Administração de usuários, grupos e direitos de acesso

A habilitação do acesso a um repositório CRX envolve vários tópicos:

• Direitos de acesso - os conceitos de como são definidos e avaliados

• Administração do usuário - gerenciamento das contas individuais usadas para acessar

• Administração de grupo - simplifique o gerenciamento de usuários formando grupos

• Gerenciamento de direitos de acesso - definição de políticas que controlam como esses usuários e grupos podem acessar recursos

Os elementos básicos são:

Contas de usuário O CRX autentica o acesso identificando e verificando um usuário (por essa pessoa ou outro aplicativo) de acordo com os detalhes mantidos na conta de usuário.

No CRX, cada conta de usuário é um nó no espaço de trabalho. Uma conta de usuário do CRX tem as seguintes propriedades:

• Ele representa um usuário do CRX.

• Ele contém um nome de usuário e senha.

• É aplicável a esse espaço de trabalho.

• Ele não pode ter subusuários. Para direitos de acesso hierárquicos, você deve usar grupos.

• Você pode especificar direitos de acesso para a conta de usuário.

  No entanto, para simplificar o gerenciamento, recomendamos que (na maioria dos casos) você atribua direitos de acesso a contas de grupo. A atribuição de direitos de acesso para cada usuário individual torna-se rapidamente muito difícil de gerenciar (as exceções são determinados usuários do sistema quando há apenas uma ou duas instâncias).

Contas de grupoContas de grupo são coleções de usuários e/ou outros grupos. Eles são usados para simplificar o gerenciamento, pois uma alteração nos direitos de acesso atribuídos a um grupo é aplicada automaticamente a todos os usuários desse grupo. Um usuário não precisa pertencer a nenhum grupo, mas geralmente pertence a vários.

No CRX, um grupo tem as seguintes propriedades:

• Ele representa um grupo de usuários com direitos de acesso comuns. Por exemplo, autores ou desenvolvedores.

• É aplicável a esse espaço de trabalho.

• Pode ter membros; podem ser usuários individuais ou outros grupos.

• O agrupamento hierárquico pode ser obtido com relações de membro. Não é possível colocar um grupo logo abaixo de outro grupo no repositório.

• Você pode definir os direitos de acesso para todos os membros do grupo.

​​Direitos de acesso O CRX usa Direitos de acesso para controlar o acesso a áreas específicas do repositório.

Isso é feito atribuindo privilégios para permitir ou negar acesso a um recurso (nó ou caminho) no repositório. Como vários privilégios podem ser atribuídos, eles devem ser avaliados para determinar qual combinação é aplicável à solicitação atual.

O CRX permite configurar os direitos de acesso para contas de usuário e grupos. Os mesmos princípios básicos de avaliação são então aplicados a ambos.

Como os direitos de acesso são avaliados

Assuntos e princípios

O CRX usa dois conceitos principais ao avaliar direitos de acesso:

• Um principal é uma entidade que carrega direitos de acesso. Os principais incluem:

  • Uma conta de usuário.

  • Uma conta de grupo

    Se uma conta de usuário pertencer a um ou mais grupos, ela também será associada a cada um desses principais grupos.

• Um subject é usado para representar a fonte de uma solicitação.

  É usado para consolidar os direitos de acesso aplicáveis a essa solicitação. São retirados de:

  • O principal usuário

    Os direitos atribuídos diretamente à conta de usuário.

  • Todos os principais grupos associados a esse usuário

    Todos os direitos atribuídos a qualquer um dos grupos aos quais o usuário pertence.
    O resultado é então usado para permitir ou negar acesso ao recurso solicitado.

Compilando a lista de direitos de acesso de um assunto

No CRX, o assunto depende de:

• o principal usuário
• todos os principais do grupo associados a esse usuário

A lista de direitos de acesso aplicáveis ao assunto é construída a partir de:

• os direitos atribuídos diretamente à conta de usuário
• além de todos os direitos atribuídos a qualquer um dos grupos aos quais o usuário pertence

Resolvendo Direitos de Solicitação e Acesso

Quando o CRX lida com a solicitação, ele compara a solicitação de acesso do assunto com a lista de controle de acesso no nó do repositório:

Portanto, se Linda solicitar a atualização do nó /features na seguinte estrutura de repositório:

Ordem de precedência

Os direitos de acesso no CRX são avaliados da seguinte maneira:

• Os principais usuários sempre têm precedência sobre os principais do grupo, independentemente de:

  • sua ordem na lista de controle de acesso
  • sua posição na hierarquia do nó

• Para um determinado principal existe (no máximo) 1 negação e 1 entrada de permissão em um determinado nó. A implementação sempre limpa entradas redundantes e garante que o mesmo privilégio não esteja listado nas entradas permitir e negar.

