SAML 2.0 인증 saml-2-0-authentication

IDP에서 공개 인증서 파일을 가져옵니다. 이 인증서를 사용하면 AEM에서 IDP가 AEM에 제공한 SAML 어설션의 유효성을 검사할 수 있습니다.

인증서는 PEM 형식이며 다음과 유사해야 합니다.

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

AEM 작성자에 AEM 관리자로 로그인합니다.

도구 > 보안 > Trust Store(으)로 이동합니다.

글로벌 Trust Store를 만들거나 엽니다. 글로벌 Trust Store를 만드는 경우 암호를 안전한 곳에 저장합니다.

CER 파일에서 인증서 추가 ​를 확장합니다.

인증서 파일 선택 ​을 선택하고 IDP에서 제공한 인증서 파일을 업로드하십시오.

사용자에게 인증서 매핑 ​을 비워 둡니다.

제출 ​을 선택합니다.

새로 추가된 인증서는 CRT 파일에서 인증서 추가 섹션 위에 표시됩니다.

이 값은 SAML 2.0 인증 처리기 OSGi 구성에서 사용되므로 alias ​을(를) 메모해 두십시오.

저장 후 닫기 ​를 선택합니다.

도구 > 배포 > 패키지(으)로 이동합니다.

패키지 만들기

• 패키지 이름: Global Trust Store
• 버전: 1.0.0
• 그룹: com.your.company

새 글로벌 Trust Store 패키지를 편집합니다.

필터 탭을 선택하고 루트 경로 /etc/truststore에 대한 필터를 추가하십시오.

완료 ​를 선택한 다음 저장 ​을 선택합니다.

전역 Trust Store 패키지에 대한 빌드 단추를 선택하십시오.

빌드되면 자세히 > 복제 ​를 선택하여 AEM Publish에 대한 전역 Trust Store 노드(/etc/truststore)를 활성화합니다.

AEM 작성자에 AEM 관리자로 로그인하여 개인 키를 업로드합니다.

도구 > 보안 > 사용자(으)로 이동하고 인증 서비스 사용자를 선택한 다음 상단 작업 표시줄에서 속성 ​을 선택합니다.

키 저장소 탭을 선택합니다.

키 저장소를 생성하거나 엽니다. 키 저장소를 만드는 경우 암호를 안전하게 유지합니다.

• AuthnRequest 서명/SAML 어설션 암호화가 필요한 경우에만 공용/개인 키 저장소가 이 키 저장소에 설치됩니다.
• 이 SAML 통합이 로그아웃은 지원하지만 AuthnRequest 서명/SAML 어설션은 지원하지 않는 경우 빈 키 저장소로 충분합니다.

저장 후 닫기 ​를 선택합니다.

업데이트된 authentication-service 사용자가 포함된 패키지를 만듭니다.

패키지를 사용하여 다음 임시 해결 방법 사용:

1. 도구 > 배포 > 패키지(으)로 이동합니다.

2. 패키지 만들기

   • 패키지 이름: Authentication Service
   • 버전: 1.0.0
   • 그룹: com.your.company

3. 새 인증 서비스 키 저장소 패키지를 편집합니다.

4. 필터 탭을 선택하고 루트 경로 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore에 대한 필터를 추가하십시오.

   • <AUTHENTICATION SERVICE UUID>은(는) 도구 > 보안 > 사용자(으)로 이동한 다음 인증 서비스 사용자를 선택하여 찾을 수 있습니다. UUID는 URL의 마지막 부분입니다.

5. 완료 ​를 선택한 다음 저장 ​을 선택합니다.

6. 인증 서비스 키 저장소 패키지의 빌드 단추를 선택하십시오.

7. 빌드되면 자세히 > 복제 ​를 선택하여 AEM Publish에 대한 인증 서비스 키 저장소를 활성화합니다.

AuthnRequest 서명에 사용되는 공개 키, 개인 키(DER 형식의 PKCS#8) 및 인증서 체인 파일(공개 키일 수 있음)을 가져오고 SAML 어설션을 암호화합니다. 키는 일반적으로 IT 조직의 보안 팀에서 제공합니다.

• openssl ​을 사용하여 자체 서명된 키 쌍을 생성할 수 있습니다.

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

공개 키를 IDP에 업로드합니다.

• 위의 openssl 메서드를 사용하면 공개 키는 aem-public.crt 파일입니다.

AEM 작성자에 AEM 관리자로 로그인하여 개인 키를 업로드합니다.

도구 > 보안 > Trust Store(으)로 이동한 다음 인증 서비스 사용자를 선택하고 맨 위의 작업 표시줄에서 속성 ​을 선택합니다.

