Amministrazione degli utenti e sicurezza

Questo capitolo descrive come configurare e mantenere l'autorizzazione utente e descrive anche la teoria dietro il funzionamento dell'autenticazione e dell'autorizzazione in AEM.

Utenti e gruppi in AEM

Questa sezione descrive in dettaglio le varie entità e i concetti correlati per consentirti di configurare un concetto di gestione degli utenti facile da gestire.

Utenti

Gli utenti effettueranno l’accesso a AEM con il proprio account. Ogni account utente è univoco e contiene i dettagli dell'account di base, insieme ai privilegi assegnati.

Gli utenti sono spesso membri di Gruppi, il che semplifica l'allocazione di tali autorizzazioni e/o privilegi.

Gruppi

I gruppi sono raccolte di utenti e/o di altri gruppi; tutti questi sono chiamati membri di un gruppo.

Il loro scopo principale è semplificare il processo di manutenzione riducendo il numero di entità da aggiornare, in quanto una modifica apportata a un gruppo viene applicata a tutti i membri del gruppo. I gruppi riflettono spesso:

• un ruolo all'interno della domanda; ad esempio chi può navigare sul contenuto o chi può contribuire al contenuto.
• la propria organizzazione; è possibile estendere i ruoli per distinguere tra collaboratori di diversi reparti quando sono limitati a rami diversi nella struttura del contenuto.

Pertanto i gruppi tendono a rimanere stabili, mentre gli utenti arrivano e vanno più frequentemente.

Con la pianificazione e una struttura pulita, l'uso dei gruppi può riflettere la vostra struttura, fornendo una panoramica chiara e un meccanismo efficiente per gli aggiornamenti.

Utenti e gruppi incorporati

AEM WCM installa un certo numero di utenti e gruppi. Questi sono visibili al primo accesso alla console di sicurezza dopo l’installazione.

Nelle tabelle seguenti sono elencate tutte le voci insieme a:

• breve descrizione
• eventuali raccomandazioni sulle modifiche necessarie

Modifica tutte le password predefinite (se non elimini l'account stesso in determinate circostanze).

Autorizzazioni in AEM

AEM utilizza le ACL per determinare quali azioni può intraprendere un utente o un gruppo e dove può eseguire tali azioni.

Autorizzazioni e ACL

Le autorizzazioni definiscono chi può eseguire le azioni su una risorsa. Le autorizzazioni sono il risultato delle valutazioni controllo accessi.

È possibile modificare le autorizzazioni concesse/negate a un determinato utente selezionando o deselezionando le caselle di controllo relative alle singole AEM azioni. Un segno di spunta indica che un’azione è consentita. Nessun segno di spunta indica che un’azione è negata.

La posizione del segno di spunta nella griglia indica anche le autorizzazioni disponibili per gli utenti in quali posizioni all’interno di AEM (ovvero, quali percorsi).

Azioni

Le azioni possono essere eseguite su una pagina (risorsa). Per ogni pagina nella gerarchia, puoi specificare quale azione l’utente può eseguire in quella pagina. Autorizzazioni per consentire o negare un’azione.

Elenchi di controllo accessi e modalità di valutazione

AEM WCM utilizza gli elenchi di controllo accessi (ACL, Access Control List) per organizzare le autorizzazioni applicate alle varie pagine.

Gli elenchi di controllo degli accessi sono costituiti dalle singole autorizzazioni e vengono utilizzati per determinare l'ordine in cui tali autorizzazioni vengono effettivamente applicate. L’elenco viene formato in base alla gerarchia delle pagine in esame. Tale elenco viene quindi analizzato dal basso verso l’alto fino a quando non viene trovata la prima autorizzazione appropriata per l’applicazione a una pagina.

Stati di autorizzazione

Le autorizzazioni vengono applicate anche a qualsiasi pagina figlia.

