Autenticação SAML 2.0

Saiba como configurar e autenticar usuários finais (não autores de AEM) em um IDP compatível com SAML 2.0 de sua escolha.

Qual SAML para AEM as a Cloud Service?

A integração do SAML 2.0 com o AEM Publish (ou Preview) permite que os usuários finais de uma experiência da Web baseada em AEM se autentiquem em um IDP (Identity Provider, Provedor de identidade) não-Adobe e acessem o AEM como um usuário nomeado e autorizado.

Passo a passo da configuração

Este vídeo aborda a configuração da integração do SAML 2.0 com o serviço de publicação as a Cloud Service do AEM e o uso do Okta como o IDP.

Pré-requisitos

Os seguintes itens são necessários ao configurar a autenticação SAML 2.0:

• Acesso do Gerenciador de implantação ao Cloud Manager
• Acesso do administrador do AEM ao ambiente as a Cloud Service do AEM
• Acesso de administrador ao IDP
• Opcionalmente, acesso a um par de chaves público/privado usado para criptografar cargas SAML

O SAML 2.0 só é compatível com a autenticação de usuários para publicação ou visualização no AEM. Para gerenciar a autenticação do AEM Author usando e o IDP, integrar o IDP ao Adobe IMS.

Instalar certificado público do IDP no AEM

O certificado público do IDP é adicionado ao AEM Global Trust Store e usado para validar se a declaração SAML enviada pelo IDP é válida.

1. Obtenha o certificado público do IDP. Esse certificado permite que o AEM valide a asserção SAML fornecida ao AEM pelo IDP.

   O certificado está no formato PEM e deve se parecer com:

   -----BEGIN CERTIFICATE-----
   MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
   ...
   m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
   -----END CERTIFICATE-----
   

2. Faça logon no AEM Author como Administrador do AEM.

3. Navegue até Ferramentas > Segurança > Armazenamento de confiança.

4. Crie ou abra o Armazenamento global de confiança. Se estiver criando um armazenamento global de confiança, armazene a senha em algum lugar seguro.

5. Expandir Adicionar certificado do arquivo CER.

6. Selecionar Selecionar arquivo de certificado e carregue o arquivo de certificado fornecido pelo IDP.

7. Sair Mapear certificado para usuário em branco.

8. Selecione Enviar.

9. O certificado recém-adicionado aparece acima do campo Adicionar certificado do arquivo CRT seção.

10. Anote o alias, pois esse valor é usado no Configuração OSGi do Manipulador de autenticação SAML 2.0.

11. Selecionar Salvar e fechar.

O armazenamento global de confiança está configurado com o certificado público do IDP no AEM Author, mas como o SAML é usado somente no AEM Publish, o armazenamento global de confiança deve ser replicado para o AEM Publish para que o certificado público do IDP esteja acessível lá.

1. Navegue até Ferramentas > Implantação > Pacotes.
2. Criar um pacote
   • Nome do pacote: Global Trust Store
   • Versão: 1.0.0
   • Grupo: com.your.company
3. Editar o novo Armazenamento global de confiança pacote.
4. Selecione o Filtros e adicione um filtro para o caminho raiz /etc/truststore.
5. Selecionar Concluído e depois Salvar.
6. Selecione o Build botão para a Armazenamento global de confiança pacote.
7. Depois de criado, selecione Mais > Replicar para ativar o nó de armazenamento global de confiança (/etc/truststore) para o AEM Publish.

Criar armazenamento de chaves do serviço de autenticação

A criação de um armazenamento de chaves para o serviço de autenticação é necessária quando o Propriedade de configuração OSGi do manipulador de autenticação SAML 2.0 handleLogout está definida como true ou quando Autenticação AuthnRequest/criptografia de asserção SAML é obrigatório

1. Faça logon no AEM Author como Administrador do AEM para fazer upload da chave privada.

2. Navegue até Ferramentas > Segurança > Usuários e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

3. Selecione o Armazenamento de chaves guia.

4. Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

   • A o armazenamento de chaves público/privado está instalado neste armazenamento de chaves somente se a criptografia da assinatura AuthnRequest/asserção SAML for necessária.
   • Se essa integração SAML der suporte a logout, mas não a assinatura AuthnRequest/asserção SAML, um armazenamento de chaves vazio será suficiente.

5. Selecionar Salvar e fechar.

6. Criar um pacote contendo os dados atualizados serviço de autenticação usuário.

   Use a seguinte solução temporária usando pacotes:

   1. Navegue até Ferramentas > Implantação > Pacotes.
   2. Criar um pacote
      • Nome do pacote: Authentication Service
      • Versão: 1.0.0
      • Grupo: com.your.company
   3. Editar o novo Armazenamento de Chave do Serviço de Autenticação pacote.
   4. Selecione o Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.
      • A variável <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando serviço de autenticação usuário. A UUID é a última parte do URL.
   5. Selecionar Concluído e depois Salvar.
   6. Selecione o Build botão para a Armazenamento de Chave do Serviço de Autenticação pacote.
   7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de autenticação para AEM Publish.

