SAML 2.0 認証

AuthnRequest への署名と SAML アサーションの暗号化に使用する公開鍵、秘密鍵（PKCS#8 形式）、および証明書チェーンファイル（公開鍵の場合もあります）を取得します。 キーは、通常、IT 組織のセキュリティチームが提供します。

• 自己署名キーペアは、openssl を使用して生成できます。

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

公開鍵を IDP にアップロードします。

• 上記の openssl メソッドを使用すると、公開鍵は aem-public.crt ファイルになります。

AEM オーサーに AEM 管理者としてログインし、秘密鍵をアップロードします。

ツール／セキュリティ／Trust Store ​に移動し、authentication-service ユーザーを選択し、上部のアクションバーから「プロパティ」を選択します。

ツール／セキュリティ／ユーザー ​に移動し、authentication-service ユーザーを選択し、上部のアクションバーから「プロパティ」を選択します。

「キーストア」タブを選択します。

キーストアを作成するか、開きます。 キーストアを作成する場合は、パスワードを安全に保ちます。

「秘密鍵を DER ファイルから追加」を選択し、秘密鍵とチェーンファイルを AEM に追加します。

• エイリアス：意味のある名前を指定します。通常は IDP の名前を指定します。
• 秘密鍵ファイル：秘密鍵ファイル（DER 形式の PKCS#8）をアップロードします。
  • 上記の openssl メソッドを使用する場合、これは aem-private-pkcs8.der ファイルです
• 証明書チェーンファイルを選択：付属のチェーンファイル（公開鍵の場合もあります）をアップロードします。
  • 上記の openssl メソッドを使用する場合、これは aem-public.crt ファイルです
• 「送信」を選択します。

新しく追加された証明書は、「CRT ファイルから証明書を追加」セクションの上に表示されます。

• エイリアス ​をメモしておいてください。このエイリアスは SAML 2.0 認証の OSGi 設定で使用します。

「保存して閉じる」を選択します。

更新された​ 認証サービス ​ユーザーを含むパッケージを作成します。

パッケージを使用して次の一時的な回避策を実行します。

1. ツール／デプロイメント／パッケージ ​に移動します。

2. パッケージを作成する

   • パッケージ名：Authentication Service
   • バージョン：1.0.0
   • グループ：com.your.company

3. 新しい​ 認証サービスキーストア ​パッケージを編集します。

4. 「フィルター」タブを選択し、ルートパス /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore のフィルターを追加します。

   • <AUTHENTICATION SERVICE UUID> を見つけるには、ツール／セキュリティ／ユーザー ​に移動し、認証サービス ​ユーザーを選択します。UUID は、URL の最後の部分です。

5. 「完了」を選択してから、「保存」を選択します。

6. 認証サービスキーストア ​パッケージの「ビルド」ボタンを選択します。

7. ビルドが完了したら、その他／レプリケート ​を選択して、認証サービスキーストアを AEM パブリッシュに対してアクティベートします。

プロジェクト内の /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json に OSGi 設定ファイルを作成し、IDE で開いてください。

• /wknd-examples/ を /<project name>/ に変更します。
• ファイル名の ~ の後の識別子は、この設定を一意に識別する必要があるため、...~okta.cfg.json のような IDP の名前にできます。値は英数字でハイフンを使用する必要があります。

次の JSON を「com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json」ファイルに貼り付け、必要に応じて wknd の参照を更新してください。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

プロジェクトに応じて、値を更新してください。設定プロパティの説明については、上記の SAML 2.0 Authentication Handler OSGi 設定用語集 ​を参照してください。

OSGi 環境変数とシークレットは、リリースサイクルと同期して値が変化する可能性がある場合や、類似の環境タイプやサービス層間で値が異なる場合に使用することが推奨されますが、必須ではありません。デフォルト値は、上記のように $[env:..;default=the-default-value]" 構文で設定できます。