Authentification SAML 2.0 saml-2-0-authentication

Récupérez le fichier de certificat public à partir du fournisseur d’identité. Ce certificat permet à AEM de valider l’assertion SAML transmise à AEM par le fournisseur d’identité.

Le certificat, au format PEM, ressemble à ceci :

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Connectez-vous à l’instance de création AEM en tant qu’administrateur ou administratrice AEM.

Accédez à Outils > Sécurité > Trust Store.

Créez ou ouvrez le Trust Store global. Si vous créez un Trust Store global, stockez le mot de passe en lieu sûr.

Développez Ajouter le certificat à partir du fichier CER.

Sélectionnez Sélectionner le fichier de certificat et chargez le fichier de certificat fourni par le fournisseur d’identité.

Laisser le champ Mapper le certificat à l’utilisateur vide.

Sélectionnez Envoyer.

Le certificat nouvellement ajouté s’affiche au-dessus de la section Ajouter un certificat à partir du fichier CRT.

Prenez note de la valeur de l’alias, car celle-ci est utilisée dans la Configuration OSGi du gestionnaire d’authentification SAML 2.0.

Sélectionnez Enregistrer et fermer.

Accédez à Outils > Déploiement > Packages.

Créez un package.

• Nom du package : Global Trust Store
• Version : 1.0.0
• Groupe : com.your.company

Modifiez le nouveau package Trust Store global.

Sélectionnez l’onglet Filtres et ajoutez un filtre pour le chemin d’accès racine /etc/truststore.

Sélectionnez Terminé, puis Enregistrer.

Cliquez sur le bouton Créer pour le package Trust Store global.

Une fois créé, sélectionnez Plus > Répliquer pour activer le nœud Trust Store global (/etc/truststore) vers l’instance de publication AEM.

Connectez-vous à l’instance de création AEM en tant qu’administrateur ou administratrice AEM pour charger la clé privée.

Accédez à Outils > Sécurité > Utilisateurs et utilisatrices, puis sélectionnez authentication-service et choisissez Propriétés dans la barre d’actions supérieure.

Sélectionnez l’onglet KeyStore.

Créez ou ouvrez le KeyStore. Si vous créez un KeyStore, assurez-vous de conserver le mot de passe en lieu sûr.

• Un KeyStore public/privé est installé dans ce KeyStore uniquement si la signature de la demande d’authentification/le chiffrement de l’assertion SAML est requis(e).
• Si cette intégration SAML prend en charge la déconnexion, mais pas la signature de la demande d’authentification/l’assertion SAML, alors un KeyStore vide est suffisant.

Sélectionnez Enregistrer et fermer.

Créez un package contenant l’utilisateur ou l’utilisatrice de l’authentication-service mis à jour.

Utilisez la solution de contournement temporaire suivante à l’aide de packages :

1. Accédez à Outils > Déploiement > Packages.

2. Créez un package.

   • Nom du package : Authentication Service
   • Version : 1.0.0
   • Groupe : com.your.company

3. Modifiez le nouveau package KeyStore du service d’authentification.

4. Sélectionnez l’onglet Filtres et ajoutez un filtre pour le chemin racine /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • L’<AUTHENTICATION SERVICE UUID> est accessible en accédant à Outils > Sécurité > Utilisateurs et utilisatrices et en sélectionnant l’utilisateur ou l’utilisatrice d’authentication-service. L’UUID est la dernière partie de l’URL.

5. Sélectionnez Terminé, puis Enregistrer.

6. Sélectionnez le bouton Créer pour le package KeyStore du service d’authentification.

7. Une fois créé, sélectionnez Plus > Répliquer pour activer le KeyStore du service d’authentification dans le service de publication AEM.

Procurez-vous la clé publique, la clé privée (PKCS#8 au format DER) et le fichier de chaîne de certificats (il peut s’agir de la clé publique) utilisés pour signer la requête AuthnRequest et chiffrer l’assertion SAML. Les clés sont généralement fournies par l’équipe de sécurité du service informatique.

• Une paire de clés auto-signée peut être générée à l’aide de openssl  :

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Chargez la clé publique vers le fournisseur d’identité.

• En utilisant la méthode openssl ci-dessus, la clé publique est le fichier aem-public.crt.

Connectez-vous à l’instance de création AEM en tant qu’administrateur ou administratrice AEM pour charger la clé privée.

Accédez à Outils > Sécurité > Trust Store, puis sélectionnez la personne qui utilise authentication-service et sélectionnez Propriétés dans la barre d’actions supérieure.

