Activar el inicio de sesión único en AEM Forms enabling-single-sign-on-in-aem-forms

En la consola de administración, haga clic en Configuración > Administración de usuarios > Configuración > Configurar atributos de portal.

Seleccione Sí para activar el SSO. Si selecciona No, el resto de la configuración de la página no estará disponible.

Defina las opciones restantes de la página según sea necesario y haga clic en Aceptar:

• Tipo de SSO: (obligatorio) Seleccione el encabezado HTTP para habilitar el SSO mediante encabezados HTTP.

• Encabezado HTTP para el identificador del usuario: (obligatorio) Nombre del encabezado cuyo valor contiene el identificador único del usuario que inició sesión. Administración de usuarios utiliza este valor para buscar el usuario en la base de datos de Administración de usuarios. El valor obtenido de este encabezado debe coincidir con el identificador único del usuario sincronizado desde el directorio LDAP. (Consulte Configuración de usuario.)

• El valor de identificador se asigna al identificador de usuario del usuario en lugar del identificador único del usuario: Asigna el valor de identificador único del usuario al identificador de usuario. Seleccione esta opción si el identificador único del usuario es un valor binario que no se puede propagar fácilmente a través de encabezados HTTP (por ejemplo, objectGUID si está sincronizando usuarios desde Active Directory).

• Encabezado HTTP para el dominio: (no obligatorio) Nombre del encabezado cuyo valor contiene el nombre de dominio. Utilice esta configuración solo si ningún encabezado HTTP individual identifica de forma exclusiva al usuario. Utilice esta configuración para casos en los que existen varios dominios y el identificador único solo es único dentro de un dominio. En este caso, especifique el nombre del encabezado en este cuadro de texto y especifique la asignación de dominios para varios dominios en el cuadro Asignación de dominios. (Consulte Edición y conversión de dominios existentes.)

• Asignación de dominios: (obligatorio) Especifica la asignación para varios dominios con el formato header value=domain name.

  Por ejemplo, considere una situación en la que el encabezado HTTP de un dominio sea domainName y pueda tener valores de domain1, domain2 o domain3. En este caso, utilice la asignación de dominios para asignar los valores domainName a los nombres de dominio de Administración de usuarios. Cada asignación debe estar en una línea diferente:

  domain1=dominioUM1

  domain2=dominioUM2

  domain3=UMdomain3

Decida qué dominio desea utilizar para habilitar SSO. AEM Forms Server y los usuarios deben formar parte del mismo dominio de Windows o dominio de confianza.

En Active Directory, cree un usuario que represente al servidor de AEM Forms. (Consulte Crear una cuenta de usuario.) Si está configurando más de un dominio para utilizar SPNEGO, asegúrese de que las contraseñas de cada uno de estos usuarios sean diferentes. Si las contraseñas no son diferentes, SPNEGO SSO no funciona.

Asigne el nombre principal del servicio. (Consulte Asignar un nombre principal de servicio (SPN).)

Configure el controlador de dominio. (Consulte Impedir errores de comprobación de integridad Kerberos.)

Agregue o edite un dominio de empresa como se describe en Agregar dominios o Editar y convertir dominios existentes. Cuando cree o edite el dominio de empresa, realice estas tareas:

• Agregue o edite un directorio que contenga su información de Active Directory.

• Añada LDAP como proveedor de autenticación.

