DokumentationExperience Cloud KCS

Beschränken des direkten Browser-Zugriffs auf DAM-Ordner in Adobe Experience Manager

Letzte Aktualisierung: 23. Oktober 2026

Adobe Experience Manager (AEM) ermöglicht möglicherweise den direkten Browser-Zugriff auf Assets in DAM-Ordnern, wenn die Berechtigungen und Dispatcher-Filter nicht explizit eingeschränkt sind. Um das Problem zu beheben, beschränken Sie Repository-Berechtigungen und den Dispatcher-Zugriff für die geschützten DAM-Pfade, während Sie authentifizierten Microservices Zugriff auf die erforderlichen Assets gewähren.

Beschreibung description

Umgebung

Adobe Experience Manager (alle unterstützten Versionen)

Problem/Symptome

  • Auf bestimmte DAM-Ordner kann direkt über einen Webbrowser zugegriffen werden, sodass Dateien wie CSVs oder andere Assets von jedem heruntergeladen werden können, der die URL kennt.
  • Dateien in bestimmten DAM-Ordnern, z. B. /content/dam/<folder>/example.csv, können direkt über einen Browser aufgerufen und heruntergeladen werden.
  • Der direkte Browser-Zugriff muss eingeschränkt werden, während autorisierte Microservices den Zugriff auf die erforderlichen Assets behalten.

Grundursache

Standardmäßig können anonyme Benutzende auf DAM-Ordner zugreifen, wenn die Berechtigungen und Dispatcher-Filter nicht explizit eingeschränkt sind.

Lösung resolution

Gehen Sie wie folgt vor, um das Problem zu beheben:

  1. Abhärten von Repository-Berechtigungen mithilfe von AEM-ACLs:

    1. Navigieren Sie in der AEM-Autoreninstanz zu Tools > Sicherheit > Berechtigungen.
    2. Verweigern Sie für Gruppen, die öffentliche oder anonyme Benutzer darstellen, den Lesezugriff auf die sensiblen DAM-Ordner, z. B. /content/dam/<folder>.
    3. Erstellen Sie einen technischen Benutzer oder einen Service-Benutzer mit jcr:read Berechtigungen nur für diese Ordner.
    4. Konfigurieren Sie die Microservices, die sich beim Zugriff auf die Assets als dieser technische Benutzer authentifizieren sollen.

  2. Blockieren Sie direkte öffentliche URLs auf der Dispatcher:

    • Fügen Sie in der Dispatcher-Konfiguration Ablehnungsregeln für die DAM-Pfade hinzu, die Sie schützen möchten. Platzieren Sie diese Regeln nach dem globalen Ablehnen und vor allgemeinen Zulassungsregeln.

    • Verwenden Sie die folgende Beispielkonfiguration:

      code language-none 
      /filter {
# Deny direct access to DAM subtree
/0200 { /type "deny" /method "GET" /path "/content/dam//*" }
}

    Mit diesen Regeln erhalten Browser 403 oder 404 Fehler für den direkten Zugriff, während Microservices einen internen vhost- oder API-Endpunkt mit unterschiedlichen Dispatcher-Regeln und technischen Benutzeranmeldeinformationen verwenden können.

  3. Überprüfen Sie die Lösung:

    • Versuchen Sie, über einen Browser auf ein geschütztes Asset zuzugreifen, und vergewissern Sie sich, dass der Zugriff verweigert wird.
    • Vergewissern Sie sich, dass die mit dem technischen Anwender konfigurierten Microservices weiterhin auf die erforderlichen Assets zugreifen können.
recommendation-more-help
experience-cloud-kcs-help-kbarticles