Tomando dois exemplos em que o usuário aUser é membro do grupo aGroup:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

No caso anterior:

• aUser não recebe permissão de gravação em grandChildNode.

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

Nesse caso:

• aUser não recebe permissão de gravação em grandChildNode.

• A segunda ACE para aUser é redundante.

Os direitos de acesso de vários principais de grupo são avaliados com base em sua ordem, tanto na hierarquia quanto em uma única lista de controle de acesso.

Práticas recomendadas

A tabela a seguir lista algumas recomendações e práticas recomendadas:

Administração do usuário

Uma caixa de diálogo padrão é usada para Administração do Usuário.

Você deve estar conectado ao espaço de trabalho apropriado e, em seguida, pode acessar a caixa de diálogo de ambos:

• o link Administração do Usuário no Console Principal do CRX
• no menu Security do CRX Explorer

Propriedades

• ​
  UserIDShort nome da conta, usado ao acessar o CRX.

• Nome
  principalUm nome de texto completo para a conta.

• ​
  PasswordNeeded ao acessar o CRX com esta conta.

• ​
  ntlmhashAtribuído automaticamente a cada nova conta e atualizado quando a senha é alterada.

• É possível adicionar novas propriedades definindo um nome, tipo e valor. Clique em Salvar (símbolo de marca de verificação verde) para cada nova propriedade.

Associação de GrupoExibe todos os grupos aos quais a conta pertence. A coluna Herdado indica que a associação foi herdada como resultado da associação a outro grupo.

Clicar em um GroupID (quando disponível) abrirá o Group Administration para esse grupo.

​​RepresentadoresCom a funcionalidade Representar, um usuário pode trabalhar em nome de outro usuário.

Isso significa que uma conta de usuário pode especificar outras contas (usuário ou grupo) que podem operar com sua conta. Em outras palavras, se o usuário-B tiver permissão para representar o usuário-A, o usuário-B poderá realizar ações usando os detalhes completos da conta do usuário-A (incluindo ID, nome e direitos de acesso).

Isso permite que as contas do representante concluam tarefas como se estivessem usando a conta que representam; por exemplo, durante uma ausência ou para compartilhar uma carga excessiva em curto prazo.

Se uma conta representar outra é muito difícil de ver. Os arquivos de log não contêm informações sobre o fato de que a representação ocorreu nos eventos. Portanto, se o usuário B estiver representando o usuário-A, todos os eventos parecerão ter sido executados pessoalmente pelo usuário-A.

Criando uma conta de usuário

1. Abra a caixa de diálogo Administração do Usuário.

2. Clique em Criar Usuário.

3. É possível inserir as Propriedades:

   • ​​UserIDusada como o nome da conta.
   • ​​Senha necessária ao fazer logon.
   • Nome principal para fornecer um nome textual completo.
   • Caminho intermediário, que pode ser usado para formar uma estrutura em árvore.

4. Clique em Salvar (símbolo de marca de verificação verde).

5. A caixa de diálogo será expandida para que você possa:

   1. Configure Propriedades.
   2. Consulte Associação de Grupo.
   3. Defina Representadores.

Atualizando uma conta de usuário

1. Com a caixa de diálogo Administração do Usuário, abra a exibição de lista de todas as contas.

2. Navegue pela estrutura de árvore.

3. Clique na conta desejada para abrir para edição.

4. Faça uma alteração e clique em Salvar (símbolo de marca de verificação verde) para essa entrada.

5. Clique em Fechar para concluir ou Lista… para retornar à lista de todas as contas de usuário.

Remover uma conta de usuário

1. Com a caixa de diálogo Administração do Usuário, abra a exibição de lista de todas as contas.

2. Navegue pela estrutura de árvore.

3. Selecione a conta necessária e clique em Remover Usuário; a conta será excluída imediatamente.

Definição de propriedades

Você pode definir Propriedades para contas novas ou existentes:

1. Abra a caixa de diálogo Administração do Usuário para a conta apropriada.
2. Defina um nome Propriedade.
3. Selecione Type na lista suspensa.
4. Defina o Valor.
5. Clique em Salvar (símbolo de clique verde) para a nova propriedade.

