用戶管理和安全性

本章介紹如何配置和維護用戶授權，並介紹身份驗證和授權在AEM中如何工作的理論。

AEM中的使用者和群組

本節將更詳細地介紹各種實體和相關概念，以幫助您配置易於維護的用戶管理概念。

使用者

使用者將使用其帳戶登入AEM。 每個使用者帳戶都是唯一的，並包含基本帳戶詳細資訊以及指派的權限。

使用者通常是群組的成員，可簡化這些權限和/或權限的分配。

群組

群組是使用者和/或其他群組的集合；這些都稱為組的成員。

其主要用途是透過減少要更新的實體數量來簡化維護程式，因為對群組所做的變更會套用至群組的所有成員。 群組通常會反映：

• 應用程式內的角色；例如有權衝浪內容的人，或有權貢獻內容的人。
• 您自己的組織；您可能想要擴充角色，以區分內容樹狀結構中不同分支的貢獻者，以及不同部門的貢獻者。

因此，群組傾向於保持穩定，而使用者來來來得更頻繁。

透過規劃和簡潔的結構，群組的使用可反映您的結構，為您提供清楚的概覽和有效的更新機制。

內置用戶和組

AEM WCM會安裝許多使用者和群組。 安裝後第一次存取安全控制台時，就會看到這些。

下表列出每個項目，並搭配：

• 簡短描述
• 關於必要變更的任何建議

請變更所有預設密碼 （如果您未在某些情況下刪除帳戶本身）。

AEM中的權限

AEM會使用ACL來判斷使用者或群組可採取哪些動作，以及可在何處執行這些動作。

權限和ACL

權限會定義允許誰對資源執行哪些動作。 權限是訪問控制評估的結果。

您可以選取或清除個別AEM actions的核取方塊，以變更授予/拒絕給定使用者的權限。 勾號表示允許執行動作。 無複選標籤表示操作被拒絕。

勾選記號在格線中的位置也代表使用者在AEM內的哪些位置（即哪些路徑）中擁有哪些權限。

動作

可在頁面（資源）上執行動作。 對於階層中的每個頁面，您可以指定允許使用者對該頁面採取的動作。 🔗 允許或拒絕動作的權限。

訪問控制清單及其評估方式

AEM WCM使用存取控制清單(ACL)來組織套用至各種頁面的權限。

「存取控制清單」是由個別權限組成，用於決定實際套用這些權限的順序。 清單根據所考慮頁面的階層來形成。 接著會從下到上掃描此清單，直到找到要套用至頁面的第一個適當權限為止。

權限狀態

權限也會套用至任何子頁面。

如果權限不是從父節點繼承的，但至少有一個本地條目，則以下符號將附加到複選框。 本機項目是在CRX 2.2介面中建立的項目（目前只能在CRX中建立萬用字元ACL）。

若是指定路徑的動作：

將滑鼠指標暫留在星號或驚嘆號上時，工具提示會提供關於宣告項目的詳細資訊。 工具提示分為兩個部分：

以下是管理存取控制清單的建議：

• 請勿直接將權限指派給使用者。 僅將其指派給群組。

  這將簡化維護，因為組數比用戶數少得多，而且波動性也小。

• 如果您希望群組/使用者只能修改頁面，請勿授予他們建立或拒絕權限。 僅授予他們修改和讀取權限。

• 請謹慎使用「拒絕」。 盡可能僅使用「允許」。

  如果權限的套用順序與預期順序不同，則使用拒絕可能會造成非預期的影響。 如果用戶是多個組的成員，來自一個組的拒絕語句可以取消來自另一個組的允許語句，反之亦然。 發生此情況時很難保留概覽，並且很容易導致無法預料的結果，但「允許」分配不會造成此類衝突。

