Administración de usuarios y seguridad

En este capítulo se describe cómo configurar y mantener la autorización de usuario y también se describe la teoría detrás de cómo funcionan la autenticación y la autorización en AEM.

Usuarios y grupos en AEM

Esta sección trata las distintas entidades y los conceptos relacionados de forma más detallada para ayudarle a configurar un concepto de administración de usuarios fácil de mantener.

Usuarios

Los usuarios iniciarán sesión en AEM con su cuenta. Cada cuenta de usuario es única y contiene los detalles básicos de la cuenta, junto con los privilegios asignados.

Los usuarios suelen ser miembros de Grupos, lo que simplifica la asignación de estos permisos y/o privilegios.

Grupos

Los grupos son colecciones de usuarios u otros grupos; todos ellos se denominan miembros de un grupo.

Su principal propósito es simplificar el proceso de mantenimiento reduciendo el número de entidades que se van a actualizar, ya que el cambio realizado en un grupo se aplica a todos los miembros del grupo. Los grupos a menudo reflejan:

• una función en la solicitud; como alguien con permiso para navegar por el contenido o alguien con permiso para contribuir.
• su propia organización; es posible que desee ampliar las funciones para diferenciar entre colaboradores de diferentes departamentos cuando están restringidos a distintas ramas del árbol de contenido.

Por lo tanto, los grupos tienden a permanecer estables, mientras que los usuarios van y vienen con mayor frecuencia.

Con la planificación y una estructura limpia, el uso de grupos puede reflejar su estructura, lo que le ofrece una visión general clara y un mecanismo eficaz para las actualizaciones.

Usuarios y grupos integrados

AEM WCM instala varios usuarios y grupos. Esto se puede ver cuando accede por primera vez a la Consola de seguridad después de la instalación.

Las tablas siguientes enumeran cada elemento junto con:

• una breve descripción
• cualquier recomendación sobre los cambios necesarios

Cambie todas las contraseñas predeterminadas (si no elimina la cuenta en sí en determinadas circunstancias).

Permisos en AEM

AEM utiliza ACL para determinar qué acciones puede realizar un usuario o grupo y dónde puede realizar esas acciones.

Permisos y ACL

Los permisos definen quién puede realizar qué acciones en un recurso. Los permisos son el resultado de control de acceso evaluaciones.

Puede cambiar los permisos otorgados/denegados a un usuario determinado seleccionando o desactivando las casillas de verificación de cada AEM acciones. Una marca de verificación indica que se permite una acción. Ninguna marca de verificación indica que se ha denegado una acción.

El lugar donde se encuentra la marca de verificación en la cuadrícula también indica qué permisos tienen los usuarios en qué ubicaciones dentro de AEM (es decir, qué rutas).

Acciones

Las acciones se pueden realizar en una página (recurso). Para cada página de la jerarquía, puede especificar qué acción puede realizar el usuario en esa página. Permisos permite permitir o denegar una acción.

Listas de control de acceso y cómo se evalúan

AEM WCM utiliza Listas de control de acceso (ACL) para organizar los permisos que se aplican a las distintas páginas.

Las listas de control de acceso están formadas por permisos individuales y se utilizan para determinar el orden en que se aplican realmente estos permisos. La lista se forma según la jerarquía de las páginas consideradas. A continuación, esta lista se analiza de abajo hacia arriba hasta encontrar el primer permiso apropiado para aplicar a una página.

Estados de permisos

Los permisos también se aplican a cualquier página secundaria.

Si un permiso no se hereda del nodo principal pero tiene al menos una entrada local para él, se añaden los siguientes símbolos a la casilla de verificación. Una entrada local es una que se crea en la interfaz CRX 2.2 (actualmente, las ACL comodín solo se pueden crear en CRX).

