Abilitazione del single sign-on nei moduli AEM enabling-single-sign-on-in-aem-forms

Nella console di amministrazione, fai clic su Impostazioni > Gestione utente > Configurazione > Configura attributi del portale.

Selezionare Sì per abilitare l'SSO. Se si seleziona No, le altre impostazioni della pagina non sono disponibili.

Impostare le opzioni rimanenti sulla pagina come desiderato e fare clic su OK:

• Tipo SSO: (Obbligatorio) Seleziona Intestazione HTTP per abilitare SSO utilizzando le intestazioni HTTP.

• Intestazione HTTP per l’identificatore dell’utente: (Obbligatorio) Nome dell’intestazione il cui valore contiene l’identificatore univoco dell’utente connesso. User Management utilizza questo valore per trovare l'utente nel database User Management. Il valore ottenuto da questa intestazione deve corrispondere all'identificatore univoco dell'utente sincronizzato dalla directory LDAP. (vedere Impostazioni utente.)

• Il valore dell’identificatore corrisponde all’ID utente dell’utente invece dell’identificatore univoco dell’utente: Associa il valore dell’identificatore univoco dell’utente all’ID utente. Selezionare questa opzione se l'identificatore univoco dell'utente è un valore binario che non può essere facilmente propagato tramite intestazioni HTTP (ad esempio, objectGUID se si sincronizzano gli utenti da Active Directory).

• Intestazione HTTP per il dominio: (Non obbligatorio) Nome dell’intestazione il cui valore contiene il nome di dominio. Usa questa impostazione solo se nessuna singola intestazione HTTP identifica l’utente in modo univoco. Utilizza questa impostazione per i casi in cui esistono più domini e l’identificatore univoco è univoco solo all’interno di un dominio. In questo caso, specificare il nome dell'intestazione in questa casella di testo e specificare il mapping dei domini per i domini multipli nella casella Mapping domini. (vedere Modifica e conversione di domini esistenti.)

• Mappatura dominio: (Obbligatorio) Specifica la mappatura per più domini nel formato header value=domain name.

  Consideriamo ad esempio una situazione in cui l’intestazione HTTP per un dominio è domainName e può avere valori di domain1, domain2 o domain3. In questo caso, utilizza la mappatura del dominio per mappare i valori domainName ai nomi di dominio User Management. Ogni mappatura deve essere su una riga diversa:

  domain1=dominioUM1

  domain2=dominioUM2

  domain3=dominioUM3

Decidi quale dominio utilizzare per abilitare l'SSO. Il server AEM Forms e gli utenti devono far parte dello stesso dominio Windows o dominio trusted.

In Active Directory, creare un utente che rappresenti il server AEM Forms. (vedere Creare un account utente.) Se configuri più domini per l'utilizzo di SPNEGO, assicurati che le password di ciascuno di questi utenti siano diverse. Se le password non sono diverse, SPNEGO SSO non funziona.

Mappare il nome dell'entità servizio. (vedere Mappare un nome principale di servizio (SPN).)

Configurare il controller di dominio. (vedere Impedisci errori di verifica integrità Kerberos.)

Aggiungere o modificare un dominio enterprise come descritto in Aggiunta di domini o Modifica e conversione di domini esistenti. Quando si crea o si modifica il dominio enterprise, eseguire le operazioni seguenti:

• Aggiungere o modificare una directory contenente le informazioni di Active Directory.

• Aggiungere LDAP come provider di autenticazione.

