Autenticação SAML 2.0 saml-2-0-authentication

Obtenha o certificado público do IDP. Esse certificado permite que o AEM valide a asserção SAML fornecida ao AEM pelo IDP.

O certificado está no formato PEM e deve se parecer com:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Faça logon no AEM Author como um Administrador do AEM.

Navegue até Ferramentas > Segurança > Armazenamento de confiança.

Crie ou abra o Armazenamento global de confiança. Se estiver criando um armazenamento global de confiança, armazene a senha em algum lugar seguro.

Expandir Adicionar certificado do arquivo CER.

Selecionar Selecionar arquivo de certificado e carregue o arquivo de certificado fornecido pelo IDP.

Sair Mapear certificado para usuário em branco.

Selecione Enviar.

O certificado recém-adicionado aparece acima do campo Adicionar certificado do arquivo CRT seção.

Anote o alias, pois esse valor é usado no Configuração OSGi do Manipulador de autenticação SAML 2.0.

Selecionar Salvar e fechar.

Navegue até Ferramentas > Implantação > Pacotes.

Criar um pacote

• Nome do pacote: Global Trust Store
• Versão: 1.0.0
• Grupo: com.your.company

Editar o novo Armazenamento global de confiança pacote.

Selecione o Filtros e adicione um filtro para o caminho raiz /etc/truststore.

Selecionar Concluído e depois Salvar.

Selecione o Build botão para a Armazenamento global de confiança pacote.

Depois de criado, selecione Mais > Replicar para ativar o nó de armazenamento global de confiança (/etc/truststore) para AEM Publish.

Faça logon no AEM Author como um Administrador AEM para fazer upload da chave privada.

Navegue até Ferramentas > Segurança > Usuários e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

Selecione o Armazenamento de chaves guia.

Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

• A o armazenamento de chaves público/privado está instalado neste armazenamento de chaves somente se a criptografia da assinatura AuthnRequest/asserção SAML for necessária.
• Se essa integração SAML der suporte a logout, mas não a assinatura AuthnRequest/asserção SAML, um armazenamento de chaves vazio será suficiente.

Selecionar Salvar e fechar.

Criar um pacote contendo os dados atualizados serviço de autenticação usuário.

Use a seguinte solução temporária usando pacotes:

1. Navegue até Ferramentas > Implantação > Pacotes.

2. Criar um pacote

   • Nome do pacote: Authentication Service
   • Versão: 1.0.0
   • Grupo: com.your.company

3. Editar o novo Armazenamento de Chave do Serviço de Autenticação pacote.

4. Selecione o Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • A variável <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando serviço de autenticação usuário. A UUID é a última parte do URL.

5. Selecionar Concluído e depois Salvar.

6. Selecione o Build botão para a Armazenamento de Chave do Serviço de Autenticação pacote.

7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de autenticação para AEM Publish.

Obtenha a chave pública, a chave privada (PKCS#8 no formato DER) e o arquivo da cadeia de certificados (pode ser a chave pública) usados para assinar o AuthnRequest e criptografar a asserção SAML. Normalmente, as chaves são fornecidas pela equipe de segurança da organização de TI.

• Um par de chaves autoassinado pode ser gerado usando openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Faça upload da chave pública para o IDP.

• Usar o openssl acima, a chave pública é a variável aem-public.crt arquivo.

Faça logon no AEM Author como um Administrador AEM para fazer upload da chave privada.

Navegue até Ferramentas > Segurança > Armazenamento de confiança e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

Navegue até Ferramentas > Segurança > Usuários e selecione serviço de autenticação e selecione Propriedades na barra de ação superior.

Selecione o Armazenamento de chaves guia.

Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

Selecionar Adicionar chave privada do arquivo DER e adicione a chave privada e o arquivo de cadeia ao AEM:

• Alias: forneça um nome significativo, geralmente o nome do IDP.
• Arquivo de chave de privacidade: Faça upload do arquivo de chave privada (PKCS#8 no formato DER).
  • Usar o openssl acima, este é o aem-private-pkcs8.der arquivo
• Selecionar arquivo da cadeia de certificados: Faça upload do arquivo de cadeia que o acompanha (essa pode ser a chave pública).
  • Usar o openssl acima, este é o aem-public.crt arquivo
• Selecionar Enviar

O certificado recém-adicionado aparece acima do campo Adicionar certificado do arquivo CRT seção.

• Anote o alias como isso é usado no Configuração OSGi do manipulador de autenticação SAML 2.0

Selecionar Salvar e fechar.

Criar um pacote contendo os dados atualizados serviço de autenticação usuário.

Use a seguinte solução temporária usando pacotes:

1. Navegue até Ferramentas > Implantação > Pacotes.

2. Criar um pacote

   • Nome do pacote: Authentication Service
   • Versão: 1.0.0
   • Grupo: com.your.company

3. Editar o novo Armazenamento de Chave do Serviço de Autenticação pacote.

4. Selecione o Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • A variável <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando serviço de autenticação usuário. A UUID é a última parte do URL.

5. Selecionar Concluído e depois Salvar.

6. Selecione o Build botão para a Armazenamento de Chave do Serviço de Autenticação pacote.

7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de autenticação para AEM Publish.

Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json e abra no IDE.

• Alterar /wknd-examples/ ao seu /<project name>/
• O identificador depois da variável ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...~okta.cfg.json. O valor deve ser alfanumérico com hifens.

Cole o seguinte JSON no com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json e atualize o wknd referências conforme necessário.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Atualize os valores conforme exigido pelo projeto. Consulte a Glossário de configuração OSGi do Manipulador de autenticação SAML 2.0 acima para obter descrições das propriedades de configuração

É recomendável, mas não obrigatório, usar variáveis de ambiente OSGi e segredos, quando os valores puderem mudar fora de sincronia com o ciclo de lançamento ou quando os valores forem diferentes entre tipos de ambiente/camadas de serviço semelhantes. Valores padrão podem ser definidos com o uso de $[env:..;default=the-default-value]" conforme mostrado acima.

Crie (ou edite) um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Alterar /wknd-examples/ ao seu /<project name>/

Assegure a allow.empty o valor está definido como true, o allow.hosts (ou se preferir, allow.hosts.regexp) contém a origem do IDP e filter.methods inclui POST. A configuração do OSGi deve ser semelhante a:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• Alterar /wknd-examples/ ao nome do seu projeto
• O identificador depois da variável ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...CORSPolicyImpl~okta.cfg.json. O valor deve ser alfanumérico com hifens.

Cole o seguinte JSON no com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json arquivo.