Para una acción en una ruta determinada:

Cuando pasa el ratón por encima del asterisco o del signo de exclamación, la información sobre herramientas proporciona más detalles sobre las entradas declaradas. La información sobre herramientas se divide en dos partes:

Las siguientes son recomendaciones sobre la administración de listas de control de acceso:

• No asigne permisos directamente a los usuarios. Asignarlos solo a grupos.

  Esto simplificará el mantenimiento, ya que el número de grupos es mucho menor que el número de usuarios y también es menos volátil.

• Si desea que un grupo o usuario solo pueda modificar páginas, no les conceda derechos de creación o denegación. Conceda únicamente derechos de modificación y lectura.

• Utilice Denegar con moderación. En la medida de lo posible, utilice solamente Permitir.

  El uso de denegar puede producir efectos inesperados si los permisos se aplican en un orden diferente al esperado. Si un usuario es miembro de más de un grupo, las instrucciones Denegar de un grupo pueden cancelar la instrucción Permitir de otro grupo o viceversa. Es difícil mantener una visión general cuando esto sucede y puede conducir fácilmente a resultados imprevistos, mientras que permitir asignaciones no causa tales conflictos.

  Adobe recomienda trabajar con Permitir en lugar de Denegar ver Prácticas recomendadas.

Antes de modificar cualquiera de los permisos, asegúrese de comprender cómo funcionan y están interrelacionados. Consulte la documentación de CRX para ilustrar cómo AEM WCM evalúa los derechos de acceso y ejemplos de configuración de listas de control de acceso.

Permisos

Los permisos otorgan a los usuarios y grupos acceso a AEM funcionalidad en AEM páginas.

Los permisos se exploran por ruta expandiendo o contrayendo los nodos y puede rastrear la herencia de permisos hasta el nodo raíz.

Para permitir o denegar permisos, seleccione o desactive las casillas de verificación correspondientes.

Visualización de información detallada del permiso

Junto con la vista de cuadrícula, AEM proporciona una vista detallada de los permisos para un usuario o grupo seleccionado en una ruta determinada. La vista de detalles proporciona información adicional.

Además de ver información, también puede incluir o excluir al usuario o grupo actual de un grupo. Consulte Agregar usuarios o grupos al agregar permisos. Los cambios realizados aquí se reflejan inmediatamente en la parte superior de la vista detallada.

Para acceder a la vista de detalles, en la Permisos , haga clic en Detalles para cualquier grupo/usuario y ruta seleccionados.

Los detalles se dividen en dos partes:

Suplantar a otro usuario

Con la variable Suplantar funcionalidad un usuario puede trabajar en nombre de otro usuario.

Esto significa que una cuenta de usuario puede especificar otras cuentas que pueden operar con su cuenta. En otras palabras, si el usuario B puede suplantar al usuario A, el usuario B puede realizar acciones utilizando los detalles completos de la cuenta del usuario A.

Esto permite que las cuentas del imitador completen tareas como si estuvieran utilizando la cuenta que están suplantando; por ejemplo, durante una ausencia o para compartir una carga excesiva a corto plazo.

Prácticas recomendadas

A continuación se describen las prácticas recomendadas al trabajar con permisos y privilegios:

Administración de usuarios y grupos

Los usuarios incluyen personas que utilizan el sistema y sistemas extranjeros que realizan solicitudes al sistema.

Un grupo es un conjunto de usuarios.

Ambas se pueden configurar utilizando la funcionalidad Administración de usuarios de la Consola de seguridad.

Acceso a la administración de usuarios con la consola de seguridad

Puede acceder a todos los usuarios, grupos y permisos asociados mediante la consola Seguridad. Todos los procedimientos descritos en esta sección se realizan en esta ventana.

Para acceder AEM seguridad de WCM, realice una de las siguientes acciones:

• En la pantalla de bienvenida o en varias ubicaciones de AEM, haga clic en el icono de seguridad:

• Vaya directamente a https://<server>:<port>/useradmin. Asegúrese de iniciar sesión en AEM como administrador.

