SAML 2.0驗證 saml-2-0-authentication

從IDP取得​ 公用憑證 ​檔案。 此憑證可讓AEM驗證IDP提供給AEM的SAML判斷提示。

憑證為PEM格式，應類似於：

-----BEGIN CERTIFICATE-----
MIIC4jCBAcoCCQC33wnybT5QZDANBgkqhkiG9w0BAQsFADAyMQswCQYDVQQGEwJV
...
m0eo2USlSRTVl7QHRTuiuSThHpLKQQ==
-----END CERTIFICATE-----

以AEM管理員身分登入AEM Author。

瀏覽至​ 工具>安全性>信任存放區。

建立或開啟全域信任存放區。 如果建立全域信任存放區，請將密碼存放於安全的地方。

展開​ 從CER檔案 ​新增憑證。

選取​ 選取憑證檔案，然後上傳IDP提供的憑證檔案。

保留​ 將憑證對應到使用者 ​空白。

選取​ 提交。

新增的憑證出現在​ 從CRT檔案 ​新增憑證區段上方。

記下​ 別名，因為此值用於SAML 2.0驗證處理常式OSGi設定。

選取「儲存並關閉」。

瀏覽至​ 工具>部署>封裝。

建立套件

• 封裝名稱： Global Trust Store
• 版本： 1.0.0
• 群組： com.your.company

編輯新的​ 全域信任存放區 ​封裝。

選取​ 篩選器 ​索引標籤，並為根路徑/etc/truststore新增篩選器。

選取​ 完成，然後選取​ 儲存。

選取​ 全域信任存放區 ​封裝的​ 建置 ​按鈕。

建置後，選取​ 更多 > 復寫 ​以啟動全域信任存放區節點(/etc/truststore)至AEM Publish。

以AEM管理員身分登入AEM Author，以上傳私密金鑰。

導覽至​ 工具>安全性>使用者，然後選取​ 驗證服務 ​使用者，並從頂端動作列選取​ 屬性。

選取​ 金鑰存放區 ​索引標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

• 只有在需要AuthnRequest簽署/SAML宣告加密時，才會將公用/私用金鑰存放區安裝至此金鑰存放區。
• 如果此SAML整合支援登出，但不支援AuthnRequest簽署/SAML判斷提示，則空的金鑰儲存區就足夠了。

選取「儲存並關閉」。

建立包含已更新​ authentication-service ​使用者的封裝。

使用套件使用以下暫時因應措施：

1. 瀏覽至​ 工具>部署>封裝。

2. 建立套件

   • 封裝名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的​ 驗證服務金鑰存放區 ​封裝。

4. 選取​ 篩選器 ​索引標籤，並為根路徑/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore新增篩選器。

   • 瀏覽至​ 工具>安全性>使用者，並選取​ 驗證服務 ​使用者，即可找到<AUTHENTICATION SERVICE UUID>。 UUID是URL的最後一部分。

5. 選取​ 完成，然後選取​ 儲存。

6. 選取​ Authentication Service Key Store ​封裝的​ 建置 ​按鈕。

7. 建置後，選取​ 更多 > 復寫 ​以啟用AEM Publish的驗證服務金鑰存放區。

取得用來簽署AuthnRequest以及加密SAML宣告的公開金鑰、私密金鑰（DER格式為PKCS#8）及憑證鏈結檔案（這有可能是公開金鑰）。 這些金鑰通常由IT組織的安全團隊提供。

• 可使用​ openssl ​產生自我簽署金鑰組：

$ openssl req -x509 -sha256 -days 365 -newkey rsa:4096 -keyout aem-private.key -out aem-public.crt

# Provide a password (keep in safe place), and other requested certificate information

# Convert the keys to AEM's required format
$ openssl rsa -in aem-private.key -outform der -out aem-private.der
$ openssl pkcs8 -topk8 -inform der -nocrypt -in aem-private.der -outform der -out aem-private-pkcs8.der

將公開金鑰上傳至IDP。

• 使用上述openssl方法，公開金鑰是aem-public.crt檔案。

以AEM管理員身分登入AEM Author，以上傳私密金鑰。

瀏覽至​ 工具>安全性>信任存放區，然後選取​ 驗證服務 ​使用者，並從最上方的動作列選取​ 內容。

導覽至​ 工具>安全性>使用者，然後選取​ 驗證服務 ​使用者，並從頂端動作列選取​ 屬性。

選取​ 金鑰存放區 ​索引標籤。

建立或開啟金鑰存放區。 如果建立金鑰存放區，請妥善儲存密碼。

選取​ 從DER檔案新增私密金鑰，並將私密金鑰和鏈結檔案新增至AEM：

• 別名：提供有意義的名稱，通常是IDP的名稱。
• 私密金鑰檔案：上傳私密金鑰檔案（DER格式為PKCS#8）。
  • 使用上述openssl方法，這是aem-private-pkcs8.der檔案
• 選取憑證鏈結檔案：上傳隨附的鏈結檔案（可能是公開金鑰）。
  • 使用上述openssl方法，這是aem-public.crt檔案
• 選取​ 提交