Se un'autorizzazione non viene ereditata dal nodo padre ma presenta almeno una voce locale per tale nodo, alla casella di controllo vengono aggiunti i simboli seguenti. Una voce locale è una voce creata nell'interfaccia CRX 2.2 (le ACL con caratteri jolly al momento possono essere create solo in CRX.)

Per un'azione in un determinato percorso:

Quando passi il cursore sopra l’asterisco o il punto esclamativo, una descrizione comandi fornisce ulteriori dettagli sulle voci dichiarate. La descrizione comando è divisa in due parti:

Di seguito sono riportate le raccomandazioni sulla gestione degli elenchi di controllo accessi:

• Non assegnare le autorizzazioni direttamente agli utenti. Assegnali solo ai gruppi.

  Questo semplificherà la manutenzione, in quanto il numero di gruppi è molto inferiore al numero di utenti e anche meno volatile.

• Se desideri che un gruppo/utente sia in grado solo di modificare le pagine, non concedere loro diritti di creazione o negazione. Concedi loro solo diritti di modifica e lettura.

• Usa con cautela Deny. Per quanto possibile, utilizzare solo Consenti.

  L’utilizzo di deny può causare effetti imprevisti se le autorizzazioni vengono applicate in un ordine diverso da quello previsto. Se un utente è membro di più gruppi, le istruzioni di rifiuto di un gruppo possono annullare l'istruzione Allow di un altro gruppo o viceversa. È difficile mantenere una panoramica quando questo accade e può facilmente portare a risultati imprevisti, mentre Consenti assegnazioni non causano tali conflitti.

  L'Adobe consiglia di utilizzare Consenti anziché Rifiutare per vedere Best practice.

Prima di modificare entrambe le autorizzazioni, assicurati di capire come funzionano e come si relazionano. Consulta la documentazione CRX per illustrare come AEM WCM valuta i diritti di accesso e gli esempi sulla configurazione degli elenchi di controllo accessi.

Autorizzazioni

Le autorizzazioni consentono agli utenti e ai gruppi di accedere alla funzionalità AEM sulle pagine AEM.

È possibile sfogliare le autorizzazioni in base al percorso espandendo/comprimendo i nodi e tenere traccia dell'ereditarietà delle autorizzazioni fino al nodo principale.

È possibile concedere o negare le autorizzazioni selezionando o deselezionando le caselle di controllo appropriate.

Visualizzazione di informazioni dettagliate sulle autorizzazioni

Insieme alla vista a griglia, AEM fornisce una visualizzazione dettagliata delle autorizzazioni per un utente/gruppo selezionato in un determinato percorso. La visualizzazione dei dettagli fornisce ulteriori informazioni.

Oltre a visualizzare le informazioni, puoi includere o escludere l’utente o il gruppo corrente da un gruppo. Consulta Aggiunta di utenti o gruppi durante l'aggiunta di autorizzazioni. Le modifiche apportate vengono immediatamente riportate nella parte superiore della visualizzazione dettagliata.

Per accedere alla visualizzazione Dettagli, nella scheda Autorizzazioni fare clic su Dettagli per qualsiasi gruppo/utente e percorso selezionati.

I dettagli sono suddivisi in due parti:

Impersona di un altro utente

Con la funzionalità Impersona un utente può lavorare per conto di un altro utente.

Ciò significa che un account utente può specificare altri account che possono funzionare con il proprio account. In altre parole, se l’utente-B può rappresentare l’utente-A, l’utente-B può intraprendere azioni utilizzando i dettagli completi dell’account utente-A.

Ciò consente agli account dell’impersonatore di completare le attività come se utilizzassero l’account che stanno impersonando; ad esempio, durante un'assenza o per condividere un carico eccessivo a breve termine.

Best practice

Di seguito sono descritte le best practice per l’utilizzo di autorizzazioni e privilegi:

Gestione di utenti e gruppi

Gli utenti includono le persone che utilizzano il sistema e i sistemi esterni che effettuano richieste al sistema.

Un gruppo è un insieme di utenti.

