Configuração de provedores de autenticação configuring-authentication-providers

Os domínios híbridos exigem pelo menos um provedor de autenticação, e os domínios enterprise exigem pelo menos um provedor de autenticação ou provedor de diretório.

Se você habilitar o SSO usando o SPNEGO, adicione um provedor de autenticação Kerberos com o SPNEGO habilitado e um provedor LDAP como backup. Essa configuração permite a autenticação do usuário com uma ID de usuário e senha se o SPNEGO não estiver funcionando. (Consulte Habilitar SSO usando SPNEGO.)

Adicionar um provedor de autenticação add-an-authentication-provider

Editar um provedor de autenticação existente edit-an-existing-authentication-provider

Excluir um provedor de autenticação delete-an-authentication-provider

Configurações de autenticação authentication-settings

As configurações a seguir estão disponíveis, dependendo do tipo de domínio e do tipo de autenticação que você escolheu.

Configurações LDAP ldap-settings

Se você estiver configurando a autenticação para um domínio enterprise ou híbrido e selecionar a autenticação LDAP, poderá optar por usar o servidor LDAP especificado na configuração do diretório ou escolher outro servidor LDAP para usar na autenticação. Se você escolher um servidor diferente, seus usuários deverão existir em ambos os servidores LDAP.

Para usar o servidor LDAP especificado na sua configuração de diretório, selecione LDAP como o provedor de autenticação e clique em OK.

Para usar um servidor LDAP diferente para fazer autenticação, selecione LDAP como provedor de autenticação e marque a caixa de seleção Autenticação LDAP Personalizada. As seguintes definições de configuração são exibidas.

Servidor: (Obrigatório) Nome de domínio totalmente qualificado (FQDN) do servidor de diretório. Por exemplo, para um computador chamado x na rede example.com, o FQDN é x.example.com. Um endereço IP pode ser usado no lugar do nome do servidor FQDN.

Porta: (Obrigatório) A porta usada pelo servidor de diretórios. Normalmente 389 ou 636 se o protocolo SSL for usado para enviar informações de autenticação pela rede.

SSL: (Obrigatório) Especifica se o servidor de diretório usa SSL ao enviar dados pela rede. O padrão é Não. Quando definido como Sim, o certificado do servidor LDAP correspondente deve ser confiável pelo Java™ runtime environment (JRE) do servidor de aplicativos.

Vinculação (Obrigatório) Especifica como acessar o diretório.

Anônimo: Não é necessário um nome de usuário ou uma senha.

Usuário: A autenticação é necessária. Na caixa Nome, especifique o nome do registro do usuário que pode acessar o diretório. É melhor inserir o nome distinto completo (DN) da conta de usuário, como cn=Jane Doe, ou=user, dc=can, dc=com. Na caixa Senha, especifique a senha associada. Essas configurações são necessárias ao selecionar Usuário como a opção de Vinculação.

Recuperar DNs de Base: (Não obrigatório) Recupera os DNs de base e os exibe na lista suspensa. Essa configuração é útil quando você tem vários DNs de base e precisa selecionar um valor.

DN base: (Obrigatório) Usado como ponto de partida para sincronizar usuários e grupos da hierarquia LDAP. É melhor especificar um DN base no nível mais baixo da hierarquia que abranja todos os usuários e grupos que precisam ser sincronizados para serviços. Não inclua o DN do usuário nessa configuração. Para sincronizar um usuário específico, use a configuração Filtro de pesquisa.

Popular página com: (Não obrigatório) Quando selecionada, esta opção preenche os atributos nas páginas de configurações Usuário e Grupo com os valores LDAP padrão correspondentes.

Filtro de pesquisa: (Obrigatório) O filtro de pesquisa a ser usado para localizar o registro associado ao usuário. Consulte Sintaxe do filtro de pesquisa.

Configurações Kerberos kerberos-settings

Se você estiver configurando a autenticação para um domínio corporativo ou híbrido e selecionar a autenticação Kerberos, as seguintes configurações estarão disponíveis.