  Adobe建議您使用「允許」而非「拒絕」，請參閱最佳實務。

在修改任一權限之前，請務必了解這些權限的運作方式和相互關聯。 請參閱CRX檔案，以說明AEM WCM 如何評估存取權限以及設定存取控制清單的範例。

權限

權限可讓使用者和群組存取AEM頁面上的AEM功能。

您可以展開/收合節點，依路徑瀏覽權限，並且可以追蹤到根節點的權限繼承。

您可以選取或清除適當的核取方塊，以允許或拒絕權限。

查看詳細權限資訊

除了格線檢視之外，AEM還提供指定路徑上所選使用者/群組的詳細權限檢視。 詳細資訊檢視提供其他資訊。

除了檢視資訊外，您也可以從群組中包含或排除目前的使用者或群組。 請參閱「新增權限時新增使用者或群組」🔗。 此處所做的變更會立即反映在詳細檢視的上部。

若要存取「詳細資料」檢視，請在​Permissions​標籤中，按一下任何所選群組/使用者和路徑的​Details。

詳細資訊分為兩部分：

模擬其他用戶

透過模擬功能，使用者可以代表其他使用者工作。

這表示使用者帳戶可以指定其他可搭配其帳戶運作的帳戶。 換句話說，如果允許使用者B模擬使用者A，則使用者B可使用使用者A的完整帳戶詳細資訊來執行動作。

這可讓模擬者帳戶完成工作，就像使用其模擬的帳戶一樣；例如，在缺勤期間或在短期內共用過多負荷。

最佳作法

以下說明使用權限時的最佳實務：

管理用戶和組

用戶包括使用系統的用戶和向系統提出請求的外國系統。

群組是一組使用者。

兩者皆可使用安全控制台中的「使用者管理」功能來設定。

使用安全控制台訪問用戶管理

您可以使用安全控制台訪問所有用戶、組和關聯權限。 本節中描述的所有過程都將在此窗口中執行。

若要存取AEM WCM安全性，請執行下列其中一項操作：

• 在歡迎畫面或AEM中的各種位置中，按一下安全性圖示：

• 直接導覽至https://<server>:<port>/useradmin。 請務必以管理員身分登入AEM。

隨即顯示下列視窗：

左側樹列出系統中當前的所有用戶和組。 您可以選取要顯示的欄、排序欄的內容，甚至將欄標題拖曳到新位置，以變更欄的顯示順序。

這些頁簽提供對各種配置的訪問：

篩選用戶和組

您可以輸入篩選運算式來篩選清單，這會隱藏不符合運算式的所有使用者和群組。 您也可以使用隱藏用戶和隱藏組按鈕來隱藏用戶和組。

若要篩選使用者或群組：

1. 在左樹狀清單中，在提供的空格中輸入篩選運算式。 例如，輸入​admin​會顯示包含此字串的所有使用者和群組。

2. 按一下放大鏡以篩選清單。

   

3. 若要移除所有篩選器，請按一下​x。

隱藏用戶和組

隱藏用戶或組是篩選系統中所有用戶和組的清單的另一種方法。 有兩個切換機構。 按一下「隱藏使用者」會隱藏所有使用者，按一下「隱藏群組」會隱藏所有使用者的檢視（您無法同時隱藏使用者和群組）。 若要使用篩選運算式來篩選清單，請參閱「篩選使用者和群組」。

要隱藏用戶和組，請執行以下操作：

1. 在​Security​控制台中，按一下「隱藏用戶」或「隱藏組」。 ​​所選按鈕將突出顯示。

   

2. 若要讓使用者或群組重新出現，請再次按一下對應的按鈕。

建立用戶和組

要建立新用戶或組：

1. 在​Security​控制台樹清單中，按一下​Edit，然後按一下​Create User​或​Create Group。

   

2. 根據您要建立使用者或群組，輸入所需的詳細資訊。

   • 如果選擇「建立用戶」，則輸入登錄ID、名字和姓氏、電子郵件地址和密碼。​依預設，AEM會根據姓氏的第一個字母建立路徑，但您可以選取其他路徑。

   

   • 如果選擇「建立組」，請輸入組ID和可選說明。

   

3. 按一下​建立。您建立的用戶或組將顯示在樹清單中。

刪除用戶和組

要刪除用戶或組：

1. 在​Security​控制台中，選擇要刪除的用戶或組。 如果要刪除多個項目，請按住Shift鍵並按一下或按住Ctrl鍵並按一下以選取這些項目。
2. 按一下「編輯」，，然後選擇「刪除」。 AEM WCM會詢問您是否要刪除該使用者或群組。
3. 按一下​OK​以確認或取消以取消操作。

修改用戶和組屬性

要修改用戶和組屬性，請執行以下操作：

1. 在​Security​控制台中，按兩下要修改的用戶或組名稱。

2. 按一下​屬性​頁簽，進行所需的更改，然後按一下​保存。

   

更改用戶密碼

使用以下過程修改用戶的密碼。

1. 在​Security​控制台中，按兩下要更改密碼的用戶名。

2. 按一下​屬性​標籤（如果尚未啟用）。

3. 按一下「設定密碼」。 「設定密碼」(Set Password)窗口將開啟，您可以在其中更改密碼。

   

