Benutzerverwaltung und Sicherheit user-administration-and-security

In diesem Kapitel wird beschrieben, wie die Benutzerautorisierung konfiguriert und verwaltet wird. Außerdem werden die Grundlagen für die Funktionsweise von Authentifizierung und Autorisierung in AEM beschrieben.

Benutzende und Gruppen in AEM users-and-groups-in-aem

Dieser Abschnitt behandelt ausführlicher die verschiedenen Entitäten und verwandten Konzepte, um Sie beim Konfigurieren eines einfach zu handhabenden Benutzerverwaltungsansatzes zu unterstützen.

Benutzer users

Benutzende melden sich mit ihrem Konto bei AEM an. Jedes Benutzerkonto ist eindeutig und enthält die grundlegenden Kontodetails sowie die zugewiesenen Berechtigungen.

Benutzende sind häufig Mitglieder von Gruppen, was die Zuweisung dieser Berechtigungen und/oder Rechte vereinfacht.

Gruppen groups

Gruppen sind Sammlungen von Benutzenden, anderen Gruppen oder beidem. Diese Sammlungen werden alle als Mitglieder einer Gruppe bezeichnet.

Ihr Hauptzweck besteht darin, Verwaltungsvorgänge zu vereinfachen, indem die Anzahl der zu aktualisierenden Entitäten verringert wird, da eine Änderung an einer Gruppe auf alle Mitglieder der Gruppe angewendet wird. Gruppen spiegeln häufig Folgendes wider:

Deshalb sind Gruppen an sich meist stabil, während Benutzende häufiger wechseln.

Bei entsprechender Planung und einer sauberen Struktur kann die Verwendung von Gruppen Ihrer Struktur entsprechen, sodass Sie einen klaren Überblick haben und Ihnen ein effizienter Mechanismus für Aktualisierungen zur Verfügung steht.

Integrierte Benutzende und Gruppen built-in-users-and-groups

AEM WCM installiert mehrere Benutzende und Gruppen. Diese Sammlungen werden angezeigt, wenn Sie nach der Installation zum ersten Mal auf die Sicherheitskonsole zugreifen.

In der folgenden Tabelle finden Sie eine Aufstellung der einzelnen Elemente zusammen mit:

Ändern Sie alle Standardpasswörter (sofern Sie nicht unter gewissen Bedingungen das gesamte Konto löschen).

Berechtigungen in AEM permissions-in-aem

AEM nutzt ACLs (Access Control Lists, Zugriffssteuerungslisten), um zu ermitteln, welche Aktionen eine Benutzerin, ein Benutzer oder eine Gruppe wo durchführen kann.

Berechtigungen und ACLs permissions-and-acls

Berechtigungen definieren, wer welche Aktionen für eine Ressource ausführen kann. Berechtigungen sind das Ergebnis einer Bewertung der Zugriffssteuerung.

Sie können die für bestimmte Benutzende erteilten/abgelehnten Berechtigungen durch Aktivieren oder Deaktivieren der Kontrollkästchen für die einzelnen AEM-Aktionen ändern. Ein Häkchen bedeutet, dass eine Aktion erlaubt ist. Kein Häkchen bedeutet, dass eine Aktion abgelehnt wird.

Die Stelle, an der sich das Häkchen im Raster befindet, zeigt zudem an, welche Berechtigungen Benutzende in welchen AEM-Bereichen (also Pfaden) haben.

Aktionen actions

Aktionen können auf einer Seite (Ressource) ausgeführt werden. Für jede Seite in der Hierarchie können Sie festlegen, welche Aktion Benutzende auf dieser Seite ausführen dürfen. Mithilfe von Berechtigungen können Sie eine Aktion zulassen oder ablehnen.

Zugriffssteuerungslisten und deren Bewertung access-control-lists-and-how-they-are-evaluated

AEM WCM verwendet Zugriffssteuerungslisten (ACLs), um die Berechtigungen zu organisieren, die auf die verschiedenen Seiten angewendet werden.

Zugriffssteuerungslisten bestehen aus den individuellen Berechtigungen und werden verwendet, um die Reihenfolge zu bestimmen, in der diese Berechtigungen angewendet werden. Die Liste wird entsprechend der Hierarchie der betroffenen Seiten gebildet. Diese Liste wird dann von unten nach oben gescannt, bis die erste geeignete Berechtigung zur Anwendung auf eine Seite gefunden wird.

Berechtigungsstatus permission-states

Die Berechtigungen gelten auch für untergeordnete Seiten.

