SAML 2.0身份验证 saml-2-0-authentication

从IDP获取​ 公共证书 ​文件。 该证书允许AEM验证IDP向AEM提供的SAML声明。

证书为PEM格式，应类似于：

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

以AEM管理员身份登录AEM Author。

导航到​ 工具>安全>信任存储区。

创建或打开全局信任存储区。 如果创建全局信任存储区，请将密码保存在安全的地方。

展开​ 从CER文件 ​添加证书。

选择​ 选择证书文件，然后上传IDP提供的证书文件。

将​ 将证书映射到用户 ​保留为空。

选择​ 提交。

新添加的证书显示在​ 从CRT文件 ​添加证书部分上方。

记下​ 别名，因为该值在SAML 2.0身份验证处理程序OSGi配置中使用。

选择​ 保存并关闭。

导航到​ 工具>部署>包。

创建资源包

• 包名称： Global Trust Store
• 版本： 1.0.0
• 组： com.your.company

编辑新的​ 全局信任存储区 ​包。

选择​ 筛选器 ​选项卡，并为根路径/etc/truststore添加筛选器。

选择​ 完成，然后选择​ 保存。

为​ 全局信任存储区 ​包选择​ 生成 ​按钮。

生成后，选择​ 更多 > 复制 ​以激活全局信任存储节点(/etc/truststore)到AEM Publish。

以AEM管理员身份登录AEM Author以上传私钥。

导航到​ 工具>安全>用户，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​ 属性。

选择​ 密钥库 ​选项卡。

创建或打开密钥库。 如果创建密钥库，请保护密码安全。

• 仅当需要AuthnRequest签名/SAML断言加密时，公钥/私钥存储才安装在此密钥存储中。
• 如果此SAML集成支持注销，但不支持AuthnRequest签名/SAML断言，则空密钥库就足够了。

选择​ 保存并关闭。

创建包含更新的​ authentication-service ​用户的包。

使用包使用以下临时解决方法：

1. 导航到​ 工具>部署>包。

2. 创建资源包

   • 包名称： Authentication Service
   • 版本： 1.0.0
   • 组： com.your.company

3. 编辑新的​ 身份验证服务密钥存储 ​包。

4. 选择​ 筛选器 ​选项卡，并为根路径/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore添加筛选器。

   • 导航到​ 工具>安全>用户 ​并选择​ 身份验证服务 ​用户，即可找到<AUTHENTICATION SERVICE UUID>。 UUID是URL的最后一部分。

5. 选择​ 完成，然后选择​ 保存。

6. 为​ Authentication Service Key Store ​包选择​ 生成 ​按钮。

7. 生成后，选择​ 更多 > 复制 ​以激活AEM Publish的身份验证服务密钥存储。

获取用于签署AuthnRequest的公钥、私钥（DER格式中的PKCS#8）和证书链文件（这可能是公钥），并加密SAML断言。 这些密钥通常由IT组织的安全团队提供。

• 可使用​ openssl ​生成自签名密钥对：

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

将公钥上传到IDP。

• 使用上述openssl方法，公钥是aem-public.crt文件。

以AEM管理员身份登录AEM Author以上传私钥。

导航到​ 工具>安全>信任存储区，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​ 属性。

导航到​ 工具>安全>用户，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​ 属性。

选择​ 密钥库 ​选项卡。

创建或打开密钥库。 如果创建密钥库，请保护密码安全。

选择​ 从DER文件添加私钥，并将私钥和链文件添加到AEM：

• 别名：提供有意义的名称，通常是IDP的名称。
• 私钥文件：上载私钥文件（DER格式为PKCS#8）。
  • 使用上述openssl方法，这是aem-private-pkcs8.der文件
• 选择证书链文件：上载随附的链文件（这可能是公钥）。
  • 使用上述openssl方法，这是aem-public.crt文件
• 选择​ 提交

新添加的证书显示在​ 从CRT文件 ​添加证书部分上方。

• 记下​ 别名，因为该别名在SAML 2.0身份验证处理程序OSGi配置中使用

选择​ 保存并关闭。

创建包含更新的​ authentication-service ​用户的包。

使用包使用以下临时解决方法：

1. 导航到​ 工具>部署>包。

2. 创建资源包

   • 包名称： Authentication Service
   • 版本： 1.0.0
   • 组： com.your.company

3. 编辑新的​ 身份验证服务密钥存储 ​包。

4. 选择​ 筛选器 ​选项卡，并为根路径/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore添加筛选器。

   • 导航到​ 工具>安全>用户 ​并选择​ 身份验证服务 ​用户，即可找到<AUTHENTICATION SERVICE UUID>。 UUID是URL的最后一部分。

5. 选择​ 完成，然后选择​ 保存。

6. 为​ Authentication Service Key Store ​包选择​ 生成 ​按钮。

7. 生成后，选择​ 更多 > 复制 ​以激活AEM Publish的身份验证服务密钥存储。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json的项目中创建一个OSGi配置文件，并在IDE中打开。

• 将/wknd-examples/更改为您的/<project name>/
• 文件名中~之后的标识符应唯一标识此配置，因此它可能是IDP的名称，如...~okta.cfg.json。 该值应为带连字符的字母数字。

将以下JSON粘贴到com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json文件中，并根据需要更新wknd引用。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

根据项目要求更新值。 有关配置属性说明，请参阅上面的​ SAML 2.0身份验证处理程序OSGi配置术语表

在以下情况下，建议使用OSGi环境变量和密钥：值可能与发布周期不同步时，或值在相似环境类型/服务层之间不同时。 默认值可使用如上所示的$[env:..;default=the-default-value]"语法进行设置。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json处的项目中创建（或编辑）OSGi配置文件。

• 将/wknd-examples/更改为您的/<project name>/

请确保allow.empty值设置为true，allow.hosts （或者，如果您愿意，allow.hosts.regexp）包含IDP的来源，filter.methods包含POST。 OSGi配置应类似于：

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json处的项目中创建一个OSGi配置文件

• 将/wknd-examples/更改为您的项目名称
• 文件名中~之后的标识符应唯一标识此配置，因此它可能是IDP的名称，如...CORSPolicyImpl~okta.cfg.json。 该值应为带连字符的字母数字。

将以下JSON粘贴到com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json文件中。