發佈階層上適用於 AEM as a Cloud Service 的 Open ID Connect 支援 open-id-connect-support-for-aem-as-a-cloud-service-on-publish-tier

簡介 introduction

隨著組織的數位體驗現代化，安全又能擴展的身分管理即成為基本需求。Adobe Experience Manager (AEM) Cloud Service 現在可在發佈階層支援 OpenID Connect (OIDC)，允許與業界領先的身分提供者 (IdP) (例如 Entra ID (Azure AD)、Google、Okta、Auth0、Ping Identity、ForgeRock 和支援 OIDC 的 IdP) 進行緊密整合和標準型整合。

OIDC 是 OAuth 2.0 通訊協定上的身分層，可以在為開發人員維持簡潔操作的同時實現強大的使用者驗證。其廣泛應用於企業對消費者 (B2C)、內部網路和合作夥伴入口網站等情境，這些情境都需要安全的使用者登入和身分識別同盟。

目前為止，AEM 客戶都負責在發佈階層實施自己的自訂登入邏輯，這既增加了開發時間，也帶來長期維護和安全性的挑戰。透過對 OIDC 的原生支援，AEM Cloud Service 為存取發佈環境的一般使用者提供安全、可擴充且 Adobe 支援的驗證機制，從而消除此負擔。

無論您提供的是個人化的消費者網站還是經過驗證的內部入口網站，發佈的 OIDC 都可以簡化身分識別同盟並透過集中身分治理降低風險。它還可以幫助組織在不犧牲靈敏度的情況下滿足現代的合規性和安全性標準。

設定 AEM 以進行 OIDC 驗證 configure-aem-oidc-authentication

先決條件 prerequisits

我們假設以下資訊可用或已定義：

IdP 設定的資訊：

設定檔概觀 overview-of-the-configuration-files

以下是需要設定的檔案清單：

下圖顯示上述設定元素如何相互連結。請注意，由於這些是 ServiceFactory 元件，因此 ~uniqueid 可以是任何隨機的唯一字串：

設定 OIDC 連線 configure-the-oidc-connection

首先，我們需要設定 OIDC 連線。可以設定多個 OIDC 連線，且每個連線必須有不同名稱。

設定 OIDC 驗證處理常式 configure-oidc-authentication-handler

現在，設定 OIDC 驗證處理常式可設定多個 OIDC 連線。每個都必須有不同的名稱。如果這些連線共用相同的 OAK 外部身分提供者，就可以共用使用者。

設定 SlingUserInfoProcessor

設定同步處理常式 configure-the-synchronization-handler

必須設定至少一個同步處理常式來同步在 oak 中經過驗證的使用者。如需詳細資訊，請參閱此頁面。

建立一個名為 org.apache.jackrabbit.oak.spi.security.authentication.external.impl.DefaultSyncHandler~azure.cfg.json 的檔案。azure 字尾必須是唯一識別碼。關於更多如何設定其屬性的資訊，請參閱 Oak 使用者和群組同步文件。請參閱以下的範例設定：

{
  "user.expirationTime":"300s",
  "user.membershipExpTime":"300s",
  "user.propertyMapping":[
    "profile/familyName=profile/familyName",
    "profile/givenName=profile/givenName",
    "rep:fullname=cn",
    "profile/email=profile/email",
    "oauth-tokens"
  ],
  "user.pathPrefix":"azure",
  "handler.name":"azure"
}

下列為一些最相關的屬性，要在預設同步處理常式中設定。請注意，應始終在雲端服務中啟用動態群組會籍。

設定外部登入模組 configure-the-external-login-module

最後，您需要設定外部登入模組。

選用：實施自訂 UserInfoProcessor implement-a-custom-userinfoprocessor

使用者透過 ID 權杖驗證，其他的屬性則在為 IdP 定義的 userInfo 端點撷取。如果必須執行額外的非標準操作，則 UserInfoProcessor 的自訂實施是 Sling 的預設實施。

範例：使用 Azure Active Directory 設定 OIDC 驗證

在 Azure Active Directory 中設定新的應用程式 configure-a-new-application-in-azure-ad

org.apache.sling.auth.oauth_client.impl.OidcConnectionImpl~azure.cfg.json

{
  "name":"azure",
  "scopes":[
    openid", "User.Read", "profile", "email
  ],
  "baseUrl":"https://login.microsoftonline.com/tenant-id/v2.0",
  "clientId":"client-id",
  "clientSecret":"secret"
}

org.apache.sling.auth.oauth_client.impl.OidcAuthenticationHandler~azure.cfg.json

{
  "callbackUri":"https://www.mywebsite.com/content/wknd/us/en/adventures/j_security_check",
  "path":[
    "/content/wknd/us/en/adventures"
  ],
  "idp":"azure",
  "defaultConnectionName":"azure"
}

org.apache.jackrabbit.oak.spi.security.authentication.external.impl.ExternalLoginModuleFactory~azure.cfg.json

{
  "sync.handlerName":"azure",
  "idp.name":"azure"
}

org.apache.jackrabbit.oak.spi.security.authentication.external.impl.DefaultSyncHandler~azure.cfg.json

{
  "user.expirationTime":"1s",
  "user.membershipExpTime":"1s",
  "user.propertyMapping":[
    "profile/givenName=profile/given_name",
    "profile/familyName=profile/family_name",
    "rep:fullname=profile/name",
    "profile/email=profile/email",
    "access_token=access_token",
    "refresh_token=refresh_token"
  ],
  "user.pathPrefix":"azure",
  "group.pathPrefix": "oidc",
  "user.membershipNestingDepth": "1",
  "handler.name":"azure"
}

org.apache.sling.auth.oauth_client.impl.SlingUserInfoProcessorImpl~azure.cfg.json

{
  "groupsInIdToken": "true",
  "storeAccessToken": "false",
  "storeRefreshToken": "false",
  "connection": "azure",
  "groupsClaimName": "groups"
}

關於 Azure AD 群組的其他資訊 additional-information-about-azure-ad-groups

要在 Microsoft Azure 入口網站中為企業應用程式設定群組，您需要在​ 企業應用程式 ​搜尋該應用程式並新增群組：

若要在 ID 權杖中啟用群組申請，請在 Microsoft Azure 入口網站的​ 權杖設定 ​欄位新增申請：

SlingUserInfoProcessor 的設定必須依照下列範例進行修改。

需要修改的檔案名稱為 org.apache.sling.auth.oauth_client.impl.SlingUserInfoProcessorImpl.cfg.json。內容應設定如下：

{
  "connection": "azure",
  "groupsInIdToken": "true",
  "storeAccessToken": "false",
  "storeRefreshToken": "false"
}