認証プロバイダーの設定 configuring-authentication-providers

ハイブリッドドメインには少なくとも 1 つの認証プロバイダー、エンタープライズドメインには少なくとも 1 つの認証プロバイダーまたはディレクトリプロバイダーが必要です。

SPNEGO を使用して SSO を有効にする場合、SPNEGO を有効にした Kerberos 認証プロバイダーのほか、バックアップとして LDAP プロバイダーを追加します。 この設定にすると、SPNEGO が機能しない場合でもユーザー ID とパスワードを使用したユーザー認証が可能になります （SPNEGO を使用した SSO の有効化を参照。）

認証プロバイダーの追加 add-an-authentication-provider

既存の認証プロバイダーの編集 edit-an-existing-authentication-provider

認証プロバイダーの削除 delete-an-authentication-provider

認証の設定 authentication-settings

選択したドメインの種類と認証の種類に応じて、次の設定を使用できます。

LDAP 設定 ldap-settings

エンタープライズドメインまたはハイブリッドドメインの認証を設定している場合、LDAP 認証を選択すると、ディレクトリ設定で指定した LDAP サーバーを選択して使用するか、異なる LDAP サーバーを選択して認証に使用することができます。 異なるサーバーを選択する場合、ユーザーは両方の LDAP サーバーに存在する必要があります。

ディレクトリ設定で指定した LDAP サーバーを使用するには、認証プロバイダーとして LDAP を選択し、「OK」をクリックします。

認証を実行するために異なる LDAP サーバーを使用するには、認証プロバイダーとして LDAP を選択し、「カスタム LDAP 認証」チェックボックスをオンにします。 次の環境設定が表示されます。

サーバー：（必須）ディレクトリサーバーの完全修飾ドメイン名（FQDN）。 例えば、example.com ネットワーク上の x というコンピューターの場合、FQDN は x.example.com となります。 FQDN サーバー名の代わりに IP アドレスを使用することもできます。

ポート：（必須）ディレクトリサーバーが使用するポート。 通常は 389 で、Secure Sockets Layer（SSL）プロトコルを使用してネットワーク経由で認証情報を送信する場合は 636 です。

SSL：（必須）ネットワーク経由でデータを送信するときにディレクトリサーバーで SSL を使用するかどうかを指定します。 デフォルトは「いいえ」です。 「はい」に設定する場合、対応する LDAP サーバー証明書はアプリケーションサーバーの Java™ ランタイム環境（JRE）によって信頼されている必要があります。

連結（必須）ディレクトリへのアクセス方法を指定します。

匿名：​ユーザー名またはパスワードは不要です。

ユーザー：​認証が必要です。 「名前」ボックスに、ディレクトリにアクセスできるユーザーレコードの名前を指定します。 ユーザーアカウントの完全な識別名（DN）を入力することをお勧めします。例えば、cn=Jane Doe, ou=user, dc=can, dc=com などです。 「パスワード」ボックスに、関連付けられているパスワードを指定します。 これらの設定は、「バインド」オプションとして「ユーザー」を選択する場合は必須です。

ベース DN の取得：（非必須）ベース DN を取得し、ドロップダウンリストに表示します。 この設定は、複数のベース DN がある場合に 1 つの値を選択する必要があるときに便利です。

ベース DN：（必須）LDAP 階層からユーザーとグループを同期するための開始点として使用されます。 サービスのために同期する必要があるすべてのユーザーおよびグループを含む、階層の最下位レベルでベース DN を指定することをお勧めします。 この設定にユーザーの DN は含めないでください。 特定のユーザーを同期するには、検索フィルター設定を使用します。

ページに次の値を入力：（非必須）選択すると、ユーザー設定ページとグループの設定ページの属性に、対応するデフォルトの LDAP 値が入力されます。

検索フィルター：（必須）ユーザーに関連付けられているレコードを検索するために使用する検索フィルター。 「検索フィルターの構文」を参照してください。

Kerberos 設定 kerberos-settings

エンタープライズドメインまたはハイブリッドドメインの認証を設定していて、Kerberos 認証を選択した場合は、次の設定を使用できます。

DNS IP： AEM Forms を実行しているサーバーの DNS IP アドレス。 Windows の場合、この IP アドレスは、コマンドラインで ipconfig /all を実行して確認できます。

