[Intégration]{class="badge positive"}

Configurer l’ID externe Microsoft Entra pour l’authentification du client

[AEM_Forms_as_a_Cloud_Service]{class="badge informative"}

Ce cas pratique montre comment l’ID externe Microsoft Entra peut être utilisé comme fournisseur d’identité client pour une application AEM Forms. Les clients peuvent s’auto-enregistrer et se connecter à l’aide d’un flux d’utilisateur d’inscription/de connexion Entra ID externe, tandis qu’AEM utilise SAML 2.0 pour authentifier et autoriser le client.

Une fois l’authentification réussie, AEM synchronise le compte client et utilise un hook de post-synchronisation SAML pour capturer les attributs de profil tels que l’identifiant d’objet entra, l’adresse électronique, le prénom et le nom. Ces attributs peuvent ensuite être envoyés à Adobe Experience Platform (AEP) pour créer ou mettre à jour le profil du client pour les cas d’utilisation de personnalisation et d’engagement en aval.

​1. Créer ou sélectionner le client d’ID externe d’entrée

Créez ou sélectionnez le client ID externe Microsoft Entra qui gérera les identités du client.

Pour cette preuve de concept :

Ce client contient :

​2. Créer un flux d’utilisateurs pour l’inscription et la connexion

Accédez à :

Identités externes → flux utilisateur → flux nouvel utilisateur

Créez un :

S’inscrire et se connecter flux d’utilisateurs.

Fournisseur d’identité

Sélectionnez :

Attributs d’utilisateur

Configurez le flux d’utilisateurs pour collecter les éléments suivants :

Ces attributs font partie du profil Entra du client et peuvent être renvoyés ultérieurement à AEM dans l’assertion SAML.

​3. Création de l’application d’entreprise AEM

Accédez à :

Applications d’entreprise → Nouvelle application

Créez une application d’entreprise hors galerie.

Pour cette preuve de concept :

Nom de l’application :

AEM Entra POC

Cette application d’entreprise représente AEM en tant que fournisseur de services SAML (SP).

​4. Configurer l’authentification unique SAML

Ouvrez :

Applications d’entreprise → PDC AEM Entra → authentification unique → SAML

Sous Configuration SAML de base, configurez les éléments suivants.

Identifiant (Identifiant de l’entité)

L’identifiant doit correspondre au serviceProviderEntityId configuré dans le gestionnaire d’authentification SAML AEM.

Pour cette preuve de concept :

https://publish-p133654-e1305513.adobeaemcloud.com

URL de réponse / Service consommateurs d’assertion (ACS)

Pour l’application bancaire :

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

D’autres chemins d’accès AEM SAML peuvent être enregistrés en tant qu’URL de réponse supplémentaires si nécessaire.

Par exemple, lors de la preuve de concept initiale, nous avons également utilisé :

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

L’URL de réponse doit correspondre au point d’entrée de rappel SAML d’AEM.

​5. Configuration des attributs et des revendications SAML

Accédez à :

AEM Entra POC → authentification unique → Attributs et revendications

Identifiant utilisateur unique (ID de nom)

Configurer :

Unique User Identifier (Name ID) → user.objectid

Cela entraîne l’utilisation de l’ID d’objet entra comme ID de nom SAML.

Revendications supplémentaires

Configurez les revendications suivantes :

La demande de objectId supplémentaire est intentionnelle.

Le hook de post-synchronisation SAML AEM utilise cette revendication pour obtenir l’ID d’objet entra d’origine :

objectId → user.objectid

Par exemple :

36fcb7e1-5d30-416d-a342-51367829251c

Cette valeur peut ensuite être utilisée comme identité du client (crmid) lors de l’envoi du profil client à Adobe Experience Platform.

​6. Télécharger le certificat de signature SAML entrant

Sur la page de configuration SAML, recherchez :

Certificats SAML

Télécharger :

Certificat (Base64)

Cela génère un fichier de certificat .cer.

Le certificat est ensuite importé dans AEM Global Trust Store afin qu’AEM puisse valider les assertions SAML signées par Microsoft Entra.

Enregistrez également les valeurs Entra suivantes.

URL de connexion

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

Cela devient le du gestionnaire SAML AEM :

idpUrl

Identifiant d’entrée Microsoft

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

Cela devient le du gestionnaire SAML AEM :

idpIdentifier

​7. Configuration de l’accès aux applications d’entreprise

Accédez à :

Applications d’entreprise → propriétés de → de preuve de concept AEM Entra

Pour cette preuve de concept destinée aux clients, configurez les éléments suivants :

Assignment required? = No

Cela permet aux clients qui utilisent le flux d’utilisateur ID externe d’accéder à l’application d’entreprise AEM sans qu’un administrateur ait à affecter chaque client individuellement.

Si une affectation est requise, un client non affecté peut recevoir une erreur telle que :

AADSTS50105

​8. Associer l’application d’entreprise au flux d’utilisateurs

Accédez à :

Identités externes → Flux d’utilisateurs → [Flux d’utilisateurs d’inscription et de connexion] Applications →

Sélectionnez :

Ajouter une application

Ajouter :

AEM Entra POC

Cela connecte l’expérience d’inscription/de connexion du client à l’application d’entreprise AEM SAML.

Les deux composantes ont des responsabilités différentes :

L’association de l’application d’entreprise au flux d’utilisateurs relie ces deux éléments.

Architecture d’authentification résultante

Le client accède à l’application bancaire AEM

→ AEM détecte le contenu protégé

→ gestionnaire d’authentification SAML AEM

→ Microsoft Entra ID externe

Application d’entreprise → AEM Entra POC

→ Flux D’Utilisateur Associé À L’Inscription/La Connexion

→ Le client se connecte ou crée un compte

→ Entra génère une assertion SAML signée

→ réponse SAML est POSTed à AEM /saml_login

→ AEM valide l’assertion à l’aide du certificat de signature Entra

→ AEM crée ou synchronise le client

→ le hook de post-synchronisation SAML AEM s’exécute

→ profil client peut être envoyé à Adobe Experience Platform