Abilitazione del single sign-on nei moduli AEM enabling-single-sign-on-in-aem-forms

Nella console di amministrazione, fai clic su Impostazioni > Gestione utente > Configurazione > Configura attributi del portale.

Selezionare Sì per abilitare SSO. Se si seleziona No, le impostazioni rimanenti nella pagina non saranno disponibili.

Imposta le opzioni rimanenti sulla pagina come richiesto e fai clic su OK:

• Tipo SSO: (Obbligatorio) Seleziona Intestazione HTTP per abilitare SSO utilizzando le intestazioni HTTP.

• Intestazione HTTP per l’identificatore dell’utente: (Obbligatorio) Nome dell'intestazione il cui valore contiene l'identificatore univoco dell'utente connesso. User Management utilizza questo valore per trovare l'utente nel database User Management. Il valore ottenuto da questa intestazione deve corrispondere all'identificatore univoco dell'utente sincronizzato dalla directory LDAP. (Vedi Impostazioni utente.)

• Il valore dell’identificatore è associato all’ID utente dell’utente al posto dell’identificatore univoco dell’utente: Mappa il valore dell'identificatore univoco dell'utente sull'ID utente. Selezionare questa opzione se l’identificatore univoco dell’utente è un valore binario che non può essere facilmente propagato tramite intestazioni HTTP (ad esempio, objectGUID se si sincronizzano gli utenti da Active Directory).

• Intestazione HTTP per il dominio: (Non obbligatorio) Nome dell’intestazione il cui valore contiene il nome di dominio. Utilizza questa impostazione solo se nessuna singola intestazione HTTP identifica l’utente in modo univoco. Utilizza questa impostazione per i casi in cui esistono più domini e l’identificatore univoco è univoco solo all’interno di un dominio. In questo caso, specifica il nome dell’intestazione in questa casella di testo e specifica la mappatura del dominio per i più domini nella casella Mapping dominio. (Vedi Modifica e conversione di domini esistenti.)

• Mappatura del dominio: (Obbligatorio) Specifica la mappatura per più domini nel formato valore header=nome di dominio.

  Ad esempio, considera una situazione in cui l’intestazione HTTP per un dominio è domainName e può avere valori di domain1, domain2 o domain3. In questo caso, utilizza la mappatura del dominio per mappare i valori domainName ai nomi di dominio User Management. Ogni mappatura deve trovarsi su una riga diversa:

  domain1=UMdomain1

  domain2=UMdomain2

  domain3=UMdomain3

Decidi quale dominio utilizzare per abilitare SSO. Il server AEM forms e gli utenti devono far parte dello stesso dominio Windows o dello stesso dominio trusted.

In Active Directory, creare un utente che rappresenti il server moduli AEM. (Vedi Creare un account utente.) Se stai configurando più di un dominio per utilizzare SPNEGO, assicurati che le password per ciascuno di questi utenti siano diverse. Se le password non sono diverse, SPNEGO SSO non funziona.

Mappa il nome dell'entità del servizio. (Vedi Mappare un nome entità servizio (SPN).)

Configura il controller di dominio. (Vedi Impedisci errori di controllo dell'integrità Kerberos.)

Aggiungi o modifica un dominio enterprise come descritto in Aggiunta di domini o Modifica e conversione di domini esistenti. Quando si crea o si modifica il dominio enterprise, eseguire le operazioni seguenti:

• Aggiungere o modificare una directory contenente le informazioni di Active Directory.

• Aggiungi LDAP come provider di autenticazione.

