[Integración]{class="badge positive"}

Configuración de Microsoft Entra External ID para la autenticación de clientes

[AEM Forms as a Cloud Service]{class="badge informative"}

Este caso de uso muestra cómo se puede utilizar el ID externo extra de Microsoft como proveedor de identidad del cliente para una aplicación de AEM Forms. Los clientes pueden registrarse automáticamente e iniciar sesión con un flujo de usuario de registro/inicio de sesión de ID externo adicional, mientras que AEM utiliza SAML 2.0 para autenticar y autorizar al cliente.

Después de la autenticación correcta, AEM sincroniza la cuenta del cliente y utiliza un vínculo posterior a la sincronización de SAML para capturar atributos de perfil como el ID del objeto Entra, la dirección de correo electrónico, el nombre y los apellidos. Estos atributos se pueden enviar a Adobe Experience Platform (AEP) para crear o actualizar el perfil del cliente para casos de uso de personalización y participación posteriores.

​1. Crear o seleccionar el inquilino de ID externo adicional

Cree o seleccione el inquilino de Microsoft Entra External ID que administrará las identidades de los clientes.

Para este POC:

Este inquilino contiene:

​2. Crear un flujo de usuario de registro e inicio de sesión

Vaya a:

Identidades externas → flujos de usuarios → flujo de nuevos usuarios

Crear un:

Regístrese e inicie sesión en el flujo de usuario.

Proveedor de identidad

Seleccione lo siguiente:

Atributos del usuario

Configure el flujo de usuario para recopilar:

Estos atributos pasan a formar parte del perfil Entra del cliente y se pueden devolver posteriormente a AEM en la afirmación de SAML.

​3. Creación de la aplicación empresarial de AEM

Vaya a:

Aplicaciones empresariales → nueva aplicación

Cree una aplicación empresarial que no sea de galería.

Para este POC:

Nombre de aplicación:

AEM Entra POC

Esta aplicación empresarial representa a AEM como proveedor de servicios SAML (SP).

​4. Configurar el inicio de sesión único de SAML

Abra:

Aplicaciones empresariales → AEM Entra POC → inicio de sesión único → SAML

En Configuración básica de SAML, configure lo siguiente.

Identificador (ID de entidad)

El identificador debe coincidir con serviceProviderEntityId configurado en el controlador de autenticación SAML de AEM.

Para este POC:

https://publish-p133654-e1305513.adobeaemcloud.com

URL de respuesta/Servicio de consumidor de afirmación (ACS)

Para la aplicación bancaria:

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

Las rutas SAML de AEM adicionales se pueden registrar como direcciones URL de respuesta adicionales si es necesario.

Por ejemplo, durante el POC inicial también se utilizó:

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

La URL de respuesta debe corresponder al extremo de la llamada de retorno SAML de AEM.

​5. Configurar atributos y notificaciones de SAML

Vaya a:

AEM Entra POC → Atributos y reclamaciones de → de inicio de sesión único

Identificador único de usuario (identificador de nombre)

Configuración de:

Unique User Identifier (Name ID) → user.objectid

Esto hace que el ID de objeto adicional se utilice como identificador de nombre de SAML.

Reclamaciones adicionales

Configure las siguientes notificaciones:

La notificación adicional objectId es intencional.

El enlace posterior a la sincronización de AEM SAML utiliza esta notificación para obtener el ID del objeto adicional original:

objectId → user.objectid

Por ejemplo:

36fcb7e1-5d30-416d-a342-51367829251c

Este valor se puede usar como identidad del cliente (crmid) al enviar el perfil del cliente a Adobe Experience Platform.

​6. Descargar el certificado de firma de Entra SAML

En la página de configuración de SAML, busque:

Certificados SAML

Descargar:

Certificado (Base64)

Esto genera un archivo de certificado .cer.

El certificado se importa posteriormente al Almacén de confianza global de AEM para que AEM pueda validar afirmaciones SAML firmadas por Microsoft Entra.

Registre también los siguientes valores Entra.

URL de inicio de sesión

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

Esto se convierte en lo siguiente en el controlador SAML de AEM:

idpUrl

Identificador adicional de Microsoft

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

Esto se convierte en lo siguiente en el controlador SAML de AEM:

idpIdentifier

​7. Configurar el acceso a aplicaciones empresariales

Vaya a:

Aplicaciones empresariales → propiedades de → de AEM Entra POC

Para este POC orientado al cliente, configure:

Assignment required? = No

Esto permite a los clientes que utilizan el flujo de usuario de ID externo acceder a la aplicación de AEM Enterprise sin necesidad de que un administrador asigne cada cliente individualmente.

Si se requiere la asignación, un cliente no asignado puede recibir un error como:

AADSTS50105

​8. Asociar la aplicación empresarial al flujo de usuario

Vaya a:

Identidades externas → flujos de usuarios → [Flujo de usuarios de registro/inicio de sesión] → aplicaciones

Seleccione lo siguiente:

Agregar aplicación

Agregar:

AEM Entra POC

Esto conecta la experiencia de registro/inicio de sesión del cliente con la aplicación AEM SAML Enterprise.

Los dos componentes tienen responsabilidades diferentes:

Al asociar la aplicación empresarial con el flujo de usuario, se conectan estas dos partes.

Arquitectura de autenticación resultante

El cliente accede a AEM Banking Application

→ AEM detecta el contenido protegido

→ controlador de autenticación SAML de AEM

→ Microsoft Entra External ID

→ aplicación empresarial AEM Entra POC

→ Flujo De Usuario De Registro/Inicio De Sesión Asociado

→ el cliente inicia sesión o crea una cuenta

→ Entra genera una afirmación de SAML firmada

→ respuesta de SAML se ha publicado en AEM /saml_login

→ AEM valida la afirmación utilizando el certificado de firma Entra

→ AEM crea o sincroniza el cliente

→ se ejecuta el vínculo posterior a la sincronización de AEM SAML

→ Se puede enviar el perfil de cliente a Adobe Experience Platform