Entrambi possono essere configurati utilizzando la funzionalità Amministrazione utente della console di sicurezza.

Accesso all’amministrazione utente tramite la console di sicurezza

Puoi accedere a tutti gli utenti, i gruppi e le autorizzazioni associate utilizzando la console Sicurezza. Tutte le procedure descritte in questa sezione vengono eseguite in questa finestra.

Per accedere AEM protezione WCM, effettuare una delle seguenti operazioni:

• Nella schermata introduttiva o in diverse aree di AEM, fai clic sull’icona di protezione :

• Passa direttamente a https://<server>:<port>/useradmin. Assicurati di accedere a AEM come amministratore.

Viene visualizzata la finestra seguente:

Nella struttura ad albero a sinistra sono elencati tutti gli utenti e i gruppi attualmente presenti nel sistema. È possibile selezionare le colonne desiderate, ordinare il contenuto delle colonne e persino modificare l’ordine di visualizzazione delle colonne trascinando l’intestazione della colonna in una nuova posizione.

Le schede consentono di accedere a varie configurazioni:

Filtrare utenti e gruppi

È possibile filtrare l’elenco immettendo un’espressione di filtro che nasconde tutti gli utenti e i gruppi che non corrispondono all’espressione. È inoltre possibile nascondere utenti e gruppi utilizzando i pulsanti Nascondi utente e Nascondi gruppo .

Per filtrare utenti o gruppi:

1. Nell’elenco ad albero a sinistra, digita l’espressione del filtro nello spazio disponibile. Ad esempio, l'immissione di admin visualizza tutti gli utenti e i gruppi contenenti questa stringa.

2. Fare clic sulla lente di ingrandimento per filtrare l’elenco.

   

3. Fai clic su x per rimuovere tutti i filtri.

Nascondere utenti e gruppi

Nascondere utenti o gruppi è un altro modo per filtrare l’elenco di tutti gli utenti e i gruppi in un sistema. Ci sono due meccanismi di attivazione/disattivazione. Facendo clic su Nascondi utente, tutti gli utenti vengono nascosti e facendo clic su Nascondi gruppi vengono nascosti tutti i gruppi (non è possibile nascondere contemporaneamente utenti e gruppi). Per filtrare l’elenco utilizzando un’espressione di filtro, consulta Filtro di utenti e gruppi.

Per nascondere utenti e gruppi:

1. Nella console Sicurezza, fai clic su Nascondi utenti o Nascondi gruppi. Il pulsante selezionato viene evidenziato.

   

2. Per far riapparire utenti o gruppi, fai di nuovo clic sul pulsante corrispondente.

Creazione di utenti e gruppi

Per creare un nuovo utente o gruppo:

1. Nell'elenco ad albero della console Sicurezza, fai clic su Modifica e quindi su Crea utente o su Crea gruppo.

   

2. Immetti i dettagli richiesti, a seconda che tu stia creando un utente o un gruppo.

   • Se selezioni Crea utente, immetti l'ID di accesso, il nome e il cognome, l'indirizzo e-mail e una password. Per impostazione predefinita, AEM crea un percorso basato sulla prima lettera del cognome, ma puoi selezionare un altro percorso.

   

   • Se selezioni Crea gruppo, inserisci un ID gruppo e una descrizione facoltativa.

   

3. Fai clic su Crea. L'utente o il gruppo creato viene visualizzato nell'elenco ad albero.

Eliminazione di utenti e gruppi

Per eliminare un utente o un gruppo:

1. Nella console Sicurezza, seleziona l’utente o il gruppo da eliminare. Se si desidera eliminare più elementi, fare clic tenendo premuto il tasto Maiusc o il tasto Ctrl per selezionarli.
2. Fare clic su Modifica,, quindi selezionare Elimina. AEM WCM chiede se si desidera eliminare l'utente o il gruppo.
3. Fare clic su OK per confermare o annullare l'azione.

