Adobe Experience League

用户管理和安全

本章介绍如何配置和维护用户授权，并描述身份验证和授权在AEM中工作的原理。

AEM中的用户和用户组

本节将更详细地介绍各种实体和相关概念，以帮助您配置易于维护的用户管理概念。

用户

用户将使用其帐户登录AEM。每个用户帐户都是唯一的，其中包含基本帐户详细信息以及分配的权限。

用户通常是组的成员，可简化这些权限和/或权限的分配。

组

组是用户和/或其他组的集合；这些都称为组成员。

其主要目的是通过减少要更新的实体数量来简化维护过程，因为对组所做的更改会应用于组的所有成员。群组经常反映：

在应用程序中的角色；例如，有权浏览内容的人或有权提供内容的人。
您自己的组织；您可能希望扩展角色，以便当参与者被限制到内容树中的不同分支时，区分来自不同部门的参与者。

因此，组往往保持稳定，而用户来来去的频率更高。

借助规划和整洁的结构，组的使用可以反映您的结构，为您提供清晰的概述和高效的更新机制。

内置用户和用户组

AEM WCM会安装许多用户和用户组。安装后首次访问安全控制台时，可以看到这些内容。

下表将每个项目列表在一起：

简短描述
关于必要更改的任何建议

请更改所有默认密码 （如果您在某些情况下不删除帐户本身）。

用户 ID	类型	描述	推荐
管理员默认密码：管理	用户	具有完全访问权限的系统管理帐户。此帐户用于AEM WCM和CRX之间的连接。如果意外删除了此帐户，将在重新启动存储库（在默认设置中）时重新创建该帐户。管理员帐户是AEM平台的一项要求。因此，无法删除此帐户。	Adobe强烈建议从默认值更改此用户帐户的口令。最好在安装时，尽管可以在安装后完成。注意：不要将此帐户与CQ Servlet引擎的管理帐户混淆。
匿名	用户	保留对实例的未验证访问的默认权限。默认情况下，它包含最低访问权限。如果意外删除了此帐户，将在启动时重新创建它。它无法永久删除，但可以禁用。	请避免删除或禁用此帐户，因为它会对创作实例的功能产生负面影响。如果有安全要求要求您删除它，请确保首先正确测试它对您的系统的影响。
作者默认密码：作者	用户	允许写入/content的作者帐户。包含投稿人和冲浪者特权。可以用作Web主站点，因为它可以访问整个/content树。这不是内置用户，而是另一个geometrixx演示用户	Adobe建议将帐户完全删除，或从默认位置更改密码。最好在安装时，尽管可以在安装后完成。
管理员	组	授予其所有成员管理员权限的组。仅允许管理员编辑此组。拥有完全访问权限。	如果在节点上设置“deny-everyone”，则只有在再次为该组启用该权限时，管理员才具有访问权限。
content-authors	组	负责内容编辑的组。需要读取、修改、创建和删除权限。	您可以创建您自己的内容作者组，但前提是您添加读取、修改、创建和删除权限，并且这些组具有项目特定的访问权限。
contributor	组	允许用户写入内容的基本权限（仅在功能中）。不向/content树分配任何权限 — 必须为单个组或用户专门分配这些权限。
dam-users	组	典型AEM Assets用户的现成参考组。此组的成员具有相应的权限，可启用资产和收藏集的上传/共享。
每个人	组	AEM中的每个用户都是组中每个人的成员，即使您可能看不到组或所有工具中的成员关系。可以将此组视为默认权限，因为它可用于将权限应用于所有人，甚至是将来创建的用户。	请勿修改或删除此组。修改此帐户会产生其他安全影响。
标签管理员	组	允许编辑标记的组。
用户管理员	组	授权用户管理，即创建用户和用户组的权利。
工作流编辑器	组	允许创建和修改工作流模型的组。
工作流 — 用户	组	参与工作流的用户必须是组工作流用户的成员。这使他/她能够完全访问：/etc/workflow/instances，以便他或她可以更新工作流实例。该组包含在标准安装中，但您必须手动将用户添加到该组。

