Autenticación SAML 2.0 saml-2-0-authentication

Obtenga el archivo de certificado público del IDP. AEM AEM Este certificado le permite a los validar la afirmación de SAML proporcionada a los usuarios desplazados internos.

El certificado está en formato PEM y debe tener un aspecto similar al siguiente:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

AEM AEM Inicie sesión en el autor de la como administrador de la aplicación.

Vaya a Herramientas > Seguridad > Almacén de confianza.

Cree o abra el Almacén de confianza global. Si crea un almacén de confianza global, guarde la contraseña en un lugar seguro.

Expandir Agregar certificado del archivo CER.

Seleccione Seleccionar archivo de certificado y cargue el archivo de certificado proporcionado por el IDP.

Deje Asignar certificado al usuario en blanco.

Seleccione Enviar.

El certificado recién agregado aparece encima de la sección Agregar certificado del archivo CRT.

Tome nota del alias, ya que este valor se usa en la configuración OSGi del Controlador de autenticación SAML 2.0.

Seleccione Guardar y cerrar.

Vaya a Herramientas > Implementación > Paquetes.

Creación de un paquete

• Nombre del paquete: Global Trust Store
• Versión: 1.0.0
• Grupo: com.your.company

Edite el nuevo paquete de Almacén de confianza global.

Seleccione la ficha Filtros y agregue un filtro para la ruta raíz /etc/truststore.

Seleccione Listo y luego Guardar.

Seleccione el botón Generar para el paquete de Almacén de confianza global.

AEM Una vez compilado, seleccione Más > Replicar para activar el nodo del Almacén de confianza global (/etc/truststore) para que se active en Publish de la forma que desee.

AEM AEM Inicie sesión en Author como administrador de para cargar la clave privada.

Vaya a Herramientas > Seguridad > Usuarios, seleccione el usuario authentication-service y seleccione Propiedades en la barra de acciones superior.

Seleccione la pestaña Keystore.

Cree o abra el repositorio de claves. Si crea un almacén de claves, mantenga la contraseña a salvo.

• Un almacén de claves público/privado está instalado en este almacén de claves solo si se requiere cifrado de firma AuthnRequest/aserción SAML.
• Si esta integración de SAML admite el cierre de sesión, pero no la firma AuthnRequest/aserción SAML, basta con un almacén de claves vacío.

Seleccione Guardar y cerrar.

Cree un paquete que contenga el usuario authentication-service actualizado.

Use la siguiente solución temporal mediante paquetes:

1. Vaya a Herramientas > Implementación > Paquetes.

2. Creación de un paquete

   • Nombre del paquete: Authentication Service
   • Versión: 1.0.0
   • Grupo: com.your.company

3. Edite el nuevo paquete Almacenamiento de claves del servicio de autenticación.

4. Seleccione la ficha Filtros y agregue un filtro para la ruta raíz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • Para encontrar <AUTHENTICATION SERVICE UUID>, vaya a Herramientas > Seguridad > Usuarios y seleccione el usuario authentication-service. El UUID es la última parte de la dirección URL.

5. Seleccione Listo y luego Guardar.

6. Seleccione el botón Generar para el paquete de Almacenamiento de claves del servicio de autenticación.

7. AEM Una vez compilada, seleccione Más > Replicar para activar el almacén de claves del servicio de autenticación en Publish de la.

Obtenga la clave pública, la clave privada (PKCS#8 en formato DER) y el archivo de cadena de certificados (puede ser la clave pública) utilizados para firmar AuthnRequest y cifre la afirmación de SAML. Las claves las suele proporcionar el equipo de seguridad de la organización de TI.

• Se puede generar un par de claves autofirmadas con openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Cargue la clave pública al IDP.

• Utilizando el método openssl anterior, la clave pública es el archivo aem-public.crt.

AEM AEM Inicie sesión en Author como administrador de para cargar la clave privada.

Vaya a Herramientas > Seguridad > Almacén de confianza, seleccione el usuario servicio de autenticación y seleccione Propiedades en la barra de acciones superior.

