Konfigurera LDAP med AEM 6 configuring-ldap-with-aem
LDAP L ightweight D katalog A åtkomst P Protokoll) används för åtkomst till centraliserade katalogtjänster. Detta minskar den arbetsinsats som krävs för att hantera användarkonton eftersom de kan nås av flera program. En sådan LDAP-server är Active Directory. LDAP används ofta för att uppnå enkel inloggning, vilket gör att en användare kan få åtkomst till flera program efter inloggning en gång.
Användarkonton kan synkroniseras mellan LDAP-servern och databasen med LDAP-kontoinformation som sparas i databasen. Detta gör att konton kan tilldelas till databasgrupper för att tilldela de behörigheter och behörigheter som krävs.
Databasen använder LDAP-autentisering för att autentisera sådana användare, där inloggningsuppgifterna skickas till LDAP-servern för validering, vilket krävs innan åtkomst till databasen tillåts. För att förbättra prestandan kan validerade inloggningsuppgifter cachas av databasen med en tidsgräns för förfallodatum så att omvalidering sker efter en lämplig period.
När ett konto tas bort från LDAP-serververifieringen inte längre beviljas åtkomst till databasen. Information om LDAP-konton som sparas i databasen kan också rensas.
Användningen av sådana konton är transparent för användarna, de ser ingen skillnad mellan användar- och gruppkonton som skapats från LDAP och konton som skapats enbart i databasen.
I AEM 6 har LDAP-stödet en ny implementering som kräver en annan typ av konfiguration än i tidigare versioner.
Alla LDAP-konfigurationer är nu tillgängliga som OSGi-konfigurationer. De kan konfigureras via webbhanteringskonsolen på:https://serveraddress:4502/system/console/configMgr
För att LDAP ska fungera med AEM måste du skapa tre OSGi-konfigurationer:
- En LDAP-identitetsleverantör (IDP).
- En synkroniseringshanterare.
- En extern inloggningsmodul.
Konfigurera LDAP-identitetsleverantören configuring-the-ldap-identity-provider
LDAP-identitetsprovidern används för att definiera hur användare hämtas från LDAP-servern.
Den finns i hanteringskonsolen under Apache Jackrabbit Oak LDAP Identity Provider namn.
Följande konfigurationsalternativ är tillgängliga för LDAP-identitetsleverantören:
Konfigurera synkroniseringshanteraren configuring-the-synchronization-handler
Synkroniseringshanteraren definierar hur Indentity Provider-användare och -grupper ska synkroniseras med databasen.
Den finns under Standardsynkhanterare för Apache Jackrabbit i hanteringskonsolen.
Följande konfigurationsalternativ är tillgängliga för Synkroniseringshanteraren:
Den externa inloggningsmodulen the-external-login-module
Den externa inloggningsmodulen finns under Apache Jackrabbit Oak External Login Module under hanteringskonsolen.
Dess uppdrag är att definiera vilken identitetsleverantör och synkroniseringshanterare som ska användas, vilket effektivt binder de två modulerna.
Följande konfigurationsalternativ är tillgängliga:
Konfigurera LDAP över SSL configure-ldap-over-ssl
AEM 6 kan konfigureras för autentisering med LDAP över SSL genom att följa nedanstående procedur:
-
Kontrollera Använd SSL eller Använd TLS kryssrutor när du konfigurerar LDAP-identitetsleverantör.
-
Konfigurera Synkroniseringshanteraren och modulen för extern inloggning enligt inställningarna.
-
Installera SSL-certifikaten i Java VM om det behövs. Detta kan du göra med nyckelverktyget:
keytool -import -alias localCA -file <certificate location> -keystore <keystore location> -
Testa anslutningen till LDAP-servern.
Skapa SSL-certifikat creating-ssl-certificates
Självsignerade certifikat kan användas när AEM konfigureras för autentisering med LDAP via SSL. Nedan visas ett exempel på ett arbetssätt för att generera certifikat som ska användas med AEM.
-
Kontrollera att du har ett SSL-bibliotek installerat och att det fungerar. I den här proceduren används OpenSSL som exempel.
-
Skapa en anpassad OpenSSL-konfigurationsfil (cnf). Detta kan du göra genom att kopiera standardkonfigurationsfilen openssl.cnf och anpassa den. På UNIX-system finns den vanligtvis på
/usr/lib/ssl/openssl.cnf -
Fortsätt till att skapa certifikatutfärdarens rotnyckel genom att köra följande kommando i en terminal:
code language-none openssl genpkey -algorithm [public key algorithm] -out certificatefile.key -pkeyopt [public key algorithm option] -
Skapa sedan ett nytt självsignerat certifikat:
openssl req -new -x509 -days [number of days for certification] -key certificatefile.key -out root-ca.crt -config CA/openssl.cnf -
Inspect det nya certifikatet för att säkerställa att allt är i rätt ordning:
openssl x509 -noout -text -in root-ca.crt -
Kontrollera att alla mappar som anges i certifikatkonfigurationsfilen (.cnf) finns. Om inte, skapar du dem.
-
Skapa ett slumpmässigt startvärde genom att köra:
openssl rand -out private/.rand 8192 -
Flytta de skapade .pem-filerna till de platser som är konfigurerade i .cnf-filen.
-
Lägg slutligen till certifikatet i Java-nyckelbehållaren.
Aktivera felsökningsloggning enabling-debug-logging
Felsökningsloggning kan aktiveras för både LDAP-identitetsleverantören och modulen för extern inloggning för att felsöka anslutningsproblem.
Om du vill aktivera felsökningsloggning måste du:
- Gå till webbhanteringskonsolen.
- Sök efter"Konfiguration av loggningsloggare för Apache Sling" och skapa två loggare med följande alternativ:
-
Loggnivå: Felsök
-
Loggfil logs/ldap.log
-
Meddelandemönster: {0,date,dd.MM.yyyy HHss.SSS} *{4}* {2}
-
Logger: org.apache.jackrabbit.oak.security.authentication.ldap
-
Loggnivå: Felsök
-
Loggfil: logs/external.log
-
Meddelandemönster: {0,date,dd.MM.yyyy HHss.SSS} *{4}* {2}
-
Logger: org.apache.jackrabbit.oak.spi.security.authentication.external
Ett ord om gruppanknytning a-word-on-group-affiliation
Användare som synkroniseras via LDAP kan ingå i olika grupper i AEM. Dessa grupper kan vara externa LDAP-grupper som läggs till AEM som en del av synkroniseringsprocessen, men de kan också vara grupper som läggs till separat och inte ingår i det ursprungliga LDAP-grupptillhörighetsschemat.
I de flesta fall kan dessa grupper läggas till av en lokal AEM eller av någon annan identitetsleverantör.
Om en användare tas bort från en grupp på LDAP-servern återspeglas ändringen även på AEM sida vid synkroniseringen. Alla andra grupptillhörigheter för användaren som inte lades till av LDAP finns dock kvar.
AEM upptäcker och hanterar rensning av användare från externa grupper genom att använda rep:externalId -egenskap. Den här egenskapen läggs till automatiskt för alla användare eller grupper som synkroniseras med Synchronization Handler och den innehåller information om den ursprungliga identitetsleverantören.
Mer information finns i dokumentationen för Apache Oak på Användar- och gruppsynkronisering.
Kända fel known-issues
Om du tänker använda LDAP över SSL måste du kontrollera att de certifikat du använder skapas utan alternativet Netscape-kommentar. Om det här alternativet är aktiverat misslyckas autentiseringen med ett SSL-handskakningsfel.