Modifica delle proprietà di utenti e gruppi

Per modificare le proprietà utente e gruppo:

1. Nella console Sicurezza fare doppio clic sul nome utente o del gruppo da modificare.

2. Fare clic sulla scheda Proprietà, apportare le modifiche necessarie e fare clic su Salva.

   

Modifica della password utente

Per modificare la password di un utente, attenersi alla procedura descritta di seguito.

1. Nella console Sicurezza fare doppio clic sul nome utente per il quale si desidera modificare la password.

2. Fare clic sulla scheda Proprietà (se non è già attiva).

3. Fare clic su Imposta password. Viene visualizzata la finestra Imposta password, che consente di modificare la password.

   

4. Immettere due volte la nuova password; poiché non vengono visualizzati in testo chiaro, questo è necessario per la conferma, se non corrispondono, il sistema visualizza un errore.

5. Fare clic su Imposta per attivare la nuova password dell'account.

Aggiunta di utenti o gruppi a un gruppo

AEM offre tre modi diversi per aggiungere utenti o gruppi a un gruppo esistente:

• Quando ti trovi nel gruppo, puoi aggiungere membri (utenti o gruppi).
• Quando sei nel membro, puoi aggiungere membri ai gruppi.
• Quando si lavora su Autorizzazioni, è possibile aggiungere membri ai gruppi.

Gruppi - Aggiunta di utenti o gruppi a un gruppo

La scheda Gruppi mostra a quali gruppi appartiene l’account corrente. Puoi utilizzarlo per aggiungere l’account selezionato a un gruppo:

1. Fare doppio clic sul nome dell'account (utente o gruppo) che si desidera assegnare a un gruppo.

2. Fare clic sulla scheda Gruppi. Viene visualizzato un elenco di gruppi a cui l’account appartiene già.

3. Nell'elenco ad albero, fare clic sul nome del gruppo a cui si desidera aggiungere l'account e trascinarlo nel riquadro Gruppi. Se desideri aggiungere più utenti, fai clic su o su Ctrl+clic su tali nomi e trascinali.

   

4. Fai clic su Salva per salvare le modifiche.

Membri: aggiunta di utenti o gruppi a un gruppo

La scheda Membri funziona solo per i gruppi e mostra gli utenti e i gruppi che appartengono al gruppo corrente. Puoi utilizzarlo per aggiungere account a un gruppo:

1. Fare doppio clic sul nome del gruppo a cui si desidera aggiungere i membri.

2. Fare clic sulla scheda Membri. Viene visualizzato un elenco di membri che appartengono già a questo gruppo.

3. Nell'elenco ad albero, fare clic sul nome del membro che si desidera aggiungere al gruppo e trascinarlo nel riquadro Membri. Se desideri aggiungere più utenti, fai clic su o su Ctrl+clic su tali nomi e trascinali.

   

4. Fai clic su Salva per salvare le modifiche.

Aggiunta di utenti o gruppi durante l'aggiunta di autorizzazioni

Per aggiungere membri a un gruppo in un determinato percorso:

1. Fare doppio clic sul nome del gruppo o dell'utente a cui si desidera aggiungere gli utenti.

2. Fare clic sulla scheda Autorizzazioni.

3. Passa al percorso a cui desideri aggiungere le autorizzazioni e fai clic su Dettagli. La parte inferiore della finestra dei dettagli fornisce informazioni su chi dispone delle autorizzazioni per quella pagina.

   

4. Selezionare la casella di controllo nella colonna Membro per i membri per i quali si desidera disporre delle autorizzazioni per tale percorso. Deselezionare la casella di controllo relativa al membro per il quale si desidera rimuovere le autorizzazioni. Nella cella in cui sono state apportate modifiche viene visualizzato un triangolo rosso.

5. Fate clic su OK per salvare le modifiche.

Rimozione di utenti o gruppi dai gruppi

AEM offre tre modi diversi per rimuovere utenti o gruppi da un gruppo:

• Quando ti trovi nel profilo di gruppo, puoi rimuovere i membri (utenti o gruppi).
• Quando ti trovi nel profilo membro, puoi rimuovere i membri dai gruppi.
• Quando lavori su Autorizzazioni, puoi rimuovere i membri dai gruppi.

