[集成]{class="badge positive"}

为客户身份验证配置Microsoft Entra外部ID

[AEM Forms as a Cloud Service]{class="badge informative"}

此用例演示了如何将Microsoft Entra外部ID用作AEM Forms应用程序的客户身份提供程序。 客户可以使用Entra外部ID注册/登录用户流程自行注册和登录，而AEM使用SAML 2.0来验证和授权客户。

成功进行身份验证后，AEM会同步客户帐户，并使用SAML后期同步挂接来捕获配置文件属性，例如Entra对象ID、电子邮件地址、名字和姓氏。 然后，可以将这些属性发送到Adobe Experience Platform (AEP)，以创建或更新客户配置文件以实现下游个性化和参与用例。

​1. 创建或选择Entra外部ID租户

创建或选择将管理客户身份的Microsoft Entra外部ID租户。

对于此POC：

此租户包含：

​2. 创建注册和登录用户流程

导航至：

外部身份→用户流→新用户流

创建一个：

注册并登录​用户流程。

身份提供者

选择:

用户属性

配置要收集的用户流：

这些属性成为客户Entra配置文件的一部分，并且以后可以在SAML断言中返回到AEM。

​3. 创建AEM Enterprise应用程序

导航至：

企业应用程序→新应用程序

创建非图库企业应用程序。

对于此POC：

应用程序名称：

AEM Entra POC

此企业应用程序将AEM表示为SAML服务提供商(SP)。

​4. 配置SAML单点登录

打开：

AEM Entra POC→单点登录→SAML的企业应用程序

在​ 基本SAML配置 ​下，配置以下内容。

标识符（实体ID）

标识符必须与AEM SAML身份验证处理程序中配置的serviceProviderEntityId匹配。

对于此POC：

https://publish-p133654-e1305513.adobeaemcloud.com

回复URL/断言消费者服务(ACS)

对于银行业务应用：

https://publish-p133654-e1305513.adobeaemcloud.com/content/bankingapplication/saml_login

如果需要，可以将其他AEM SAML路径注册为其他回复URL。

例如，在初始POC期间，我们还使用了：

https://publish-p133654-e1305513.adobeaemcloud.com/content/entraformsportal/saml_login

回复URL必须对应于AEM SAML回调端点。

​5. 配置SAML属性和声明

导航至：

AEM Entra POC →单一登录→属性和声明

独特用户标识符（名称ID）

配置：

Unique User Identifier (Name ID) → user.objectid

这会导致将入口对象ID用作SAML NameID。

其他索赔

配置以下声明：

其他objectId声明是有意为之。

AEM SAML后期同步挂接使用此声明获取原始Entra对象ID：

objectId → user.objectid

例如：

36fcb7e1-5d30-416d-a342-51367829251c

在向Adobe Experience Platform发送客户配置文件时，此值随后可用作客户身份(crmid)。

​6. 下载Entra SAML签名证书

在SAML配置页面上，找到：

SAML证书

下载:

证书(Base64)

这将生成.cer证书文件。

随后，该证书将导入​AEM全局信任存储区，以便AEM可以验证由Microsoft Entra签名的SAML声明。

同时记录以下Entra值。

登录URL

https://aemformsportal.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/saml2

这将变为AEM SAML处理程序的以下内容：

idpUrl

Microsoft Entra标识符

https://bea27b92-5e14-4413-b807-fe4b295454a5.ciamlogin.com/bea27b92-5e14-4413-b807-fe4b295454a5/

这将变为AEM SAML处理程序的以下内容：

idpIdentifier

​7. 配置企业应用程序访问

导航至：

企业应用程序AEM Entra POC →属性

对于此面向客户的POC，请配置：

Assignment required? = No

这允许使用外部ID用户流的客户访问AEM Enterprise应用程序，而无需管理员单独分配每个客户。

如果要求分配，则未分配的客户可能会收到如下错误：

AADSTS50105

​8. 将企业应用程序与用户流关联

导航至：

外部身份→用户流→[注册/登录用户流] →应用程序

选择:

添加应用程序

添加：

AEM Entra POC

这会将客户注册/登录体验连接到AEM SAML Enterprise应用程序。

这两个部分具有不同的职责：

将企业应用程序与用户流关联可将这两部分连接起来。

由此产生的身份验证体系结构

客户访问AEM银行应用程序

→ AEM检测受保护的内容

→ AEM SAML身份验证处理程序

→ Microsoft Entra外部ID

→ AEM Entra POC企业应用程序

→理关联的注册/登录用户流程

→客户登录或创建帐户

→ Entra生成带符号的SAML断言

→SAML响应已发布到AEM /saml_login

→ AEM使用Entra签名证书验证声明

AEM创建或同步客户

→执行AEM SAML后期同步挂接

→客户配置文件可以发送到Adobe Experience Platform