Configurazione dei provider di autenticazione configuring-authentication-providers

I domini ibridi richiedono almeno un provider di autenticazione, mentre i domini enterprise richiedono almeno un provider di autenticazione o un provider di directory.

Se si abilita SSO utilizzando SPNEGO, aggiungere un provider di autenticazione Kerberos con SPNEGO abilitato e un provider LDAP come backup. Questa configurazione abilita l'autenticazione utente con un ID utente e una password se SPNEGO non funziona. (Vedi Abilitare l'SSO tramite SPNEGO.)

Aggiungere un provider di autenticazione add-an-authentication-provider

Modifica un provider di autenticazione esistente edit-an-existing-authentication-provider

Eliminare un provider di autenticazione delete-an-authentication-provider

Impostazioni di autenticazione authentication-settings

Sono disponibili le seguenti impostazioni, a seconda del tipo di dominio e del tipo di autenticazione scelti.

Impostazioni LDAP ldap-settings

Se si sta configurando l'autenticazione per un dominio enterprise o ibrido e si seleziona l'autenticazione LDAP, è possibile scegliere di utilizzare il server LDAP specificato nella configurazione della directory oppure scegliere un server LDAP diverso da utilizzare per l'autenticazione. Se si sceglie un server diverso, gli utenti devono esistere in entrambi i server LDAP.

Per utilizzare il server LDAP specificato nella configurazione della directory, selezionare LDAP come provider di autenticazione e fare clic su OK.

Per utilizzare un server LDAP diverso per eseguire l'autenticazione, selezionare LDAP come provider di autenticazione e selezionare la casella di controllo Autenticazione LDAP personalizzata. Vengono visualizzate le seguenti impostazioni di configurazione.

Server: (obbligatorio) Nome di dominio completo (FQDN) del server delle directory. Ad esempio, per un computer denominato x nella rete example.com, il nome di dominio completo è x.example.com. È possibile utilizzare un indirizzo IP al posto del nome del server FQDN.

Porta: (obbligatoria) Porta utilizzata dal server delle directory. In genere, 389 o 636 se il protocollo SSL (Secure Sockets Layer) viene utilizzato per l'invio di informazioni di autenticazione sulla rete.

SSL: (obbligatorio) Specifica se il server delle directory utilizza SSL per l'invio di dati in rete. Il valore predefinito è No. Se impostato su Sì, il certificato del server LDAP corrispondente deve essere considerato attendibile dall'ambiente runtime Java™ (JRE) del server applicazioni.

Binding (obbligatorio) Specifica come accedere alla directory.

Anonimo: Non è richiesto alcun nome utente o password.

Utente: autenticazione richiesta. Nella casella Nome specificare il nome del record utente che può accedere alla directory. È consigliabile immettere il nome distinto completo (DN) dell'account utente, ad esempio cn=Jane Doe, ou=user, dc=can, dc=com. Nella casella Password specificare la password associata. Queste impostazioni sono necessarie quando si seleziona Utente come opzione di binding.

Recupera DN di base: (non obbligatorio) Recupera i DN di base e li visualizza nell'elenco a discesa. Questa impostazione è utile quando si dispone di più DN di base e si deve selezionare un valore.

DN di base: (obbligatorio) Utilizzato come punto iniziale per la sincronizzazione di utenti e gruppi dalla gerarchia LDAP. È consigliabile specificare un DN di base al livello più basso della gerarchia che includa tutti gli utenti e i gruppi che devono essere sincronizzati per i servizi. Non includere il DN dell’utente in questa impostazione. Per sincronizzare un utente specifico, utilizzare l'impostazione Filtro di ricerca.

Popola pagina con: (non obbligatorio) Se selezionata, compila gli attributi nelle pagine delle impostazioni Utente e Gruppo con i corrispondenti valori LDAP predefiniti.

Filtro di ricerca: (obbligatorio) Filtro di ricerca da utilizzare per trovare il record associato all'utente. Consulta Sintassi del filtro di ricerca.

Impostazioni Kerberos kerberos-settings

Se si configura l'autenticazione per un dominio enterprise o ibrido e si seleziona Autenticazione Kerberos, sono disponibili le impostazioni seguenti.