AEM中的权限

AEM使用ACL确定用户或用户组可以执行哪些操作以及可以执行哪些操作。

权限和ACL

权限定义允许谁对资源执行哪些操作。权限是访问控制评估的结果。

您可以通过选择或清除单个AEM actions的复选框来更改授予/拒绝给定用户的权限。复选标记表示允许操作。没有复选标记表示操作被拒绝。

选中标记位于网格中的位置还指示用户在AEM中的位置（即哪些路径）中拥有哪些权限。

操作

可以对页面（资源）执行操作。对于层次结构中的每个页面，您可以指定允许用户对该页面执行的操作。允许您允许或拒绝操作。

操作	描述
读取	允许用户读取页面和任何子页面。
修改	用户可以：修改页面上和任何子页面上的现有内容。在页面或任何子页面上创建新段落。在JCR级别，用户可以通过修改资源的属性、锁定、版本控制、nt-modifications来修改资源，并且他们对定义jcr:content子节点的节点具有完全写入权限，例如cq:Page、nt:file、cq:Asset。
创建	用户可以：创建新页面或子页面。如果拒绝modify，则会明确排除jcr:content下的子树，因为创建jcr:content及其子节点被视为页面修改。这仅适用于定义jcr:content子节点的节点。
删除	用户可以：从页面或任何子页面中删除现有段落。删除页面或子页面。如果拒绝modify，则会明确排除jcr:content下的任何子树，因为删除jcr:content，其子节点被视为页面修改。这仅适用于定义jcr:content子节点的节点。
读取 ACL	用户可以阅读页面或子页面的访问控制列表。
编辑 ACL	用户可以修改页面或任何子页面的访问控制列表。
复制	用户可以将内容复制到其他环境(例如，发布环境)。该权限也会应用于任何子页面。

注意

AEM会自动为Collections中的角色分配（所有者、编辑者、查看者）生成用户组。但是，手动为此类组添加ACL可能会在AEM中引入安全漏洞。 Adobe建议您避免手动添加ACL。

访问控制列表及其计算方式

AEM WCM使用访问控制列表(ACL)来组织应用于各个页面的权限。

访问控制列表由各个权限组成，用于确定实际应用这些权限的顺序。该列表根据所考虑页面的层级而形成。然后，将从下向上扫描此列表，直到找到应用到页面的第一个适当权限。

注意

示例中包含有ACL。建议您查看并确定适合您的应用程序的内容。要查看包含的ACL，请转到CRXDE，并为以下节点选择访问控制选项卡：

/etc/cloudservices/facebookconnect/geometrixx-outdoorsfacebookapp:允许所有人访问读取。
/etc/cloudservices/twitterconnect/geometrixx-outdoors-twitter-app:允许所有人访问读取。
/home/users/geometrixx-outdoors:允许每个人对*/profile*和
*/social/relationships/following/*。

您的自定义应用程序可以设置对其他关系（如*/social/relationships/friend/*或*/social/relationships/pending-following/*）的访问权限。

当您创建特定于社区的ACL时，加入这些社区的成员可能会获得额外的权限。例如，当用户在/content/geometrixx-outdoors/en/community/hiking或/content/geometrixx-outdoors/en/community/winter-sports加入社区时，可能会出现这种情况。

权限状态

注意

对于CQ 5.3用户：

与以前的CQ版本不同，如果用户只需修改页面，则不应再授予create和delete。相反，仅当您希望用户能够创建、修改或删除现有页面上的组件时，才授予modify操作。

由于向后兼容性的原因，动作测试不考虑定义jcr:content的节点的特殊处理。

操作	描述
允许（复选标记）	AEM WCM允许用户在此页面或任何子页面上执行操作。
拒绝（无复选标记）	AEM WCM不允许用户在此页面或任何子页面上执行该操作。

