SAML 2.0身份验证

从IDP获取​ 公共证书 ​文件。 该证书允许AEM验证IDP提供给AEM的SAML断言。

证书采用PEM格式，应类似于：

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

以AEM管理员身份登录AEM Author。

导航到​工具>安全>信任存储区。

创建或打开全局信任存储区。 如果创建全局信任存储区，请将密码保存在安全的地方。

展开​ 从CER文件 ​添加证书。

选择​选择证书文件，然后上传IDP提供的证书文件。

将​ 将证书映射到用户 ​保留为空。

选择​提交。

新添加的证书显示在​ 从CRT文件 ​添加证书部分上方。

记下​别名，因为该值在SAML 2.0身份验证处理程序OSGi配置中使用。

选择​保存并关闭。

导航到​工具>部署>包。

创建包

• 包名称： Global Trust Store
• 版本： 1.0.0
• 组： com.your.company

编辑新的​ 全局信任存储 ​包。

选择“筛选器”选项卡，然后为根路径/etc/truststore添加筛选器。

选择​完成，然后选择​保存。

为​ 全局信任存储 ​包选择​ 构建 ​按钮。

生成后，选择​更多 > 复制​以将全局信任存储节点(/etc/truststore)激活到AEM Publish。

以AEM管理员身份登录AEM Author以上传私钥。

导航到​工具>安全性>用户，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​属性。

选择​ 密钥库 ​选项卡。

创建或打开密钥库。 如果创建密钥库，请确保密码安全。

• 仅当需要AuthnRequest签名/SAML断言加密时，公共/专用密钥库才会安装在此密钥库中。
• 如果此SAML集成支持注销，但不支持AuthnRequest签名/SAML断言，则空密钥库就足够了。

选择​保存并关闭。

创建包含已更新的​ authentication-service ​用户的包。

使用包使用以下临时解决方法(U):

1. 导航到​工具>部署>包。

2. 创建包

   • 包名称： Authentication Service
   • 版本： 1.0.0
   • 组： com.your.company

3. 编辑新的​ 身份验证服务密钥存储 ​包。

4. 选择“筛选器”选项卡，然后为根路径/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore添加筛选器。

   • The <AUTHENTICATION SERVICE UUID> can be found by navigating to Tools > Security > Users, and selecting authentication-service user. UUID是URL的最后一部分。

5. Select Done and then Save.

6. Select the Build button for the Authentication Service Key Store package.

7. Once built, select More > Replicate to activate the Authentication Service key store to AEM Publish.

获取用于签署AuthnRequest的公钥、私钥（DER格式中的PKCS#8）和证书链文件（这可能是公钥），并加密SAML断言。 这些密钥通常由IT组织的安全团队提供。

• 可使用​ openssl ​生成自签名密钥对：

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

将公钥上传到IDP。

• 使用上面的openssl方法，公钥是aem-public.crt文件。

以AEM管理员身份登录AEM Author以上传私钥。

导航到​工具>安全性>信任存储，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​属性。

导航到​工具>安全性>用户，选择​ 身份验证服务 ​用户，然后从顶部操作栏中选择​属性。

选择​ 密钥库 ​选项卡。

创建或打开密钥库。 如果创建密钥库，请确保密码安全。

选择​从DER文件添加私钥，并将私钥和链文件添加到AEM：

• 别名：提供有意义的名称，通常是IDP的名称。
• 私钥文件：上载私钥文件（DER格式的PKCS#8）。
  • 使用上面的openssl方法，这是aem-private-pkcs8.der文件
• 选择证书链文件：上载随附的链文件（这可能是公钥）。
  • 使用上述openssl方法，这是aem-public.crt文件
• 选择​提交

新添加的证书显示在​ 从CRT文件 ​添加证书部分上方。

• 记下​别名，因为该别名在SAML 2.0身份验证处理程序OSGi配置中使用

选择​保存并关闭。

创建包含已更新的​ authentication-service ​用户的包。

使用包使用以下临时解决方法(U):

1. 导航到​工具>部署>包。

2. 创建包

   • 包名称： Authentication Service
   • 版本： 1.0.0
   • 组： com.your.company

3. 编辑新的​ 身份验证服务密钥存储 ​包。

4. 选择“筛选器”选项卡，然后为根路径/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore添加筛选器。

   • 通过导航到<AUTHENTICATION SERVICE UUID>工具>安全性>用户​ ，然后选择 ​身份验证服务​用户，可找到。 UUID是URL的最后一部分。

5. Select Done and then Save.

6. Select the Build button for the Authentication Service Key Store package.

7. Once built, select More > Replicate to activate the Authentication Service key store to AEM Publish.

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json的项目中创建OSGi配置文件，然后在IDE中打开。

• 将/wknd-examples/更改为您的/<project name>/
• 文件名中~之后的标识符应唯一标识此配置，因此它可能是IDP的名称，如...~okta.cfg.json。 该值应为带连字符的字母数字。

将以下JSON粘贴到com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json文件中，并根据需要更新wknd引用。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

根据项目需要更新值。 有关配置属性说明，请参阅上面的​SAML 2.0身份验证处理程序OSGi配置词汇表。 The path should contain the content trees that are protected by Closed User Groups (CUGs) and require authentication and this authentication handler should be responsible for protecting.

It is recommended, but not required, to use OSGi environment variables and secrets, when values may change out of sync with the release cycle, or when the values different between similar environment types/service tiers. Default values can be set using the $[env:..;default=the-default-value]" syntax as shown above.

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json的项目中创建（或编辑）OSGi配置文件。

• 将/wknd-examples/更改为您的/<project name>/

请确保allow.empty值设置为true,allow.hosts（或者如果您愿意，allow.hosts.regexp）包含IDP的源，并且filter.methods包含POST。 OSGi配置应类似于：

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json处的项目中创建一个OSGi配置文件

• 将/wknd-examples/更改为您的项目名称
• 文件名中~之后的标识符应唯一标识此配置，因此它可能是IDP的名称，如...CORSPolicyImpl~okta.cfg.json。 该值应为带连字符的字母数字。

将以下JSON粘贴到com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json文件中。