[Integração]{class="badge positive"}

Configurar a ID externa do Microsoft Entra para autenticação do cliente

[AEM Forms as a Cloud Service]{class="badge informative"}

Este caso de uso demonstra como a Microsoft Entra External ID pode ser usada como o provedor de identidade do cliente para um aplicativo da AEM Forms. Os clientes podem se registrar e fazer logon usando um fluxo de usuário de logon/inscrição de ID externa da Entra, enquanto a AEM usa o SAML 2.0 para autenticar e autorizar o cliente.

Após a autenticação bem-sucedida, o AEM sincroniza a conta do cliente e usa um gancho de pós-sincronização SAML para capturar atributos de perfil, como a ID do objeto ENTRA, endereço de email, nome e sobrenome. Esses atributos podem ser enviados para o Adobe Experience Platform (AEP) para criar ou atualizar o perfil do cliente para personalização downstream e casos de uso de envolvimento.

​1. Criar ou Selecionar o Locatário da ID Externa Intra

Crie ou selecione o locatário da Microsoft Entra External ID que gerenciará as identidades do cliente.

Para esta POC:

Este locatário contém:

​2. Criar um Fluxo de Usuário para Inscrição e Entrada

Vá até:

Identidades externas → Fluxos de usuário → Novo fluxo de usuário

Criar um:

Fluxo de usuários para se inscrever e entrar.

Provedor de identidade

Selecione:

Atributos do usuário

Configure o fluxo de usuários para coletar:

Esses atributos se tornam parte do perfil Entra do cliente e podem ser retornados posteriormente à AEM na asserção SAML.

​3. Criar o aplicativo empresarial do AEM

Vá até:

Aplicativos empresariais → Novo aplicativo

Crie um Aplicativo Empresarial não Gallery.

Para esta POC:

Nome do aplicativo:

AEM Entra POC

Este Aplicativo Empresarial representa o AEM como o Provedor de Serviços SAML (SP).

​4. Configurar Logon Único do SAML

Abrir:

Aplicativos empresariais → AEM Entra POC → Logon único → SAML

Em Configuração SAML Básica, configure o seguinte.

Identificador (ID da entidade)

O Identificador deve corresponder ao serviceProviderEntityId configurado no Manipulador de Autenticação SAML do AEM.

Para esta POC:

https://publish-p133654-e1305513.adobeaemcloud.com

URL de Resposta / Serviço de Cliente de Asserção (ACS)

Para o aplicativo bancário:

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

Caminhos SAML adicionais do AEM podem ser registrados como URLs de resposta adicionais, se necessário.

Por exemplo, durante a POC inicial, também usamos:

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

A URL de Resposta deve corresponder ao ponto de extremidade de retorno de chamada AEM SAML.

​5. Configurar Atributos e Declarações SAML

Vá até:

AEM Entra POC → Logon único → Atributos e declarações

Identificador exclusivo do usuário (ID do nome)

Configurar o:

Unique User Identifier (Name ID) → user.objectid

Isso faz com que a ID do objeto Entra seja usada como a ID de nome SAML.

Reivindicações adicionais

Configure as seguintes declarações:

A declaração objectId adicional é intencional.

O gancho de pós-sincronização do AEM SAML usa essa declaração para obter a ID de objeto Entra original:

objectId → user.objectid

Por exemplo:

36fcb7e1-5d30-416d-a342-51367829251c

Esse valor pode ser usado como a identidade do cliente (crmid) ao enviar o perfil do cliente para a Adobe Experience Platform.

​6. Baixar o Certificado de Autenticação Entra SAML

Na página de configuração SAML, localize:

Certificados SAML

Download:

Certificado (Base64)

Isso produz um arquivo de certificado .cer.

O certificado é importado subsequentemente para o AEM Global Trust Store para que a AEM possa validar asserções SAML assinadas pela Microsoft Entra.

Registre também os seguintes valores de Entrada.

URL de logon

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

Isso se torna o do manipulador SAML do AEM:

idpUrl

Identificador Microsoft Entra

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

Isso se torna o do manipulador SAML do AEM:

idpIdentifier

​7. Configurar o acesso a aplicativos corporativos

Vá até:

Aplicativos empresariais → AEM Entra POC → Propriedades

Para essa POC voltada para o cliente, configure:

Assignment required? = No

Isso permite que os clientes que usam o fluxo de usuário da ID externa acessem o aplicativo empresarial do AEM sem exigir que um administrador atribua cada cliente individualmente.

Se a atribuição for obrigatória, um cliente não atribuído poderá receber um erro como:

AADSTS50105

​8. Associar a aplicação empresarial ao fluxo de usuário

Vá até:

Identidades externas → Fluxos de usuário → [Fluxo de usuário de inscrição/entrada] → Aplicativos

Selecione:

Adicionar aplicativo

Adicionar:

AEM Entra POC

Isso conecta a experiência de logon/inscrição do cliente ao Aplicativo corporativo AEM SAML.

As duas componentes têm responsabilidades diferentes:

Associar a aplicação empresarial ao fluxo de usuário conecta essas duas partes.

Arquitetura de autenticação resultante

O cliente acessa o aplicativo AEM Banking

→ O AEM detecta conteúdo protegido

→ Manipulador de autenticação AEM SAML

→ ID externa do Microsoft Entra

→ Aplicativo corporativo AEM Entra POC

→ Fluxo de usuário de logon/inscrição associado

→ O cliente entra ou cria uma conta

→ A Entra gera uma afirmação SAML assinada

→ A resposta do SAML é POSTed para o AEM /saml_login

→ O AEM valida a afirmação usando o certificado de assinatura Entra

→ A AEM cria ou sincroniza o cliente

→ O gancho pós-sincronização do AEM SAML é executado

→ O perfil do cliente pode ser enviado para a Adobe Experience Platform