SAML 2.0驗證

瞭解如何為您選擇的SAML 2.0相容的IDP設定及驗證一般使用者(而非AEM作者)。

AEM適用的SAMLas a Cloud Service為何？

SAML 2.0與AEM Publish （或Preview）整合，可讓AEM型網頁體驗的一般使用者向非AdobeIDP （身分提供者）進行驗證，並以已命名的授權使用者身分存取AEM。

設定逐步說明

此影片逐步解說如何設定SAML 2.0與AEMas a Cloud Service發佈服務的整合，以及使用Okta作為IDP。

必備條件

設定SAML 2.0驗證時需要下列專案：

• 部署管理員對Cloud Manager的存取權
• AEM管理員對AEMas a Cloud Service環境的存取權
• IDP的管理員存取權
• 選擇性地存取用來加密SAML裝載的公用/私用金鑰組

僅支援SAML 2.0向AEM Publish或Preview驗證使用者。 若要使用和IDP管理AEM作者驗證， 將IDP與Adobe IMS整合.

在AEM上安裝IDP公開憑證

IDP的公開憑證會新增至AEM全域信任存放區，並用來驗證IDP傳送的SAML宣告是否有效。

1. 取得 公開憑證 IDP中的檔案。 此憑證可讓AEM驗證IDP提供給AEM的SAML判斷提示。

   憑證為PEM格式，應類似於：

   -----BEGIN CERTIFICATE-----
   MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
   ...
   m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
   -----END CERTIFICATE-----
   

2. 以AEM管理員身分登入AEM作者。

3. 導覽至 「工具>安全性>信任存放區」.

4. 建立或開啟全域信任存放區。 如果建立全域信任存放區，請將密碼存放於安全的位置。

5. 展開 從CER檔案新增憑證.

6. 選取 選取憑證檔案，並上傳IDP提供的憑證檔案。

7. 離開 將憑證對應到使用者 空白。

8. 選取 提交.

9. 新新增的憑證會顯示在 從CRT檔案新增憑證 區段。

10. 記下 別名，此值用於 SAML 2.0驗證處理常式OSGi設定.

11. 選取 儲存並關閉.

全域信任存放區已在AEM Author上使用IDP的公開憑證設定，但由於SAML僅用於AEM Publish，因此必須將全域信任存放區復寫至AEM Publish，才能在IDP公開憑證中存取。

1. 導覽至​工具 > 部署 > 套件。
2. 建立套件
   • 封裝名稱： Global Trust Store
   • 版本: 1.0.0
   • 群組: com.your.company
3. 編輯新的 全域信任存放區 封裝。
4. 選取 篩選器 標籤，並為根路徑新增篩選器 /etc/truststore.
5. 選取 完成 然後 儲存.
6. 選取 建置 「 」的按鈕 全域信任存放區 封裝。
7. 建置後，選取 更多 > 復寫 啟動全域信任存放區節點(/etc/truststore)到AEM Publish。

建立驗證服務金鑰存放區

當下列情況時，需要建立驗證服務的金鑰存放區： SAML 2.0驗證處理常式OSGi設定屬性 handleLogout 設為 true 或 AuthnRequest簽署/SAML宣告加密 為必填

1. 以AEM管理員身分登入AEM作者以上傳私密金鑰。

2. 導覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者，並選取 屬性 從頂端動作列取得。

3. 選取 金鑰存放區 標籤。

4. 建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善保管密碼。

   • A 公開/私密金鑰存放區已安裝至此金鑰存放區 僅限需要AuthnRequest簽署/SAML宣告加密時。
   • 如果此SAML整合支援登出，但不支援AuthnRequest簽署/SAML判斷提示，則空的金鑰儲存區就足夠了。

5. 選取 儲存並關閉.

6. 建立包含更新版本的套件 authentication-service 使用者。

   使用套件時，請使用下列臨時因應措施：

   1. 導覽至​工具 > 部署 > 套件。
   2. 建立套件
      • 封裝名稱： Authentication Service
      • 版本: 1.0.0
      • 群組: com.your.company
   3. 編輯新的 驗證服務金鑰存放區 封裝。
   4. 選取 篩選器 標籤，並為根路徑新增篩選器 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.
      • 此 <AUTHENTICATION SERVICE UUID> 可瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者。 UUID是URL的最後一部分。
   5. 選取 完成 然後 儲存.
   6. 選取 建置 「 」的按鈕 驗證服務金鑰存放區 封裝。
   7. 建置後，選取 更多 > 復寫 以將Authentication Service金鑰存放區啟動至AEM Publish。

安裝AEM公開/私密金鑰組

可選擇安裝AEM公開/私密金鑰組

AEM Publish可設定為簽署AuthnRequests (to IDP)及加密SAML宣告(to AEM)。 這是透過提供私密金鑰至AEM Publish以及讓公開金鑰與IDP相符來達成。

