게시 계층의 AEM as a Cloud Service에 대한 Open ID Connect 지원 open-id-connect-support-for-aem-as-a-cloud-service-on-publish-tier

소개 introduction

조직이 디지털 경험을 현대화함에 따라 안전하고 확장 가능한 ID 관리가 기본적인 요구 사항이 되었습니다. 이제 AEM(Adobe Experience Manager) Cloud Service는 게시 계층에서 OpenID Connect(OIDC)를 지원하므로 Entra ID(Azure AD), Google, Okta, Auth0, Ping Identity, ForgeRock 및 OIDC 지원 IdP와 같은 주요 IdP(Identity Provider)와의 원활하고 표준 기반 통합을 허용합니다.

OIDC는 OAuth 2.0 프로토콜 위에 있는 ID 계층으로, 개발자를 위한 단순성을 유지하면서 강력한 사용자 인증을 가능하게 합니다. 안전한 사용자 로그인 및 ID 페더레이션이 필요한 B2C(Business-to-Consumer), 인트라넷 및 파트너 포털 시나리오에 널리 채택됩니다.

지금까지 AEM 고객은 게시 계층에 자체 사용자 정의 로그인 논리를 구현해야 했으므로 개발 시간이 늘어나고 장기적인 유지 관리 및 보안 문제가 발생했습니다. OIDC에 대한 기본 지원을 통해 AEM Cloud Service는 게시 환경에 액세스하는 최종 사용자를 위한 안전하고 확장 가능하며 Adobe에서 지원하는 인증 메커니즘을 제공하여 이러한 부담을 없앱니다.

개인화된 소비자 웹 사이트를 제공하든 인증된 내부 포털을 제공하든 관계없이 게시물의 OIDC는 ID 페더레이션을 단순화하고 중앙 집중식 ID 거버넌스를 통해 위험을 줄입니다. 또한 조직이 민첩성을 희생하지 않고도 최신 규정 준수 및 보안 표준을 충족하도록 돕습니다.

OIDC 인증에 대해 AEM 구성 configure-aem-oidc-authentication

사전 요구 사항 prerequisits

다음 정보가 사용 가능하거나 정의된 것으로 가정합니다.

IdP 구성의 정보:

구성 파일 개요 overview-of-the-configuration-files

구성해야 하는 파일 목록은 다음과 같습니다.

다음 다이어그램은 언급된 구성 요소가 연결되는 방식을 보여 줍니다. 이러한 구성 요소는 ServiceFactory 구성 요소이므로 ~uniqueid는 임의의 고유한 문자열이 될 수 있습니다.

OIDC 연결 구성 configure-the-oidc-connection

먼저 OIDC 연결을 구성해야 합니다. 여러 OIDC 연결을 구성할 수 있으며, 각 연결은 서로 다른 이름을 가져야 합니다.

OIDC 인증 핸들러 구성 configure-oidc-authentication-handler

이제 OIDC 인증 핸들러를 구성합니다. 여러 OIDC 연결을 구성할 수 있습니다. 각 연결은 서로 다른 이름을 가져야 합니다. 동일한 OAK 외부 ID 공급자를 공유하는 경우 사용자를 공유할 수 있습니다.

SlingUserInfoProcessor 구성

동기화 핸들러 구성 configure-the-synchronization-handler

Oak에서 인증된 사용자를 동기화하려면 하나 이상의 동기화 핸들러를 구성해야 합니다. 자세한 내용은 이 페이지를 참조하십시오.

이름이 org.apache.jackrabbit.oak.spi.security.authentication.external.impl.DefaultSyncHandler~azure.cfg.json인 파일을 생성합니다. azure 접미사는 고유 식별자여야 합니다. 해당 속성을 구성하는 방법에 대한 자세한 내용은 Oak 사용자 및 그룹 동기화 설명서를 참조하십시오. 아래에서 구성 예제를 찾을 수 있습니다.