Se muestra la siguiente ventana:

El árbol de la izquierda enumera todos los usuarios y grupos que hay actualmente en el sistema. Puede seleccionar las columnas que desea mostrar, ordenar el contenido de las columnas e incluso cambiar el orden en que se muestran arrastrando el encabezado de la columna a una nueva posición.

Las pestañas proporcionan acceso a varias configuraciones:

Filtrado de usuarios y grupos

Puede filtrar la lista introduciendo una expresión de filtro que oculte todos los usuarios y grupos que no coincidan con la expresión. También puede ocultar usuarios y grupos utilizando la variable Ocultar usuario y grupo botones.

Para filtrar usuarios o grupos:

1. En la lista del árbol de la izquierda, escriba la expresión del filtro en el espacio proporcionado. Por ejemplo, al introducir admin muestra todos los usuarios y grupos que contienen esta cadena.

2. Haga clic en la lupa para filtrar la lista.

   

3. Haga clic en el x cuando desee eliminar todos los filtros.

Ocultar usuarios y grupos

Ocultar usuarios o grupos es otra manera de filtrar la lista de todos los usuarios y grupos de un sistema. Existen dos mecanismos de alternancia. Al hacer clic en Ocultar usuario se ocultan todos los usuarios de la vista y al hacer clic en Ocultar grupos se ocultan todos los grupos de la vista (no se pueden ocultar tanto a los usuarios como a los grupos al mismo tiempo). Para filtrar la lista utilizando una expresión de filtro, consulte Filtrado de usuarios y grupos.

Para ocultar usuarios y grupos:

1. En el Seguridad consola, haga clic en Ocultar usuarios o Ocultar grupos. El botón seleccionado aparece resaltado.

   

2. Para que vuelvan a aparecer usuarios o grupos, haga clic de nuevo en el botón correspondiente.

Creación de usuarios y grupos

Para crear un nuevo usuario o grupo:

1. En el Seguridad lista de árbol de consola, haga clic en Editar y luego Crear usuario o Crear grupo.

   

2. Introduzca los detalles necesarios, en función de si está creando un usuario o un grupo.

   • Si selecciona Crear usuario, introduzca el ID de inicio de sesión, el nombre y los apellidos, la dirección de correo electrónico y la contraseña. De forma predeterminada, AEM crea una ruta basada en la primera letra del apellido, pero puede seleccionar otra ruta.

   

   • Si selecciona Crear grupo, introduzca un ID de grupo y una descripción opcional.

   

3. Haga clic en Crear. El usuario o grupo que ha creado aparece en la lista de árbol.

Eliminación de usuarios y grupos

Para eliminar un usuario o grupo:

1. En el Seguridad , seleccione el usuario o grupo que desee eliminar. Si desea eliminar varios elementos, pulse Mayús+clic o Ctrl+clic para seleccionarlos.
2. Haga clic en Editar, a continuación, seleccione Eliminar. AEM WCM pregunta si desea eliminar el usuario o grupo.
3. Haga clic en OK para confirmar o Cancelar para cancelar la acción.

Modificación de las propiedades de usuario y grupo

Para modificar las propiedades de usuario y grupo:

1. En el Seguridad consola, haga doble clic en el nombre de usuario o grupo que desee modificar.

2. Haga clic en el Propiedades , realice los cambios necesarios y haga clic en Guardar.

   

Cambio de una contraseña de usuario

Utilice el siguiente procedimiento para modificar la contraseña de un usuario.

1. En el Seguridad , haga doble clic en el nombre de usuario para el que desea cambiar la contraseña.

2. Haga clic en el Propiedades (si no está activa).

3. Haga clic en Establecer contraseña. Se abre la ventana Configurar contraseña, donde puede cambiar la contraseña.

   

4. Escriba la nueva contraseña dos veces; ya que no se muestran en texto claro esto es para confirmación: si no coinciden, el sistema muestra un error.

