Autenticazione SAML 2.0 saml-2-0-authentication

Ottieni il file del certificato pubblico dall'IDP. Questo certificato consente all'AEM di convalidare l'asserzione SAML fornita all'AEM dall'IDP.

Il certificato è in formato PEM e deve essere simile al seguente:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Accedi a AEM Author come amministratore AEM.

Passa a Strumenti > Sicurezza > Archivio attendibile.

Crea o apri l'archivio fonti attendibili globale. Se si crea un archivio fonti attendibili globale, memorizzare la password in un luogo sicuro.

Espandere Aggiungi certificato da file CER.

Selezionare Seleziona file certificato e caricare il file certificato fornito dall'IDP.

Lascia vuoto Mappa certificato all'utente.

Seleziona Invia.

Il certificato appena aggiunto viene visualizzato sopra la sezione Aggiungi certificato da file CRT.

Prendere nota dell'alias alias, in quanto questo valore viene utilizzato nella configurazione OSGi del gestore autenticazione SAML 2.0.

Seleziona Salva e chiudi.

Passa a Strumenti > Distribuzione > Pacchetti.

Creare un pacchetto

• Nome pacchetto: Global Trust Store
• Versione: 1.0.0
• Gruppo: com.your.company

Modifica il nuovo pacchetto Archivio attendibile globale.

Selezionare la scheda Filtri e aggiungere un filtro per il percorso radice /etc/truststore.

Seleziona Fine e quindi Salva.

Selezionare il pulsante Genera per il pacchetto Archivio attendibilità globale.

Una volta generato, selezionare Altro > Replica per attivare il nodo dell'archivio fonti attendibili globale (/etc/truststore) in AEM Publish.

Accedi a AEM Author come amministratore AEM per caricare la chiave privata.

Passa a Strumenti > Protezione > Utenti, seleziona l'utente authentication-service e seleziona Proprietà dalla barra delle azioni superiore.

Selezionare la scheda Registro chiavi.

Crea o apri il keystore. Se crei un keystore, proteggi la password.

• Un keystore pubblico/privato è installato in questo keystore solo se è richiesta la firma AuthnRequest/la crittografia dell'asserzione SAML.
• Se questa integrazione SAML supporta la disconnessione ma non l'asserzione di firma AuthnRequest/SAML, è sufficiente un keystore vuoto.

Seleziona Salva e chiudi.

Crea un pacchetto contenente l'utente authentication-service aggiornato.

Utilizzare la seguente soluzione alternativa temporanea utilizzando i pacchetti:

1. Passa a Strumenti > Distribuzione > Pacchetti.

2. Creare un pacchetto

   • Nome pacchetto: Authentication Service
   • Versione: 1.0.0
   • Gruppo: com.your.company

3. Modifica il nuovo pacchetto Archivio chiavi del servizio di autenticazione.

4. Selezionare la scheda Filtri e aggiungere un filtro per il percorso radice /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • Per trovare <AUTHENTICATION SERVICE UUID>, passa a Strumenti > Protezione > Utenti e seleziona l'utente authentication-service. L’UUID è l’ultima parte dell’URL.

5. Seleziona Fine e quindi Salva.

6. Selezionare il pulsante Build per il pacchetto Authentication Service Key Store.

7. Una volta generato, seleziona Altro > Replica per attivare l'archivio chiavi del servizio di autenticazione in AEM Publish.

Ottieni la chiave pubblica, la chiave privata (PKCS#8 in formato DER) e il file della catena di certificati (questa potrebbe essere la chiave pubblica) utilizzati per firmare la richiesta di authoring e crittografa l’asserzione SAML. Le chiavi vengono in genere fornite dal team di sicurezza dell'organizzazione IT.

• È possibile generare una coppia di chiavi autofirmate utilizzando openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Carica la chiave pubblica nell'IDP.

• Utilizzando il metodo openssl precedente, la chiave pubblica è il file aem-public.crt.

Accedi a AEM Author come amministratore AEM per caricare la chiave privata.