Wenn eine Berechtigung nicht vom übergeordneten Knoten vererbt wird, aber mindestens einen lokalen Eintrag dafür hat, werden die folgenden Symbole an das Kontrollkästchen angehängt. Ein lokaler Eintrag ist ein Eintrag, der in der CRX 2.2-Benutzeroberfläche erstellt wird. (Platzhalter-ACLs können derzeit nur in CRX erstellt werden.)

Für eine Aktion unter einem bestimmten Pfad:

Wenn Sie den Mauszeiger über das Sternchen oder Ausrufezeichen bewegen, liefert eine QuickInfo weitere Details zu den deklarierten Einträgen. Die QuickInfo ist in zwei Teile unterteilt:

Im Folgenden finden Sie Empfehlungen zur Verwaltung von Zugriffssteuerungslisten:

Bevor Sie eine der Berechtigungen ändern, sollten Sie wissen, wie sie funktionieren und miteinander in Beziehung stehen. Informationen darüber, wie AEM WCM Zugriffsrechte bewertet, sowie Beispiele zum Einrichten von Zugriffssteuerungslisten finden Sie in der CRX-Dokumentation.

Berechtigungen permissions

Durch Berechtigungen erhalten Benutzende und Gruppen Zugriff auf AEM-Funktionen von AEM-Seiten.

Berechtigungen werden pfadweise durch Ein-/Ausblenden der Knoten durchsucht. Außerdem können Sie die Vererbung von Berechtigungen bis zum Stammknoten nachverfolgen.

Um Berechtigungen zuzulassen oder abzulehnen, aktivieren bzw. deaktivieren Sie die entsprechenden Kontrollkästchen.

Anzeigen detaillierter Berechtigungsinformationen viewing-detailed-permission-information

Zusammen mit der Rasteransicht bietet AEM eine detaillierte Ansicht der Berechtigungen für ausgewählte Benutzende/Gruppen unter einem bestimmten Pfad. Die Detailansicht enthält zusätzliche Informationen.

Neben der Anzeige von Informationen können Sie auch aktuelle Benutzende oder die aktuelle Gruppe aus einer Gruppe ein- oder ausschließen. Siehe Hinzufügen von Benutzenden oder Gruppen beim Hinzufügen von Berechtigungen. Hier durchgeführte Änderungen werden sofort im oberen Abschnitt der Detailansicht wiedergegeben.

Zum Aufrufen der Detailansicht klicken Sie für beliebige Gruppen/Benutzende und Pfad auf der Registerkarte Berechtigungen auf Details.

Die Details werden in zwei voneinander getrennten Bereichen angezeigt:

Stellvertretendes Agieren für andere Benutzende impersonating-another-user

Mit der Funktion Stellvertretend agieren können Benutzende im Auftrag anderer Benutzender arbeiten.

Das heißt, ein Benutzerkonto kann andere Konten angeben, die mit seinem Konto arbeiten können. Wenn beispielsweise Person B stellvertretend für Person A agieren darf, kann Person B mit den vollständigen Kontodetails von Person A agieren.

Mit dieser Funktion können Stellvertreter-Konten Aufgaben so erledigen, als ob sie das Konto benutzen würden, für das sie sich ausgeben. Zum Beispiel bei Abwesenheit oder kurzfristiger Lastverteilung.

Best Practices best-practices

Im Folgenden werden Best Practices für die Arbeit mit Berechtigungen und Rechten beschrieben:

Verwalten von Benutzenden und Gruppen managing-users-and-groups

Zu den Benutzenden gehören Personen, die das System verwenden, und Fremdsystemen, die Anforderungen an das System stellen.

Eine Gruppe beinhaltet mehrere Benutzende.

Beide können über die Funktion „Benutzerverwaltung“ in der Sicherheitskonsole konfiguriert werden.

Zugriff auf die Benutzerverwaltung über die Sicherheitskonsole accessing-user-administration-with-the-security-console

Sie können über die Sicherheitskonsole auf alle Benutzenden, Gruppen und zugehörigen Berechtigungen zugreifen. Alle in diesem Abschnitt beschriebenen Verfahren werden in diesem Fenster durchgeführt.

Führen Sie einen der folgenden Schritte aus, um auf AEM WCM-Sicherheit zuzugreifen:

Es wird folgendes Fenster angezeigt:

In der linken Struktur werden alle Benutzenden und Gruppen aufgelistet, die sich derzeit im System befinden. Sie können die anzuzeigenden Spalten auswählen, den Inhalt der Spalten sortieren und die Anzeigereihenfolge der Spalten ändern, indem Sie die Spaltenüberschrift an eine neue Position ziehen.