新增的憑證出現在​ 從CRT檔案 ​新增憑證區段上方。

• 記下​ 別名，因為它用於SAML 2.0驗證處理常式OSGi設定

選取「儲存並關閉」。

建立包含已更新​ authentication-service ​使用者的封裝。

使用套件使用以下暫時因應措施：

1. 瀏覽至​ 工具>部署>封裝。

2. 建立套件

   • 封裝名稱： Authentication Service
   • 版本： 1.0.0
   • 群組： com.your.company

3. 編輯新的​ 驗證服務金鑰存放區 ​封裝。

4. 選取​ 篩選器 ​索引標籤，並為根路徑/home/users/system/cq:services/internal/security/<AUTHENTICATION SERVICE UUID>/keystore新增篩選器。

   • 瀏覽至​ 工具>安全性>使用者，並選取​ 驗證服務 ​使用者，即可找到<AUTHENTICATION SERVICE UUID>。 UUID是URL的最後一部分。

5. 選取​ 完成，然後選取​ 儲存。

6. 選取​ Authentication Service Key Store ​封裝的​ 建置 ​按鈕。

7. 建置後，選取​ 更多 > 復寫 ​以啟用AEM Publish的驗證服務金鑰存放區。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.auth.saml.SamlAuthenticationHandler~saml.cfg.json的專案中建立OSGi設定檔，並在IDE中開啟。

• 將/wknd-examples/變更為您的/<project name>/
• 檔案名稱中~之後的識別碼應唯一識別此組態，因此它可能是IDP的名稱，例如...~okta.cfg.json。 值應為英數字元和連字型大小。

將下列JSON貼到com.adobe.granite.auth.saml.SamlAuthenticationHandler~...cfg.json檔案中，並視需要更新wknd參考。

{
    "path": [ "/content/wknd", "/content/dam/wknd" ],
    "idpCertAlias": "$[env:SAML_IDP_CERT_ALIAS;default=certalias___1652125559800]",
    "idpIdentifier": "$[env:SAML_IDP_ID;default=http://www.okta.com/exk4z55r44Jz9C6am5d7]",
    "idpUrl": "$[env:SAML_IDP_URL;default=https://dev-5511372.okta.com/app/dev-5511372_aemasacloudservice_1/exk4z55r44Jz9C6am5d7/sso/saml]",
    "serviceProviderEntityId": "$[env:SAML_AEM_ID;default=https://publish-p123-e456.adobeaemcloud.com]",
    "useEncryption": false,
    "createUser": true,
    "userIntermediatePath": "wknd/idp",
    "synchronizeAttributes":[
        "firstName=profile/givenName"
    ],
    "addGroupMemberships": true,
    "defaultGroups": [
        "wknd-users"
    ]
}

依專案要求更新值。 如需設定屬性說明，請參閱上述​ SAML 2.0驗證處理常式OSGi設定字彙表

值可能會隨著發行週期不同步變更，或類似環境型別/服務層之間的值不同時，建議使用OSGi環境變數和秘密，但並非必要。 預設值可使用如上所示的$[env:..;default=the-default-value]"語法進行設定。

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/org.apache.sling.security.impl.ReferrerFilter.cfg.json的專案中建立（或編輯） OSGi設定檔。

• 將/wknd-examples/變更為您的/<project name>/

請確定allow.empty值設為true，allow.hosts （或如果您偏好，allow.hosts.regexp）包含IDP的來源，且filter.methods包含POST。 OSGi設定應該類似於：

{
    "allow.empty": true,
    "allow.hosts.regexp": [ ],
    "allow.hosts": [
        "$[env:SAML_IDP_REFERRER;default=dev-123567890.okta.com]"
    ],
    "filter.methods": [
        "POST",
    ],
    "exclude.agents.regexp": [ ]
}

在/ui.config/src/main/content/jcr_root/wknd-examples/osgiconfig/config.publish/com.adobe.granite.cors.impl.CORSPolicyImpl~saml.cfg.json的專案中建立OSGi設定檔

• 將/wknd-examples/變更為您的專案名稱
• 檔案名稱中~之後的識別碼應唯一識別此組態，因此它可能是IDP的名稱，例如...CORSPolicyImpl~okta.cfg.json。 值應為英數字元和連字型大小。

將下列JSON貼入com.adobe.granite.cors.impl.CORSPolicyImpl~...cfg.json檔案。