Autenticação SAML 2.0 saml-2-0-authentication

Obtenha o arquivo de certificado público do IDP. Esse certificado permite que o AEM valide a asserção SAML fornecida ao AEM pelo IDP.

O certificado está no formato PEM e deve se parecer com:

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

Faça logon no AEM Author como um Administrador do AEM.

Navegue até Ferramentas > Segurança > Armazenamento confiável.

Crie ou abra o Armazenamento global de confiança. Se estiver criando um armazenamento global de confiança, armazene a senha em algum lugar seguro.

Expanda Adicionar certificado do arquivo CER.

Selecione Selecionar arquivo de certificado e carregue o arquivo de certificado fornecido pelo IDP.

Deixe Mapear certificado para o usuário em branco.

Selecione Enviar.

O certificado adicionado recentemente aparece acima da seção Adicionar certificado do arquivo CRT.

Anote o alias, pois esse valor é usado na configuração OSGi do Manipulador de Autenticação do SAML 2.0.

Selecione Salvar e fechar.

Navegue até Ferramentas > Implantação > Pacotes.

Criar um pacote

• Nome do pacote: Global Trust Store
• Versão: 1.0.0
• Grupo: com.your.company

Edite o novo pacote Armazenamento Global de Confiança.

Selecione a guia Filtros e adicione um filtro para o caminho raiz /etc/truststore.

Selecione Concluído e depois Salvar.

Selecione o botão Build para o pacote Armazenamento global de confiança.

Depois de criado, selecione Mais > Replicar para ativar o nó de Repositório de Confiança Global (/etc/truststore) para AEM Publish.

Faça logon no AEM Author como um Administrador AEM para fazer upload da chave privada.

Navegue até Ferramentas > Segurança > Usuários, selecione o usuário serviço de autenticação e selecione Propriedades na barra de ações superior.

Selecione a guia Armazenamento de chaves.

Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

• Um armazenamento de chaves público/privado está instalado neste armazenamento de chaves somente se a criptografia de assinatura AuthnRequest/SAML é necessária.
• Se essa integração SAML der suporte a logout, mas não a assinatura AuthnRequest/asserção SAML, um armazenamento de chaves vazio será suficiente.

Selecione Salvar e fechar.

Crie um pacote contendo o usuário authentication-service atualizado.

Use a seguinte solução temporária usando pacotes:

1. Navegue até Ferramentas > Implantação > Pacotes.

2. Criar um pacote

   • Nome do pacote: Authentication Service
   • Versão: 1.0.0
   • Grupo: com.your.company

3. Edite o novo pacote Authentication Service Key Store.

4. Selecione a guia Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • O <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando o usuário serviço-autenticação. A UUID é a última parte do URL.

5. Selecione Concluído e depois Salvar.

6. Selecione o botão Build para o pacote Authentication Service Key Store.

7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de Autenticação para o AEM Publish.

Obtenha a chave pública, a chave privada (PKCS#8 no formato DER) e o arquivo da cadeia de certificados (pode ser a chave pública) usados para assinar o AuthnRequest e criptografar a asserção SAML. Normalmente, as chaves são fornecidas pela equipe de segurança da organização de TI.

• Um par de chaves autoassinado pode ser gerado usando openssl:

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

Faça upload da chave pública para o IDP.

• Usando o método openssl acima, a chave pública é o arquivo aem-public.crt.

Faça logon no AEM Author como um Administrador AEM para fazer upload da chave privada.

Navegue até Ferramentas > Segurança > Armazenamento de confiança, selecione o usuário serviço de autenticação e selecione Propriedades na barra de ação superior.

Navegue até Ferramentas > Segurança > Usuários, selecione o usuário serviço de autenticação e selecione Propriedades na barra de ações superior.

Selecione a guia Armazenamento de chaves.

Crie ou abra o armazenamento de chaves. Se estiver criando um armazenamento de chaves, mantenha a senha segura.

Selecione Adicionar chave privada do arquivo DER e adicione a chave privada e o arquivo de cadeia ao AEM:

• Alias: forneça um nome significativo, geralmente o nome do IDP.
• Arquivo de chave privada: carrega o arquivo de chave privada (PKCS#8 no formato DER).
  • Usando o método openssl acima, este é o arquivo aem-private-pkcs8.der
• Selecionar arquivo da cadeia de certificados: carregue o arquivo da cadeia que o acompanha (essa pode ser a chave pública).
  • Usando o método openssl acima, este é o arquivo aem-public.crt
• Selecionar Enviar

O certificado adicionado recentemente aparece acima da seção Adicionar certificado do arquivo CRT.

• Anote o alias, pois ele é usado na configuração OSGi do manipulador de autenticação SAML 2.0

Selecione Salvar e fechar.

Crie um pacote contendo o usuário authentication-service atualizado.

Use a seguinte solução temporária usando pacotes:

1. Navegue até Ferramentas > Implantação > Pacotes.

2. Criar um pacote

   • Nome do pacote: Authentication Service
   • Versão: 1.0.0
   • Grupo: com.your.company

3. Edite o novo pacote Authentication Service Key Store.

4. Selecione a guia Filtros e adicione um filtro para o caminho raiz /home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore.

   • O <AUTHENTICATION SERVICE UUID> pode ser encontrado navegando até Ferramentas > Segurança > Usuários e selecionando o usuário serviço-autenticação. A UUID é a última parte do URL.

5. Selecione Concluído e depois Salvar.

6. Selecione o botão Build para o pacote Authentication Service Key Store.

7. Depois de criado, selecione Mais > Replicar para ativar o armazenamento de chaves do Serviço de Autenticação para o AEM Publish.

Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json e abra-o no IDE.

• Altere /wknd-examples/ para /<project name>/
• O identificador depois de ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...~okta.cfg.json. O valor deve ser alfanumérico com hifens.

Cole o seguinte JSON no arquivo com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json e atualize as referências wknd conforme necessário.

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

Atualize os valores conforme exigido pelo projeto. Consulte o glossário de configuração OSGi do Manipulador de Autenticação SAML 2.0 acima para obter as descrições das propriedades de configuração

É recomendável, mas não obrigatório, usar variáveis de ambiente OSGi e segredos, quando os valores puderem mudar fora de sincronia com o ciclo de lançamento ou quando os valores forem diferentes entre tipos de ambiente/camadas de serviço semelhantes. Valores padrão podem ser definidos usando a sintaxe $[env:..;default=the-default-value]", como mostrado acima.

Crie (ou edite) um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json.

• Altere /wknd-examples/ para /<project name>/

Verifique se o valor allow.empty está definido como true, se allow.hosts (ou, se preferir, allow.hosts.regexp) contém a origem do IDP e filter.methods inclui POST. A configuração do OSGi deve ser semelhante a:

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

Crie um arquivo de configuração OSGi em seu projeto em /ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json

• Altere /wknd-examples/ para o nome do seu projeto
• O identificador depois de ~ no nome do arquivo deve identificar exclusivamente essa configuração, portanto, pode ser o nome do IDP, como ...CORSPolicyImpl~okta.cfg.json. O valor deve ser alfanumérico com hifens.

Cole o seguinte JSON no arquivo com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json.