Über die Registerkarten können Sie auf verschiedene Konfigurationen zugreifen:

Filtern von Benutzenden und Gruppen filtering-users-and-groups

Sie können die Liste durch Eingabe eines Filterausdrucks filtern, der alle nicht dem Ausdruck entsprechenden Benutzende und Gruppen ausblendet. Sie können Benutzende sowie Gruppen auch über die Schaltflächen „Benutzende ausblenden“ und „Gruppen ausblenden“ ausblenden.

So filtern Sie Benutzende oder Gruppen:

Ausblenden von Benutzenden und Gruppen hiding-users-and-groups

Das Ausblenden von Benutzenden oder Gruppen ist eine weitere Möglichkeit, die Liste aller Benutzenden und Gruppen in einem System zu filtern. Es gibt zwei Umschaltmechanismen. Wenn Sie auf „Benutzer ausblenden“ klicken, werden alle Einzelpersonen ausgeblendet, und wenn Sie auf „Gruppen ausblenden“ klicken, werden alle Gruppen ausgeblendet (Sie können nicht gleichzeitig alle Einzelpersonen und Gruppen ausblenden). Informationen zum Filtern der Liste mithilfe eines Filterausdrucks finden Sie unter Filtern von Benutzenden und Gruppen.

So blenden Sie Benutzende und Gruppen aus:

Erstellen von Benutzenden und Gruppen creating-users-and-groups

So erstellen Sie eine Benutzerin bzw. einen Benutzer oder eine Gruppe:

Löschen von Benutzenden und Gruppen deleting-users-and-groups

So löschen Sie Benutzende oder eine Gruppe:

Ändern von Benutzer- und Gruppeneigenschaften modifying-user-and-group-properties

So ändern Sie Benutzer- und Gruppeneigenschaften:

Ändern von Benutzerkennwörtern changing-a-user-password

Gehen Sie wie folgt vor, um das Passwort einer/eines Benutzenden zu ändern.

Hinzufügen von Benutzenden oder Gruppen zu einer Gruppe adding-users-or-groups-to-a-group

AEM bietet drei verschiedene Möglichkeiten, Benutzende oder Gruppen zu einer vorhandenen Gruppe hinzuzufügen:

Gruppen – Hinzufügen von Benutzenden oder Gruppen zu einer Gruppe groups-adding-users-or-groups-to-a-group

Auf der Registerkarte Gruppen wird angezeigt, zu welchen Gruppen das aktuelle Konto gehört. Sie können damit das ausgewählte Konto zu einer Gruppe hinzufügen:

Mitglieder – Hinzufügen von Benutzenden oder Gruppen zu einer Gruppe members-adding-users-or-groups-to-a-group

Auf der Registerkarte Mitglieder, die nur für Gruppen verwendet werden kann, wird angezeigt, welche Benutzenden und Gruppen zur aktuellen Gruppe gehören. Sie können damit Konten zu einer Gruppe hinzufügen:

Hinzufügen von Benutzenden oder Gruppen beim Hinzufügen von Berechtigungen adding-users-or-groups-while-adding-permissions

So fügen Sie einer Gruppe unter einem bestimmten Pfad Mitglieder hinzu:

Entfernen von Benutzenden oder Gruppen aus Gruppen removing-users-or-groups-from-groups

AEM bietet drei Möglichkeiten, Benutzende oder Gruppen aus einer Gruppe zu entfernen:

Gruppen – Entfernen von Benutzenden oder Gruppen aus Gruppen groups-removing-users-or-groups-from-groups

So entfernen Sie ein Benutzer- oder Gruppenkonto aus einer Gruppe:

Mitglieder – Entfernen von Benutzenden oder Gruppen aus Gruppen members-removing-users-or-groups-from-groups

So entfernen Sie Konten aus einer Gruppe:

Entfernen von Benutzenden oder Gruppen beim Hinzufügen von Berechtigungen removing-users-or-groups-while-adding-permissions

So entfernen Sie Mitglieder aus einer Gruppe unter einem bestimmten Pfad:

Benutzersynchronisierung user-synchronization

Wenn es sich bei der Bereitstellung um eine Veröffentlichungsfarm handelt, müssen Benutzende sowie Gruppen auf allen Veröffentlichungsknoten synchronisiert werden.

