DokumentationAEM 6.5Användarhandbok

Konfigurera LDAP med AEM 6 configuring-ldap-with-aem

Last update: Sat Jul 13 2024 00:00:00 GMT+0000 (Coordinated Universal Time)
  • Ämnen:

Skapat för:

  • Administratör

LDAP (protokollet L ightweight D Directory A Access P) används för åtkomst till centraliserade katalogtjänster. Det minskar den arbetsinsats som krävs för att hantera användarkonton eftersom de kan nås av flera program. En sådan LDAP-server är Active Directory. LDAP används ofta för att uppnå enkel inloggning, vilket gör att en användare kan få åtkomst till flera program efter inloggning en gång.

Användarkonton kan synkroniseras mellan LDAP-servern och databasen med LDAP-kontoinformation som sparas i databasen. Den här funktionen gör att konton kan tilldelas till databasgrupper för att tilldela de behörigheter och behörigheter som krävs.

Databasen använder LDAP-autentisering för att autentisera sådana användare, där inloggningsuppgifterna skickas till LDAP-servern för validering, vilket krävs innan åtkomst till databasen tillåts. För att förbättra prestandan kan validerade inloggningsuppgifter cachas av databasen med en tidsgräns för förfallodatum så att omvalidering sker efter en lämplig period.

När ett konto tas bort från LDAP-servern beviljas inte längre någon validering och åtkomst till databasen nekas. Information om LDAP-konton som sparas i databasen kan också rensas.

Användningen av sådana konton är transparent för användarna. Det innebär att de inte ser någon skillnad mellan användar- och gruppkonton som skapats från LDAP och konton som skapats enbart i databasen.

I AEM 6 har LDAP-stödet en ny implementering som kräver en annan typ av konfiguration än i tidigare versioner.

Alla LDAP-konfigurationer är nu tillgängliga som OSGi-konfigurationer. De kan konfigureras via webbhanteringskonsolen på:
https://serveraddress:4502/system/console/configMgr

Om du vill att LDAP ska fungera med AEM måste du skapa tre OSGi-konfigurationer:

  1. En LDAP-identitetsleverantör (IDP).
  2. En synkroniseringshanterare.
  3. En extern inloggningsmodul.
NOTE
Titta på Oak modul för extern inloggning - autentiserar med LDAP och bortom för att kunna identifiera externa inloggningsmoduler.
Ett exempel på hur du konfigurerar Experience Manager med Apache DS finns i Konfigurera Adobe Experience Manager 6.5 så att den använder Apache Directory Service.

Konfigurera LDAP-identitetsleverantören configuring-the-ldap-identity-provider

LDAP-identitetsprovidern används för att definiera hur användare hämtas från LDAP-servern.

Den finns i hanteringskonsolen under Apache Jackrabbit Oak LDAP Identity Provider -namnet.

Följande konfigurationsalternativ är tillgängliga för LDAP-identitetsleverantören:

LDAP-providernamn
Namnet på den här LDAP-providerkonfigurationen.
LDAP-servervärdnamn
Värdnamn för LDAP-servern
LDAP-serverport
Port för LDAP-servern
Använd SSL
Anger om en SSL-anslutning (LDAP) ska användas.
Använd TLS
Anger om TLS ska startas på anslutningar.
Inaktivera certifikatkontroll
Anger om servercertifikatvalidering ska inaktiveras.
Bind DN
Unikt namn för användaren för autentisering. Om fältet lämnas tomt utförs en anonym bindning.
Bind lösenord
Användarens lösenord för autentisering
Timeout för sökning
Tid tills sökningen tar slut
Admin pool max aktiv
Maximal aktiv storlek för administratörsanslutningspoolen.
Användarpoolen är max aktiv
Den maximala aktiva storleken för användaranslutningspoolen.
Användar-bas-DN
DN för användarsökningar
Användarobjektklasser
Listan med objektklasser som en användarpost måste innehålla.
Användar-id-attribut
Namnet på det attribut som innehåller användar-ID:t.
Extra filter för användare
Extra LDAP-filter som används vid sökning efter användare. Det sista filtret formateras som: (&(<idAttr>=<userId>)(objectclass=<objectClass>)<extraFilter>) (user.extraFilter)
Användarens DN-sökvägar
Anger om det unika namnet ska användas för att beräkna en del av den mellanliggande sökvägen.
Gruppbasens unika namn
Basens unika namn för gruppsökningar.
Gruppobjektklasser
Listan med objektklasser som en grupppost måste innehålla.
Gruppnamnsattribut
Namnet på det attribut som innehåller gruppnamnet.
Gruppera extra filter
Extra LDAP-filter som används vid sökning efter grupper. Det sista filtret är formaterat enligt följande: (&(<nameAttr>=<groupName>)(objectclass=<objectClass>)<extraFilter>)
Gruppera DN-sökvägar
Anger om det unika namnet ska användas för att beräkna en del av den mellanliggande sökvägen.
Gruppmedlemsattribut
Gruppattribut som innehåller en eller flera gruppmedlemmar.