• Aggiungere Kerberos come provider di autenticazione. Nella pagina Nuova o Modifica autenticazione per Kerberos specificare le informazioni seguenti:

  • Provider di autenticazione: Kerberos
  • IP DNS: Indirizzo IP DNS del server in cui è in esecuzione il modulo AEM. È possibile determinare questo indirizzo IP eseguendo ipconfig/all sulla riga di comando.
  • Host KDC: Nome host o indirizzo IP completo del server Active Directory utilizzato per l'autenticazione
  • Utente servizio: Il nome dell'entità servizio (SPN) passato allo strumento KtPass. Nell’esempio precedente, l’utente del servizio è HTTP/lcserver.um.lc.com.
  • Area di autenticazione servizio: Nome di dominio per Active Directory. Nell’esempio utilizzato in precedenza, il nome del dominio è UM.LC.COM.
  • Password servizio: Password dell’utente del servizio. Nell’esempio precedente, la password del servizio è password.
  • Attiva SPNEGO: Consente l'utilizzo di SPNEGO per il Single Sign-On (SSO). Seleziona questa opzione.

Configurare le impostazioni del browser client SPNEGO. (vedere Configurazione delle impostazioni del browser client SPNEGO.)

In SPNEGO, registrare un servizio come utente in Active Directory sul controller di dominio per rappresentare i moduli AEM. Nel controller di dominio passare a Menu Start > Strumenti di amministrazione > Utenti e computer di Active Directory. Se Strumenti di amministrazione non è disponibile nel menu Start, utilizzare il Pannello di controllo Campaign.

Fare clic sulla cartella Utenti per visualizzare un elenco di utenti.

Fare clic con il pulsante destro del mouse sulla cartella utente e selezionare Nuovo > Utente.

Digitare Nome/Cognome e Nome di accesso utente, quindi fare clic su Avanti. Ad esempio, imposta i seguenti valori:

• Nome: umspnego
• Nome di accesso utente: spnegozidemo

Digitare una password. Ad esempio, impostalo su password. Assicurati che l’opzione Password Never Expires (Password senza scadenza) sia selezionata e che non siano selezionate altre opzioni.

Fare clic su Avanti e quindi su Fine.

Ottenere l'utilità KtPass. Questa utility viene utilizzata per mappare un SPN a un realm. È possibile ottenere l'utilità KtPass come parte di Windows Server Tool Pack o Resource Kit. (vedere Strumenti di supporto per Windows Server 2003 Service Pack 1.)

Al prompt dei comandi eseguire ktpass utilizzando i seguenti argomenti:

ktpass -princ HTTP/host @AREA DI AUTENTICAZIONE -mapuserutente

Digitare ad esempio il testo seguente:

ktpass -princ HTTP/lcserver.um.lc.com@UM.LC.COM -mapuser spnegodemo

I valori da fornire sono descritti come segue:

host: Nome completo del server Forms o qualsiasi URL univoco. In questo esempio, è impostato su lcserver.um.lc.com.

REALM: Reame di Active Directory per il controller di dominio. In questo esempio, è impostato su UM.LC.COM. Assicurati di immettere il realm in caratteri maiuscoli. La procedura seguente illustra come determinare il realm per Windows 2003:

• Fare clic con il pulsante destro del mouse su Risorse del computer e selezionare Proprietà
• Fare clic sulla scheda Nome computer. Il valore Nome dominio è il nome del realm.

utente: Nome di accesso dell'account utente creato nell'attività precedente. In questo esempio, è impostato su spnegodemo.

Nella casella URL browser digitare about:config

Viene visualizzata la finestra di dialogo about:config - Mozilla Firefox.

Nella casella Filtro digitare negotiate

Nell'elenco visualizzato fare clic su network.NEGOTIate-auth.trusted-uri e digitare uno dei comandi seguenti in base alle esigenze dell'ambiente:

.um.lc.com: configura Firefox per consentire SPNEGO per qualsiasi URL che termina con um.lc.com. Assicurati di includere il punto (".") all'inizio.

lcserver.um.lc.com - Configura Firefox per consentire SPNEGO solo per il tuo server specifico. Non iniziare questo valore con un punto (".").

Verifica la configurazione accedendo all’applicazione. Viene visualizzata la pagina di benvenuto per l’applicazione di destinazione.