4. 輸入新密碼兩次；由於它們未顯示在明文中，因此這是為了確認 — 如果它們不匹配，系統會顯示錯誤。

5. 按一下​設定​以啟用帳戶的新密碼。

將用戶或組添加到組

AEM提供三種將使用者或群組新增至現有群組的方法：

• 在組中時，可以添加成員（用戶或組）。
• 在成員中時，可向組添加成員。
• 使用權限時，可以向組添加成員。

組 — 將用戶或組添加到組

群組​標籤會顯示目前帳戶所屬的群組。 您可以使用它將選取的帳戶新增至群組：

1. 連按兩下您要指派給群組的帳戶名稱（使用者或群組）。

2. 按一下​群組​標籤。 您會看到帳戶已屬於的群組清單。

3. 在樹清單中，按一下要添加到帳戶的組的名稱，並將其拖動到​組​窗格。 （如果要添加多個用戶，請按住Shift鍵並按一下或按住Ctrl鍵並按一下這些名稱並拖動它們。）

   

4. 按一下​儲存​以儲存變更。

成員 — 將用戶或組添加到組

成員​頁簽僅適用於組，並顯示哪些用戶和組屬於當前組。 您可以使用它來新增帳戶至群組：

1. 按兩下要添加成員的組的名稱。

2. 按一下​Members​頁簽。 您會看到已屬於此組的成員清單。

3. 在樹清單中，按一下要添加到組的成員的名稱，並將其拖動到​成員​窗格。 （如果要添加多個用戶，請按住Shift鍵並按一下或按住Ctrl鍵並按一下這些名稱並拖動它們。）

   

4. 按一下​儲存​以儲存變更。

新增權限時新增使用者或群組

若要在特定路徑的將成員新增至群組：

1. 按兩下要添加用戶的組或用戶的名稱。

2. 按一下​Permissions​標籤。

3. 導覽至您要新增權限的路徑，然後按一下​Details。 詳細資訊視窗的下半部分提供關於誰擁有該頁面權限的資訊。

   

4. 在​成員​列中，為要具有該路徑權限的成員選擇複選框。 清除要為刪除權限的成員的複選框。 在您對進行變更的儲存格中，會顯示紅色三角形。

5. 按一下​OK​以儲存變更。

從組中刪除用戶或組

AEM提供三種從群組中移除使用者或群組的方法：

• 在組配置檔案中時，可以刪除成員（用戶或組）。
• 在成員配置檔案中時，可以從組中刪除成員。
• 使用權限時，可以從組中刪除成員。

組 — 從組中刪除用戶或組

要從組中刪除用戶或組帳戶：

1. 按兩下要從組中刪除的組或用戶帳戶的名稱。

2. 按一下​群組​標籤。 您會看到所選帳戶所屬的群組。

3. 在​組​窗格中，按一下要從組中刪除的用戶或組的名稱，然後按一下​刪除。 （如果要刪除多個帳戶，請按住Shift鍵並按一下或按住Ctrl鍵並按一下這些名稱，然後按一下​Remove。）

   

4. 按一下​儲存​以儲存變更。

成員 — 從組中刪除用戶或組

要從組中刪除帳戶，請執行以下操作：

1. 按兩下要從中刪除成員的組的名稱。

2. 按一下​Members​頁簽。 您會看到已屬於此組的成員清單。

3. 在​成員​窗格中，按一下要從組中刪除的成員的名稱，然後按一下​刪除。 （如果要刪除多個用戶，請按住Shift鍵並按一下或按住Ctrl鍵並按一下這些名稱，然後按一下​Remove。）

   

4. 按一下​儲存​以儲存變更。

新增權限時移除使用者或群組

要在特定路徑從組中刪除成員：

1. 按兩下要從中刪除用戶的組或用戶的名稱。

2. 按一下​Permissions​標籤。

3. 導覽至您要移除權限的路徑，然後按一下​Details。 詳細資訊視窗的下半部分提供關於誰擁有該頁面權限的資訊。

   

4. 在​成員​列中，為要具有該路徑權限的成員選擇複選框。 清除要為刪除權限的成員的複選框。 在您對進行變更的儲存格中，會顯示紅色三角形。

5. 按一下​OK​以儲存變更。

用戶同步

當部署為publish farm時，需要在所有發佈節點之間同步用戶和組。

要了解用戶同步以及如何啟用它，請參閱用戶同步。

管理權限

本節說明如何設定權限，包括復寫權限。

設定權限

權限可讓使用者對特定路徑上的資源執行特定動作。 也包含建立或刪除頁面的功能。

要添加、修改或刪除權限，請執行以下操作：

1. 在​Security​控制台中，按兩下要為或搜索節點設定權限的用戶或組的名稱。

2. 按一下​Permissions​標籤。

   

