SAML 2.0身份验证

了解如何设置最终用户(而非AEM作者)并对所选的SAML 2.0兼容IDP进行身份验证。

什么是AEMas a Cloud Service的SAML?

与AEM发布（或预览）的SAML 2.0集成，允许基于AEM的Web体验的最终用户对非AdobeIDP（身份提供程序）进行身份验证，并以指定的授权用户身份访问AEM。

配置演练

此视频将演示如何设置与AEMas a Cloud Service发布服务的SAML 2.0集成，以及如何使用Okta作为IDP。

前提条件

在设置SAML 2.0身份验证时，需要满足以下条件：

• 对Cloud Manager的部署管理器访问权限
• AEM管理员对AEMas a Cloud Service环境的访问权限
• 对IDP的管理员访问权限
• （可选）访问用于加密SAML负载的公共/私有密钥对

仅支持使用AEM发布或预览对SAML 2.0进行身份验证。 要使用和IDP管理AEM作者的身份验证， 将IDP与Adobe IMS集成。.

在AEM上安装IDP公共证书

IDP的公共证书将添加到AEM全局信任存储，并用于验证由IDP发送的SAML断言是有效的。

1. 获取 公共证书 文件。 此证书允许AEM验证IDP提供给AEM的SAML断言。

   证书采用PEM格式，应类似于：

   -----BEGIN CERTIFICATE-----
   MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
   ...
   m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
   -----END CERTIFICATE-----
   

2. 以AEM管理员身份登录到AEM作者。

3. 导航到 工具>安全>信任存储.

4. 创建或打开全局信任存储。 如果创建全局信任存储，请将密码存储到安全的位置。

5. 展开 从CER文件添加证书.

6. 选择 选择证书文件，并上传IDP提供的证书文件。

7. 离开 将证书映射到用户 空白。

8. 选择​提交。

9. 新添加的证书显示在 从CRT文件添加证书 中。

10. 记下 别名，因为此值在 SAML 2.0身份验证处理程序OSGi配置.

11. 选择 保存并关闭.

全局信任存储在AEM作者上配置了IDP的公共证书，但由于SAML仅在AEM发布上使用，因此必须将全局信任存储复制到AEM发布，IDP公共证书才能在此处访问。

1. 导航到 工具>部署>包.
2. 创建资源包
   • 包名称： Global Trust Store
   • 版本: 1.0.0
   • 组: com.your.company
3. 编辑新 全局信任存储 包。
4. 选择 过滤器 ，并为根路径添加过滤器 /etc/truststore.
5. 选择 完成 然后 保存.
6. 选择 生成 按钮 全局信任存储 包。
7. 生成后，选择 更多 > 复制 激活全局信任存储节点(/etc/truststore)到AEM发布。

安装AEM公钥/私钥对

安装AEM公钥/私钥对是可选的

可以将AEM发布配置为对AuthnRequests（对IDP）进行签名，并加密SAML断言(对AEM)。 这是通过为AEM发布提供私钥来实现的，它将公钥与IDP匹配。

AuthnRequest签名和SAML断言加密都是可选的，但是，它们都通过 SAML 2.0身份验证处理程序OSGi配置属性 useEncryption，这表示既不能使用也不能使用。

1. 获取用于对AuthnRequest进行签名并加密SAML断言的公钥、私钥（PKCS#8格式）和证书链文件（这可能是公钥）。 密钥通常由IT组织的安全团队提供。

   • 可使用 openssl:

   $ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt
   
   # Provide a password (keep in safe place), and other requested certificate information
   
   # Convert the keys to AEM's required format
   $ openssl rsa -in aem-private.key -outform der -out aem-private.der
   $ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der
   

2. 将公共密钥上传到IDP。

   • 使用 openssl 方法，公钥为 aem-public.crt 文件。

3. 以AEM管理员身份登录AEM作者，以上传私钥。

4. 导航到 工具>安全>信任存储，然后选择 身份验证服务 用户，然后选择 属性 中。

5. 导航到 工具>安全>用户，然后选择 身份验证服务 用户，然后选择 属性 中。

6. 选择 密钥库 选项卡。

7. 创建或打开密钥库。 如果创建密钥库，请保护密码安全。

8. 选择 从DER文件添加私钥，并将私钥和链文件添加到AEM:

   • 别名:提供有意义的名称，通常是IDP的名称。
   • 私钥文件:上载私钥文件（DER格式的PKCS#8）。
     • 使用 openssl 方法，这是 aem-private-pkcs8.der 文件
   • 选择证书链文件:上传随附的链文件（这可能是公钥）。
     • 使用 openssl 方法，这是 aem-public.crt 文件
   • 选择 提交

9. 新添加的证书显示在 从CRT文件添加证书 中。

   • 记下 别名 因为 SAML 2.0身份验证处理程序OSGi配置

10. 选择 保存并关闭.

