[統合]{class="badge positive"}

顧客認証用のMicrosoft Entra External IDの設定

[AEM Forms as a Cloud Service]{class="badge informative"}

このユースケースでは、Microsoft Entra External IDをAEM Forms アプリケーションのカスタマーID プロバイダーとして使用する方法を示します。 お客様は、Entra External IDのサインアップ/サインインユーザーフローを使用して自己登録およびログインできます。また、AEMはSAML 2.0を使用して認証および認証を行います。

認証が成功すると、AEMは顧客アカウントを同期し、SAML後同期フックを使用して、エントラオブジェクト ID、メールアドレス、名、姓などのプロファイル属性を取得します。 これらの属性をAdobe Experience Platform（AEP）に送信し、下流のパーソナライゼーションやエンゲージメントのユースケース向けに顧客プロファイルを作成または更新できます。

​1. 外部ID テナントを作成または選択します

顧客IDを管理するMicrosoft Entra External ID テナントを作成または選択します。

このPOCについて：

このテナントには次が含まれます。

​2. サインアップとサインインのユーザーフローの作成

次の URL に移動します。

外部ID → ユーザーフロー→新規ユーザーフロー

を作成します。

サインアップして ユーザーフローにサインインします。

ID プロバイダー

選択:

ユーザー属性

収集するユーザーフローを設定します。

これらの属性は顧客のEntra プロファイルの一部となり、後でSAML アサーションでAEMに返すことができます。

​3. AEM Enterprise アプリケーションの作成

次の URL に移動します。

エンタープライズ アプリケーション →新しいアプリケーション

ギャラリー以外のエンタープライズアプリケーションを作成します。

このPOCについて：

アプリケーション名：

AEM Entra POC

このエンタープライズアプリケーションは、SAML サービスプロバイダー（SP）としてAEMを表します。

​4. SAML シングルサインオンの設定

次を開きます。

エンタープライズアプリケーション → AEM Entra POC → シングルサインオン → SAML

基本SAML設定​で、次の設定を行います。

識別子（エンティティ ID）

識別子は、AEM SAML Authentication Handlerで設定されたserviceProviderEntityIdと一致する必要があります。

このPOCについて：

https://publish-p133654-e1305513.adobeaemcloud.com

返信URL / アサーションコンシューマーサービス（ACS）

銀行アプリケーションの場合：

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

必要に応じて、追加のAEM SAML パスを追加の返信URLとして登録できます。

たとえば、最初のPOCでは、次も使用しました。

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

返信URLは、AEM SAML コールバックエンドポイントに対応している必要があります。

​5. SAML属性とクレームの設定

次の URL に移動します。

AEM Entra POC → Single sign-on → Attributes & Claims

一意のユーザーId （名前ID）

設定：

Unique User Identifier (Name ID) → user.objectid

これにより、エントラオブジェクト IDがSAML NameIDとして使用されます。

追加請求

次の要求を設定します。

追加のobjectId要求は意図的なものです。

AEM SAML ポストシンクフックは、このクレームを使用して、元のEntra Object IDを取得します。

objectId → user.objectid

次に例を示します。

36fcb7e1-5d30-416d-a342-51367829251c

この値は、お客様プロファイルをAdobe Experience Platformに送信する際に、お客様ID （crmid）として使用できます。

​6. Entra SAML署名証明書のダウンロード

SAML設定ページで、次の場所を探します。

SAML証明書

ダウンロード :

証明書（Base64）

これにより、.cer証明書ファイルが生成されます。

その後、証明書は​ AEM Global Trust Store ​に読み込まれるため、AEMはMicrosoft Entraによって署名されたSAML アサーションを検証できます。

次のEntra値も記録します。

ログイン URL

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

これは、AEM SAML ハンドラーの次のようになります。

idpUrl

Microsoft Entra Identifier

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

これは、AEM SAML ハンドラーの次のようになります。

idpIdentifier

​7. エンタープライズアプリケーションアクセスの設定

次の URL に移動します。

AEM Entra POC → Properties→エンタープライズアプリケーション

この顧客向けPOCの場合、次の設定を行います。

Assignment required? = No

これにより、外部ID ユーザーフローを使用しているお客様は、管理者が各顧客を個別に割り当てることなく、AEM Enterprise Applicationにアクセスできます。

割り当てが必要な場合、割り当てられていない顧客は次のようなエラーを受け取る可能性があります。

AADSTS50105

​8. エンタープライズアプリケーションのユーザーフローへの関連付け

次の URL に移動します。

外部ID → ユーザーフロー→ [ サインアップ/サインイン ユーザーフロー] → アプリケーション

選択:

アプリケーションを追加

次の行を追加します。

AEM Entra POC

これにより、お客様のサインアップ/サインインエクスペリエンスがAEM SAML Enterprise Applicationに接続されます。

この2つのコンポーネントには、異なる責任があります。

エンタープライズアプリケーションをユーザーフローに関連付けると、これら2つの部分が接続されます。

結果として生じる認証アーキテクチャ

お客様がAEM Banking Applicationにアクセス

→ AEMが保護されたコンテンツを検出

→ AEM SAML Authentication Handler

→ Microsoft Entra External ID

→ AEM Entra POC エンタープライズ アプリケーション

→関連するサインアップ/サインインユーザーフロー

→お客様がログインするか、アカウントを作成する

→ Entraは署名済みSAML アサーションを生成します

→ SAML応答はAEM /saml_loginにPOSTされます

→ AEMは、Entra署名証明書を使用してアサーションを検証します

→ AEMは、最新のバージョンの

→ AEM SAMLの同期の後のフックが実行される

→お客様のプロフィールはAdobe Experience Platformに送信できます