Autenticazione SAML 2.0

Ottieni la chiave pubblica, la chiave privata (PKCS#8 in formato DER) e il file della catena di certificati (questa potrebbe essere la chiave pubblica) utilizzati per firmare la richiesta di authoring e crittografa l’asserzione SAML. Le chiavi vengono in genere fornite dal team di sicurezza dell'organizzazione IT.

• È possibile generare una coppia di chiavi autofirmate utilizzando openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Carica la chiave pubblica nell'IDP.

• Utilizzando il metodo openssl precedente, la chiave pubblica è il file aem-public.crt.

Accedi ad AEM Author come amministratore di AEM per caricare la chiave privata.

Passa a Strumenti > Sicurezza > Archivio attendibile, seleziona l'utente authentication-service e seleziona Proprietà dalla barra delle azioni superiore.

Passa a Strumenti > Protezione > Utenti, seleziona l'utente authentication-service e seleziona Proprietà dalla barra delle azioni superiore.

Selezionare la scheda Registro chiavi.

Crea o apri il keystore. Se crei un keystore, proteggi la password.

Seleziona Aggiungi chiave privata dal file DER e aggiungi la chiave privata e il file della catena ad AEM:

• Alias: fornire un nome significativo, spesso il nome dell'IDP.
• File di chiave privata: carica il file di chiave privata (PKCS#8 in formato DER).
  • Utilizzando il metodo openssl, si tratta del file aem-private-pkcs8.der
• Selezionare il file della catena di certificati: caricare il file della catena associato (potrebbe essere la chiave pubblica).
  • Utilizzando il metodo openssl, si tratta del file aem-public.crt
• Seleziona Invia

Il certificato appena aggiunto viene visualizzato sopra la sezione Aggiungi certificato da file CRT.

• Prendere nota dell'alias alias utilizzato nella configurazione OSGi del gestore di autenticazione SAML 2.0

Seleziona Salva e chiudi.

Crea un pacchetto contenente l'utente authentication-service aggiornato.

Utilizzare la seguente soluzione alternativa temporanea utilizzando i pacchetti:

1. Passa a Strumenti > Distribuzione > Pacchetti.

2. Creare un pacchetto

   • Nome pacchetto: Authentication Service
   • Versione: 1.0.0
   • Gruppo: com.your.company

3. Modifica il nuovo pacchetto Archivio chiavi del servizio di autenticazione.

4. Selezionare la scheda Filtri e aggiungere un filtro per il percorso radice /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • Per trovare <AUTHENTICATION SERVICE UUID>, passa a Strumenti > Protezione > Utenti e seleziona l'utente authentication-service. L’UUID è l’ultima parte dell’URL.

5. Seleziona Fine e quindi Salva.

6. Selezionare il pulsante Build per il pacchetto Authentication Service Key Store.

7. Una volta generato, seleziona Altro > Replica per attivare l'archivio chiavi del servizio di autenticazione in AEM Publish.

Crea un file di configurazione OSGi nel progetto in /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json e aprilo nell'IDE.

• Cambia /wknd-examples/ in /<project name>/
• L'identificatore dopo ~ nel nome file deve identificare in modo univoco questa configurazione, quindi potrebbe essere il nome dell'IDP, ad esempio ...~okta.cfg.json. Il valore deve essere alfanumerico con trattini.

Incolla il seguente JSON nel file com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json e aggiorna i riferimenti wknd in base alle esigenze.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Aggiorna i valori come richiesto dal progetto. Per le descrizioni delle proprietà di configurazione, vedi il glossario di configurazione OSGi Gestore autenticazione SAML 2.0 sopra

È consigliabile, ma non obbligatorio, utilizzare le variabili di ambiente OSGi e i segreti, quando i valori possono non essere sincronizzati con il ciclo di rilascio o quando i valori differiscono tra tipi di ambiente/livelli di servizio simili. I valori predefiniti possono essere impostati con la sintassi $[env:..;default=the-default-value]", come illustrato sopra.