• Agregue Kerberos como proveedor de autenticación. Proporcione la siguiente información en la página Nueva o Editar autenticación para Kerberos:

  • Proveedor de autenticación: Kerberos
  • AEM IP de DNS: Dirección IP de DNS del servidor donde se ejecutan los formularios de la. Puede determinar esta dirección IP ejecutando ipconfig/all en la línea de comandos.
  • Host KDC: Nombre de host completo o dirección IP del servidor Active Directory utilizado para la autenticación
  • Usuario de servicio: El nombre principal de servicio (SPN) pasado a la herramienta KtPass. En el ejemplo utilizado anteriormente, el usuario del servicio es HTTP/lcserver.um.lc.com.
  • Dominio de servicio: Nombre de dominio para Active Directory. En el ejemplo utilizado anteriormente, el nombre de dominio es UM.LC.COM.
  • Contraseña del servicio: Contraseña del usuario del servicio. En el ejemplo utilizado anteriormente, la contraseña del servicio es password.
  • Habilitar SPNEGO: Habilita el uso de SPNEGO para el inicio de sesión único (SSO). Seleccione esta opción.

Configure las opciones del explorador del cliente SPNEGO. (Consulte Configuración del explorador del cliente SPNEGO.)

AEM En SPNEGO, registre un servicio como un usuario en Active Directory en el controlador de dominio para representar formularios de. En el controlador de dominio, vaya al menú Inicio > Herramientas administrativas > Usuarios y equipos de Active Directory. Si Herramientas administrativas no está en el menú Inicio, utilice el Panel de control de Campaign.

Haga clic en la carpeta Usuarios para mostrar una lista de usuarios.

Haga clic con el botón derecho en la carpeta de usuario y seleccione Nuevo > Usuario.

Escriba el Nombre/Apellidos y el Nombre de inicio de sesión del usuario y, a continuación, haga clic en Siguiente. Por ejemplo, establezca los siguientes valores:

• Nombre: umspnego
• Nombre de inicio de sesión de usuario: spnegodemo

Escriba una contraseña. Por ejemplo, configúrelo en password. Asegúrese de que la opción La contraseña nunca caduca está seleccionada y que no hay otras opciones seleccionadas.

Haga clic en Siguiente y, a continuación, en Finalizar.

Obtenga la utilidad KtPass. Esta utilidad se utiliza para asignar un SPN a un REALM. Puede obtener la utilidad KtPass como parte del paquete de herramientas o el kit de recursos de Windows Server. (Consulte Herramientas de soporte técnico de Windows Server 2003 Service Pack 1.)

En un símbolo del sistema, ejecute ktpass con los siguientes argumentos:

ktpass -princ HTTP/host @REALM -mapuserusuario

Por ejemplo, escriba el siguiente texto:

ktpass -princ HTTP/lcserver.um.lc.com@UM.LC.COM -mapuser spnegodemo

Los valores que debe proporcionar se describen de la siguiente manera:

host: Nombre completo del servidor de Forms o cualquier dirección URL única. En este ejemplo, se establece en lcserver.um.lc.com.

REALM: dominio de Active Directory para el controlador de dominio. En este ejemplo, se establece en UM.LC.COM. Asegúrese de introducir el dominio en caracteres en mayúsculas. Para determinar el dominio kerberos de Windows 2003, complete los siguientes pasos:

• Haga clic con el botón derecho en Mi PC y seleccione Propiedades
• Haga clic en la ficha Nombre de equipo. El valor Nombre de dominio es el nombre de territorio.

usuario: Nombre de inicio de sesión de la cuenta de usuario que creó en la tarea anterior. En este ejemplo, se establece en spnegodemo.

En el cuadro Dirección URL del explorador, escriba about:config

Aparecerá el cuadro de diálogo about:config - Mozilla Firefox.

En el cuadro Filtro, escriba negotiate

En la lista que se muestra, haga clic en network.Negotiate-auth.trusted-uri y escriba uno de los siguientes comandos según corresponda para su entorno:

.um.lc.com: configura Firefox para permitir SPNEGO para cualquier dirección URL que termine con um.lc.com. Asegúrese de incluir el punto (".") al principio.

lcserver.um.lc.com: configura Firefox para permitir SPNEGO solo para su servidor específico. No empiece este valor con un punto (".").

Pruebe la configuración accediendo a la aplicación. Debe aparecer la página de bienvenida de la aplicación de destino.