SAML 2.0驗證 saml-2-0-authentication

取得 公開憑證 IDP中的檔案。 此憑證可讓AEM驗證IDP提供給AEM的SAML判斷提示。

憑證為PEM格式，應類似於：

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

以AEM管理員身分登入AEM Author。

瀏覽至 「工具>安全性>信任存放區」.

建立或開啟全域信任存放區。 如果建立全域信任存放區，請將密碼存放於安全的地方。

展開 從CER檔案新增憑證.

選取 選取憑證檔案，並上傳IDP提供的憑證檔案。

離開 將憑證對應到使用者 空白。

選取 提交.

新新增的憑證會出現在 從CRT檔案新增憑證 區段。

記下 別名，此值用於 SAML 2.0驗證處理常式OSGi設定.

選取「儲存並關閉」。

瀏覽至 「工具>部署>套件」.

建立套件

• 封裝名稱： Global Trust Store
• 版本： 1.0.0
• 群組： com.your.company

編輯新的 全域信任存放區 封裝。

選取 篩選器 標籤，並為根路徑新增篩選器 /etc/truststore.

選取 完成 然後 儲存.

選取 建置 「 」的按鈕 全域信任存放區 封裝。

建置後，選取 更多 > 復寫 啟動全域信任存放區節點(/etc/truststore)至AEM Publish。

以AEM管理員身分登入AEM Author，以上傳私密金鑰。

瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者，並選取 屬性 頂端動作列中的。

選取 金鑰存放區 標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

• A 公開/私密金鑰存放區已安裝到此金鑰存放區 僅限需要AuthnRequest簽署/SAML宣告加密時。
• 如果此SAML整合支援登出，但不支援AuthnRequest簽署/SAML判斷提示，則空的金鑰儲存區就足夠了。

選取「儲存並關閉」。

建立包含更新版本的套件 authentication-service 使用者。

使用套件時，請使用下列臨時因應措施：

1. 瀏覽至 「工具>部署>套件」.

2. 建立套件

   • 封裝名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的 驗證服務金鑰存放區 封裝。

4. 選取 篩選器 標籤，並為根路徑新增篩選器 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • 此 <AUTHENTICATION SERVICE UUID> 可瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者。 UUID是URL的最後一部分。

5. 選取 完成 然後 儲存.

6. 選取 建置 「 」的按鈕 驗證服務金鑰存放區 封裝。

7. 建置後，選取 更多 > 復寫 啟用驗證服務金鑰存放區以進行AEM發佈。

取得用來簽署AuthnRequest以及加密SAML宣告的公開金鑰、私密金鑰（DER格式為PKCS#8）及憑證鏈結檔案（這有可能是公開金鑰）。 這些金鑰通常由IT組織的安全團隊提供。

• 可使用產生自我簽署金鑰組 openssl：

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

將公開金鑰上傳至IDP。

• 使用 openssl 方法上，公開金鑰為 aem-public.crt 檔案。

以AEM管理員身分登入AEM Author，以上傳私密金鑰。

瀏覽至 「工具>安全性>信任存放區」，並選取 authentication-service 使用者，並選取 屬性 頂端動作列中的。

瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者，並選取 屬性 頂端動作列中的。

選取 金鑰存放區 標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

選取 從DER檔案新增私密金鑰，並將私密金鑰和鏈結檔案新增至AEM：

• 別名：提供有意義的名稱，通常是IDP的名稱。
• 私密金鑰檔案：上傳私密金鑰檔案（DER格式的PKCS#8）。
  • 使用 openssl 方法，這是 aem-private-pkcs8.der 檔案
• 選取憑證鏈結檔案：上傳隨附的鏈結檔案（可能是公開金鑰）。
  • 使用 openssl 方法，這是 aem-public.crt 檔案
• 選取 提交

新新增的憑證會出現在 從CRT檔案新增憑證 區段。

• 記下 別名 因為這用於 SAML 2.0驗證處理常式OSGi設定

選取「儲存並關閉」。

建立包含更新版本的套件 authentication-service 使用者。

使用套件時，請使用下列臨時因應措施：

1. 瀏覽至 「工具>部署>套件」.

2. 建立套件

   • 封裝名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的 驗證服務金鑰存放區 封裝。

4. 選取 篩選器 標籤，並為根路徑新增篩選器 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • 此 <AUTHENTICATION SERVICE UUID> 可瀏覽至 「工具>安全性>使用者」，並選取 authentication-service 使用者。 UUID是URL的最後一部分。

5. 選取 完成 然後 儲存.

6. 選取 建置 「 」的按鈕 驗證服務金鑰存放區 封裝。

7. 建置後，選取 更多 > 復寫 啟用驗證服務金鑰存放區以進行AEM發佈。

在專案中建立OSGi設定檔案： /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json 並在IDE中開啟。

• 變更 /wknd-examples/ 至您的 /<project name>/
• 之後的識別碼 ~ 在檔案名稱中應唯一識別此設定，因此可以是IDP的名稱，例如 ...~okta.cfg.json. 值應為英數字元和連字型大小。

將下列JSON貼入 com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json 檔案並更新 wknd 視需要提供參考。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

依專案要求更新值。 請參閱 SAML 2.0驗證處理常式OSGi設定字彙表 以上為設定屬性說明

值可能會隨著發行週期不同步變更，或類似環境型別/服務層之間的值不同時，建議使用OSGi環境變數和秘密，但並非必要。 預設值可使用 $[env:..;default=the-default-value]" 語法如上所示。

建立（或編輯）您專案中的OSGi設定檔案，位於 /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• 變更 /wknd-examples/ 至您的 /<project name>/

確保 allow.empty 值設定為 true，則 allow.hosts (或者如果您願意， allow.hosts.regexp)包含IDP的來源，以及 filter.methods 包含 POST. OSGi設定應該類似於：

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

在專案中建立OSGi設定檔案： /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• 變更 /wknd-examples/ 至您的專案名稱
• 之後的識別碼 ~ 在檔案名稱中應唯一識別此設定，因此可以是IDP的名稱，例如 ...CORSPolicyImpl~okta.cfg.json. 值應為英數字元和連字型大小。

將下列JSON貼入 com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json 檔案。