{
  "user.expirationTime":"300s",
  "user.membershipExpTime":"300s",
  "user.propertyMapping":[
    "profile/familyName=profile/familyName",
    "profile/givenName=profile/givenName",
    "rep:fullname=cn",
    "profile/email=profile/email",
    "oauth-tokens"
  ],
  "user.pathPrefix":"azure",
  "handler.name":"azure"
}

DefaultSyncHandler에서 구성할 수 있는 가장 관련성 있는 속성은 다음과 같습니다. Cloud Service에서는 항상 동적 그룹 멤버십을 활성화해야 합니다.

외부 로그인 모듈 구성 configure-the-external-login-module

마지막으로 외부 로그인 모듈을 구성해야 합니다.

선택 사항: 사용자 정의 UserInfoProcessor 구현 implement-a-custom-userinfoprocessor

사용자는 ID 토큰으로 인증되며, 추가 속성은 IdP에 대해 정의된 userInfo 엔드포인트에서 가져옵니다. 추가 비표준 작업을 수행해야 하는 경우 UserInfoProcessor의 사용자 정의 구현이 Sling의 기본 구현입니다.

예: Azure Active Directory를 사용하여 OIDC 인증 구성

Azure Active Directory에서 새 애플리케이션 구성 configure-a-new-application-in-azure-ad

org.apache.sling.auth.oauth_client.impl.OidcConnectionImpl~azure.cfg.json

{
  "name":"azure",
  "scopes":[
    openid", "User.Read", "profile", "email
  ],
  "baseUrl":"https://login.microsoftonline.com/tenant-id/v2.0",
  "clientId":"client-id",
  "clientSecret":"secret"
}

org.apache.sling.auth.oauth_client.impl.OidcAuthenticationHandler~azure.cfg.json

{
  "callbackUri":"https://www.mywebsite.com/content/wknd/us/en/adventures/j_security_check",
  "path":[
    "/content/wknd/us/en/adventures"
  ],
  "idp":"azure",
  "defaultConnectionName":"azure"
}

org.apache.jackrabbit.oak.spi.security.authentication.external.impl.ExternalLoginModuleFactory~azure.cfg.json

{
  "sync.handlerName":"azure",
  "idp.name":"azure"
}

org.apache.jackrabbit.oak.spi.security.authentication.external.impl.DefaultSyncHandler~azure.cfg.json

{
  "user.expirationTime":"1s",
  "user.membershipExpTime":"1s",
  "user.propertyMapping":[
    "profile/givenName=profile/given_name",
    "profile/familyName=profile/family_name",
    "rep:fullname=profile/name",
    "profile/email=profile/email",
    "access_token=access_token",
    "refresh_token=refresh_token"
  ],
  "user.pathPrefix":"azure",
  "group.pathPrefix": "oidc",
  "user.membershipNestingDepth": "1",
  "handler.name":"azure"
}

org.apache.sling.auth.oauth_client.impl.SlingUserInfoProcessorImpl~azure.cfg.json

{
  "groupsInIdToken": "true",
  "storeAccessToken": "false",
  "storeRefreshToken": "false",
  "connection": "azure",
  "groupsClaimName": "groups"
}

Azure AD 그룹에 대한 추가 정보 additional-information-about-azure-ad-groups

Microsoft Azure Portal의 엔터프라이즈 애플리케이션에 대한 그룹을 구성하려면 엔터프라이즈 애플리케이션 ​에서 애플리케이션을 검색하고 그룹을 추가해야 합니다.

ID 토큰에서 그룹 클레임을 활성화하려면 Microsoft Azure Portal의 토큰 구성 섹션에 클레임을 추가합니다.

SlingUserInfoProcessor의 구성은 아래 예시와 같이 수정되어야 합니다.

수정해야 하는 파일 이름은 org.apache.sling.auth.oauth_client.impl.SlingUserInfoProcessorImpl.cfg.json입니다. 콘텐츠는 다음과 같이 구성되어야 합니다.

{
  "connection": "azure",
  "groupsInIdToken": "true",
  "storeAccessToken": "false",
  "storeRefreshToken": "false"
}