SAML 2.0身份驗證

從IDP取得​ 公用憑證 ​檔案。 此憑證可讓AEM驗證IDP提供給AEM的SAML判斷提示。

憑證為PEM格式，應類似於：

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

以管理員身AEM份登錄到作AEM者。

導航到​工具>安全>信任儲存。

建立或開啟全局信任儲存。 如果建立全局信任儲存，請將密碼儲存到某個安全位置。

展開​ 從CER檔案 ​添加證書。

選擇​選擇證書檔案，然後上載IDP提供的證書檔案。

將​ 將證書映射到用戶 ​留空。

選取​提交。

新增的憑證出現在​ 從CRT檔案 ​新增憑證區段上方。

記下​別名，因為此值在SAML 2.0身份驗證處理程式OSGi配置中使用。

選取「儲存並關閉」。

導航到​工具>部署>包。

建立套件

• 封裝名稱： Global Trust Store
• 版本： 1.0.0
• 群組： com.your.company

編輯新的​ 全域信任存放區 ​封裝。

選取​ 篩選器 ​索引標籤，並為根路徑/etc/truststore新增篩選器。

選取​完成，然後選取​儲存。

選取​ 全域信任存放區 ​封裝的​ 建置 ​按鈕。

建置後，選取​更多 > 復寫​以啟動全域信任存放區節點(/etc/truststore)至AEM Publish。

以AEM管理員身分登入AEM Author以上傳私密金鑰。

導覽至​工具>安全性>使用者，然後選取​ 驗證服務 ​使用者，並從頂端動作列選取​屬性。

選取​ 金鑰存放區 ​索引標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

• 只有在需要AuthnRequest簽署/SAML宣告加密時，才會將公用/私用金鑰存放區安裝至此金鑰存放區。
• 如果此SAML整合支援登出，但不支援AuthnRequest簽署/SAML判斷提示，則空的金鑰儲存區就足夠了。

選取「儲存並關閉」。

建立包含已更新的​ 身份驗證服務 ​用戶的包。

使用包​:_使用以下臨時解決方法(_U)

1. 導航到​工具>部署>包。

2. 建立包

   • 封裝名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的​ 驗證服務金鑰存放區 ​封裝。

4. 選取​ 篩選器 ​索引標籤，並為根路徑/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore新增篩選器。

   • 導航到<AUTHENTICATION SERVICE UUID>工具>安全性>用戶​ 並選擇 ​身份驗證服務​用戶，即可找到。 UUID是URL的最後一部分。

5. 選擇​完成，然後選擇​保存。

6. 為​ 身份驗證服務密鑰儲存 ​包選擇​ 生成 ​按鈕。

7. 生成後，選擇​更多 > 複製​以激活到Publish的身份驗證服務密鑰AEM儲存。

獲取用於對AuthnRequest進行簽名和加密SAML斷言的公鑰、私鑰（PKCS#8以DER格式）和證書鏈檔案（這可能是公鑰）。 密鑰通常由IT組織的安全團隊提供。

• 可以使用​ openssl ​生成自簽名密鑰對：

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

將公鑰上載到IDP。

• 使用上述openssl方法，公開金鑰是aem-public.crt檔案。

以AEM管理員身分登入AEM Author以上傳私密金鑰。

瀏覽至​工具>安全性>信任存放區，然後選取​ 驗證服務 ​使用者，並從最上方的動作列選取​內容。

導覽至​工具>安全性>使用者，然後選取​ 驗證服務 ​使用者，並從頂端動作列選取​屬性。

選取​ 金鑰存放區 ​索引標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

選取​從DER檔案新增私密金鑰，並將私密金鑰和鏈結檔案新增至AEM：

• 別名：提供有意義的名稱，通常是IDP的名稱。
• 私密金鑰檔案：上傳私密金鑰檔案（DER格式為PKCS#8）。
  • 使用上述openssl方法，這是aem-private-pkcs8.der檔案
• 選取憑證鏈結檔案：上傳隨附的鏈結檔案（可能是公開金鑰）。
  • 使用上述openssl方法，這是aem-public.crt檔案
• 選取​提交

新增的憑證出現在​ 從CRT檔案 ​新增憑證區段上方。

• 記下​別名，因為它用於SAML 2.0驗證處理常式OSGi設定

選取「儲存並關閉」。

建立包含已更新​ authentication-service ​使用者的封裝。

使用包​:_使用以下臨時解決方法(_U)

1. 導航到​工具>部署>包。

2. 建立包

   • 包名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的​ 驗證服務金鑰存放區 ​封裝。

4. 選取​ 篩選器 ​索引標籤，並為根路徑/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore新增篩選器。

   • 瀏覽至<AUTHENTICATION SERVICE UUID>工具>安全性>使用者​ ，並選取 ​驗證服務​使用者，即可找到。 UUID是URL的最後一部分。

5. 選擇​完成，然後選擇​保存。

6. 為​ 身份驗證服務密鑰儲存 ​包選擇​ 生成 ​按鈕。

7. 生成後，選擇​更多 > 複製​以激活到Publish的身份驗證服務密鑰AEM儲存。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json的專案中建立OSGi設定檔，並在IDE中開啟。

• 將/wknd-examples/變更為您的/<project name>/
• 檔案名稱中~之後的識別碼應唯一識別此組態，因此它可能是IDP的名稱，例如...~okta.cfg.json。 值應為英數字元和連字型大小。

將下列JSON貼到com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json檔案中，並視需要更新wknd參考。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

依專案要求更新值。 如需設定屬性說明，請參閱上述​SAML 2.0驗證處理常式OSGi設定字彙表。 path應包含受關閉用戶組(CUG)保護且需要身份驗證的內容樹，此身份驗證處理程式應負責保護。

建議但不必使用OSGi環境變數和機密，當值可能與發行週期不同步時，或當類似環境類型/服務層之間的值不同時，則應使用OSGi。 可以使用上面所示的$[env:..;default=the-default-value]"語法設定預設值。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json的專案中建立（或編輯） OSGi設定檔。

• 將/wknd-examples/變更為您的/<project name>/

請確定allow.empty值設為true，allow.hosts （或如果您偏好，allow.hosts.regexp）包含IDP的來源，且filter.methods包含POST。 OSGi設定應該類似於：

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json的專案中建立OSGi設定檔

• 將/wknd-examples/變更為您的專案名稱
• 檔案名稱中~之後的識別碼應唯一識別此組態，因此它可能是IDP的名稱，例如...CORSPolicyImpl~okta.cfg.json。 值應為英數字元和連字型大小。

將下列JSON貼入com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json檔案。