Habilitar logon único em formulários AEM enabling-single-sign-on-in-aem-forms

No console de administração, clique em Configurações > Gerenciamento de usuários > Configuração > Configurar atributos do portal.

Selecione Sim para ativar o SSO. Se você selecionar Não, as configurações restantes na página não estarão disponíveis.

Defina as opções restantes na página, conforme necessário, e clique em OK:

• Tipo de SSO: (Obrigatório) Selecione Cabeçalho HTTP para habilitar o SSO usando cabeçalhos HTTP.

• Cabeçalho HTTP para o identificador do usuário: (Obrigatório) Nome do cabeçalho cujo valor contém o identificador exclusivo do usuário conectado. O Gerenciamento de usuários usa esse valor para localizar o usuário no banco de dados de Gerenciamento de usuários. O valor obtido desse cabeçalho deve corresponder ao identificador exclusivo do usuário que está sincronizado do diretório LDAP. (Consulte Configurações de usuário.)

• O valor do identificador mapeia para a ID de usuário do usuário em vez do identificador exclusivo do usuário: Mapeia o valor do identificador exclusivo do usuário para a ID do Usuário. Selecione esta opção se o identificador exclusivo do usuário for um valor binário que não pode ser facilmente propagado por cabeçalhos HTTP (por exemplo, objectGUID se você estiver sincronizando usuários do Ative Diretory).

• Cabeçalho HTTP para o domínio: (Não obrigatório) Nome do cabeçalho cujo valor contém o nome de domínio. Use essa configuração somente se nenhum único cabeçalho HTTP identificar exclusivamente o usuário. Use essa configuração para casos em que existem vários domínios e o identificador exclusivo é exclusivo somente em um domínio. Nesse caso, especifique o nome do cabeçalho nessa caixa de texto e especifique o mapeamento de domínio para os vários domínios na caixa Mapeamento de domínio. (Consulte Editar e converter domínios existentes.)

• Mapeamento de domínio: (obrigatório) especifica o mapeamento para vários domínios no formato valor do cabeçalho=nome do domínio.

  Por exemplo, considere uma situação em que o cabeçalho HTTP de um domínio é domainName e pode ter valores de domain1, domain2 ou domain3. Nesse caso, use o mapeamento de domínio para mapear os valores de domainName para nomes de domínio do User Management. Cada mapeamento deve estar em uma linha diferente:

  domain1=UMdomain1

  domain2=UMdomain2

  domain3=UMdomain3

Decida qual domínio usar para habilitar o SSO. O AEM Forms Server e os usuários devem fazer parte do mesmo domínio do Windows ou domínio confiável.

No Ative Diretory, crie um usuário que represente o AEM Forms Server. (Consulte Criar uma conta de usuário.) Se você estiver configurando mais de um domínio para usar o SPNEGO, certifique-se de que as senhas de cada um desses usuários sejam diferentes. Se as senhas não forem diferentes, o SPNEGO SSO não funcionará.

Mapeie o nome da entidade de serviço. (Consulte Mapear um SPN (Nome da Entidade de Serviço).)

Configure o controlador de domínio. (Consulte Evitar falhas de verificação de integridade Kerberos.)

Adicione ou edite um domínio corporativo conforme descrito em Adicionando domínios ou Editando e convertendo domínios existentes. Ao criar ou editar o domínio enterprise, execute estas tarefas:

• Adicione ou edite um diretório que contenha suas informações do Ative Diretory.

• Adicione o LDAP como um provedor de autenticação.

• Adicione o Kerberos como um provedor de autenticação. Forneça as seguintes informações na página Nova ou Editar Autenticação do Kerberos:

  • Provedor de Autenticação: Kerberos
  • IP do DNS: O endereço IP do DNS do servidor onde os formulários AEM estão em execução. Você pode determinar este endereço IP executando ipconfig/all na linha de comando.
  • Host KDC: Nome de host ou endereço IP totalmente qualificado do servidor do Ative Diretory usado para autenticação
  • Usuário do Serviço: o SPN (nome da entidade de serviço) passado para a ferramenta KtPass. No exemplo usado anteriormente, o usuário do serviço é HTTP/lcserver.um.lc.com.
  • Realm de Serviço: Nome de domínio do Ative Diretory. No exemplo usado anteriormente, o nome do Domínio é UM.LC.COM.
  • Senha do serviço: Senha do usuário do serviço. No exemplo usado anteriormente, a senha do serviço é password.
  • Habilitar SPNEGO: Habilita o uso do SPNEGO para logon único (SSO). Selecione esta opção.

Defina as configurações do navegador do cliente SPNEGO. (Consulte Definindo as configurações do navegador do cliente SPNEGO.)

No SPNEGO, registre um serviço como um usuário no Ative Diretory no controlador de domínio para representar formulários AEM. No controlador de domínio, acesse Menu Iniciar > Ferramentas Administrativas > Usuários e Computadores do Ative Diretory. Se Ferramentas administrativas não estiver no menu Iniciar, use o Painel de controle.

Clique na pasta Usuários para exibir uma lista de usuários.

Clique com o botão direito do mouse na pasta do usuário e selecione Novo > Usuário.

Digite o Nome/Sobrenome e o Nome de logon do usuário e clique em Avançar. Por exemplo, defina os seguintes valores:

• Nome: umspnego
• Nome de Logon do Usuário: spnegodemo

Digite uma senha. Por exemplo, defina como senha. Certifique-se de que a opção Senha nunca expira esteja selecionada e que nenhuma outra opção esteja selecionada.

Clique em Avançar e em Concluir.

Obtenha o utilitário KtPass. Esse utilitário é usado para mapear um SPN para um REALM. Você pode obter o utilitário KtPass como parte do Pacote de ferramentas ou Kit de recursos do Windows Server. (Consulte Ferramentas de Suporte do Windows Server 2003 Service Pack 1.)

Em um prompt de comando, execute ktpass usando os seguintes argumentos:

ktpass -princ HTTP/host @REALM -mapuserusuário

Por exemplo, digite o seguinte texto:

ktpass -princ HTTP/lcserver.um.lc.com@UM.LC.COM -mapuser spnegodemo

Os valores que você deve fornecer são descritos a seguir:

host: Nome totalmente qualificado do Servidor Forms ou qualquer URL exclusiva. Neste exemplo, ele é definido como lcserver.um.lc.com.

REALM: O domínio do Ative Diretory para o controlador de domínio. Neste exemplo, ele é definido como UM.LC.COM. Certifique-se de informar o realm em caracteres maiúsculos. Para determinar o realm do Windows 2003, conclua as seguintes etapas:

• Clique com o botão direito em Meu computador e selecione Propriedades
• Clique na guia Nome do computador. O valor Nome do Domínio é o nome do realm.

usuário: o nome de logon da conta de usuário que você criou na tarefa anterior. Neste exemplo, está definido como spnegodemo.

Na caixa de URL do navegador, digite about:config

A caixa de diálogo about:config - Mozilla Firefox é exibida.

Na caixa Filtro, digite negotiate

Na lista mostrada, clique em network.negotiation-auth.trusted-uri e digite um dos seguintes comandos conforme apropriado para seu ambiente:

.um.lc.com- Configura o Firefox para permitir o SPNEGO para qualquer URL que termine com um.lc.com. Certifique-se de incluir o ponto (".") no início.

lcserver.um.lc.com - Configura o Firefox para permitir o SPNEGO somente para seu servidor específico. Não inicie este valor com um ponto (".").

Teste a configuração acessando o aplicativo. A página de boas-vindas do aplicativo de destino deve ser exibida.