IP DNS: O endereço IP DNS do servidor onde os formulários AEM estão sendo executados. No Windows, você pode determinar esse endereço IP executando ipconfig /all na linha de comando.

Host KDC: Nome de host ou endereço IP totalmente qualificado do servidor do Ative Diretory usado para autenticação.

Usuário de serviço: Se você estiver usando o Ative Diretory 2003, esse valor será o mapeamento criado para a entidade de serviço no formulário HTTP/<server name>. Se você estiver usando o Ative Diretory 2008, esse valor será a ID de logon da entidade de serviço. Por exemplo, suponha que a entidade de serviço seja chamada de um spnego, a ID do usuário seja spnegodemo e o mapeamento seja HTTP/example.yourcompany.com. Com o Ative Diretory 2003, você definiu o Usuário de Serviço como HTTP/example.yourcompany.com. Com o Ative Diretory 2008, você definiu Service User para spnegodemo. (Consulte Habilitar SSO usando SPNEGO.)

Domínio de Serviço: Nome de domínio do Ative Diretory

Senha do serviço: Senha do usuário do serviço

Ativar SPNEGO: Habilita o uso do SPNEGO para logon único (SSO). (Consulte Habilitar SSO usando SPNEGO.)

Configurações de SAML saml-settings

Se você estiver configurando a autenticação para um domínio corporativo ou híbrido e selecionar a autenticação SAML, as seguintes configurações estarão disponíveis. Para obter informações sobre configurações adicionais de SAML, consulte Definir configurações do provedor de serviços SAML.

Selecione um arquivo de Metadados do Provedor de Identidade SAML a ser importado: Clique em Procurar para selecionar um arquivo de metadados do provedor de identidade SAML gerado pelo IDP e clique em Importar. Os detalhes do IDP são exibidos.

Título: Alias do URL denotado pela EntityID. O título também é exibido na página de logon para usuários corporativos e locais.

O Provedor De Identidade Oferece Suporte À Autenticação Básica Do Cliente: A Autenticação básica do cliente é usada quando o IDP usa um perfil de Resolução de artefato SAML. Neste perfil, o Gerenciamento de usuários se conecta novamente a um serviço Web em execução no IDP para recuperar a asserção SAML real. O IDP pode exigir autenticação. Se o IDP exigir autenticação, selecione essa opção e especifique um nome de usuário e uma senha nas caixas fornecidas.

Propriedades Personalizadas: Permite especificar propriedades adicionais. As propriedades adicionais são pares nome=valor separados por novas linhas.

As seguintes propriedades personalizadas são necessárias se a associação de artefato for usada.

Configurações personalizadas custom-settings

Se você estiver configurando a autenticação para um domínio corporativo ou híbrido e selecionar Autenticação personalizada, selecione o nome do provedor de autenticação personalizado.

Provisionamento just-in-time de usuários just-in-time-provisioning-of-users

O provisionamento just-in-time cria automaticamente um usuário no banco de dados de Gerenciamento de usuários depois que o usuário é autenticado com êxito por meio de um provedor de autenticação. As funções e os grupos relevantes também são atribuídos dinamicamente ao novo usuário. Você pode ativar o provisionamento just-in-time para domínios corporativos e híbridos.

Este procedimento descreve como a autenticação tradicional funciona em formulários AEM:

Quando o provisionamento just-in-time está ativado, novos usuários são criados dinamicamente no Gerenciamento de usuários se um dos provedores de autenticação validar suas credenciais. (Após a etapa 3 do procedimento acima.)

Sem o provisionamento just-in-time, quando um usuário é autenticado com êxito, mas não é encontrado no banco de dados de Gerenciamento de usuários, a autenticação falha. O provisionamento just-in-time adiciona uma etapa no procedimento de autenticação para criar o usuário e atribuir funções e grupos ao usuário.

Habilitar provisionamento just-in-time para um domínio enable-just-in-time-provisioning-for-a-domain