5. Haga clic en Establezca para activar la nueva contraseña de la cuenta.

Agregar usuarios o grupos a un grupo

AEM ofrece tres formas diferentes de agregar usuarios o grupos a un grupo existente:

• Cuando esté en el grupo, puede agregar miembros (usuarios o grupos).
• Cuando esté en el grupo, puede agregar miembros a los grupos.
• Cuando esté trabajando en Permisos, puede agregar miembros a grupos.

Grupos: agregar usuarios o grupos a un grupo

La variable Grupos muestra a qué grupos pertenece la cuenta actual. Puede usarlo para agregar la cuenta seleccionada a un grupo:

1. Haga doble clic en el nombre de la cuenta (usuario o grupo) que desea asignar a un grupo.

2. Haga clic en el Grupos pestaña . Verá una lista de grupos a los que ya pertenece la cuenta.

3. En la lista de árbol, haga clic en el nombre del grupo al que desee agregar la cuenta y arrástrelo al Grupos panel. (Si desea agregar varios usuarios, pulse Mayús+clic o Ctrl+clic en esos nombres y arrástrelos).

   

4. Haga clic en Guardar para guardar los cambios.

Miembros: agregar usuarios o grupos a un grupo

La variable Miembros solo funciona para grupos y muestra los usuarios y grupos que pertenecen al grupo actual. Puede utilizarla para agregar cuentas a un grupo:

1. Haga doble clic en el nombre del grupo al que desee agregar miembros.

2. Haga clic en el Miembros pestaña . Verá una lista de miembros que ya pertenecen a este grupo.

3. En la lista de árbol, haga clic en el nombre del miembro que desea agregar al grupo y arrástrelo al Miembros panel. (Si desea agregar varios usuarios, pulse Mayús+clic o Ctrl+clic en esos nombres y arrástrelos).

   

4. Haga clic en Guardar para guardar los cambios.

Agregar usuarios o grupos al agregar permisos

Para agregar miembros a un grupo en una ruta determinada:

1. Haga doble clic en el nombre del grupo o usuario al que desee agregar usuarios.

2. Haga clic en el Permisos pestaña .

3. Vaya a la ruta a la que desee agregar permisos y haga clic en Detalles. La parte inferior de la ventana de detalles proporciona información sobre quién tiene permisos para esa página.

   

4. Seleccione la casilla de verificación en la Miembro para los miembros que desea que tengan permisos para esa ruta. Desactive la casilla de verificación del miembro para el que desea eliminar los permisos. Aparece un triángulo rojo en la celda a la que ha realizado cambios.

5. Haga clic en OK para guardar los cambios.

Eliminación de usuarios o grupos de grupos

AEM ofrece tres formas diferentes de eliminar usuarios o grupos de un grupo:

• Cuando se encuentra en el perfil de grupo, puede eliminar miembros (usuarios o grupos).
• Cuando esté en el perfil de miembro, puede quitar miembros de los grupos.
• Cuando esté trabajando en Permisos, puede quitar miembros de los grupos.

Grupos: eliminar usuarios o grupos de grupos

Para quitar una cuenta de usuario o grupo de un grupo:

1. Haga doble clic en el nombre del grupo o cuenta de usuario que desee eliminar de un grupo.

2. Haga clic en el Grupos pestaña . Verá a qué grupos pertenece la cuenta seleccionada.

3. En el Grupos , haga clic en el nombre del usuario o grupo que desea quitar del grupo y, a continuación, haga clic en Eliminar. (Si desea eliminar varias cuentas, pulse Mayús+clic o Ctrl+clic en esos nombres y haga clic en ellos Eliminar.)

