SAML 2.0-verificatie saml-2-0-authentication

Verkrijg public certificate bestand van de IDP. Dit certificaat staat AEM toe om de bevestiging te bevestigen SAML die aan AEM door IDP wordt verstrekt.

Het certificaat heeft de PEM-indeling en moet lijken op:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Meld u aan bij AEM auteur als AEM beheerder.

Navigeren naar Gereedschappen > Beveiliging > Betrouwbaarheidswinkel.

Maak of open de Global Trust Store. Als u een Global Trust Store maakt, slaat u het wachtwoord op een veilige plaats op.

Uitbreiden Certificaat toevoegen uit CER-bestand.

Selecteren Certificaatbestand selecteren en uploadt u het certificaatbestand dat door de IDP wordt geleverd.

Verlaten Certificaat toewijzen aan gebruiker leeg.

Selecteren Verzenden.

Het zojuist toegevoegde certificaat wordt weergegeven boven de Certificaat toevoegen uit CRT-bestand sectie.

Noteer de alias, aangezien deze waarde wordt gebruikt in het dialoogvenster SAML 2.0 de Configuratie OSGi van de Handler van de Authentificatie.

Selecteren Opslaan en sluiten.

Navigeren naar Extra > Implementatie > Pakketten.

Een pakket maken

• Naam pakket: Global Trust Store
• Versie: 1.0.0
• Groep: com.your.company

De nieuwe bewerking Global Trust Store pakket.

Selecteer de Filters en voegt een filter toe voor het hoofdpad /etc/truststore.

Selecteren Gereed en vervolgens Opslaan.

Selecteer de Opbouwen knop voor de Global Trust Store pakket.

Selecteer Meer > Repliceren het knooppunt Global Trust Store (/etc/truststore) AEM publiceren.

Meld u aan bij AEM auteur als AEM beheerder om de persoonlijke sleutel te uploaden.

Navigeren naar Gereedschappen > Beveiliging > Gebruikers en selecteert u verificatie-service gebruiker, en selecteer Eigenschappen in de bovenste actiebalk.

Selecteer de Keystore tab.

Maak of open het sleutelarchief. Houd het wachtwoord veilig als u een sleutelarchief maakt.

• A openbare/persoonlijke sleutelarchief is geïnstalleerd in dit sleutelarchief alleen als AuthnRequest-versleuteling/SAML-assertie vereist is.
• Als deze integratie SAML logout steunt, maar niet AuthnRequest het ondertekenen/SAML bewering, dan is een leeg sleutelarchief voldoende.

Selecteren Opslaan en sluiten.

Een pakket maken met de bijgewerkte versie verificatie-service gebruiker.

Gebruik de volgende tijdelijke oplossing met behulp van pakketten:

1. Navigeren naar Extra > Implementatie > Pakketten.

2. Een pakket maken

   • Naam pakket: Authentication Service
   • Versie: 1.0.0
   • Groep: com.your.company

3. De nieuwe bewerking Verificatieservice sleutelarchief pakket.

4. Selecteer de Filters en voegt een filter toe voor het hoofdpad /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • De <AUTHENTICATION SERVICE UUID> kan worden gevonden door naar te navigeren Gereedschappen > Beveiliging > Gebruikers en selecteert u verificatie-service gebruiker. De UUID is het laatste deel van de URL.

5. Selecteren Gereed en vervolgens Opslaan.

6. Selecteer de Opbouwen knop voor de Verificatieservice sleutelarchief pakket.

7. Selecteer Meer > Repliceren om het sleutelarchief van de Dienst van de Authentificatie te activeren om te AEM publiceren.

Verkrijg de openbare sleutel, de privé sleutel (PKCS#8 in formaat DER), en het dossier van de certificaatketting (dit kan de openbare sleutel zijn) die wordt gebruikt om AuthnRequest te ondertekenen, en de bewering van SAML te coderen. De sleutels worden typisch verstrekt door het de veiligheidsteam van de organisatie van IT.

• Een zelfondertekend sleutelpaar kan worden geproduceerd gebruikend openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Upload de openbare sleutel aan IDP.

• Met de openssl hierboven is de openbare sleutel de aem-public.crt bestand.

Meld u aan bij AEM auteur als AEM beheerder om de persoonlijke sleutel te uploaden.