KDC ホスト：​認証に使用する Active Directory サーバーの完全修飾ホスト名または IP アドレス。

サービスユーザー： Active Directory 2003 を使用している場合、この値は HTTP/<server name> の形式でサービスプリンシパル用に作成されたマッピングになります。 Active Directory 2008 を使用している場合、この値はサービスプリンシパルのログイン ID になります。 例えば、サービスプリンシパル名が um spnego、ユーザー ID が spnegodemo、マッピングが HTTP/example.yourcompany.com であるとします。 この場合、Active Directory 2003 では、「サービスユーザー」を HTTP/example.yourcompany.com に設定します。 Active Directory 2008 では、「サービスユーザー」を spnegodemo に設定します。 （SPNEGO を使用した SSO の有効化を参照。）

サービス領域： Active Directory のドメイン名。

サービスパスワード：​サービスユーザーのパスワード

SPNEGO を有効にする：​シングルサインオン（SSO）で SPNEGO を使用できるようにします。 （SPNEGO を使用した SSO の有効化を参照）。

SAML 設定 saml-settings

エンタープライズドメインまたはハイブリッドドメインの認証を設定していて、SAML 認証を選択した場合は、次の設定を使用できます。 SAML 設定について詳しくは、SAML サービスプロバイダーの設定を参照してください。

SAML ID プロバイダーメタデータを選択してください
読み込むファイル： 「参照」をクリックして、IDPから生成されたSAML ID プロバイダーのメタデータファイルを選択し、「読み込み」をクリックします。 IDP の詳細が表示されます。

タイトル： EntityID で示される URL のエイリアス。 タイトルは、エンタープライズユーザーとローカルユーザーのログインページにも表示されます。

ID プロバイダーは、クライアントの基本認証をサポートします。 クライアント基本認証は、IDP が SAML アーティファクト解決プロファイルを使用する場合に使用されます。 このプロファイルでは、ユーザー管理は、実際の SAML アサーションを取得するために、IDP で実行されている web サービスに接続します。 IDP では認証を必要とする場合があります。 IDP で認証が必要であれば、このオプションを選択して、表示されたボックスにユーザー名とパスワードを指定します。

カスタムプロパティ：​追加のプロパティを指定できます。 追加のプロパティは新しい行で区切られた名前=値のペアです。

アーティファクトバインディングを使用する場合は、次のカスタムプロパティが必要です。

カスタム設定 custom-settings

エンタープライズドメインまたはハイブリッドドメインの認証を設定していてカスタム認証を選択する場合は、カスタム認証プロバイダーの名前を選択します。

ユーザーのジャストインタイムプロビジョニング just-in-time-provisioning-of-users

ユーザーが認証プロバイダーに認証されると、ジャストインタイムプロビジョニングによって User Management データベースにユーザーが自動的に作成されます。 この新しいユーザーには、関連する役割とグループも動的に割り当てられます。 エンタープライズドメインおよびハイブリッドドメインに対して、ジャストインタイムプロビジョニングを有効にできます。

以下では、従来の認証が AEM Forms で機能する手順を説明します。

ジャストインタイムプロビジョニングが有効になっているときに、いずれかの認証プロバイダーがユーザーの資格情報を検証すると、User Management に新しいユーザーが動的に作成されます。 （上記の手順 3 の後）

ジャストインタイムプロビジョニングが有効になっていないと、ユーザーが認証されても、User Management データベースに存在しない場合は、その認証は失敗します。 ジャストインタイムプロビジョニングによって、ユーザーを作成し、そのユーザーに役割とグループを割り当てる手順が認証プロセスに追加されます。

ドメインに対するジャストインタイムプロビジョニングの有効化 enable-just-in-time-provisioning-for-a-domain