多种方法可管理此类服务的配置设置；请参阅配置OSGi以了解更多详细信息和建议的做法。

    例如，对于NTLM集：

    • 路径： 根据需要；例如， /

    • 标题名称: LOGON_USER

    • ID格式: ^<DOMAIN>\\(.+)$

      其中<*DOMAIN*>由您自己的域名替换。
      对于CoSign:

    • 路径： 根据需要；例如， /

    • 标题名称:remote_user

    • ID格式： 原样

    对于SiteMinder:

    • 路径： 根据需要；例如， /
    • 标题名 称：SM_USER
    • ID格式:原样

  2. 确认单点登录是否按要求运行；包括授权。

注意

确保用户在配置SSO时无法直接访问AEM。

通过要求用户通过运行您的SSO系统代理的Web服务器，可确保没有用户能够直接发送将使用户受到AEM信任的头、Cookie或参数，因为如果代理从外部发送此类信息，则代理将过滤这些信息。

如果任何用户能够直接访问您的AEM实例，而无需通过Web服务器，则他们可以通过发送标头、Cookie或参数来充当任何用户（如果名称已知）。

另外，在标头、Cookie和请求参数名称中，您只配置SSO设置所需的名称。

注意

单点登录通常与LDAP一起使用。

注意

如果还将Dispatcher与Microsoft Internet Information Server(IIS)一起使用，则需要在以下位置进行其他配置：

  • disp_iis.ini
  • IIS

在disp_iis.ini设置中：
（有关完整详细信息，请参阅随Microsoft Internet Information Server安装调度程序）

  • servervariables=1 （将IIS服务器变量作为请求标头转发到远程实例）
  • replaceauthorization=1 （将名为“Authorization”而非“Basic”的任何标头替换为其“Basic”等效标头）

在IIS中：

  • 禁用​匿名访问

  • 启用​集成Windows身份验证

您可以使用Felix控制台的​Authenticator​选项查看哪个身份验证处理程序正应用于内容树的任何部分；例如：

http://localhost:4502/system/console/slingauth

首先查询与路径最匹配的处理函数。 例如，如果为路径/配置handler-A，为路径/content配置handler-B，则向/content/mypage.html发出的请求将首先查询handler-B。

screen_shot_2012-02-15at21006pm

示例

对于Cookie请求（使用URL http://localhost:4502/libs/wcm/content/siteadmin.html）：

GET /libs/cq/core/content/welcome.html HTTP/1.1
Host: localhost:4502
Cookie: TestCookie=admin

使用以下配置：

  • 路径: /

  • 标题名称: TestHeader

  • Cookie名称: TestCookie

  • 参数名称: TestParameter

  • ID格式: AsIs

回应是：

HTTP/1.1 200 OK
Connection: Keep-Alive
Server: Day-Servlet-Engine/4.1.24
Content-Type: text/html;charset=utf-8
Date: Thu, 23 Aug 2012 09:58:39 GMT
Transfer-Encoding: chunked

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "https://www.w3.org/TR/html4/strict.dtd">
<html>
<head>
    <meta http-equiv="content-type" content="text/html; charset=UTF-8">
    <title>Welcome to Adobe&reg; CQ5</title>
....

如果您请求：
http://localhost:4502/libs/cq/core/content/welcome.html?TestParameter=admin

或者，可以使用以下curl命令将TestHeader头发送到admin:
curl -D - -H "TestHeader: admin" http://localhost:4502/libs/cq/core/content/welcome.html

注意

在浏览器中使用request参数时，您将仅看到一些HTML — 不带CSS。 这是因为来自HTML的所有请求都是在没有request参数的情况下发出的。

使用SSO时，登录和注销在外部进行处理，因此AEM自身的注销链接不再适用，应删除。

可通过以下步骤删除欢迎屏幕上的注销链接。

  1. 将/libs/cq/core/components/welcome/welcome.jsp叠加到/apps/cq/core/components/welcome/welcome.jsp

  2. 从jsp中删除以下部分。

    <a href="#" onclick="signout('<%= request.getContextPath() %>');" class="signout"><%= i18n.get("sign out", "welcome screen") %>

要删除右上角用户个人菜单中提供的注销链接，请执行以下步骤：

  1. 将/libs/cq/ui/widgets/source/widgets/UserInfo.js叠加到/apps/cq/ui/widgets/source/widgets/UserInfo.js

  2. 从文件中删除以下部分：

    menu.addMenuItem({
    "text":CQ.I18n.getMessage("Sign out"),
    "cls": "cq-userinfo-logout",
    "handler": this.logout
});
menu.addSeparator();

On this page