Instalar par de chave pública/privada do AEM

A instalação do par de chave pública/privada do AEM é opcional

O AEM Publish pode ser configurado para assinar AuthnRequests (para IDP) e criptografar asserções SAML (para AEM). Isso é feito fornecendo uma chave privada para o AEM Publish e uma chave pública correspondente ao IDP.

A assinatura de AuthnRequest e a criptografia de asserção SAML são opcionais, no entanto, ambas estão habilitadas, usando o Propriedade de configuração OSGi do manipulador de autenticação SAML 2.0 useEncryption, o que significa que ambos ou nenhum dos dois pode ser usado.

1. Obtenha a chave pública, a chave privada (PKCS#8 no formato DER) e o arquivo da cadeia de certificados (pode ser a chave pública) usados para assinar o AuthnRequest e criptografar a asserção SAML. Normalmente, as chaves são fornecidas pela equipe de segurança da organização de TI.

   • Um par de chaves autoassinado pode ser gerado usando openssl:

   $ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt
   
   # Provide a password (keep in safe place), and other requested certificate information
   
   # Convert the keys to AEM's required format
   $ openssl rsa -in aem-private.key -outform der -out aem-private.der
   $ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der
   

2. Faça upload da chave pública para o IDP.

   • Usar o openssl acima, a chave pública é a variável aem-public.crt arquivo.

3. Faça logon no AEM Author como Administrador do AEM para fazer upload da chave privada.

4. Navegue até Ferramentas > Segurança > Armazenamento de confiança e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

5. Navegue até Ferramentas > Segurança > Usuários e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

6. Selecione o Armazenamento de chaves guia.

7. Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

8. Selecionar Adicionar chave privada do arquivo DER e adicione a chave privada e o arquivo de cadeia ao AEM:

   • Alias: forneça um nome significativo, geralmente o nome do IDP.
   • Arquivo de chave de privacidade: Faça upload do arquivo de chave privada (PKCS#8 no formato DER).
     • Usar o openssl acima, este é o aem-private-pkcs8.der arquivo
   • Selecionar arquivo da cadeia de certificados: Faça upload do arquivo de cadeia que o acompanha (essa pode ser a chave pública).
     • Usar o openssl acima, este é o aem-public.crt arquivo
   • Selecione Enviar

9. O certificado recém-adicionado aparece acima do campo Adicionar certificado do arquivo CRT seção.

   • Anote o alias como isso é usado no Configuração OSGi do manipulador de autenticação SAML 2.0

10. Selecionar Salvar e fechar.

11. Criar um pacote contendo os dados atualizados serviço de autenticação usuário.

    Use a seguinte solução temporária usando pacotes:

    1. Navegue até Ferramentas > Implantação > Pacotes.
    2. Criar um pacote
       • Nome do pacote: Authentication Service
       • Versão: 1.0.0
       • Grupo: com.your.company
    3. Editar o novo Armazenamento de Chave do Serviço de Autenticação pacote.
    4. Selecione o Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.
       • A variável <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando serviço de autenticação usuário. A UUID é a última parte do URL.
    5. Selecionar Concluído e depois Salvar.
    6. Selecione o Build botão para a Armazenamento de Chave do Serviço de Autenticação pacote.
    7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de autenticação para AEM Publish.

Configurar o manipulador de autenticação SAML 2.0

A configuração SAML do AEM é executada por meio de Manipulador de autenticação Adobe Granite SAML 2.0 Configuração do OSGi.
A configuração é uma configuração de fábrica OSGi, o que significa que um único serviço de Publicação as a Cloud Service de AEM pode ter várias configurações SAML cobrindo árvores de recursos discretas do repositório; isso é útil para implantações do AEM em vários sites.

1. Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json e abra no IDE.

   • Alterar /wknd-examples/ ao seu /<project name>/
   • O identificador depois da variável ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...~okta.cfg.json. O valor deve ser alfanumérico com hifens.

2. Cole o seguinte JSON no com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json e atualize o wknd referências conforme necessário.

   {
       "path": [ "/content/wknd", "/content/dam/wknd" ],
       "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
       "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
       "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
       "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
       "useEncryption": false,
       "createUser": true,
       "userIntermediatePath": "wknd/idp",
       "synchronizeAttributes":[
           "firstName=profile/givenName"
       ],
       "addGroupMemberships": true,
       "defaultGroups": [
           "wknd-users"
       ]
   }
   

3. Atualize os valores conforme exigido pelo projeto. Consulte a Glossário de configuração OSGi do Manipulador de autenticação SAML 2.0 acima para obter descrições das propriedades de configuração

4. É recomendável, mas não obrigatório, usar variáveis de ambiente OSGi e segredos, quando os valores puderem mudar fora de sincronia com o ciclo de lançamento ou quando os valores forem diferentes entre tipos de ambiente/camadas de serviço semelhantes. Valores padrão podem ser definidos com o uso de $[env:..;default=the-default-value]" conforme mostrado acima.

Configurações de OSGi por ambiente (config.publish.dev, config.publish.stage, e config.publish.prod) pode ser definida com atributos específicos se a configuração do SAML variar entre ambientes.

