SAML 2.0 認証 saml-2-0-authentication

IDP から​ 公開証明書 ​ファイルを取得します。この証明書により、AEM は IDP によって AEM に提供される SAML アサーションを検証できます。

証明書は PEM 形式で、次のようになります。

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

AEM オーサーに AEM 管理者としてログインします。

ツール／セキュリティ／Trust Store に移動します。

Global Trust Store を作成するか、開きます。 Global Trust Store を作成する場合は、パスワードを安全な場所に保存します。

「証明書を CER ファイルから追加」を展開します。

「証明書ファイルを選択」を選択して、IDP から提供される証明書ファイルをアップロードします。

「証明書をユーザーにマッピング」を空白のままにします。

「送信」を選択します。

新しく追加された証明書は、CRT ファイルから証明書を追加 ​セクションの上に表示されます。

エイリアス ​をメモします。この値は SAML 2.0 認証ハンドラー OSGi 設定で使用されます。

「保存して閉じる」を選択します。

ツール／デプロイメント／パッケージ ​に移動します。

パッケージを作成する

• パッケージ名：Global Trust Store
• バージョン：1.0.0
• グループ：com.your.company

新しい Global Trust Store パッケージを編集します。

「フィルター」タブを選択し、ルートパス /etc/truststore のフィルターを追加します。

「完了」を選択してから、「保存」を選択します。

Global Trust Store パッケージの「ビルド」ボタンを選択します。

ビルドが完了したら、その他／レプリケート ​を選択して、Global Trust Store ノード（/etc/truststore）を AEM パブリッシュに対してアクティベートします。

AEM オーサーに AEM 管理者としてログインし、秘密鍵をアップロードします。

ツール／セキュリティ／ユーザー ​に移動し、authentication-service ユーザーを選択し、上部のアクションバーから「プロパティ」を選択します。

「キーストア」タブを選択します。

キーストアを作成するか、開きます。 キーストアを作成する場合は、パスワードを安全に保ちます。

• パブリック／プライベートキーストアがこのキーストアにインストールされるのは、AuthnRequest 署名／SAML アサーション暗号化が必要な場合のみです。
• この SAML 統合がログアウトをサポートし、AuthnRequest 署名／SAML アサーションをサポートしていない場合は、空のキーストアで十分です。

「保存して閉じる」を選択します。

更新された​ 認証サービス ​ユーザーを含むパッケージを作成します。

パッケージを使用して次の一時的な回避策を実行します。

1. ツール／デプロイメント／パッケージ ​に移動します。

2. パッケージを作成する

   • パッケージ名：Authentication Service
   • バージョン：1.0.0
   • グループ：com.your.company

3. 新しい​ 認証サービスキーストア ​パッケージを編集します。

4. 「フィルター」タブを選択し、ルートパス /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore のフィルターを追加します。

   • <AUTHENTICATION SERVICE UUID> を見つけるには、ツール／セキュリティ／ユーザー ​に移動し、認証サービス ​ユーザーを選択します。UUID は、URL の最後の部分です。

5. 「完了」を選択してから、「保存」を選択します。

6. 認証サービスキーストア ​パッケージの「ビルド」ボタンを選択します。

7. ビルドが完了したら、その他／レプリケート ​を選択して、認証サービスキーストアを AEM パブリッシュに対してアクティベートします。

AuthnRequest への署名と SAML アサーションの暗号化に使用する公開鍵、秘密鍵（PKCS#8 形式）、および証明書チェーンファイル（公開鍵の場合もあります）を取得します。 キーは、通常、IT 組織のセキュリティチームが提供します。

• 自己署名キーペアは、openssl を使用して生成できます。

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

公開鍵を IDP にアップロードします。

• 上記の openssl メソッドを使用すると、公開鍵は aem-public.crt ファイルになります。

AEM オーサーに AEM 管理者としてログインし、秘密鍵をアップロードします。

ツール／セキュリティ／Trust Store ​に移動し、authentication-service ユーザーを選択し、上部のアクションバーから「プロパティ」を選択します。