Navigeren naar Gereedschappen > Beveiliging > Betrouwbaarheidswinkel en selecteert u verificatie-service gebruiker, en selecteer Eigenschappen in de bovenste actiebalk.

Navigeren naar Gereedschappen > Beveiliging > Gebruikers en selecteert u verificatie-service gebruiker, en selecteer Eigenschappen in de bovenste actiebalk.

Selecteer de Keystore tab.

Maak of open het sleutelarchief. Houd het wachtwoord veilig als u een sleutelarchief maakt.

Selecteren Persoonlijke sleutel uit DER-bestand toevoegen en voeg het bestand met de persoonlijke sleutel en keten toe aan AEM:

• Alias: Geef een betekenisvolle naam op, vaak de naam van de IDP.
• Persoonlijke sleutel: Upload het bestand met de persoonlijke sleutel (PKCS#8 in DER-indeling).
  • Met de openssl methode hierboven, dit is de aem-private-pkcs8.der file
• Certificaatketenbestand selecteren: Upload het bijbehorende ketenbestand (dit kan de openbare sleutel zijn).
  • Met de openssl methode hierboven, dit is de aem-public.crt file
• Selecteren Verzenden

Het zojuist toegevoegde certificaat wordt weergegeven boven de Certificaat toevoegen uit CRT-bestand sectie.

• Noteer de alias aangezien dit wordt gebruikt in de SAML 2.0 de configuratie van de authentificatiemanager OSGi

Selecteren Opslaan en sluiten.

Een pakket maken met de bijgewerkte versie verificatie-service gebruiker.

Gebruik de volgende tijdelijke oplossing met behulp van pakketten:

1. Navigeren naar Extra > Implementatie > Pakketten.

2. Een pakket maken

   • Naam pakket: Authentication Service
   • Versie: 1.0.0
   • Groep: com.your.company

3. De nieuwe bewerking Verificatieservice sleutelarchief pakket.

4. Selecteer de Filters en voegt een filter toe voor het hoofdpad /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • De <AUTHENTICATION SERVICE UUID> kan worden gevonden door naar te navigeren Gereedschappen > Beveiliging > Gebruikers en selecteert u verificatie-service gebruiker. De UUID is het laatste deel van de URL.

5. Selecteren Gereed en vervolgens Opslaan.

6. Selecteer de Opbouwen knop voor de Verificatieservice sleutelarchief pakket.

7. Selecteer Meer > Repliceren om het sleutelarchief van de Dienst van de Authentificatie te activeren om te AEM publiceren.

Creeer een OSGi configuratiedossier in uw project bij /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json en open in uw winde.

• Wijzigen /wknd-examples/ aan uw /<project name>/
• De id na de ~ in filename zou deze configuratie uniek moeten identificeren, zodat kan het de naam van IDP zijn, zoals ...~okta.cfg.json. De waarde moet alfanumeriek zijn met afbreekstreepjes.

Plak de volgende JSON in de com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json en werkt de wknd indien nodig, verwijzingen.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Werk de waarden bij zoals vereist door uw project. Zie de SAML 2.0 OSGi-configuratiegids van de Handler van de Authentificatie hierboven voor beschrijvingen van configuratieeigenschappen

Het wordt aanbevolen, maar niet vereist, om OSGi-omgevingsvariabelen en -geheimen te gebruiken, wanneer waarden niet synchroon kunnen veranderen met de releasecyclus of wanneer de waarden verschillen tussen vergelijkbare omgevingstypen/serviceniveaus. U kunt standaardwaarden instellen met de $[env:..;default=the-default-value]" syntaxis zoals hierboven getoond.

Creeer (of geef uit) een OSGi configuratiedossier in uw project bij uit /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Wijzigen /wknd-examples/ aan uw /<project name>/

Zorg ervoor dat allow.empty waarde is ingesteld op truede allow.hosts (of indien u dat wenst, allow.hosts.regexp) de oorsprong van het IDP bevat, en filter.methods include POST. De OSGi-configuratie moet vergelijkbaar zijn met:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Creeer een OSGi configuratiedossier in uw project bij /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• Wijzigen /wknd-examples/ naar uw projectnaam
• De id na de ~ in filename zou deze configuratie uniek moeten identificeren, zodat kan het de naam van IDP zijn, zoals ...CORSPolicyImpl~okta.cfg.json. De waarde moet alfanumeriek zijn met afbreekstreepjes.

Plak de volgende JSON in de com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json bestand.