Aktivieren der einmaligen Anmeldung in AEM Forms enabling-single-sign-on-in-aem-forms

Klicken Sie in der Administrationskonsole auf „Einstellungen“ > „Benutzerverwaltung“ > „Konfiguration“ > „Portalattribute konfigurieren“.

Wählen Sie „Ja“, um SSO zu aktivieren. Wenn Sie „Nein“ auswählen, stehen die restlichen Einstellungen auf der Seite nicht zur Verfügung.

Legen Sie die restlichen Einstellungen auf der Seite wie erforderlich fest und klicken Sie auf „OK“.

• SSO-Typ:(Obligatorisch) Wählen Sie „HTTP-Kopfzeile“, um die einmalige Anmeldung mithilfe von HTTP-Kopfzeilen zu aktivieren.

• HTTP-Header für Benutzer-Bezeichner: (Obligatorisch) Name der Kopfzeile, deren Wert den eindeutigen Bezeichner des angemeldeten Benutzers enthält. Die Benutzerverwaltung verwendet diesen Wert, um die Person in der Benutzerverwaltungsdatenbank zu suchen. Der aus diesem Header extrahierte Wert muss mit der eindeutigen Kennung der Person übereinstimmen, die mit dem LDAP-Verzeichnis synchronisiert wurde. (Siehe Benutzereinstellungen.)

• Bezeichnerwert wird der Benutzer-ID des Benutzers anstelle des eindeutigen Bezeichners des Benutzers zugeordnet: Ordnet den eindeutigen Bezeichnerwert des Benutzers der Benutzer-ID zu. Wählen Sie diese Option, wenn der eindeutige Bezeichner des Benutzers ein binärer Wert ist, der nicht einfach über HTTP-Kopfzeilen (z. B. „objectGUID“, wenn Sie Benutzer aus Active Directory synchronisieren) weitergeleitet werden kann.

• HTTP-Kopfzeile für die Domain:(Nicht obligatorisch) Name der Kopfzeile, deren Wert den Domain-Namen enthält. Verwenden Sie diese Einstellung nur, wenn die Person nicht mithilfe eines einzelnen HTTP-Headers eindeutig identifiziert werden kann. Verwenden Sie diese Einstellung, wenn mehrere Domains vorhanden sind und der eindeutige Bezeichner nur innerhalb der angegebenen Domain eindeutig ist. Geben Sie in diesem Fall den Kopfzeilennamen in dieses Textfeld ein und legen Sie die Domain-Zuordnung für die verschiedenen Domains im Feld „Domain-Zuordnung“ fest. (Siehe Bearbeiten und Konvertieren bestehender Domains.)

• Domain-Zuordnung:(Obligatorisch) Hier können Sie die Zuordnung für mehrere Domains im Format Kopfzeilenwert=Domain-Name angeben.

  Betrachten wir als Beispiel einen Fall, in dem die HTTP-Kopfzeile für eine Domain „domainName“ lautet und die Werte „Domain1“, „Domain2“ oder „Domain3“ haben kann. In diesem Fall ordnen Sie die domainName-Werte mithilfe der Domain-Zuordnung User Management-Domain-Namen zu. Jede Zuordnung muss in einer eigenen Zeile stehen:

  Domain1=UMdomain1

  Domain2=UMdomain2

  Domain3=UMdomain3

Legen Sie die Domain fest, in der die einmalige Anmeldung aktiviert werden soll. Der AEM-Formular-Server und die Benutzenden müssen alle zur selben Windows-Domain bzw. vertrauenswürdigen Domain gehören.

Erstellen Sie in Active Directory eine Benutzerin oder einen Benutzer, die bzw. der den AEM-Formular-Server repräsentiert. (Siehe Erstellen eines Benutzerkontos.) Wenn Sie mehr als eine Domain zum Verwenden von SPNEGO konfigurieren, stellen Sie sicher, dass die Kennwörter für jeden einzelnen Benutzer verschieden sind. Wenn die Kennwörter nicht verschieden sind, kann SPNEGO-SSO nicht verwendet werden.

Weisen Sie den Dienstprinzipalnamen zu. (Siehe Zuweisen eines Dienstprinzipalnamen (SPN).)

Konfigurieren Sie den Domain-Controller. (Siehe Verhindern von Fehlern bei der Kerberos-Integritätsprüfung.)

Anschließend müssen Sie eine Unternehmens-Domain hinzufügen oder bearbeiten (siehe Domains hinzufügen oder Bestehende Domains bearbeiten oder umwandeln). Führen Sie beim Erstellen oder Bearbeiten der Unternehmens-Domain die folgenden Aufgaben aus:

• Erstellen oder bearbeiten Sie einen Ordner, der Ihre Active Directory-Informationen enthält.

• Hinzufügen von LDAP als Authentifizierungsanbieter.

