Show Menu
TEMAS×

Compatibilidad y autenticación de IMS de Adobe Admin Console para AEM Managed Services

Tenga en cuenta que esta función solo está disponible para los clientes de los servicios gestionados de Adobe.

Introducción

AEM 6.4.3.0 incorpora Admin Console compatibilidad con instancias de AEM y autenticación basada en Adobe IMS (Identity Management System) para clientes de AEM Managed Services .
AEM integración en el Admin Console permitirá a AEM clientes de Managed Services administrar todos los usuarios Experience Cloud en una sola consola. Los usuarios y grupos se pueden asignar a perfiles de producto asociados con instancias de AEM, lo que les permite iniciar sesión en una instancia específica.

Puntos clave destacados

  • AEM compatibilidad con la autenticación IMS solo está disponible para autores, administradores o desarrolladores de AEM, no para usuarios finales externos del sitio del cliente como visitantes del sitio
  • El Admin Console representará a AEM clientes de Managed Services como organizaciones de IMS y sus instancias como Contextos de productos. Los administradores del sistema de clientes y de productos podrán administrar el acceso a las instancias
  • AEM Managed Services sincronizará las topologías de los clientes con el Admin Console. Habrá una instancia de AEM contexto de producto de Managed Services por instancia en la Admin Console.
  • Product Profiles in Admin Console will determine which instances a user can access
  • Se admite la autenticación federada utilizando los propios proveedores de identidad compatibles con SAML 2 de los clientes
  • Solo se admitirán Enterprise ID o Federated ID (para el inicio de sesión único del cliente), no ID de Adobe personales.
  • User Management (en Adobe Admin Console) seguirá siendo propiedad de los administradores del cliente.

Arquitectura

La autenticación IMS funciona mediante el protocolo OAuth entre AEM y el extremo IMS de Adobe. Una vez que se añade un usuario a IMS y tiene una identidad de Adobe, puede iniciar sesión en las instancias de AEM Managed Services con las credenciales de IMS.
El flujo de inicio de sesión del usuario se muestra a continuación; el usuario será redirigido a IMS y, opcionalmente, a IDP del cliente para la validación de SSO y luego redirigido a AEM.

How To Set Up

Onboarding Organizations to Admin Console

The customer onboarding to Admin Console is a pre-requisite to using Adobe IMS for AEM authentication.
Como primer paso, los clientes deben tener una organización aprovisionada en Adobe IMS. Los clientes de Adobe Enterprise están representados como organizaciones de IMS en el Adobe Admin Console .
AEM Managed Services customers should already have an organization provisioned, and as part of the IMS provisioning, the customer instances will be made available in the Admin Console for managing user entitlements and access.
El paso a IMS para la autenticación de usuarios será un esfuerzo conjunto entre AMS y clientes, y cada uno tendrá sus flujos de trabajo para completar.
Una vez que un cliente existe como organización de IMS y AMS se ha realizado con el aprovisionamiento del cliente para IMS, éste es el resumen de los flujos de trabajo de configuración requeridos:
  1. The designated System Admin receives an invite to log in to the Admin Console
  2. El administrador del sistema solicita el dominio para confirmar la propiedad del dominio (en este ejemplo acme.com)
  3. El administrador del sistema configura los directorios de usuario
  4. El administrador del sistema configura el proveedor de identidad (IDP) en la configuración Admin Console para SSO.
  5. El administrador de AEM administra los grupos locales, los permisos y los privilegios como de costumbre. Consulte Sincronización de usuarios y grupos
Para obtener más información sobre los conceptos básicos de Identity Management de Adobe, incluida la configuración de IDP, consulte el artículo esta página.
Para obtener más información sobre la Administración de empresas y Admin Console ver el artículo esta página .

Incorporación de usuarios a Admin Console

Existen tres formas de integrar a los usuarios en función del tamaño del cliente y de sus preferencias:
  1. Crear manualmente usuarios y grupos en Admin Console
  2. Carga de un archivo CSV con usuarios
  3. Sincronizar usuarios y grupos desde el Active Directory empresarial del cliente.

Manual Addition through Admin Console UI

Users and Groups can be manually created in the Admin Console UI. Este método se puede utilizar si no tienen un gran número de usuarios que administrar. Por ejemplo, un número de menos de 50 usuarios AEM.
Los usuarios también se pueden crear manualmente si el cliente ya está utilizando este método para administrar otros productos de Adobe como Analytics, Destinatario o aplicaciones de Creative Cloud.

Carga de archivos en la Admin Console interfaz de usuario

Para facilitar la gestión de la creación de usuarios, se puede cargar un archivo CSV para agregar usuarios de forma masiva:

Herramienta de sincronización de usuarios

La Herramienta de sincronización de usuarios (UST en resumen) permite a los clientes empresariales crear o administrar usuarios de Adobe mediante Active Directory u otros servicios de directorio OpenLDAP probados. Los usuarios de destinatario son administradores de identidad de TI (Enterprise Directory y Administradores de sistema) que podrán instalar y configurar la herramienta. La herramienta de código abierto es personalizable para que los clientes puedan hacer que un desarrollador la modifique para adaptarla a sus propios requisitos particulares.
When User Sync runs, it fetches a list of users from the organization’s Active Directory (or any other compatible data source) and compares it with the list of users within the Admin Console. It then calls the Adobe User Management API so that the Admin Console is synchronized with the organization’s directory. El flujo de cambios es totalmente unidireccional; las ediciones realizadas en el Admin Console directorio no se insertan en él.
La herramienta permite al administrador del sistema asignar grupos de usuarios en el directorio del cliente con la configuración del producto y los grupos de usuarios en el Admin Console, la nueva versión del UST también permite la creación dinámica de grupos de usuarios en el Admin Console.
To set up User Sync, the organization needs to create a set of credentials in the same way they would use the User Management API .
La sincronización de usuarios se distribuye a través del repositorio de Adobe Github en esta ubicación:
Tenga en cuenta que la versión de prelanzamiento 2.4RC1 está disponible con compatibilidad para la creación de grupos dinámicos y se puede encontrar aquí: https://github.com/adobe-apiplatform/user-sync.py/releases/tag/v2.4rc1
The major features for this release are the ability to dynamically map new LDAP groups for user membership in the Admin Console, as well as dynamic user group creation.
Puede encontrar más información sobre las nuevas funciones del grupo aquí:
Para obtener más información acerca de la Herramienta de sincronización de usuarios, consulte la página de documentación.
The User Sync Tool needs to register as an Adobe I/O client UMAPI using the procedure described here .
The Adobe I/O Console Documentation can be found here .
La User Management API que utiliza la herramienta de sincronización de usuarios se cubre en esta ubicación .
El equipo de servicios administrados de Adobe gestionará la configuración de IMS AEM. Sin embargo, el administrador del cliente puede modificarlo según sus requisitos (por ejemplo, la pertenencia a grupos automática o la asignación de grupos). El cliente de IMS también será registrado por su equipo de Managed Services.

Usos

Managing Products and User Access in Admin Console

When the customer Product Administrator logs in to Admin Console, they will see multiple instances of the AEM Managed Services Product Context as shown below:
In this example, the org AEM-MS-Onboard has 32 instances spanning different topologies and environments like Stage, Prod, etc.
Los detalles de la instancia se pueden comprobar para identificar la instancia:
En cada instancia de contexto de producto, habrá un Perfil de producto asociado. Este perfil de producto se utiliza para asignar acceso a usuarios y grupos.
Los usuarios y grupos agregados bajo este perfil de producto pueden iniciar sesión en esa instancia en , como se muestra en el ejemplo siguiente:

Inicio de sesión en AEM

Inicio de sesión de administrador local

AEM seguir admitiendo inicios de sesión locales para los usuarios administradores, ya que la pantalla de inicio de sesión tiene una opción para iniciar sesión localmente:

Inicio de sesión basado en IMS

Para otros usuarios, el inicio de sesión basado en IMS se puede utilizar una vez que IMS esté configurado en la instancia. The user will first click on the Sign in with Adobe button as shown below:
A continuación, se les redirigirá a la pantalla de inicio de sesión de IMS e introducirá sus credenciales:
If a federated IDP is configured during initial Admin Console setup, then the user will be redirected to the customer IDP for SSO.
El IDP es Okta en el siguiente ejemplo:
Una vez finalizada la autenticación, se redirige al usuario a AEM para iniciar sesión:

Migración de usuarios existentes

Para las instancias de AEM existentes que utilizan otro método de autenticación y que se están migrando a IMS, debe haber un paso de migración.
Los usuarios existentes en el repositorio de AEM (originados localmente, a través de LDAP o SAML) se pueden migrar para que apunten a IMS como IDP mediante la Utilidad de migración de usuarios.
Esta utilidad la ejecutará el equipo de AMS como parte del aprovisionamiento de IMS.

Administración de permisos y ACL en AEM

Los controles de acceso y permisos se seguirán administrando en AEM, esto se puede lograr mediante la separación de los grupos de usuarios procedentes de IMS (por ejemplo, AEM-GRP-008 en el ejemplo siguiente) y los grupos locales donde se definen los permisos y el control de acceso. Los grupos de usuarios sincronizados con IMS se pueden asignar a grupos locales y heredar los permisos.
En el ejemplo siguiente, se añaden grupos sincronizados al grupo local Dam_Users como ejemplo.
Aquí también se ha asignado un usuario a algunos grupos de la Admin Console. (Tenga en cuenta que los usuarios y grupos pueden sincronizarse desde LDAP mediante la herramienta de sincronización de usuarios o crearse localmente, consulte la sección Usuarios incorporados aAdmin Console arriba).
*Tenga en cuenta que los grupos de usuarios solo se sincronizan cuando inician sesión en la instancia, para los clientes que tienen un gran número de usuarios y grupos, AMS puede ejecutar una utilidad de sincronización de grupos para recuperar previamente grupos para la administración de controles de acceso y permisos que se ha descrito anteriormente.
El usuario forma parte de los siguientes grupos en IMS:
Cuando el usuario inicia sesión, se sincronizan las suscripciones al grupo, como se muestra a continuación:
En AEM, los grupos de usuarios sincronizados con IMS se pueden agregar como miembros a grupos locales existentes, por ejemplo, usuarios de DAM.
Como se muestra a continuación, el grupo AEM-GRP_008 hereda los permisos y privilegios de los usuarios de DAM. Esta es una forma eficaz de administrar permisos para grupos sincronizados y se utiliza comúnmente también en métodos de autenticación basados en LDAP.