这些权限也会应用于任何子页面。

如果某个权限未从父节点继承，但至少有一个本地条目，则以下符号将附加到该复选框。本地条目是在CRX 2.2接口中创建的条目（通配符ACL当前只能在CRX中创建。）

对于给定路径上的操作：

*（星号）	至少有一个本地条目（有效或无效）。这些通配符ACL在CRX中定义。
! （感叹号）	至少有一个条目当前无效。

当您将鼠标悬停在星号或感叹号上时，工具提示将提供有关声明的条目的更多详细信息。工具提示分为两部分：

上部	列表有效条目。
下部	列表可能在树中其他位置产生效果的非有效条目（由相应ACE中存在的特殊属性指示，该属性限制了条目的范围）。或者，这是一个条目，其效果已被在给定路径或祖代节点中定义的另一个条目吊销。

chlimage_1-348

注意

如果未为页面定义权限，则会拒绝所有操作。

以下是有关管理访问控制列表的建议：

不要将权限直接分配给用户。仅将它们分配给组。

这将简化维护，因为组数量远小于用户数量，而且不易变化。
如果您希望组/用户只能修改页面，请勿授予他们创建或拒绝权限。仅授予他们修改和读取权限。
少用拒绝。尽可能仅使用“允许”。

如果权限的应用顺序与预期的顺序不同，则使用“拒绝”会导致意外效果。如果用户是多个组的成员，来自一个组的Deny语句可以取消来自另一个组的Allow语句，反之亦然。在发生这种情况时很难保留概述，并且很容易导致无法预见的结果，而“允许”分配不会导致此类冲突。

Adobe建议您使用“允许”而非“拒绝”，请参阅最佳实践。

在修改任一权限之前，请确保您了解这些权限的工作方式和相互关联。请参阅CRX文档，以说明AEM WCM 如何评估访问权限以及设置访问控制列表的示例。

权限

通过权限，用户和用户组可以访问AEM页面上的AEM功能。

通过展开/折叠节点，可以按路径浏览权限，并可以跟踪到根节点的权限继承。

您可以通过选择或清除相应的复选框来允许或拒绝权限。

cqsecuritypermissionstab

查看详细权限信息

除了网格视图,AEM还提供了在给定路径处选定用户/组的详细权限视图。详细信息视图提供了其他信息。

除了查看信息外，您还可以将当前用户或用户组包含或排除在用户组之外。请参阅添加权限时添加用户或用户组。此处所做的更改会立即反映在详细视图的上半部分。

要访问详细信息视图，请在权限选项卡中，单击任何选定组/用户和路径的详细信息。

权限详细信息

详细信息分为两部分：

上部

重复在树网格中看到的信息。对于每个操作，都会显示一个图标，显示是允许还是拒绝该操作：

无图标=无声明项
(tick)=声明的操作（允许）
(-)=声明的操作（拒绝）

下部

显示执行以下操作的用户和用户组网格：

声明给定路径的条目AND
给定的可授权OR是组

模拟其他用户

借助模拟功能，用户可以代表其他用户工作。

这意味着用户帐户可以指定其他可以使用其帐户操作的帐户。换句话说，如果允许用户B模拟用户A，则用户B可以使用用户A的完整帐户详细信息执行操作。

这允许模拟者帐户完成任务，就像他们使用的是模拟的帐户一样；例如，在缺勤期间或共享过多负荷的短期。

注意

为了模拟以适合非管理员用户，模拟者（在上例中为user-B）需要在/home/users路径中具有READ权限。

有关如何实现此操作的详细信息，请参阅AEM🔗中的权限。

注意

如果一个帐户模拟另一个帐户，则很难查看。当模拟开始和结束时，在审计日志中创建一个条目，但其他日志文件（如访问日志）不包含有关事件上已发生模拟的事实的信息。因此，如果用户B模拟用户A，则所有事件看上去就像是由用户A个人执行的。

注意

模拟用户身份时可以执行页面锁定。但是，以这种方式锁定的页面随后只能由被模拟的用户或拥有管理员权限的用户解锁。

不能通过模拟锁定页面的用户的身份来解锁页面。

最佳实践

以下介绍了使用权限和权限时的最佳实践：

规则	原因
使用组	避免按用户分配访问权限。原因有几：用户比组多得多，因此组可以简化结构。组帮助提供所有帐户的概述。对于组，继承更简单。用户来来去。集团是长期的。
积极	始终使用“允许”语句指定组的权利（尽可能）。避免使用Deny语句。按顺序评估组，并且每个用户对顺序的定义不同。换句话说：您可能对语句的实施和评估顺序几乎没有控制权。如果仅使用“允许”语句，则顺序不重要。
简单易用	在配置新安装时投入一些时间和思考，将大有回报。应用清晰的结构将简化持续的维护和管理，确保您的当前同事和/或未来的继任者都能轻松了解正在实施的内容。
测试	使用测试安装来练习并确保您了解不同用户和组之间的关系。
默认用户/用户组	始终在安装后立即更新默认用户和用户组，以帮助防止出现任何安全问题。