As propriedades existentes podem ser excluídas com o símbolo de lixeira.

Com exceção da Senha, as propriedades não podem ser editadas, elas devem ser excluídas e recriadas.

Alterar a senha

O Password é uma propriedade especial que pode ser alterada clicando no link Change Password.

Você também pode alterar a senha para sua própria conta de usuário no menu Security no CRX Explorer.

Definição de um representante

Você pode definir Representantes para contas novas ou existentes:

1. Abra a caixa de diálogo Administração do Usuário para a conta apropriada.

2. Especifique a conta a ser permitida para representar essa conta.

   Você pode usar Procurar… para selecionar uma conta existente.

3. Clique em Salvar (símbolo de marca de verificação verde) para a nova propriedade.

Administração de grupo

Uma caixa de diálogo padrão é usada para Administração de grupo.

Você deve estar conectado ao espaço de trabalho apropriado e, em seguida, pode acessar a caixa de diálogo de ambos:

• o link Administração de grupo no Console principal do CRX
• no menu Security do CRX Explorer

Propriedades

• ​
  Nome GroupIDShort da conta de grupo.

• ​
  Nome principalUm nome de texto completo para a conta de grupo.

• É possível adicionar novas propriedades definindo um nome, tipo e valor. Clique em Salvar (símbolo de marca de verificação verde) para cada nova propriedade.

• ​
  MembrosVocê pode adicionar usuários ou outros grupos como membros deste grupo.

Associação de GrupoExibe todos os grupos aos quais a conta de grupo atual pertence. A coluna Herdado indica que a associação foi herdada como resultado da associação a outro grupo.

Clicar em uma ID de grupo abrirá a caixa de diálogo desse grupo.

​​MembersLista todas as contas (usuários e/ou grupos) que são membros do grupo atual.

A coluna Herdado indica que a associação foi herdada como resultado da associação a outro grupo.

Criando uma conta de grupo

1. Abra a caixa de diálogo Administração de Grupo.

2. Clique em Criar grupo.

3. É possível inserir as Propriedades:

   • Nome principal para fornecer um nome textual completo.
   • Caminho intermediário, que pode ser usado para formar uma estrutura em árvore.

4. Clique em Salvar (símbolo de marca de verificação verde).

5. A caixa de diálogo será expandida para que você possa:

   1. Configure Propriedades.
   2. Consulte Associação de Grupo.
   3. Gerenciar Membros.

Atualizando uma conta de grupo

1. Com a caixa de diálogo Administração de Grupo, abra a exibição de lista de todas as contas.

2. Navegue pela estrutura de árvore.

3. Clique na conta desejada para abrir para edição.

4. Faça uma alteração e clique em Salvar (símbolo de marca de verificação verde) para essa entrada.

5. Clique em Fechar para concluir ou Lista… para retornar à lista de todas as contas de grupo.

Remover uma conta de grupo

1. Com a caixa de diálogo Administração de Grupo, abra a exibição de lista de todas as contas.

2. Navegue pela estrutura de árvore.

3. Selecione a conta necessária e clique em Remover Grupo; a conta será excluída imediatamente.

Definição de propriedades

Você pode definir Propriedades para contas novas ou existentes:

1. Abra a caixa de diálogo Administração de Grupo para a conta apropriada.
2. Defina um nome Propriedade.
3. Selecione Type na lista suspensa.
4. Defina o Valor.
5. Clique em Salvar (símbolo de marca de verificação verde) para a nova propriedade.

As propriedades existentes podem ser excluídas com o símbolo de lixeira.

Membros

Você pode adicionar membros ao grupo atual:

1. Abra a caixa de diálogo Administração de Grupo para a conta apropriada.

2. Ou:

   • Insira o nome do membro necessário (conta de usuário ou grupo).
   • Ou use Procurar… para procurar e selecionar o principal (conta de usuário ou grupo) que deseja adicionar.

3. Clique em Salvar (símbolo de marca de verificação verde) para a nova propriedade.

Ou exclua um membro existente com o símbolo da lixeira.

Gerenciamento de direitos de acesso

Com a guia Controle de acesso do CRXDE Lite, você pode definir as políticas de controle de acesso e atribuir os privilégios relacionados.