11. 选择 身份验证服务 用户，然后选择 激活 中。

配置SAML 2.0身份验证处理程序

AEM SAML配置通过 AdobeGranite SAML 2.0身份验证处理程序 OSGi配置。
该配置是OSGi工厂配置，这意味着单个AEMas a Cloud Service发布服务可能具有多个覆盖存储库离散资源树的SAML配置；这对于多站点AEM部署非常有用。

1. 在您的项目中创建OSGi配置文件(位于 /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json 并在IDE中打开。

   • 更改 /wknd-examples/ 至 /<project name>/
   • 标识符后面的 ~ 文件名中应唯一标识此配置，因此它可能是IDP的名称，例如 ...~okta.cfg.json. 值应为带连字符的字母数字。

2. 将以下JSON粘贴到 com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json 文件，并更新 wknd 根据需要引用。

   {
       "path": [ "/content/wknd", "/content/dam/wknd" ],
       "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
       "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
       "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
       "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
       "useEncryption": false,
       "createUser": true,
       "userIntermediatePath": "wknd/idp",
       "synchronizeAttributes":[
           "firstName=profile/givenName"
       ],
       "addGroupMemberships": true,
       "defaultGroups": [
           "wknd-users"
       ]
   }
   

3. 根据项目需要更新值。 请参阅 SAML 2.0身份验证处理程序OSGi配置术语表 上方的配置属性说明

4. 当值可能与发布周期不同步而发生更改，或者类似的环境类型/服务层之间的值不同时，建议使用OSGi环境变量和密钥，但不是必需的。 默认值可以使用 $[env:..;default=the-default-value]" 语法，如上所示。

每个环境的OSGi配置(config.publish.dev, config.publish.stage和 config.publish.prod)。

使用加密

When 加密AuthnRequest和SAML断言，则需要以下属性： useEncryption, spPrivateKeyAlias和 keyStorePassword. 的 keyStorePassword 包含密码，因此值不得存储在OSGi配置文件中，而是使用 密码配置值

配置反向链接过滤器

在SAML身份验证过程中，IDP会向AEM发布启动客户端HTTPPOST .../saml_login 终点。 如果IDP和AEM发布存在于不同的源上，则AEM发布的 反向链接过滤器 已通过OSGi配置进行配置，以允许来自IDP源的HTTP POST。

1. 在您的项目中创建（或编辑）OSGi配置文件(位于 /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

   • 更改 /wknd-examples/ 至 /<project name>/

2. 确保 allow.empty 值设置为 true, allow.hosts (或者，如果你愿意， allow.hosts.regexp)包含IDP的来源，以及 filter.methods 包括 POST. OSGi配置应类似于：

   {
       "allow.empty": true,
       "allow.hosts.regexp": [ ],
       "allow.hosts": [
           "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
       ],
       "filter.methods": [
           "POST",
       ],
       "exclude.agents.regexp": [ ]
   }
   

AEM发布支持单个反向链接过滤器配置，因此可将SAML配置要求与任何现有配置合并。

每个环境的OSGi配置(config.publish.dev, config.publish.stage和 config.publish.prod) allow.hosts (或 allow.hosts.regex)因环境而异。

配置跨域资源共享(CORS)

在SAML身份验证过程中，IDP会向AEM发布启动客户端HTTPPOST .../saml_login 终点。 如果IDP和AEM发布存在于不同的主机/域上，则AEM发布的 CRoss-Origin资源共享(CORS) 必须配置为允许来自IDP主机/域的HTTP POST。

此HTTPPOST请求的 Origin 标头的值通常与AEM发布主机不同，因此需要配置CORS。

在本地AEM SDK上测试SAML身份验证时(localhost:4503),IDP可以将 Origin 标题至 null. 如果是，请添加 "null" 到 alloworigin 列表。

1. 在您的项目中创建OSGi配置文件(位于 /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json
   • 更改 /wknd-examples/ 至项目名称
   • 标识符后面的 ~ 文件名中应唯一标识此配置，因此它可能是IDP的名称，例如 ...CORSPolicyImpl~okta.cfg.json. 值应为带连字符的字母数字。
2. 将以下JSON粘贴到 com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json 文件。

{
    "alloworigin": [
        "$[env:SAML_IDP_ORIGIN;default=https://dev-1234567890.okta.com]",
        "null"
    ],
    "allowedpaths": [
        ".*/saml_login"
    ],
    "supportedmethods": [
        "POST"
    ]
}

每个环境的OSGi配置(config.publish.dev, config.publish.stage和 config.publish.prod) alloworigin 和 allowedpaths 因环境而异。

配置AEM Dispatcher以允许SAML HTTP POST

成功对IDP进行身份验证后，IDP将编排一个HTTPPOST回AEM已注册 /saml_login 端点（在IDP中配置）。 此HTTPPOST /saml_login 默认情况下在Dispatcher处被阻止，因此必须明确允许使用以下Dispatcher规则：

1. 打开 dispatcher/src/conf.dispatcher.d/filters/filters.any 在IDE中。
2. 在文件底部添加一个允许将HTTP POST添加到以 /saml_login.

...

# Allow SAML HTTP POST to ../saml_login end points
/0190 { /type "allow" /method "POST" /url "*/saml_login" }

如果配置了Apache Web服务器上的URL重写(dispatcher/src/conf.d/rewrites/rewrite.rules)，请确保向 .../saml_login 端点不会意外损坏。

启用数据同步并封装令牌

在AEM发布中创建用户后，SAML身份验证流程便会在AEM发布服务层中对AEM用户节点进行身份验证。
这要求 数据同步 和 封装令牌 ，以便由AEM发布服务上的Adobe支持启用。

向Adobe客户支持(通过 AdminConsole >支持)请求：

在AEM发布服务中为程序X和环境Y启用了数据同步和封装令牌。

部署SAML配置

必须将OSGi配置提交到Git，并使用Cloud Manager将其部署到AEMas a Cloud Service。

$ git remote -v
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (fetch)
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (push)
$ git add .
$ git commit -m "SAML 2.0 configurations"
$ git push adobe saml-auth:develop

部署目标Cloud Manager Git分支(在此示例中， develop)，使用完整堆栈部署管道。

Business.Adobe.com资源