AuthnRequest簽署和SAML判斷提示加密都是選擇性的，但是兩者都是啟用的，使用 SAML 2.0驗證處理常式OSGi設定屬性 useEncryption，表示兩者皆可使用或兩者皆不使用。

1. 取得用來簽署AuthnRequest以及加密SAML宣告的公開金鑰、私密金鑰（DER格式為PKCS#8）和憑證鏈結檔案（這可以是公開金鑰）。 這些金鑰通常由IT組織的安全團隊提供。

   • 可使用以下專案產生自我簽署金鑰組： openssl：

   $ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt
   
   # Provide a password (keep in safe place), and other requested certificate information
   
   # Convert the keys to AEM's required format
   $ openssl rsa -in aem-private.key -outform der -out aem-private.der
   $ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der
   

2. 將公開金鑰上傳至IDP。

   • 使用 openssl 方法上，公開金鑰為 aem-public.crt 檔案。

3. 以AEM管理員身分登入AEM作者以上傳私密金鑰。

4. 導覽至 「工具>安全性>信任存放區」，並選取 authentication-service 使用者，並選取 屬性 從頂端動作列取得。

5. 導覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者，並選取 屬性 從頂端動作列取得。

6. 選取 金鑰存放區 標籤。

7. 建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善保管密碼。

8. 選取 從DER檔案新增私密金鑰，並將私密金鑰和鏈結檔案新增至AEM：

   • 別名：提供有意義的名稱，通常是IDP的名稱。
   • 私密金鑰檔案：上傳私密金鑰檔案（DER格式的PKCS#8）。
     • 使用 openssl 方法，這是 aem-private-pkcs8.der 檔案
   • 選取憑證鏈結檔案：上傳隨附的鏈結檔案（可能是公開金鑰）。
     • 使用 openssl 方法，這是 aem-public.crt 檔案
   • 選取 提交

9. 新新增的憑證會顯示在 從CRT檔案新增憑證 區段。

   • 記下 別名 因為這用於 SAML 2.0驗證處理常式OSGi設定

10. 選取 儲存並關閉.

11. 建立包含更新版本的套件 authentication-service 使用者。

    使用套件時，請使用下列臨時因應措施：

    1. 導覽至​工具 > 部署 > 套件。
    2. 建立套件
       • 封裝名稱： Authentication Service
       • 版本: 1.0.0
       • 群組: com.your.company
    3. 編輯新的 驗證服務金鑰存放區 封裝。
    4. 選取 篩選器 標籤，並為根路徑新增篩選器 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.
       • 此 <AUTHENTICATION SERVICE UUID> 可瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者。 UUID是URL的最後一部分。
    5. 選取 完成 然後 儲存.
    6. 選取 建置 「 」的按鈕 驗證服務金鑰存放區 封裝。
    7. 建置後，選取 更多 > 復寫 以將Authentication Service金鑰存放區啟動至AEM Publish。

設定SAML 2.0驗證處理常式

AEM SAML設定是透過 AdobeGranite SAML 2.0驗證處理常式 OSGi設定。
此設定是OSGi工廠設定，表示單一AEMas a Cloud Service發佈服務可能有多個SAML設定，涵蓋存放庫的分散資源樹狀結構；這對多網站AEM部署很有用。

1. 在專案中建立OSGi設定檔案： /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json 並在IDE中開啟。

   • 變更 /wknd-examples/ 至您的 /<project name>/
   • 之後的識別碼 ~ 檔案名稱中應唯一識別此設定，因此它可能是IDP的名稱，例如 ...~okta.cfg.json. 值應為英數字元和連字型大小。

2. 將下列JSON貼入 com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json 檔案並更新 wknd 視需要參考。

   {
       "path": [ "/content/wknd", "/content/dam/wknd" ],
       "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
       "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
       "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
       "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
       "useEncryption": false,
       "createUser": true,
       "userIntermediatePath": "wknd/idp",
       "synchronizeAttributes":[
           "firstName=profile/givenName"
       ],
       "addGroupMemberships": true,
       "defaultGroups": [
           "wknd-users"
       ]
   }
   

3. 依專案要求更新值。 請參閱 SAML 2.0驗證處理常式OSGi設定字彙表 以上為設定屬性說明

4. 值可能會隨著發行週期不同步變更，或值在類似環境型別/服務層級之間不同時，建議使用OSGi環境變數和秘密，但並非必要。 可使用以下專案設定預設值： $[env:..;default=the-default-value]" 語法，如上所示。

每個環境的OSGi設定(config.publish.dev， config.publish.stage、和 config.publish.prod)如果SAML設定在不同環境之間有所不同，則可以使用特定屬性來定義。

