Adobe IMSまたは外部ID プロバイダーを介したAEM オーサーログインのMFAの有効化
AEMでは、MFA リクエストで最も混乱する原因となるローカルユーザー名とパスワードに対して、ネイティブの多要素認証（MFA）を提供していません。 MFAは、認証がAdobe IMSまたはOkta、Azure ADなどの外部ID プロバイダー（IdP）、またはそれを適用する任意のSAML/OIDC プロバイダーにデリゲートされた場合にのみサポートされます。AEM ログイン画面自体にはMFA ロジックが含まれていないためです。 AEMが認証を受け取る前に課題が発生する必要があるため、外部IdPをバイパスするローカルアカウントには強制メカニズムがありません。 認証モデルを決定し、IMSまたはIdP レイヤーでMFAを有効にすると、AEM オーサーログインに対して強制的なMFAが提供されます。
説明 description
問題：MFAをAEM オーサーログインまたはローカルのAEM アカウントで直接有効にできない
説明
お客様は、AEM オーサーのログインページでセキュリティコンプライアンスのMFAをリクエストし、いくつかの異なるパスで混乱が発生します。Adobe IMS MFA、Federated IDのIdP ベース MFA、Adobe ID オプションの2段階認証、ローカル AEM ユーザーのサポートされていないMFA、AEM Forms JEE OTPやカスタム認証ハンドラーなどのカスタム MFA統合。 これらのリクエストは、AEMaaCS、AMS 6.5、およびAEM Forms JEEで発生します。 AEMのログイン画面にはMFA ロジックが実装されていないため、AEMが認証を受け取る前に課題が発生する必要があります。
環境：
- Adobe Experience Manager as a Cloud Service （AEMaaCS）
- AEM Managed Services（AMS 6.5）
- AEM FORMSJEE
- Adobe IMSおよび外部SAML/OIDC ID プロバイダー
問題/症状：
- AEM オーサーログインでMFAを有効にするお客様のリクエストは、すべてのユーザーに対して行われます。
- お客様は、ローカルまたは非SSO アカウントのMFAをリクエストしますが、AEMではすぐにサポートされません。
根本原因：
AEMのログイン画面にMFA ロジックが実装されていない。 MFAは、AEMが認証を受け取る前に、Adobe IMSまたはフェデレーテッド SAML/OIDC IdPを使用して認証を適用する必要があります。 ローカルのAEM アカウントは外部IdPをバイパスするため、MFAを適用する仕組みはありません。
確認方法
-
Adobe IMS、Federated SSO （SAML/OIDC）、ローカルのAEMアカウントのいずれを使用して認証するかを確認して、認証モデルを決定します。
- AEMaaCSでは、常にIMS （Adobe ID、Business ID、またはFederated ID）を使用します。
- AMS 6.5では、IMS、SAML、LDAP、またはローカルアカウントを使用します。
- AEM Forms JEEでは、さらにOpenAPIを介してカスタム OTPを実装できます。
-
ユーザーグループをFederated ID ユーザー、Adobe ID ユーザー、またはローカルのAEM ユーザーに分類し、ログイン画面の動作（IMSとローカル）を確認して検証します。
解決策 resolution
-
Adobe IMS認証の場合は、Admin Console経由でMFAを有効にします。 adminconsole.adobe.com →認証システム のプライバシーとセキュリティ→設定→移動し、ユーザーディレクトリのMFAの適用を有効にします。 ログアウトしてFederated IDで再度ログインし、IdPからMFA チャレンジが表示されることを確認します。
-
Federated ID（SSO）ユーザーの場合は、IdPで直接MFAを設定します。 IdPの条件付きアクセスポリシーに必須のMFAを実装して、SAML/OIDC トークンをAEMに発行する前にIdPからMFAの要求を受け取るようにします。 ポリシーに一致するユーザーからログインをテストします。 チャレンジが表示されない場合は、IdP アクセスログを確認し、SAML アサーションコンシューマーURLがAEM環境のホスト名と一致することを確認します。
-
外部ユーザーに対するAdobe ID MFAの制限について説明します。 Adobe ID MFAはオプションであり、グローバルに適用することはできません。 外部エージェンシーユーザーは、Adobe ID アカウントページで2段階認証を個別に有効にできます。 履行が必要な場合は、Adobe IDの代わりにFederated IDを使用します。
-
ローカルのAEM ユーザーの場合は、MFAが標準でサポートされていないことを確認してください。 MFAを適用するには、ローカルアカウントをSSO/IMSに移行する必要があります。 ローカル アカウントがまだ
/useradminの下に存在するかどうかを確認し、それらの移行パスを計画します。 -
SMS-OTP MFAを必要とするAEM Forms JEEのお客様の場合は、サードパーティのSMS統合を設定します。
- SMS プロバイダーを選択し、API資格情報を取得します。
- OTP送信と検証エンドポイントを記述したOpenAPI/Swagger 2.0 ファイルを作成します。
- AEM Formsのデータ統合機能とOpenAPIを使用して統合。
- OTP呼び出しをトリガーするようにHTML Workspace ログインを設定します。
モバイルのHTML Workspace ログインを実行し、SMS配信を確認します。
6. AEM ログインページ（AEMaaCSまたはAMS）のカスタム MFA ワークフローの場合、これにはカスタム認証ハンドラーが必要であることに注意してください。 Adobe サポートはカスタムハンドラーを実装またはデバッグしないので、この作業にはAdobe Consultingまたはパートナーに依頼してください。
検証
- AEM セッションの作成前に、IMSまたはIdP ベースのMFA トリガーを確認します。
- MFAが有効でないユーザーでログインを試し、ポリシーごとにアクセスがブロックされていることを確認します。
- Forms JEE SMS OTPの場合、OTP ログにテストユーザーのリクエストと応答が正常に表示されていることを確認します。