• Fügen Sie Kerberos als Authentifizierungsanbieter hinzu. Geben Sie auf der Seite „Neu“ oder „Authentifizierung bearbeiten“ für Kerberos die folgenden Informationen ein:

  • Authentifizierungsanbieter: Kerberos
  • DNS-IP: Die DNS-IP-Adresse des Servers, auf dem AEM Forms ausgeführt wird. Sie können diese IP-Adresse bestimmen, indem Sie ipconfig/all in die Befehlszeile eingeben.
  • KDC-Host: Der voll qualifizierte Hostname bzw. die IP-Adresse des für die Authentifizierung verwendeten Active Directory-Servers.
  • Dienstbenutzer: Der an das Tool KtPass übergebene Dienstprinzipalname. In dem zuvor verwendeten Beispiel ist der Dienstbenutzer HTTP/lcserver.um.lc.com.
  • Dienstbereich: Der Domanin-Name für Active Directory. In dem zuvor verwendeten Beispiel ist der Domain-Name UM.LC.COM.
  • Dienstkennwort: Das Kennwort des Dienstbenutzers. In dem zuvor verwendeten Beispiel ist das Dienstkennwort password.
  • SPNEGO aktivieren: Aktiviert die Verwendung von SPNEGO für die einmalige Anmeldung (SSO). Wählen Sie diese Option aus.

Konfigurieren Sie die SPNEGO-Client-Browser-Einstellungen. (Siehe Konfigurieren der SPNEGO-Client-Browser-Einstellungen.)

Sie müssen in SPNEGO einen Service als Benutzer in Active Directory auf dem Domain-Controller registrieren, der AEM Forms repräsentiert. Wechseln Sie auf dem Domain-Controller zu „Start“ > „Verwaltung“ > „Active Directory-Benutzer und -Computer“. Wenn „Verwaltung“ nicht im Startmenü vorhanden ist, verwenden Sie die Systemsteuerung.

Klicken Sie auf den Ordner „Benutzer“, um eine Liste der Benutzenden anzuzeigen.

Klicken Sie mit der rechten Maustaste auf den Benutzerordner und wählen Sie „Neu“ > „Benutzer“.

Geben Sie den Vornamen/Nachnamen und den Benutzeranmeldenamen ein und klicken Sie auf „Weiter“. Legen Sie beispielsweise die folgenden Werte fest:

• Vorname: umspnego
• Benutzeranmeldename: spnegodemo

Geben Sie ein Kennwort ein. Legen Sie es beispielsweise auf password fest. Stellen Sie sicher, dass nur „Kennwort läuft nie ab“ ausgewählt ist und keine anderen Optionen ausgewählt sind.

Klicken Sie auf „Weiter“ und dann auf „Beenden“.

Beziehen Sie das Dienstprogramm „KtPass“. Dieses Dienstprogramm wird verwendet, um ein SPN einem REALM zuzuweisen. Sie können das Dienstprogramm „KtPass“ als Teil des Windows Server Tool Packs oder Resource Kits erhalten. (Siehe Windows Server 2003 Service Pack 1 Support Tools.)

Führen Sie an einer Eingabeaufforderung den Befehl ktpass mit folgenden Argumenten aus:

ktpass -princ HTTP/host @REALM -mapuserBenutzer

Geben Sie beispielsweise folgenden Text ein:

ktpass -princ HTTP/lcserver.um.lc.com@UM.LC.COM -mapuser spnegodemo

Die anzugebenden Werte lauten wie folgt:

Host: Vollqualifizierter Name des Formular-Servers oder eine eindeutige URL. In diesem Beispiel ist er auf „lcserver.um.lc.com“ festgelegt.

BEREICH: Der Active Directory-Bereich für den Domain-Controller. In diesem Beispiel ist er auf „UM.LC.COM“ festgelegt. Stellen Sie sicher, dass Sie den Bereich in Großbuchstaben eingeben. Führen Sie die folgenden Schritte aus, um den Bereich für Windows 2003 zu bestimmen:

• Klicken Sie mit der rechten Maustaste auf „Arbeitsplatz“ und wählen Sie „Eigenschaften“ aus.
• Klicken Sie auf die Registerkarte „Computer-Name“. Der Wert von „Domain-Name“ ist der Bereichsname.

Benutzer: Der Anmeldename des in der vorherigen Aufgabe erstellten Benutzerkontos. In diesem Beispiel ist „spnegodemo“ festgelegt.

Geben Sie in das URL-Feld des Browsers about:config ein.

Das Mozilla Firefox-Dialogfeld „about:config“ wird angezeigt.

Geben Sie in das Feld „Filter“ den Wert negotiate ein.

Klicken Sie in der angezeigten Liste auf „network.negotiate-auth.trusted-uris“ und geben Sie einen der folgenden Befehle Ihrer Umgebung entsprechend ein:

.um.lc.com- Konfiguriert Firefox so, dass SPNEGO für jede URL zugelassen wird, die auf um.lc.com endet. Stellen Sie sicher, dass Sie den Punkt („.“) am Anfang mit einschließen.

lcserver.um.lc.com – Hierdurch wird Firefox so konfiguriert, dass SPNEGO nur für bestimmte Server zugelassen wird. Beginnen Sie diesen Wert nicht mit einem Punkt („.“).

Testen Sie die Konfiguration, indem Sie auf die Anwendung zugreifen. Die Startseite für die Zielanwendung sollte angezeigt werden.