ツール／セキュリティ／ユーザー ​に移動し、authentication-service ユーザーを選択し、上部のアクションバーから「プロパティ」を選択します。

「キーストア」タブを選択します。

キーストアを作成するか、開きます。 キーストアを作成する場合は、パスワードを安全に保ちます。

「秘密鍵を DER ファイルから追加」を選択し、秘密鍵とチェーンファイルを AEM に追加します。

• エイリアス：意味のある名前を指定します。通常は IDP の名前を指定します。
• 秘密鍵ファイル：秘密鍵ファイル（DER 形式の PKCS#8）をアップロードします。
  • 上記の openssl メソッドを使用する場合、これは aem-private-pkcs8.der ファイルです
• 証明書チェーンファイルを選択：付属のチェーンファイル（公開鍵の場合もあります）をアップロードします。
  • 上記の openssl メソッドを使用する場合、これは aem-public.crt ファイルです
• 「送信」を選択します。

新しく追加された証明書は、「CRT ファイルから証明書を追加」セクションの上に表示されます。

• エイリアス ​をメモしておいてください。このエイリアスは SAML 2.0 認証の OSGi 設定で使用します。

「保存して閉じる」を選択します。

更新された​ 認証サービス ​ユーザーを含むパッケージを作成します。

パッケージを使用して次の一時的な回避策を実行します。

1. ツール／デプロイメント／パッケージ ​に移動します。

2. パッケージを作成する

   • パッケージ名：Authentication Service
   • バージョン：1.0.0
   • グループ：com.your.company

3. 新しい​ 認証サービスキーストア ​パッケージを編集します。

4. 「フィルター」タブを選択し、ルートパス /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore のフィルターを追加します。

   • <AUTHENTICATION SERVICE UUID> を見つけるには、ツール／セキュリティ／ユーザー ​に移動し、認証サービス ​ユーザーを選択します。UUID は、URL の最後の部分です。

5. 「完了」を選択してから、「保存」を選択します。

6. 認証サービスキーストア ​パッケージの「ビルド」ボタンを選択します。

7. ビルドが完了したら、その他／レプリケート ​を選択して、認証サービスキーストアを AEM パブリッシュに対してアクティベートします。

プロジェクト内の /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json に OSGi 設定ファイルを作成し、IDE で開いてください。

• /wknd-examples/ を /<project name>/ に変更します。
• ファイル名の ~ の後の識別子は、この設定を一意に識別する必要があるため、...~okta.cfg.json のような IDP の名前にできます。値は英数字でハイフンを使用する必要があります。

次の JSON を「com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json」ファイルに貼り付け、必要に応じて wknd の参照を更新してください。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

プロジェクトに応じて、値を更新してください。設定プロパティの説明については、上記の SAML 2.0 Authentication Handler OSGi 設定用語集 ​を参照してください。

OSGi 環境変数とシークレットは、リリースサイクルと同期して値が変化する可能性がある場合や、類似の環境タイプやサービス層間で値が異なる場合に使用することが推奨されますが、必須ではありません。デフォルト値は、上記のように $[env:..;default=the-default-value]" 構文で設定できます。

プロジェクト内の /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json に OSGi 設定ファイルを作成（または編集）します。

• /wknd-examples/ を /<project name>/ に変更します

allow.empty の値が true に設定され、allow.hosts（または必要に応じて、allow.hosts.regexp）に IDP のオリジンが含まれ、filter.methods に POST が含まれていることを確認してください。OSGi の設定は次のようになります。

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

プロジェクト内に OSGi 設定ファイル（/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json）を作成します。

• /wknd-examples/ をプロジェクト名に変更します。
• ファイル名の ~ の後の識別子は、この設定を一意に識別するので、...CORSPolicyImpl~okta.cfg.json のような IDP の名前にすることができます。値は英数字でハイフンを使用する必要があります。

次の JSON を com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json ファイルにペーストします。