Por exemplo, para Caminho atual selecione o recurso desejado no painel esquerdo, a guia Controle de acesso no painel inferior direito:

As políticas são categorizadas de acordo com:

• Políticas de Controle de Acesso Aplicáveis
  Essas políticas podem ser aplicadas.

  Essas são políticas que estão disponíveis para criar uma política local. Depois de selecionar e adicionar uma política aplicável, ela se torna uma política local.

• Políticas de Controle de Acesso Local
  São políticas de controle de acesso que você aplicou. Em seguida, você pode atualizar, ordenar ou removê-los.

  Uma política local substituirá todas as políticas herdadas do pai.

• ​
  Políticas de Controle de Acesso EfetivasEssas são as políticas de controle de acesso que agora estão em vigor para quaisquer solicitações de acesso. Eles mostram as políticas agregadas derivadas das políticas locais e de qualquer herdada do pai.

Seleção de Política

As políticas podem ser selecionadas para:

• Current
  PathAs no exemplo acima, selecione um recurso dentro do repositório. As políticas para este "caminho atual" serão mostradas.

• ​
  RepositorySeleciona o controle de acesso de nível de repositório. Por exemplo, ao definir a variável
  jcr:namespaceManagement privilégio, que é relevante apenas para o repositório, não um nó.

• ​
  PrincipalUm principal que está registrado no repositório.

  Você pode digitar o nome Principal ou clicar no ícone à direita do campo para abrir a caixa de diálogo Selecionar Principal.

  Isso permite Pesquisar por um Usuário ou Grupo. Selecione o principal necessário na lista resultante e clique em OK para retornar o valor à caixa de diálogo anterior.

Privilégios

Os seguintes privilégios estão disponíveis para seleção ao adicionar uma entrada de controle de acesso (consulte a API de segurança para obter detalhes completos):

Registrar Novos Privilégios

Também é possível registrar novos privilégios:

1. Na barra de ferramentas, selecione Tools, em seguida Privileges para exibir os privilégios registrados no momento.

   

2. Use o ícone Registrar Privilégio (+) para abrir a caixa de diálogo e definir um novo privilégio:

   

3. Clique em OK para salvar. O privilégio agora estará disponível para seleção.

Adicionar uma entrada de controle de acesso

1. Selecione o recurso e abra a guia Controle de Acesso.

2. Para adicionar um novo Políticas de Controlo de Acesso Local, clique no ícone + à direita da lista Política de Controlo de Acesso Aplicável:

   

3. Uma nova entrada é exibida em Políticas de Controle de Acesso Local:

   

4. Clique no ícone + para adicionar uma nova entrada:

   

   OBSERVAÇÃO

   Atualmente, uma solução alternativa é necessária para especificar uma string vazia.

   Para isso, você precisa usar "".

5. Defina sua política de controle de acesso e clique em OK para salvar. Sua nova política irá:

   • ser listado em Política de Controle de Acesso Local
   • as alterações serão refletidas nas Políticas de Controle de Acesso Efetivas.

O CRX validará sua seleção; para um determinado principal existe (no máximo) 1 negação e 1 entrada de permissão em um determinado nó. A implementação sempre limpa entradas redundantes e garante que o mesmo privilégio não esteja listado nas entradas permitir e negar.

Solicitar políticas de controle de acesso local

A ordem na lista indica a ordem na qual as políticas são aplicadas.

1. Na tabela de Políticas de Controle de Acesso Local, selecione a entrada necessária e arraste-a para a nova posição na tabela.

   

2. As alterações serão mostradas nas tabelas para Local e Políticas de Controle de Acesso Efetivas.

Removendo uma Política de Controle de Acesso

1. Na tabela de Políticas de Controle de Acesso Local clique no ícone vermelho (-) à direita da entrada.

2. A entrada será removida das duas tabelas para Local e Políticas de Controle de Acesso Efetivas.

Testando uma política de controle de acesso

1. Na barra de ferramentas do CRXDE Lite, selecione Ferramentas, em seguida Testar Controle de Acesso….

2. Uma nova caixa de diálogo é aberta no painel superior direito. Selecione o Path e/ou Principal que deseja testar.

3. Clique em Testar para ver os resultados da sua seleção:

   

Recursos do Business.Adobe.com

Style System Auto Form Fill Embedded Charts Web Content Management Customer Experience Management Digital Asset Management