Usar criptografia

Quando criptografando a asserção AuthnRequest e SAML, as seguintes propriedades são obrigatórias: useEncryption, spPrivateKeyAlias, e keyStorePassword. A variável keyStorePassword contém uma senha, portanto, o valor não deve ser armazenado no arquivo de configuração do OSGi, mas inserido usando valores de configuração secreta

Configurar filtro Referenciador

Durante o processo de autenticação SAML, o IDP inicia um POST HTTP do lado do cliente para o AEM Publish .../saml_login ponto final. Se o IDP e o AEM Publish existirem em uma origem diferente, o AEM Publish Filtro referenciador é configurado por meio da configuração OSGi para permitir HTTP POSTs da origem do IDP.

1. Crie (ou edite) um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

   • Alterar /wknd-examples/ ao seu /<project name>/

2. Assegure a allow.empty o valor está definido como true, o allow.hosts (ou se preferir, allow.hosts.regexp) contém a origem do IDP e filter.methods inclui POST. A configuração do OSGi deve ser semelhante a:

   {
       "allow.empty": true,
       "allow.hosts.regexp": [ ],
       "allow.hosts": [
           "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
       ],
       "filter.methods": [
           "POST",
       ],
       "exclude.agents.regexp": [ ]
   }
   

O AEM Publish é compatível com uma única configuração de filtro Referenciador, portanto, mescle os requisitos de configuração do SAML com qualquer configuração existente.

Configurações de OSGi por ambiente (config.publish.dev, config.publish.stage, e config.publish.prod) pode ser definida com atributos específicos se a variável allow.hosts (ou allow.hosts.regex) variam entre os ambientes.

Configure o CORS (Cross-Origin Resource Sharing)

Durante o processo de autenticação SAML, o IDP inicia um POST HTTP do lado do cliente para o AEM Publish .../saml_login ponto final. Se o IDP e o AEM Publish existirem em hosts/domínios diferentes, o AEM Publish Compartilhamento de recursos de origem CRoss (CORS) deve ser configurado para permitir POSTs HTTP do host/domínio do IDP.

Esta solicitação HTTP POST Origin normalmente tem um valor diferente do host de publicação do AEM, exigindo a configuração do CORS.

Ao testar a autenticação SAML no SDK AEM local (localhost:4503), o IDP pode definir as Origin cabeçalho para null. Em caso afirmativo, adicione "null" para o alloworigin lista.

1. Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json
   • Alterar /wknd-examples/ ao nome do seu projeto
   • O identificador depois da variável ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...CORSPolicyImpl~okta.cfg.json. O valor deve ser alfanumérico com hifens.
2. Cole o seguinte JSON no com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json arquivo.

{
    "alloworigin": [
        "$[env:SAML_IDP_ORIGIN;default=https://dev-1234567890.okta.com]",
        "null"
    ],
    "allowedpaths": [
        ".*/saml_login"
    ],
    "supportedmethods": [
        "POST"
    ]
}

Configurações de OSGi por ambiente (config.publish.dev, config.publish.stage, e config.publish.prod) pode ser definida com atributos específicos se a variável alloworigin e allowedpaths O varia entre os ambientes.

Configurar o Dispatcher do AEM para permitir POSTs HTTP SAML

Após a autenticação bem-sucedida para o IDP, o IDP orquestrará um POST HTTP de volta para AEM registrado /saml_login ponto final (configurado no IDP). Esta POST HTTP para /saml_login O está bloqueado por padrão no Dispatcher, portanto, deve ser permitido explicitamente usando a seguinte regra do Dispatcher:

1. Abertura dispatcher/src/conf.dispatcher.d/filters/filters.any no IDE.
2. Adicione à parte inferior do arquivo uma regra de permissão para HTTP POSTs a URLs que terminam com /saml_login.

...

# Allow SAML HTTP POST to ../saml_login end points
/0190 { /type "allow" /method "POST" /url "*/saml_login" }

Se a reescrita de URL no servidor Web Apache estiver configurada (dispatcher/src/conf.d/rewrites/rewrite.rules), assegurar que os pedidos de .../saml_login Os pontos finais não são danificados acidentalmente.

Habilitar a sincronização de dados e encapsular tokens

Depois que o fluxo de autenticação SAML cria um usuário no AEM Publish, o nó do usuário AEM é autenticável na camada de serviço do AEM Publish.
Isso requer sincronização de dados e tokens encapsulados para ser ativado pelo Suporte para Adobe no serviço de publicação do AEM.

Envie uma solicitação para o Suporte ao cliente do Adobe (via Admin Console > Suporte) solicitando:

A sincronização de dados e os tokens encapsulados são ativados no serviço de publicação do AEM para o Programa X e o Ambiente Y.

Implantando configuração SAML

As configurações do OSGi devem ser confirmadas no Git e implantadas no AEM as a Cloud Service usando o Cloud Manager.

$ git remote -v
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (fetch)
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (push)
$ git add .
$ git commit -m "SAML 2.0 configurations"
$ git push adobe saml-auth:develop

Implante a ramificação Git do Cloud Manager de destino (neste exemplo, develop), usando um pipeline de implantação de empilhamento completo.

Recursos do Business.Adobe.com