IP DNS: indirizzo IP DNS del server in cui sono in esecuzione i moduli AEM. In Windows, è possibile determinare questo indirizzo IP eseguendo ipconfig /all nella riga di comando.

Host KDC: Nome host completo o indirizzo IP del server Active Directory utilizzato per l'autenticazione.

Utente servizio: Se si utilizza Active Directory 2003, questo valore è il mapping creato per l'entità servizio nel formato HTTP/<server name>. Se si utilizza Active Directory 2008, questo valore è l'ID di accesso dell'entità servizio. Ad esempio, si supponga che l'entità servizio sia denominata um spnego, che l'ID utente sia spnegodemo e che la mappatura sia HTTP/example.yourcompany.com. Con Active Directory 2003, l'utente del servizio viene impostato su HTTP/example.yourcompany.com. Con Active Directory 2008, l'utente del servizio viene impostato su spnegodemo. Consultate Abilitare l'SSO tramite SPNEGO.

Area di autenticazione servizio: Nome dominio per Active Directory

Password servizio: Password utente servizio

Abilita SPNEGO: Abilita l'utilizzo di SPNEGO per Single Sign-On (SSO). Consultate Abilitare l'SSO tramite SPNEGO.

Impostazioni SAML saml-settings

Se stai configurando l’autenticazione per un dominio enterprise o ibrido e selezioni l’autenticazione SAML, sono disponibili le seguenti impostazioni. Per ulteriori informazioni sulle impostazioni SAML, vedere Configurare le impostazioni del provider di servizi SAML.

Selezionare un metadati provider di identità SAML
file da importare: Fare clic su Sfoglia per selezionare un file di metadati del provider di identità SAML generato dall'IDP, quindi fare clic su Importa. Vengono visualizzati i dettagli dell'IDP.

Titolo: Alias dell'URL indicato da EntityID. Il titolo viene visualizzato anche nella pagina di accesso per gli utenti aziendali e locali.

Il provider di identità supporta l'autenticazione di base del client: l'autenticazione di base del client viene utilizzata quando l'IDP utilizza un profilo di risoluzione degli artefatti SAML. In questo profilo, User Management si connette a un servizio Web in esecuzione nell'IDP per recuperare l'asserzione SAML effettiva. L'IDP potrebbe richiedere l'autenticazione. Se l'IDP richiede l'autenticazione, selezionare questa opzione e specificare un nome utente e una password nelle caselle fornite.

Proprietà personalizzate: Consente di specificare proprietà aggiuntive. Le proprietà aggiuntive sono coppie nome=valore separate da nuove righe.

Se si utilizza l'associazione degli artefatti, sono necessarie le seguenti proprietà personalizzate.

Impostazioni personalizzate custom-settings

Se si sta configurando l'autenticazione per un dominio enterprise o ibrido e si seleziona Autenticazione personalizzata, selezionare il nome del provider di autenticazione personalizzato.

Provisioning degli utenti "just-in-time" just-in-time-provisioning-of-users

Il provisioning just-in-time crea automaticamente un utente nel database di User Management dopo che l’utente è stato autenticato correttamente tramite un provider di autenticazione. Anche i ruoli e i gruppi rilevanti vengono assegnati in modo dinamico al nuovo utente. È possibile abilitare il provisioning just-in-time per i domini aziendali e ibridi.

Questa procedura descrive il funzionamento dell’autenticazione tradizionale nelle forme AEM:

Quando è abilitato il provisioning just-in-time, i nuovi utenti vengono creati in modo dinamico in Gestione utenti se uno dei provider di autenticazione convalida le credenziali. (Dopo il punto 3 della procedura precedente).

Senza il provisioning just-in-time, quando un utente viene autenticato correttamente ma non viene trovato nel database di gestione utenti, l’autenticazione non riesce. Il provisioning just-in-time aggiunge un passaggio nella procedura di autenticazione per creare l’utente e assegnare ruoli e gruppi all’utente.

Abilitare il provisioning just-in-time per un dominio enable-just-in-time-provisioning-for-a-domain