Konfigurera synkroniseringshanteraren configuring-the-synchronization-handler

Synkroniseringshanteraren definierar hur identitetsleverantörens användare och grupper synkroniseras med databasen.

Den finns under Apache Jackrabbit Oak-standardhanterare för synkronisering i hanteringskonsolen.

Följande konfigurationsalternativ är tillgängliga för Synkroniseringshanteraren:

Namn på synkroniseringshanterare
Namn på synkroniseringskonfigurationen.
Förfallotid för användare
Varaktighet tills en synkroniserad användare går ut.
Automedlemskap för användare
Lista över grupper som en synkroniserad användare automatiskt läggs till i.
Mappning av användaregenskaper
Definition av listmappning av lokala egenskaper från externa.
Användarsökvägsprefix
Det sökvägsprefix som används när användare skapas.
Förfallotid för användarmedlemskap
Tid efter vilket medlemskapet upphör.
Inkapslingsdjup för användarmedlemskap
Returnerar det maximala djupet för gruppkapsling när medlemsrelationer synkroniseras. Värdet 0 inaktiverar sökning efter gruppmedlemskap. Värdet 1 lägger bara till en användares direktgrupper. Det här värdet har ingen effekt vid synkronisering av enskilda grupper endast när en användares medlemskapshistorik synkroniseras.
Förfallotid för grupp
Varaktighet tills en synkroniserad grupp förfaller.
Automatiskt gruppmedlemskap
Lista över grupper som en synkroniserad grupp automatiskt läggs till i.
Mappning av gruppegenskaper
Definition av listmappning av lokala egenskaper från externa.
Prefix för gruppsökväg
Det sökvägsprefix som används när grupper skapas.

Den externa inloggningsmodulen the-external-login-module

Den externa inloggningsmodulen finns under Apache Jackrabbit Oak External Login Module under hanteringskonsolen.

NOTE
Apache Jackrabbit Oak External Login Module implementerar Java™ Authentication and Authorization Server (JAAS)-specifikationerna. Mer information finns i Java™ Security Reference Guide för Oraclet.

Dess uppdrag är att definiera vilken identitetsleverantör och synkroniseringshanterare som ska användas, vilket effektivt binder de två modulerna.

Följande konfigurationsalternativ är tillgängliga:

JAAS-rankning
Ange rankningen (d.v.s. sorteringsordningen) för den här inloggningsmodulposten. Posterna sorteras i fallande ordning (dvs. högre rangordnade konfigurationer kommer först).
JAAS-kontrollflagga
Egenskap som anger om en LoginModule är OBLIGATORISK, REQUISITE, TILLRÄCKLIG eller VALFRI. Mer information om innebörden av dessa flaggor finns i dokumentationen om JAAS-konfigurationen.
JAAS-sfär
Sfärnamnet (eller programnamnet) som LoginModule är registrerad mot. Om inget sfärnamn anges registreras LoginModule med en standardsfärk som konfigurerats i Felix JAAS-konfigurationen.
Identitetsleverantörens namn
Identitetsleverantörens namn.
Namn på synkroniseringshanterare
Synkroniseringshanterarens namn.
NOTE
Om du planerar att ha fler än en LDAP-konfiguration med din AEM-instans måste separata identitetsleverantörer och synkroniseringshanterare skapas för varje konfiguration.

