[Integrazione]{class="badge positive"}

Configurare Microsoft Entra External ID per l’autenticazione del cliente

[AEM Forms as a Cloud Service]{class="badge informative"}

Questo caso d’uso illustra come utilizzare Microsoft Entra External ID come provider di identità del cliente per un’applicazione AEM Forms. I clienti possono registrarsi autonomamente e accedere utilizzando un flusso di utenti di accesso/iscrizione a Entra External ID, mentre AEM utilizza SAML 2.0 per autenticare e autorizzare il cliente.

Dopo l’autenticazione corretta, AEM sincronizza l’account cliente e utilizza un hook di post-sincronizzazione SAML per acquisire gli attributi del profilo, ad esempio ID oggetto Entra, indirizzo e-mail, nome e cognome. Questi attributi possono quindi essere inviati a Adobe Experience Platform (AEP) per creare o aggiornare il profilo del cliente per i casi di utilizzo di personalizzazione e coinvolgimento a valle.

​1. Crea o seleziona il tenant Entra External ID

Crea o seleziona il tenant Microsoft Entra External ID che gestirà le identità dei clienti.

Per questo POC:

Questo tenant contiene:

​2. Creare un flusso di utenti per l’accesso e la registrazione

Accedi a:

Identità esterne → flussi utente → nuovo flusso utente

Crea un:

Flusso utenti per l’accesso.

Provider di identità

Seleziona:

Attributi utente

Configura il flusso utente per la raccolta:

Questi attributi diventano parte del profilo Entra del cliente e possono essere successivamente restituiti ad AEM nell’asserzione SAML.

​3. Creazione dell’applicazione AEM Enterprise

Accedi a:

Applicazioni Enterprise → Nuova applicazione

Creare un’applicazione Enterprise non inclusa nella raccolta.

Per questo POC:

Nome applicazione:

AEM Entra POC

Questa applicazione Enterprise rappresenta AEM come provider di servizi SAML (SP).

​4. Configura Single Sign-On SAML

Apri:

Applicazioni aziendali → AEM Entra POC → Single Sign-On → SAML

In Configurazione SAML di base, configura quanto segue.

Identificatore (ID entità)

L’identificatore deve corrispondere a serviceProviderEntityId configurato nel gestore di autenticazione SAML di AEM.

Per questo POC:

https://publish-p133654-e1305513.adobeaemcloud.com

URL di risposta/Servizio consumer di asserzione (ACS)

Per la domanda bancaria:

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

Se necessario, è possibile registrare ulteriori percorsi SAML di AEM come URL di risposta aggiuntivi.

Ad esempio, durante il POC iniziale abbiamo utilizzato anche:

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

L’URL di risposta deve corrispondere all’endpoint di callback SAML di AEM.

​5. Configurare attributi e attestazioni SAML

Accedi a:

AEM Entra POC → Single Sign-On → Attributi e attestazioni

Identificatore utente univoco (ID nome)

Configurare:

Unique User Identifier (Name ID) → user.objectid

Questo determina l’utilizzo dell’ID dell’oggetto Entra come NameID SAML.

Richieste di rimborso aggiuntive

Configura le seguenti attestazioni:

L’attestazione objectId aggiuntiva è intenzionale.

L’hook di post-sincronizzazione SAML di AEM utilizza questa attestazione per ottenere l’ID oggetto Entra originale:

objectId → user.objectid

Ad esempio:

36fcb7e1-5d30-416d-a342-51367829251c

Questo valore può quindi essere utilizzato come identità cliente (crmid) durante l’invio del profilo cliente a Adobe Experience Platform.

​6. Scarica il certificato di firma SAML Entra

Nella pagina di configurazione SAML, individua:

Certificati SAML

Scarica:

Certificato (Base64)

Viene generato un file di certificato .cer.

Il certificato viene successivamente importato nell’AEM Global Trust Store in modo che AEM possa convalidare le asserzioni SAML firmate da Microsoft Entra.

Registra anche i seguenti valori Entra.

URL di accesso

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

Questo diventa del gestore SAML di AEM:

idpUrl

Identificatore Entra Microsoft

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

Questo diventa del gestore SAML di AEM:

idpIdentifier

​7. Configurare l’accesso alle applicazioni enterprise

Accedi a:

Applicazioni Enterprise → Proprietà → AEM Entra POC

Per questo POC rivolto al cliente, configura:

Assignment required? = No

Questo consente ai clienti che utilizzano il flusso di utenti ID esterno di accedere all’applicazione AEM Enterprise senza richiedere a un amministratore di assegnare ogni cliente singolarmente.

Se è richiesta un’assegnazione, un cliente non assegnato può ricevere un errore di questo tipo:

AADSTS50105

​8. Associare l’applicazione enterprise al flusso utente

Accedi a:

Flussi di utenti → identità esterne → [Flusso di utenti per l’accesso/l’iscrizione] → applicazioni

Seleziona:

Aggiungi applicazione

Aggiungi:

AEM Entra POC

Consente di collegare l’esperienza di accesso/registrazione del cliente all’applicazione AEM SAML Enterprise.

Le due componenti hanno responsabilità diverse:

L’associazione dell’applicazione enterprise al flusso utente consente di collegare questi due elementi.

Architettura di autenticazione risultante

Il cliente accede all’applicazione AEM Banking

→ AEM rileva i contenuti protetti

→ Gestore autenticazione SAML di AEM

→ Microsoft Entra External ID

→ applicazione aziendale AEM Entra POC

Flusso utente di registrazione/accesso associato →

→ Il cliente accede o crea un account

→ Entra genera un’asserzione SAML firmata

→ risposta SAML inviata tramite POST ad AEM /saml_login

→ AEM convalida l’asserzione utilizzando il certificato di firma Entra

→ AEM crea o sincronizza il cliente

→ esecuzione dell’hook di post-sincronizzazione SAML di AEM

→ il profilo cliente può essere inviato a Adobe Experience Platform