Supporto per i cookie SameSite per Adobe Experience Manager as a Cloud Service

A partire dalla versione 80, Chrome, e successivamente Safari, hanno introdotto un nuovo modello per la sicurezza dei cookie. Questa modalità è progettata per introdurre controlli di sicurezza riguardo alla disponibilità di cookie per i siti di terze parti, tramite un’impostazione denominata SameSite. Per informazioni più dettagliate, consulta questo articolo.

Il valore predefinito di questa impostazione (SameSite=Lax) potrebbe impedire il funzionamento dell’autenticazione tra istanze o servizi AEM. Questo perché i domini o le strutture URL di questi servizi potrebbero non rientrare nei vincoli di questo criterio dei cookie.

Per ovviare a questo problema, è necessario impostare l’attributo per cookie SameSite su None per il token di accesso.

ATTENZIONE

L’impostazione SameSite=None viene applicata solo se il protocollo è protetto (HTTPS).

Se il protocollo non è protetto (HTTP), l’impostazione viene ignorata e il server persenta questo messaggio di avvertenza:

WARN com.day.crx.security.token.TokenCookie Skip 'SameSite=None'

Per aggiungere l’impostazione, segui questi passaggi:

  1. Installa localmente una versione QuickStart per SDK AEM
  2. Passa alla console Web all’indirizzo http://serveraddress:serverport/system/console/configMgr
  3. Cerca e fai clic sull’handler di autenticazione token di Adobe Granite
  4. Imposta l’attributo SameSite per il cookie token di accesso su None, come illustrato nell’immagine seguente
    samesite
  5. Fai clic su Salva
  6. Genera le configurazioni del formato JSON per questa particolare impostazione seguendo i passaggi descritti in Generazione di configurazioni OSGi tramite QuickStart per SDK AEM
  7. Applica le impostazioni seguendo i passaggi descritti nella sezione relativa al formato API di Cloud Manager per l’impostazione delle proprietà della documentazione di OSGi.

Quando questa impostazione è aggiornata e gli utenti vengono disconnessi e di nuovo connessi, i cookie login-token avranno l’attributo None impostato e verranno inclusi nelle richieste cross-site.

In questa pagina