   

4. Haga clic en Guardar para guardar los cambios.

Miembros: eliminar usuarios o grupos de grupos

Para quitar cuentas de un grupo:

1. Haga doble clic en el nombre del grupo del que desea quitar miembros.

2. Haga clic en el Miembros pestaña . Verá una lista de miembros que ya pertenecen a este grupo.

3. En el Miembros , haga clic en el nombre del miembro que desea quitar del grupo y, a continuación, haga clic en Eliminar. (Si desea eliminar varios usuarios, pulse Mayús+clic o Ctrl+clic en esos nombres y haga clic en ellos Eliminar.)

   

4. Haga clic en Guardar para guardar los cambios.

Eliminación de usuarios o grupos al agregar permisos

Para eliminar miembros de un grupo en una ruta determinada:

1. Haga doble clic en el nombre del grupo o usuario del que desea eliminar a los usuarios.

2. Haga clic en el Permisos pestaña .

3. Vaya a la ruta a la que desea eliminar los permisos y haga clic en Detalles. La parte inferior de la ventana de detalles proporciona información sobre quién tiene permisos para esa página.

   

4. Seleccione la casilla de verificación en la Miembro para los miembros que desea que tengan permisos para esa ruta. Desactive la casilla de verificación del miembro para el que desea eliminar los permisos. Aparece un triángulo rojo en la celda a la que ha realizado cambios.

5. Haga clic en OK para guardar los cambios.

Sincronización de usuarios

Cuando la implementación es un publicar granja, los usuarios y grupos deben sincronizarse entre todos los nodos de publicación.

Para obtener más información sobre la sincronización de usuarios y cómo habilitarla, consulte Sincronización de usuarios.

Administración de permisos

En esta sección se describe cómo establecer permisos, incluidos privilegios de replicación.

Configuración de permisos

Los permisos permiten a los usuarios realizar ciertas acciones en los recursos en determinadas rutas. También incluye la capacidad de crear o eliminar páginas.

Para agregar, modificar o eliminar permisos:

1. En el Seguridad consola, haga doble clic en el nombre del usuario o grupo para el que desee establecer permisos o buscar nodos.

2. Haga clic en el Permisos pestaña .

   

3. En la cuadrícula del árbol, active una casilla de verificación para permitir que el usuario o grupo seleccionado realice una acción o desactive una casilla de verificación para denegar al usuario o grupo seleccionado la realización de una acción. Para obtener más información, haga clic en Detalles.

4. Cuando termine, haga clic en Guardar.

Configuración de Privilegios de Replicación

El privilegio de replicación es el derecho para publicar contenido y se puede establecer para grupos y usuarios.

Para establecer privilegios de replicación:

1. Seleccione el usuario o grupo de la lista, haga doble clic para abrirlo y haga clic en Permisos.

2. En la cuadrícula, vaya a la ruta en la que desea que el usuario tenga privilegios de replicación o buscar nodos.

3. En el Replicar en la ruta seleccionada, active una casilla de verificación para agregar el privilegio de replicación para ese usuario o grupo, o desactive la casilla de verificación para eliminar el privilegio de replicación. AEM muestra un triángulo rojo en cualquier parte donde haya realizado cambios que aún no se hayan guardado.

   

4. Haga clic en Guardar para guardar los cambios.

Búsqueda de nodos

Al añadir o eliminar permisos, puede examinar o buscar el nodo .

Existen dos tipos diferentes de búsqueda de rutas:

• Búsqueda de rutas : Si la cadena de búsqueda comienza con "/", la búsqueda buscará los subnodos directos de la ruta dada:

En el cuadro de búsqueda, puede hacer lo siguiente:

• Búsqueda de texto completo : si la cadena de búsqueda no comienza con "/", se ejecuta una búsqueda de texto completo en todos los nodos de la ruta "/content".

Para realizar una búsqueda en rutas o texto completo:

1. En la consola de seguridad, seleccione un usuario o grupo y, a continuación, haga clic en el Permisos pestaña .

2. En el cuadro Buscar, escriba un término para buscar.

Suplantar usuarios

Puede especificar uno o más usuarios a los que se permite suplantar al usuario actual. Esto significa que pueden cambiar la configuración de su cuenta a la del usuario actual y actuar en nombre de este usuario.