Informationen zur Benutzersynchronisierung und deren Aktivierung finden Sie unter Benutzersynchronisierung.

Verwalten von Berechtigungen managing-permissions

Dieser Abschnitt beschreibt, wie Berechtigungen, darunter auch die zur Replikation, festgelegt werden.

Festlegen von Berechtigungen setting-permissions

Berechtigungen erlauben es Benutzenden, bestimmte Aktionen auf Ressourcen in bestimmten Pfaden durchzuführen. Dazu gehört auch das Erstellen oder Löschen von Seiten.

So fügen Sie Berechtigungen hinzu bzw. ändern oder löschen diese:

Festlegen von Replikationsberechtigungen setting-replication-privileges

Die Replikationsberechtigung bezeichnet das Recht zur Veröffentlichung von Inhalten. Sie kann für Gruppen und Benutzende festgelegt werden.

So legen Sie Replikationsberechtigungen fest:

Suchen nach Knoten searching-for-nodes

Beim Hinzufügen oder Entfernen von Berechtigungen können Sie Knoten durchsuchen oder nach Knoten suchen.

Es gibt zwei verschiedene Typen von Pfadsuchvorgängen:

Im Suchfeld stehen Ihnen folgende Möglichkeiten zur Verfügung:

So führen Sie eine Pfad- oder Volltextsuche durch:

Stellvertretendes Agieren für Benutzende impersonating-users

Sie können eine oder mehrere Personen angeben, die stellvertretend für die aktuelle Person agieren dürfen. Diese Fähigkeit bedeutet, dass diese ihre Kontoeinstellungen auf die der aktuellen Person umstellen und im Namen dieser Person handeln können.

Seien Sie beim Verwenden dieser Funktion vorsichtig, da sie es Benutzenden ermöglicht, Aktionen durchzuführen, zu denen sie selbst nicht berechtigt sind. Wenn Benutzende für eine andere Person stellvertretend agieren, werden sie benachrichtigt, dass sie nicht mit dem eigenen Profil angemeldet sind.

Es gibt verschiedene Szenarien, in denen Sie diese Funktion verwenden können, darunter:

So agieren Sie stellvertretend für vorhandene Benutzende:

Festlegen von Benutzer- und Gruppeneinstellungen setting-user-and-group-preferences

So legen Sie Benutzer- und Gruppenvoreinstellungen fest, einschließlich Voreinstellungen für die Sprache, Fensterverwaltung und Symbolleiste:

Einrichten von Benutzenden oder Admins mit der Berechtigung zum Verwalten anderer Benutzender setting-users-or-administrators-to-have-the-privilege-to-manage-other-users

So richten Sie Benutzende oder Admins mit Berechtigungen zum Löschen/Aktivieren/Deaktivieren anderer Benutzenden ein:

Erweitern von Berechtigungen auf Projektebene extending-privileges-on-a-project-level

Wenn Sie planen, anwendungsspezifische Berechtigungen zu implementieren, wird in den folgenden Informationen beschrieben, was Sie wissen müssen, um eine benutzerdefinierte Berechtigung zu implementieren, und wie Sie sie in CQ durchsetzen können:

Die Berechtigung zum Ändern der Hierarchie wird von einer Kombination von jcr-Berechtigungen abgedeckt. Die Replikationsberechtigung crx:replicate wird mit anderen Berechtigungen im jcr-Repository gespeichert/evaluiert. Sie wird jedoch nicht auf jcr-Ebene durchgesetzt.

Die Definition und Registrierung benutzerdefinierter Berechtigungen sind ab Version 2.4 offizieller Bestandteil der Jackrabbit-API (siehe auch JCR-2887). Die weitere Verwendung wird über die JCR-Zugriffssteuerungsverwaltung abgedeckt, wie in JSR 283 (Abschnitt 16) definiert. Außerdem definiert die Jackrabbit-API verschiedene Erweiterungen.

Der Mechanismus zur Berechtigungsregistrierung befindet sich auf der Benutzeroberfläche unter Repository Configuration.

Die Registrierung neuer (benutzerdefinierter) Berechtigungen ist selbst durch eine integrierte Berechtigung geschützt, die auf Repository-Ebene erteilt werden muss. In JCR: Übergeben von „null“ als Parameter „absPath“ in der ac-mgt-API; für Details siehe „jsr 333“. Standardmäßig wird diese Berechtigung dem Profil admin und allen Mitgliedern der Administratorgruppe erteilt.