• Aggiungi Kerberos come provider di autenticazione. Fornire le seguenti informazioni nella pagina Nuova o Modifica autenticazione per Kerberos:

  • Provider di autenticazione: Kerberos
  • IP DNS: Indirizzo IP DNS del server in cui sono in esecuzione i moduli AEM. Puoi determinare questo indirizzo IP eseguendo ipconfig/all sulla riga di comando.
  • Host KDC: Nome host completo o indirizzo IP del server Active Directory utilizzato per l'autenticazione
  • Utente del servizio: Il nome dell'entità servizio (SPN) passato allo strumento KtPass. Nell’esempio precedente, l’utente del servizio è HTTP/lcserver.um.lc.com.
  • Realm di servizio: Nome di dominio per Active Directory. Nell’esempio utilizzato in precedenza, il nome del dominio è UM.LC.COM.
  • Password servizio: Password dell’utente del servizio. Nell’esempio precedente, la password del servizio è password.
  • Abilita SPNEGO: Abilita l'utilizzo di SPNEGO per il single sign-on (SSO). Seleziona questa opzione.

Configura le impostazioni del browser client SPNEGO. (Vedi Configurazione delle impostazioni del browser client SPNEGO.)

In SPNEGO, registrare un servizio come utente in Active Directory nel controller di dominio per rappresentare i moduli AEM. Nel controller di dominio, selezionare Menu Start > Strumenti di amministrazione > Utenti e computer di Active Directory. Se Strumenti di amministrazione non è presente nel menu Start, utilizzare il Pannello di controllo Campaign.

Fai clic sulla cartella Utenti per visualizzare un elenco di utenti.

Fare clic con il pulsante destro del mouse sulla cartella utente e selezionare Nuovo > Utente.

Digitare il nome/cognome e il nome di accesso utente e quindi fare clic su Avanti. Ad esempio, imposta i seguenti valori:

• Nome: umspnego
• Nome accesso utente: smermo

Digita una password. Ad esempio, impostalo su password. Assicurati che Password Never Expires sia selezionato e che non siano selezionate altre opzioni.

Fare clic su Avanti e quindi su Fine.

Ottieni l'utilità KtPass. Questa utility viene utilizzata per mappare un SPN su un REALM. È possibile ottenere l'utility KtPass come parte del Tool pack o del Resource Kit di Windows Server. (Vedi Strumenti di supporto per Windows Server 2003 Service Pack 1.)

Al prompt dei comandi, eseguire ktpass utilizzando i seguenti argomenti:

ktpass -princ HTTP/host @REALM -mapuseruser

Ad esempio, digitare il testo seguente:

ktpass -princ HTTP/lcserver.um.lc.com@UM.LC.COM -mapuser spnegodemo

I valori da specificare sono descritti come segue:

host: Nome completo del server dei moduli o di qualsiasi URL univoco. In questo esempio, è impostato su lcserver.um.lc.com.

REALM: Il realm di Active Directory per il controller di dominio. In questo esempio, è impostato su UM.LC.COM. Assicurati di inserire il realm in caratteri maiuscoli. Per determinare l'area di autenticazione per Windows 2003, completare i seguenti passaggi:

• Fare clic con il pulsante destro del mouse su Risorse del computer e selezionare Proprietà
• Fare clic sulla scheda Nome computer. Il valore Nome di dominio è il nome del realm.

utente: Nome di accesso dell'account utente creato nell'attività precedente. In questo esempio, è impostato su sptrading demo.

Nella casella URL del browser, digita about:config

Viene visualizzata la finestra di dialogo about:config - Mozilla Firefox.

Nella casella Filtro digitare negotiate

Nell'elenco visualizzato, fare clic su network.Negoti-auth.trusted-uri e digitare uno dei seguenti comandi in base alle esigenze dell'ambiente:

.um.lc.com- Configura Firefox per consentire a SPNEGO di trovare qualsiasi URL che termina con um.lc.com. Accertati di includere il punto (".") all'inizio.

lcserver.um.lc.com - Configura Firefox per consentire SPNEGO solo per il server specifico. Non iniziare questo valore con un punto (".").

Verifica la configurazione accedendo all’applicazione. Viene visualizzata la pagina di benvenuto per l’applicazione di destinazione.