Accédez à Outils > Sécurité > Utilisateurs et utilisatrices, puis sélectionnez la personne qui utilise authentication-service et sélectionnez Propriétés dans la barre d’actions supérieure.

Sélectionnez l’onglet KeyStore.

Créez ou ouvrez le KeyStore. Si vous créez un KeyStore, assurez-vous de conserver le mot de passe en lieu sûr.

Sélectionner Ajouter une clé privée à partir du fichier DER, puis ajoutez la clé privée et le fichier de chaîne à AEM :

• Alias  : indiquez un nom significatif, souvent le nom du fournisseur d’identité.
• Fichier de clé privée  : chargez le fichier de clé privée (PKCS#8 au format DER).
  • En utilisant la méthode openssl ci-dessus, il s’agit du fichier aem-private-pkcs8.der.
• Sélectionner le fichier de chaîne de certificats  : chargez le fichier de chaîne associé (il peut s’agir de la clé publique).
  • Avec la méthode openssl ci-dessus, il s’agit du fichier aem-public.crt.
• Sélectionnez Envoyer.

Le certificat nouvellement ajouté s’affiche au-dessus de la section Ajouter un certificat à partir d’un fichier CRT.

• Prenez note de l’alias, car il est utilisé dans la Configuration OSGi du gestionnaire d’authentification SAML 2.0.

Sélectionnez Enregistrer et fermer.

Créez un package contenant l’utilisateur ou l’utilisatrice de l’authentication-service mis à jour.

Utilisez la solution de contournement temporaire suivante à l’aide de packages :

1. Accédez à Outils > Déploiement > Packages.

2. Créez un package.

   • Nom du package : Authentication Service
   • Version : 1.0.0
   • Groupe : com.your.company

3. Modifiez le nouveau package KeyStore du service d’authentification.

4. Sélectionnez l’onglet Filtres et ajoutez un filtre pour le chemin racine /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • L’<AUTHENTICATION SERVICE UUID> est accessible en accédant à Outils > Sécurité > Utilisateurs et utilisatrices et en sélectionnant l’utilisateur ou l’utilisatrice d’authentication-service. L’UUID est la dernière partie de l’URL.

5. Sélectionnez Terminé, puis Enregistrer.

6. Sélectionnez le bouton Créer pour le package KeyStore du service d’authentification.

7. Une fois créé, sélectionnez Plus > Répliquer pour activer le KeyStore du service d’authentification dans l’instance de publication AEM.

Créez un fichier de configuration OSGi dans votre projet à l’emplacement /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json et ouvrez-le dans votre IDE.

• Remplacez /wknd-examples/ par votre /<project name>/.
• L’identifiant après le ~ dans le nom de fichier doit identifier de manière unique cette configuration. Il peut donc s’agir du nom du fournisseur d’identité, tel que ...~okta.cfg.json. La valeur doit être alphanumérique avec des tirets.

Collez le code JSON suivant dans le fichier com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json et mettez à jour les références wknd selon les besoins.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Mettez à jour les valeurs en fonction de votre projet. Consultez le glossaire de configuration OSGi du gestionnaire d’authentification SAML 2.0 ci-dessus pour les descriptions des propriétés de configuration.

Il est recommandé, mais non obligatoire, d’utiliser les variables d’environnement et les secrets OSGi lorsque les valeurs peuvent ne pas être synchronisées avec le cycle de publication de la version ou lorsque les valeurs diffèrent entre des types d’environnements/niveaux de service similaires. Les valeurs par défaut peuvent être définies à l’aide de la syntaxe $[env:..;default=the-default-value]" comme illustré ci-dessus.

Créez (ou modifiez) un fichier de configuration OSGi dans votre projet à l’emplacement /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Remplacez /wknd-examples/ par votre /<project name>/.

Assurez-vous que la valeur allow.empty est définie sur true, allow.hosts (ou si vous préférez, allow.hosts.regexp) contient l’origine du fournisseur d’identité, et filter.methods inclut POST. La configuration OSGi doit être similaire à ce qui suit :

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Créez un fichier de configuration OSGi dans votre projet à l’adresse /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json.

• Modifiez /wknd-examples/ en indiquant le nom du projet.
• L’identifiant après ~ dans le nom de fichier doit identifier de manière unique cette configuration. Il peut donc s’agir du nom du fournisseur d’identité, tel que ...CORSPolicyImpl~okta.cfg.json. La valeur doit être alphanumérique avec des tirets.

Collez le JSON suivant dans le fichier com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json.