Passa a Strumenti > Sicurezza > Archivio attendibile, seleziona l'utente authentication-service e seleziona Proprietà dalla barra delle azioni superiore.

Passa a Strumenti > Protezione > Utenti, seleziona l'utente authentication-service e seleziona Proprietà dalla barra delle azioni superiore.

Selezionare la scheda Registro chiavi.

Crea o apri il keystore. Se crei un keystore, proteggi la password.

Selezionare Aggiungi chiave privata dal file DER e aggiungere la chiave privata e il file della catena all'AEM:

• Alias: fornire un nome significativo, spesso il nome dell'IDP.
• File di chiave privata: carica il file di chiave privata (PKCS#8 in formato DER).
  • Utilizzando il metodo openssl, si tratta del file aem-private-pkcs8.der
• Selezionare il file della catena di certificati: caricare il file della catena associato (potrebbe essere la chiave pubblica).
  • Utilizzando il metodo openssl, si tratta del file aem-public.crt
• Seleziona Invia

Il certificato appena aggiunto viene visualizzato sopra la sezione Aggiungi certificato da file CRT.

• Prendere nota dell'alias alias utilizzato nella configurazione OSGi del gestore di autenticazione SAML 2.0

Seleziona Salva e chiudi.

Crea un pacchetto contenente l'utente authentication-service aggiornato.

Utilizzare la seguente soluzione alternativa temporanea utilizzando i pacchetti:

1. Passa a Strumenti > Distribuzione > Pacchetti.

2. Creare un pacchetto

   • Nome pacchetto: Authentication Service
   • Versione: 1.0.0
   • Gruppo: com.your.company

3. Modifica il nuovo pacchetto Archivio chiavi del servizio di autenticazione.

4. Selezionare la scheda Filtri e aggiungere un filtro per il percorso radice /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • Per trovare <AUTHENTICATION SERVICE UUID>, passa a Strumenti > Protezione > Utenti e seleziona l'utente authentication-service. L’UUID è l’ultima parte dell’URL.

5. Seleziona Fine e quindi Salva.

6. Selezionare il pulsante Build per il pacchetto Authentication Service Key Store.

7. Una volta generato, seleziona Altro > Replica per attivare l'archivio chiavi del servizio di autenticazione in AEM Publish.

Crea un file di configurazione OSGi nel progetto in /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json e aprilo nell'IDE.

• Cambia /wknd-examples/ in /<project name>/
• L'identificatore dopo ~ nel nome file deve identificare in modo univoco questa configurazione, quindi potrebbe essere il nome dell'IDP, ad esempio ...~okta.cfg.json. Il valore deve essere alfanumerico con trattini.

Incolla il seguente JSON nel file com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json e aggiorna i riferimenti wknd in base alle esigenze.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Aggiorna i valori come richiesto dal progetto. Per le descrizioni delle proprietà di configurazione, vedi il glossario di configurazione OSGi Gestore autenticazione SAML 2.0 sopra

È consigliabile, ma non obbligatorio, utilizzare le variabili di ambiente OSGi e i segreti, quando i valori possono non essere sincronizzati con il ciclo di rilascio o quando i valori differiscono tra tipi di ambiente/livelli di servizio simili. I valori predefiniti possono essere impostati con la sintassi $[env:..;default=the-default-value]", come illustrato sopra.

Crea (o modifica) un file di configurazione OSGi nel progetto in /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Cambia /wknd-examples/ in /<project name>/

Verificare che il valore allow.empty sia impostato su true, che allow.hosts (o se si preferisce, allow.hosts.regexp) contenga l'origine dell'IDP e che filter.methods includa POST. La configurazione OSGi deve essere simile a:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Crea un file di configurazione OSGi nel progetto in /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• Cambia /wknd-examples/ con il nome del progetto
• L'identificatore dopo ~ nel nome file deve identificare in modo univoco questa configurazione, quindi potrebbe essere il nome dell'IDP, ad esempio ...CORSPolicyImpl~okta.cfg.json. Il valore deve essere alfanumerico con trattini.

Incolla il seguente JSON nel file com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json.