Utilice esta función con precaución ya que puede permitir a los usuarios realizar acciones que su propio usuario no puede realizar. Al suplantar a un usuario, se notifica a los usuarios de que no han iniciado sesión por sí mismos.

Hay varios escenarios en los que puede querer utilizar esta funcionalidad, entre ellos:

• Si estás fuera de la oficina, puedes dejar que otra persona te imite mientras estás fuera. Al utilizar esta función, puede asegurarse de que alguien tenga sus derechos de acceso y no necesita modificar un perfil de usuario ni proporcionar su contraseña.
• Puede utilizarlo para la depuración. Por ejemplo, para ver cómo el sitio web busca un usuario con derechos de acceso restringidos. Además, si un usuario se queja de problemas técnicos, puede suplantar a ese usuario para diagnosticar y solucionar el problema.

Para suplantar un usuario existente:

1. En la lista de árbol, seleccione el nombre de la persona a la que desea asignar otros usuarios para que se suplanten. Haga doble clic para abrir.

2. Haga clic en el Suplantadores pestaña .

3. Haga clic en el usuario que desea que pueda suplantar al usuario seleccionado. Arrastre el usuario (que suplantará) de la lista al panel Suplantar . El nombre aparece en la lista.

   

4. Haga clic en Guardar.

Configuración de las preferencias de usuario y grupo

Para establecer las preferencias de usuario y grupo, incluidas las preferencias de idioma, administración de ventanas y barra de herramientas:

1. Seleccione el usuario o grupo cuyas preferencias desee cambiar en el árbol de la izquierda. Para seleccionar varios usuarios o grupos, pulse Ctrl+clic o Mayús+clic en las selecciones.

2. Haga clic en el Preferencias pestaña .

   

3. Realice los cambios necesarios en las preferencias del grupo o usuario y haga clic en Guardar cuando termine.

Configuración de usuarios o administradores para que tengan el privilegio de administrar otros usuarios

Para configurar a los usuarios o administradores para que tengan privilegios para eliminar, activar o desactivar otros usuarios:

1. Agregue al usuario al que desea otorgar privilegios para administrar otros usuarios al grupo de administradores y guarde los cambios.

   

2. En el Permisos , vaya a "/" y, en la columna Replicar , active la casilla de verificación para permitir la replicación en "/" y haga clic en Guardar.

   

   El usuario seleccionado ahora tiene la capacidad de desactivar, activar, eliminar y crear usuarios.

Ampliación de privilegios en un proyecto

Si planea implementar privilegios específicos de la aplicación, la siguiente información describe lo que necesita saber para implementar un privilegio personalizado y cómo aplicarlo en todo CQ:

El privilegio de modificación de jerarquía está cubierto por una combinación de privilegios jcr. Se nombra el privilegio de replicación crx:replicate que se almacena/evalúa junto con otros privilegios en el repositorio jcr. Sin embargo, no se aplica a nivel jcr.

La definición y el registro de privilegios personalizados forman parte oficialmente del API de Jackrabbit a partir de la versión 2.4 (véase también JCR-2887). El uso adicional está cubierto por la Administración de control de acceso de JCR, tal como se define en JSR 283 (sección 16). Además, la API de Jackrabbit define un par de extensiones.

El mecanismo de registro de privilegios se refleja en la interfaz de usuario de Configuración del repositorio.

El registro de nuevos privilegios (personalizados) está protegido por un privilegio integrado que debe otorgarse a nivel de repositorio (en JCR: pasando 'null' como parámetro 'absPath' en la api de ac mgt, consulte jsr 33 para obtener más información). De forma predeterminada, admin y todos los miembros de los administradores tienen ese privilegio concedido.

Recursos de Business.Adobe.com

Cms Cloud Theme Editor Customer Experience Management Dynamic Forms Content Management Content Management System