カプセル化されたトークンのサポート encapsulated-token-support

はじめに introduction

デフォルトでは、AEM は各リクエストの認証にトークン認証ハンドラーを使用します。ただし、認証リクエストに対応するために、トークン認証ハンドラーはリクエストごとにリポジトリにアクセスする必要があります。これは、認証ステートを維持するのに Cookie が使用されるからです。理論上、後続のリクエストを検証するには、リポジトリに状態が保持される必要があります。要するに、認証メカニズムがステートフルであるということです。

これは、水平方向のスケーラビリティを確保するために特に重要です。以下のパブリッシュファームのようなマルチインスタンスの設定では、最適なロードバランシングは実現できません。ステートフル認証では、保持された認証ステートは、ユーザーが最初に認証されたインスタンスでのみ使用できます。

次のシナリオを例として使用します。

ユーザーはパブリッシュインスタンス 1 で認証できますが、後続のリクエストがパブリッシュインスタンス 2 に送られても、認証ステートはパブリッシュ 1 のリポジトリに保持されており、パブリッシュ 2 には独自のリポジトリがあるのでその保持された認証ステートを持ちません。

これを解決するには、ロードバランサーレベルでスティッキー接続を設定します。スティッキー接続を使用すると、ユーザーは常に同じパブリッシュインスタンスに送られます。その結果、真に最適なロードバランシングは実現しません。

あるパブリッシュインスタンスが使用できなくなると、そのインスタンスで認証されているすべてのユーザーのセッションが失われます。これは、認証 Cookie の検証にはリポジトリへのアクセスが必要なためです。

カプセル化されたトークンを使用したステートレス認証 stateless-authentication-with-the-encapsulated-token

AEM の新しいカプセル化されたトークンサポートを使用したステートレス認証により、水平方向のスケーラビリティを確保できます。

カプセル化されたトークンは、AEM がリポジトリにアクセスすることなく、オフラインで安全に認証情報を作成および検証できるようにするための暗号化技術です。この方法により、認証リクエストがすべてのパブリッシュインスタンスで行われるようになるので、スティッキー接続は不要です。また、認証リクエストごとにリポジトリにアクセスする必要がなくなるため、認証のパフォーマンスが向上するというメリットもあります。

MongoMK オーサーインスタンスと TarMK パブリッシュインスタンスによる地理的に分散したデプロイメントでこれがどのように機能するかを以下に示します。

カプセル化されたトークンの設定 configuring-the-encapsulated-token

カプセル化されたトークンを設定する際には、いくつかの点を考慮する必要があります。

HMAC 鍵のレプリケーション replicating-the-hmac-key

インスタンス間で鍵をレプリケーションするには、次の手順に従います。

カプセル化されたトークンの有効化 enabling-the-encapsulated-token

HMAC 鍵がレプリケートされたら、Web コンソールを介してカプセル化されたトークンを有効化できます。