3. 在樹網格中，選擇一個複選框，以允許所選用戶或組執行操作，或清除一個複選框以拒絕所選用戶或組執行操作。 有關詳細資訊，請按一下​Details。

4. 完成後，按一下​Save。

設定複製權限

復寫權限是發佈內容的權利，可為群組和使用者設定。

要設定複製權限，請執行以下操作：

1. 從清單中選擇用戶或組，按兩下以開啟，然後按一下​Permissions。

2. 在網格中，導航到希望用戶具有複製權限或搜索節點的路徑。

3. 在所選路徑的​複製​列中，選擇一個複選框以添加該用戶或組的複製權限，或清除該複選框以刪除複製權限。 AEM會在您所做變更尚未儲存的任何位置顯示紅色三角形。

   

4. 按一下​儲存​以儲存變更。

搜索節點

新增或移除權限時，您可以瀏覽或搜尋節點。

路徑搜尋有兩種不同類型：

• 路徑搜尋 — 如果搜尋字串的開頭為「/」，則搜尋會搜尋指定路徑的直接子節點：

在搜尋方塊中，您可以執行下列動作：

• 全文搜索 — 如果搜索字串的開頭不是"/"，則對路徑"/content"下的所有節點執行全文搜索。

要對路徑或全文執行搜索：

1. 在安全控制台中，選擇用戶或組，然後按一下​權限​頁簽。

2. 在「搜索」框中，輸入要搜索的詞。

模擬用戶

您可以指定一或多個允許模擬目前使用者的使用者。 這表示他們可以將其帳戶設定切換為目前使用者的帳戶設定，並代表此使用者行事。

使用此函式時請小心，因為它可能允許使用者執行其自己使用者無法執行的動作。 模擬使用者時，系統會通知使用者自己未登入。

您可能會想要使用此功能的各種案例，包括：

• 如果您不在辦公室，可以讓其他人在您不在的時候模擬您。 使用此功能，您可以確保某人擁有您的訪問權限，而且您不需要修改用戶配置檔案或洩露您的密碼。
• 您可將其用於除錯用途。 例如，若要查看網站如何尋找具有限制存取權限的使用者。 此外，如果用戶抱怨技術問題，您可以模擬該用戶以診斷和修復問題。

要模擬現有用戶：

1. 在樹清單中，選擇要為其分配其他用戶進行模擬的人員的名稱。 按兩下以開啟。

2. 按一下​模擬器​標籤。

3. 按一下您要能夠模擬所選使用者的使用者。 將使用者（將模擬的使用者）從清單拖曳至「模擬」窗格。 名稱會出現在清單中。

   

4. 按一下「儲存」。

設定用戶和組首選項

要設定用戶和組首選項，包括語言、窗口管理和工具欄首選項：

1. 在左側樹中選擇要更改其首選項的用戶或組。 若要選取多個使用者或群組，請按住Ctrl鍵並按一下或按住Shift鍵並按一下您的選取項目。

2. 按一下​Preferences​標籤。

   

3. 根據需要對組或用戶首選項進行更改，並在完成後按一下​Save。

設定用戶或管理員有權管理其他用戶

若要設定使用者或管理員擁有刪除/啟用/停用其他使用者的權限：

1. 將要授予管理其他用戶權限的用戶添加到管理員組並保存更改。

   

2. 在用戶的​權限​頁簽中，導航到「/」，在「複製」列中，選擇允許在「/」進行複製的複選框，然後按一下​保存。

   

   選取的使用者現在能停用、啟用、刪除及建立使用者。

擴展項目級別的權限

如果您打算實作應用程式特定權限，下列資訊將說明實作自訂權限所需了解的事項，以及如何在CQ中強制執行該權限：

層次結構修改權限由jcr權限的組合覆蓋。 複製權限的名稱為​crx:replicate，該權限與jcr儲存庫上的其他權限一起儲存/評估。 但是，它沒有在jcr層級執行。

自訂權限的定義和註冊正式屬於2.4版起的Jackrabbit API的一部分（另請參閱JCR-2887）。 JCR訪問控制管理涵蓋進一步的使用，如由JSR 283（第16節）定義。 此外，Jackrabbit API定義一些擴充功能。

權限註冊機制反映在UI的​Repository Configuration​下。

新（自訂）權限的註冊本身受必須在儲存庫級別(在JCR中：在ac mgt api中將'null'傳遞為'absPath'參數，如需詳細資訊，請參閱jsr 333)。 預設情況下，admin​和管理員的所有成員都具有該權限。