도구 > 보안 > 사용자(으)로 이동하고 인증 서비스 사용자를 선택한 다음 상단 작업 표시줄에서 속성 ​을 선택합니다.

키 저장소 탭을 선택합니다.

키 저장소를 생성하거나 엽니다. 키 저장소를 만드는 경우 암호를 안전하게 유지합니다.

DER 파일에서 개인 키 추가 ​를 선택하고 개인 키와 체인 파일을 AEM에 추가하십시오.

• 별칭: 의미 있는 이름(종종 IDP 이름)을 입력하십시오.
• 개인 키 파일: 개인 키 파일(DER 형식의 PKCS#8)을 업로드합니다.
  • 위의 openssl 메서드를 사용하면 aem-private-pkcs8.der 파일입니다.
• 인증서 체인 파일 선택: 함께 제공되는 체인 파일을 업로드합니다(공개 키일 수 있음).
  • 위의 openssl 메서드를 사용하면 aem-public.crt 파일입니다.
• 제출 선택

새로 추가된 인증서는 CRT 파일에서 인증서 추가 섹션 위에 표시됩니다.

• SAML 2.0 인증 처리기 OSGi 구성에서 사용되므로 alias ​을(를) 메모하십시오.

저장 후 닫기 ​를 선택합니다.

업데이트된 authentication-service 사용자가 포함된 패키지를 만듭니다.

패키지를 사용하여 다음 임시 해결 방법 사용:

1. 도구 > 배포 > 패키지(으)로 이동합니다.

2. 패키지 만들기

   • 패키지 이름: Authentication Service
   • 버전: 1.0.0
   • 그룹: com.your.company

3. 새 인증 서비스 키 저장소 패키지를 편집합니다.

4. 필터 탭을 선택하고 루트 경로 /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore에 대한 필터를 추가하십시오.

   • <AUTHENTICATION SERVICE UUID>은(는) 도구 > 보안 > 사용자(으)로 이동한 다음 인증 서비스 사용자를 선택하여 찾을 수 있습니다. UUID는 URL의 마지막 부분입니다.

5. 완료 ​를 선택한 다음 저장 ​을 선택합니다.

6. 인증 서비스 키 저장소 패키지의 빌드 단추를 선택하십시오.

7. 빌드되면 자세히 > 복제 ​를 선택하여 AEM Publish에 대한 인증 서비스 키 저장소를 활성화합니다.

/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json의 프로젝트에서 OSGi 구성 파일을 만들고 IDE에서 엽니다.

• /wknd-examples/을(를) /<project name>/(으)로 변경
• 파일 이름의 ~ 뒤에 있는 식별자는 이 구성을 고유하게 식별해야 하므로 ...~okta.cfg.json과(와) 같은 IDP의 이름일 수 있습니다. 값은 하이픈이 있는 영숫자여야 합니다.

com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json 파일에 다음 JSON을 붙여 넣고 필요에 따라 wknd 참조를 업데이트합니다.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

프로젝트에 필요한 값을 업데이트합니다. 구성 속성 설명은 위의 SAML 2.0 인증 처리기 OSGi 구성 용어집 ​을 참조하십시오

값이 릴리스 주기와 동기화되지 않을 수 있을 때 또는 유사한 환경 유형/서비스 계층 간에 값이 다를 때 OSGi 환경 변수 및 암호를 사용하는 것이 좋지만 필수는 아닙니다. 위와 같이 $[env:..;default=the-default-value]" 구문을 사용하여 기본값을 설정할 수 있습니다.

/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json의 프로젝트에서 OSGi 구성 파일을 만들거나 편집합니다.

• /wknd-examples/을(를) /<project name>/(으)로 변경

allow.empty 값이 true(으)로 설정되어 있는지, allow.hosts(또는 원하는 경우 allow.hosts.regexp)에 IDP의 원본이 포함되어 있는지, filter.methods에 POST이(가) 포함되어 있는지 확인하십시오. OSGi 구성은 다음과 유사해야 합니다.

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json의 프로젝트에서 OSGi 구성 파일 만들기

• /wknd-examples/을(를) 프로젝트 이름으로 변경
• 파일 이름의 ~ 뒤에 있는 식별자는 이 구성을 고유하게 식별해야 하므로 ...CORSPolicyImpl~okta.cfg.json과(와) 같은 IDP의 이름일 수 있습니다. 값은 하이픈이 있는 영숫자여야 합니다.

com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json 파일에 다음 JSON을 붙여 넣습니다.