Vaya a Herramientas > Seguridad > Usuarios, seleccione el usuario authentication-service y seleccione Propiedades en la barra de acciones superior.

Seleccione la pestaña Keystore.

Cree o abra el repositorio de claves. Si crea un almacén de claves, mantenga la contraseña a salvo.

AEM Seleccione Agregar clave privada desde el archivo DER y agregue la clave privada y el archivo de cadena a los siguientes elementos:

• Alias: proporcione un nombre significativo, a menudo el nombre del IDP.
• Archivo de clave privada: Cargue el archivo de clave privada (PKCS#8 en formato DER).
  • Utilizando el método openssl anterior, este es el archivo aem-private-pkcs8.der
• Seleccionar archivo de cadena de certificados: cargue el archivo de cadena que lo acompaña (puede ser la clave pública).
  • Utilizando el método openssl anterior, este es el archivo aem-public.crt
• Seleccionar Enviar

El certificado recién agregado aparece encima de la sección Agregar certificado del archivo CRT.

• Tome nota del alias, ya que se utiliza en la configuración OSGi del controlador de autenticación SAML 2.0

Seleccione Guardar y cerrar.

Cree un paquete que contenga el usuario authentication-service actualizado.

Use la siguiente solución temporal mediante paquetes:

1. Vaya a Herramientas > Implementación > Paquetes.

2. Creación de un paquete

   • Nombre del paquete: Authentication Service
   • Versión: 1.0.0
   • Grupo: com.your.company

3. Edite el nuevo paquete Almacenamiento de claves del servicio de autenticación.

4. Seleccione la ficha Filtros y agregue un filtro para la ruta raíz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • Para encontrar <AUTHENTICATION SERVICE UUID>, vaya a Herramientas > Seguridad > Usuarios y seleccione el usuario authentication-service. El UUID es la última parte de la dirección URL.

5. Seleccione Listo y luego Guardar.

6. Seleccione el botón Generar para el paquete de Almacenamiento de claves del servicio de autenticación.

7. AEM Una vez compilada, seleccione Más > Replicar para activar el almacén de claves del servicio de autenticación en Publish de la.

Cree un archivo de configuración OSGi en su proyecto en /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json y ábralo en su IDE.

• Cambiar /wknd-examples/ a /<project name>/
• El identificador después de ~ en el nombre de archivo debe identificar de forma exclusiva esta configuración, por lo que puede ser el nombre del IDP, como ...~okta.cfg.json. El valor debe ser alfanumérico y contener guiones.

Pegue el siguiente JSON en el archivo com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json y actualice las referencias wknd según sea necesario.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Actualice los valores según sea necesario en el proyecto. Consulte el glosario de configuración OSGi del Controlador de autenticación SAML 2.0 anterior para obtener descripciones de las propiedades de configuración

Se recomienda, pero no es obligatorio, utilizar variables y secretos de entorno OSGi, cuando los valores pueden cambiar sin estar sincronizados con el ciclo de lanzamiento o cuando los valores difieren entre tipos de entorno/niveles de servicio similares. Los valores predeterminados se pueden establecer con la sintaxis $[env:..;default=the-default-value]", como se muestra arriba.

Cree (o edite) un archivo de configuración OSGi en su proyecto en /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Cambiar /wknd-examples/ a /<project name>/

Asegúrese de que el valor allow.empty esté establecido en true, de que allow.hosts (o, si lo prefiere, allow.hosts.regexp) contenga el origen del IDP y de que filter.methods incluya POST. La configuración de OSGi debe ser similar a:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Cree un archivo de configuración OSGi en su proyecto en /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• Cambiar /wknd-examples/ a su nombre de proyecto
• El identificador después de ~ en el nombre de archivo debe identificar de forma exclusiva esta configuración, por lo que puede ser el nombre del IDP, como ...CORSPolicyImpl~okta.cfg.json. El valor debe ser alfanumérico y contener guiones.

Pegue el siguiente JSON en el archivo com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json.