Konfigurera LDAP över SSL configure-ldap-over-ssl

AEM 6 kan konfigureras för autentisering med LDAP över SSL genom att följa nedanstående procedur:

  1. Markera kryssrutorna Använd SSL eller Använd TLS när du konfigurerar LDAP-identitetsprovidern.

  2. Konfigurera Synkroniseringshanteraren och modulen för extern inloggning enligt inställningarna.

  3. Installera SSL-certifikaten i din virtuella Java™-dator om det behövs. Installationen kan göras med hjälp av nyckelverktyget:

    keytool -import -alias localCA -file <certificate location> -keystore <keystore location>

  4. Testa anslutningen till LDAP-servern.

Skapa SSL-certifikat creating-ssl-certificates

Självsignerade certifikat kan användas när AEM konfigureras för autentisering med LDAP via SSL. Nedan visas ett exempel på ett arbetssätt för att generera certifikat som ska användas med AEM.

  1. Kontrollera att du har ett SSL-bibliotek installerat och att det fungerar. I den här proceduren används OpenSSL som exempel.

  2. Skapa en anpassad OpenSSL-konfigurationsfil (cnf). Du kan göra den här konfigurationen genom att kopiera standardkonfigurationsfilen openssl.cnf ​ och anpassa den. På UNIX®-system är den på /usr/lib/ssl/openssl.cnf

  3. Fortsätt till att skapa certifikatutfärdarens rotnyckel genom att köra följande kommando i en terminal:

    code language-none 
    openssl genpkey -algorithm [public key algorithm] -out certificatefile.key -pkeyopt [public key algorithm option]

  4. Skapa sedan ett självsignerat certifikat:

    openssl req -new -x509 -days [number of days for certification] -key certificatefile.key -out root-ca.crt -config CA/openssl.cnf

  5. Kontrollera att allt är i rätt ordning genom att kontrollera det nya certifikatet:

    openssl x509 -noout -text -in root-ca.crt

  6. Kontrollera att alla mappar som anges i certifikatkonfigurationsfilen (.cnf) finns. Om inte, skapar du dem.

  7. Skapa ett slumpmässigt startvärde genom att köra:

    openssl rand -out private/.rand 8192

  8. Flytta de skapade .pem-filerna till de platser som är konfigurerade i .cnf-filen.

  9. Lägg slutligen till certifikatet i Java™-nyckelbehållaren.

Aktivera felsökningsloggning enabling-debug-logging

Felsökningsloggning kan aktiveras för både LDAP-identitetsprovidern och den externa inloggningsmodulen för att felsöka anslutningsproblem.

Om du vill aktivera felsökningsloggning måste du göra följande:

  1. Gå till webbhanteringskonsolen.
  2. Sök efter"Konfiguration av loggningslogg för Apache Sling" och skapa två loggare med följande alternativ:

  • Loggnivå: Felsökning

  • Loggfil logs/ldap.log

  • Meddelandemönster: {0,date,dd.MM.yyyy HH:mm:ss.SSS *{4}* {2}

  • Logger: org.apache.jackrabbit.oak.security.authentication.ldap

  • Loggnivå: Felsökning

  • Loggfil: logs/external.log

  • Meddelandemönster: {0,date,dd.MM.yyyy HH:mm:ss.SSS *{4}* {2}

  • Logger: org.apache.jackrabbit.oak.spi.security.authentication.external

Ett ord om gruppanknytning a-word-on-group-affiliation

Användare som synkroniseras via LDAP kan ingå i olika grupper i AEM. Dessa grupper kan vara externa LDAP-grupper som läggs till i AEM som en del av synkroniseringsprocessen. De kan dock också vara grupper som läggs till separat och inte ingår i det ursprungliga LDAP-koncerntillhörighetsschemat.

Vanligtvis läggs dessa grupper till av en lokal AEM eller av någon annan identitetsleverantör.

Om en användare tas bort från en grupp på LDAP-servern återspeglas ändringen på AEM sida vid synkroniseringen. Alla andra grupptillhörigheter för användaren som inte lades till av LDAP finns dock kvar.

AEM identifierar och hanterar rensning av användare från externa grupper med egenskapen rep:externalId. Den här egenskapen läggs till automatiskt för alla användare eller grupper som synkroniseras med Synchronization Handler och den innehåller information om den ursprungliga identitetsleverantören.

Se Apache Oak-dokumentation om användar- och gruppsynkronisering.

Kända fel known-issues

Om du tänker använda LDAP över SSL måste du kontrollera att de certifikat du använder skapas utan alternativet Netscape-kommentar. Om det här alternativet är aktiverat misslyckas autentiseringen med ett SSL-handskakningsfel.

recommendation-more-help
19ffd973-7af2-44d0-84b5-d547b0dffee2