管理用户和组

用户包括使用系统的用户和向系统发出请求的国外系统。

组是一组用户。

这两种配置都可以使用安全控制台中的用户管理功能进行配置。

使用安全控制台访问用户管理

您可以使用安全控制台访问所有用户、用户组和关联的权限。本节中描述的所有过程都在此窗口中执行。

要访问AEM WCM安全性，请执行下列操作之一：

从“欢迎”屏幕或AEM中的各个位置，单击安全图标：

直接导航到https://<server>:<port>/useradmin。请确保以管理员身份登录AEM。

此时将显示以下窗口：

cqsecuritypage

左侧的树列表系统中当前的所有用户和用户组。您可以选择要显示的列，对列的内容进行排序，甚至可以通过将列标题拖动到新位置来更改列的显示顺序。

cqsecuritycolumncontext

这些选项卡提供对各种配置的访问：

选项卡·	描述
滤镜框	用于筛选列出的用户和/或组的机制。请参阅筛选用户和用户组。
隐藏用户	一个切换开关，将隐藏所有列出的用户，仅保留用户组。请参阅隐藏用户和用户组。
隐藏组	一个切换开关，将隐藏所有列出的组，仅保留用户。请参阅隐藏用户和用户组。
编辑	允许您创建和删除以及激活和取消激活用户或组的菜单。请参阅创建用户和用户组和删除用户和用户组。
属性	列表有关可以包含电子邮件信息、说明和名称信息的用户或组的信息。还允许您更改用户的口令。请参阅创建用户和用户组、修改用户和组属性和更改用户密码。
组	列表所选用户或组所属的所有组。可以将选定的用户或用户组分配给其他用户组，或将其从用户组中删除。请参阅组。
成员	仅适用于组。列表特定组的成员。请参阅成员。
权限	您可以为用户或用户组分配权限。允许您控制以下内容：与特定页面/节点相关的权限。请参阅设置权限。与创建和删除页面以及层次结构修改相关的权限。???允许您分配权限，例如层次结构修改，用于创建和删除页面，根据路径与复制权限（通常从作者到发布）相关的权限。
模拟者	允许其他用户模拟该帐户。当您需要用户代表其他用户时很有用。请参阅模拟用户。
首选项	设置组或用户🔗的首选项。例如，语言首选项。

筛选用户和用户组

您可以通过输入筛选表达式来筛选列表，该过滤器会隐藏与表达式不匹配的所有用户和用户组。还可以使用隐藏用户和隐藏组按钮隐藏用户和组。

要筛选用户或用户组，请执行以下操作：

在左树列表中，在提供的空间中键入您的过滤器表达式。例如，输入admin将显示包含此字符串的所有用户和组。
单击放大镜以过滤列表。
如果要删除所有过滤器，请单击x。

隐藏用户和用户组

隐藏用户或用户组是筛选系统中所有用户和用户组列表的另一种方法。有两种切换机制。单击“隐藏用户”可隐藏所有用户，而单击“隐藏用户组”可隐藏所有用户组，使其不受视图（您无法同时隐藏用户和用户组）。要使用过滤器列表筛选表达式，请参阅筛选用户和用户组。

要隐藏用户和用户组，请执行以下操作：

在Security控制台中，单击隐藏用户或隐藏组。选定的按钮将高亮显示。
要使用户或用户组重新显示，请再次单击相应的按钮。

创建用户和用户组

要创建新用户或用户组，请执行以下操作：

在Security控制台树列表中，单击Edit，然后单击Create User或Create Group。
根据您是创建用户还是用户组，输入所需的详细信息。
- 如果选择创建用户，，则输入登录ID、名和姓、电子邮件地址和密码。默认情况下，AEM会根据姓氏的第一个字母创建一个路径，但您可以选择其他路径。
- 如果选择创建组，则输入组ID和可选说明。
单击创建。您创建的用户或用户组将显示在树列表中。