拥有超过100万用户的SEM_login与AEM一起使用有多合适？

Question

我正在研究大型企业AEM项目的登录时间缓慢和一些配置文件同步问题。该系统拥有约150万用户。该网站由10个发布者提供服务。

该项目的构建方式是，他们为所有这些最终用户启用了SAML_login，并且我假设有一个第三方IDP，我认为这与SAML_login进行了对话。我不是SSO-SAML_login流程的专家，所以我试图了解这是否是第一步的正确方法。

由于此设置和用户数量的限制，SAML_login调用平均需要15秒。随着用户数量的增加，这种情况一天天变得令人无法接受。更重要的是，这10个发布者之间的同步有时会失败，因此某些用户有时无法按预期使用该系统。

由于用户存储在SAML_login的JCR中，因此您甚至无法通过crx浏览器检查home / users文件夹。由于无法一次显示150万行，因此超时。我的有根据的猜测是，这就是SAML_login调用花费这么长时间的原因。

我到处都有介绍如何在AEM上设置SAML_login的文章，这使在这种情况下使用它听起来合法。但是我认为这是有史以来最糟糕的设置，因为对于这种使用场景，JCR并不是设计合理的快速访问数据存储。

到目前为止，我的理解是，这种方法可能效果很好，但是仅适用于有限数量的用户，但是对于这么多的用户，这是不适用的解决方案。所以我的第一个问题是：我说的对吗？:)

如果我做错了，那么肯定存在我尚不了解的瓶颈，那么该瓶颈有待改善吗？

Answer 1

AEM SAML 身份验证处理程序在默认配置下存在一些性能限制。当您的浏览器在 /saml_login 下向 AEM 发出 HTTP POST 请求时，它包含一个 Base 64 编码的“SAMLResponse”请求参数。AEM 直接处理该响应，不联系任何外部系统。

尽管 SAML 响应是在 AEM 本身上处理的，但 /saml_login 调用的瓶颈如下：

1. 初始登录，AEM 首次创建用户节点 - 您可以查看提前创建节点。您可以编写脚本来提前在 AEM 中创建 SAML 用户节点（在 /home/users 下）。
2. 在每次登录期间，首次创建会话时 - 在 /home/users/.../{usernode}/.tokens 下的用户节点下创建一个令牌节点 - 这可以通过启用封装令牌功能来避免。
3. 最后，当它将 SAMLResponse XML 保存在用户节点下时（以供稍后基于 SAML 的注销所需的使用），会出现最后一个瓶颈。通过不实施基于 SAML 的注销可以避免这种情况。最新的 com.adobe.granite.auth.saml 捆绑包支持关闭 SAML 响应的保存。Service Pack AEM 6.4.8 和 AEM 6.5.4 包含此功能。要启用此功能，请设置 OSGI 配置属性 storeSAMLResponse=false 和 handleLogout=false，这样它就不会存储 SAML 响应。