使用加密

時間 加密AuthnRequest和SAML判斷提示，則需要下列屬性： useEncryption， spPrivateKeyAlias、和 keyStorePassword. 此 keyStorePassword 包含密碼，因此值不能儲存在OSGi設定檔案中，而是使用插入 密碼設定值

設定反向連結篩選

在SAML驗證程式期間，IDP會向AEM Publish的使用者端HTTPPOST .../saml_login 端點。 如果IDP和AEM Publish存在於不同的來源，則AEM Publish的 反向連結篩選 是透過OSGi設定設定以允許來自IDP來源的HTTP POST。

1. 建立（或編輯）專案中的OSGi設定檔，網址為 /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

   • 變更 /wknd-examples/ 至您的 /<project name>/

2. 確保 allow.empty 值設定為 true，則 allow.hosts (或如果您願意， allow.hosts.regexp)包含IDP的來源，以及 filter.methods 包含 POST. OSGi設定應該類似於：

   {
       "allow.empty": true,
       "allow.hosts.regexp": [ ],
       "allow.hosts": [
           "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
       ],
       "filter.methods": [
           "POST",
       ],
       "exclude.agents.regexp": [ ]
   }
   

AEM Publish支援單一反向連結篩選設定，因此可將SAML設定需求與任何現有設定合併。

每個環境的OSGi設定(config.publish.dev， config.publish.stage、和 config.publish.prod)可使用特定屬性定義，如果 allow.hosts (或 allow.hosts.regex)因環境而異。

設定跨原始資源共用(CORS)

在SAML驗證程式期間，IDP會向AEM Publish的使用者端HTTPPOST .../saml_login 端點。 如果IDP和AEM Publish存在於不同的主機/網域中，則AEM Publish的 CRoss-Origin資源共用(CORS) 必須設定為允許來自IDP主機/網域的HTTP POST。

此HTTPPOST請求的 Origin 標頭的值通常與AEM Publish主機不同，因此需要CORS設定。

在本機AEM SDK上測試SAML驗證時(localhost:4503)，則IDP可設定 Origin 頁首至 null. 如果是，請新增 "null" 至 alloworigin 清單。

1. 在專案中建立OSGi設定檔案： /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json
   • 變更 /wknd-examples/ 至您的專案名稱
   • 之後的識別碼 ~ 檔案名稱中應唯一識別此設定，因此它可能是IDP的名稱，例如 ...CORSPolicyImpl~okta.cfg.json. 值應為英數字元和連字型大小。
2. 將下列JSON貼入 com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json 檔案。

{
    "alloworigin": [
        "$[env:SAML_IDP_ORIGIN;default=https://dev-1234567890.okta.com]",
        "null"
    ],
    "allowedpaths": [
        ".*/saml_login"
    ],
    "supportedmethods": [
        "POST"
    ]
}

每個環境的OSGi設定(config.publish.dev， config.publish.stage、和 config.publish.prod)可使用特定屬性定義，如果 alloworigin 和 allowedpaths 因環境而異。

設定AEM Dispatcher以允許SAML HTTP POST

成功驗證IDP後，IDP會將HTTPPOST協調回AEM註冊的頁面 /saml_login 端點（設定於IDP）。 此HTTPPOST至 /saml_login Dispatcher預設會加以封鎖，因此必須使用下列Dispatcher規則明確加以允許：

1. 開啟 dispatcher/src/conf.dispatcher.d/filters/filters.any 在IDE中。
2. 在檔案底部新增允許規則，將HTTP POST新增至結尾為 /saml_login.

...

# Allow SAML HTTP POST to ../saml_login end points
/0190 { /type "allow" /method "POST" /url "*/saml_login" }

如果已設定Apache Webserver上的URL重寫(dispatcher/src/conf.d/rewrites/rewrite.rules)，確定向以下專案的請求： .../saml_login 不會意外損壞端點。

啟用資料同步並封裝Token

在SAML驗證流程於AEM Publish中建立使用者後，AEM使用者節點即可在整個AEM Publish服務層級中進行驗證。
這需要 資料同步 和 封裝的Token 將由AEM Publish服務的Adobe支援啟用。

傳送要求給Adobe客戶支援(透過 AdminConsole >支援)要求：

方案X和環境Y的AEM Publish服務已啟用資料同步和封裝權杖。

部署SAML設定

OSGi設定必須提交到Git並使用Cloud Manager部署到AEMas a Cloud Service。

$ git remote -v
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (fetch)
adobe   https://git.cloudmanager.adobe.com/myOrg/myCloudManagerGit/ (push)
$ git add .
$ git commit -m "SAML 2.0 configurations"
$ git push adobe saml-auth:develop

部署目標Cloud Manager Git分支(在此範例中， develop)，使用完整棧疊部署管道。