Sie sehen sich Hilfeinhalte der folgenden Version an:
- 6.4
- 6.2
- Ältere Versionen
AEM umfasst einen SAML-Authentifizierungs-Handler. Dieser Handler unterstützt das SAML 2.0-Authentifizierungsanforderungsprotokoll (Web-SSO-Profil), das die HTTP POST-Bindung verwendet.
Folgendes wird unterstützt:
- Signierung und Verschlüsselung von Nachrichten
- automatische Erstellung von Repository-Benutzern und -Gruppen
- durch Dienstleister und Identitätsanbieter eingeleitete Authentifizierung
Dieser Handler speichert die verschlüsselte SAML-Antwortnachricht im Benutzerknoten (usernode/samlResponse), um die Kommunikation mit dritten Dienstleistern zu erleichtern.
Die Web-Konsole bietet Zugriff auf die SAML 2.0-Authentifizierungs-Handler-Konfiguration namens Adobe Granite SAML 2.0 Authentication Handler. Die folgenden Eigenschaften können festgelegt werden.
Hinweis:
Der SAML 2.0-Authentifizierungs-Handler ist standardmäßig deaktiviert. Sie müssen mindestens eine der folgenden Eigenschaften festlegen, um den Handler zu aktivieren:
- POST-URL des Identitätsanbieters
- Entitäts-ID des Dienstleisters
Hinweis:
SAML-Assertionen werden signiert und optional verschlüsselt. Damit dies funktioniert, müssen Sie zumindest das öffentliche Zertifikat des Identitätsanbieters im TrustStore angeben. Weitere Informationen finden Sie in Hinzufügen des Identitätsanbieterzertifikats zum TrustStore.
Pfad
Repository-Pfad, für den dieser Authentifizierungs-Handler von Sling verwendet werden soll. Wenn dieser leer ist, wird der Authentifizierungs-Handler deaktiviert.
Dienstpriorität
Position in der Reihenfolge der OSGi-Framework-Dienste. Gibt an, mit welcher Priorität dieser Dienst aufgerufen wird. Dies ist ein ganzzahliger Wert, wobei höhere Werte vorrangig sind.
IDP-Zertifikatalias
Das Alias des Identitätsanbieterzertifikats im globalen TrustStore. Wenn diese Eigenschaft nicht angegeben wird, ist der Authentifizierungs-Handler deaktiviert. Im Kapitel „Identitätsanbieterzertifikat zum AEM-TrustStore hinzufügen“ weiter unten finden Sie Informationen dazu, wie Sie dies einrichten.
Identitätsanbieter-URL
Die URL des IDP, an die die SAML-Authentifizierungsanforderung gesendet werden soll. Wenn diese Eigenschaft nicht angegeben wird, ist der Authentifizierungs-Handler deaktiviert.
Vorsicht:
Der Hostname des Identitätsanbieters muss der OSGi-Konfiguration Apache Sling Referrer Filter hinzugefügt werden. Weitere Informationen finden Sie im Abschnitt Web-Konsole.
Entitäts-ID des Dienstleisters
Kennung, die diesen Dienstleister eindeutig dem Identitätsanbieter zuordnet. Wenn diese Eigenschaft nicht angegeben wird, ist der Authentifizierungs-Handler deaktiviert.
Standardweiterleitung
Der Standardort, an den nach einer erfolgreichen Authentifizierung weitergeleitet wird.
Hinweis:
Dieser Ort wird nur verwendet, wenn das Cookie request-path nicht festgelegt ist. Wenn Sie eine Seite unterhalb des konfigurierten Pfads ohne ein gültiges Anmelde-Token anfordern, wird der angeforderte Pfad in einem Cookie
gespeichert und der Browser wird nach der erfolgreichen Authentifizierung an diesen Ort weitergeleitet.
Benutzer-ID-Attribut
Der Name des Attributs, das die Benutzer-ID enthält, die zur Authentifizierung und Erstellung des Benutzers im CRX-Repository verwendet wird.
Hinweis:
Die Benutzer-ID wird nicht aus dem Knoten saml:Subject der SAML-Assertion abgerufen, sondern aus diesem saml:Attribute.
Verschlüsselung verwenden
Gibt an, ob dieser Authentifizierungs-Handler verschlüsselte SAML-Assertionen erwartet.
CRX-Benutzer automatisch erstellen
Ob nicht vorhandene Benutzer nach erfolgreicher Authentifizierung automatisch im Repository erstellt werden sollen.
Vorsicht:
Falls die automatische Erstellung von CRX-Benutzern deaktiviert ist, müssen die Benutzer manuell erstellt werden.
Zu Gruppen hinzufügen
Ob Benutzer nach erfolgreicher Authentifizierung automatisch zu CRX-Gruppen hinzugefügt werden sollen.
Gruppenmitgliedschaft
Der Name des „saml:Attribute“, das eine Liste von CRX-Gruppen enthält, denen dieser Benutzer hinzugefügt werden muss.
SAML-Assertionen werden signiert und optional verschlüsselt. Damit dies funktionieren kann, müssen Sie mindestens das öffentliche Zertifikat des IdP im Repository bereitstellen. Dazu müssen Sie Folgendes tun:
-
Wechseln Sie zu http://localhost:4502/libs/granite/security/content/useradmin.html.
Hinweis:
Die folgenden Schritte sind obligatorisch, ansonsten wird der folgende Ausnahmefehler ausgegeben: com.adobe.granite.keystore.KeyStoreNotInitialisedException: System-Trust-Store nicht initialisiert
-
Wechseln Sie zu http://localhost:4502/libs/granite/security/content/useradmin.html.
Hinweis:
Die folgenden Schritte sind nur erforderlich, wenn der Handler in der Lage sein muss, Nachrichten zu signieren oder zu verschlüsseln.
Sie können einen Logger einrichten, um alle Probleme zu debuggen, die aufgrund der falschen Konfiguration von SAML entstehen können. Gehen Sie dazu wie folgt vor:
Twitter™- und Facebook-Beiträge fallen nicht unter die Bedingungen der Creative Commons-Lizenz.