Gruppi - Rimozione di utenti o gruppi dai gruppi

Per rimuovere un account utente o di gruppo da un gruppo:

1. Fare doppio clic sul nome del gruppo o dell'account utente che si desidera rimuovere da un gruppo.

2. Fare clic sulla scheda Gruppi. Puoi vedere a quali gruppi appartiene l’account selezionato.

3. Nel riquadro Gruppi fare clic sul nome dell'utente o del gruppo che si desidera rimuovere dal gruppo e fare clic su Rimuovi. (Per rimuovere più account, fare clic su di essi tenendo premuto Maiusc o Ctrl, quindi fare clic su Rimuovi.)

   

4. Fai clic su Salva per salvare le modifiche.

Membri: rimozione di utenti o gruppi dai gruppi

Per rimuovere account da un gruppo:

1. Fare doppio clic sul nome del gruppo da cui si desidera rimuovere i membri.

2. Fare clic sulla scheda Membri. Viene visualizzato un elenco di membri che appartengono già a questo gruppo.

3. Nel riquadro Membri fare clic sul nome del membro che si desidera rimuovere dal gruppo e fare clic su Rimuovi. (Per rimuovere più utenti, fare clic su di essi tenendo premuto Maiusc o Ctrl, quindi fare clic su Rimuovi.)

   

4. Fai clic su Salva per salvare le modifiche.

Rimozione di utenti o gruppi durante l'aggiunta di autorizzazioni

Per rimuovere i membri da un gruppo in un determinato percorso:

1. Fare doppio clic sul nome del gruppo o dell'utente da cui si desidera rimuovere gli utenti.

2. Fare clic sulla scheda Autorizzazioni.

3. Passa al percorso a cui desideri rimuovere le autorizzazioni e fai clic su Dettagli. La parte inferiore della finestra dei dettagli fornisce informazioni su chi dispone delle autorizzazioni per quella pagina.

   

4. Selezionare la casella di controllo nella colonna Membro per i membri per i quali si desidera disporre delle autorizzazioni per tale percorso. Deselezionare la casella di controllo relativa al membro per il quale si desidera rimuovere le autorizzazioni. Nella cella in cui sono state apportate modifiche viene visualizzato un triangolo rosso.

5. Fate clic su OK per salvare le modifiche.

Sincronizzazione utente

Quando la distribuzione è una farm di pubblicazione, gli utenti e i gruppi devono essere sincronizzati tra tutti i nodi di pubblicazione.

Per informazioni sulla sincronizzazione utente e su come abilitarla, consulta Sincronizzazione utente.

Gestione delle autorizzazioni

Questa sezione descrive come impostare le autorizzazioni, inclusi i privilegi di replica.

Impostazione delle autorizzazioni

Le autorizzazioni consentono agli utenti di eseguire determinate azioni sulle risorse in determinati percorsi. Include anche la possibilità di creare o eliminare pagine.

Per aggiungere, modificare o eliminare autorizzazioni:

1. Nella console Sicurezza fare doppio clic sul nome dell'utente o del gruppo per il quale si desidera impostare le autorizzazioni o cercare i nodi.

2. Fare clic sulla scheda Autorizzazioni.

   

3. Nella griglia ad albero, selezionare una casella di controllo per consentire all'utente o al gruppo selezionato di eseguire un'azione oppure deselezionare una casella di controllo per negare all'utente o al gruppo selezionato di eseguire un'azione. Per ulteriori informazioni, fare clic su Dettagli.

4. Al termine, fai clic su Salva.

Impostazione dei privilegi di replica

Il privilegio di replica è il diritto di pubblicare contenuto e può essere impostato per gruppi e utenti.

Per impostare i privilegi di replica:

1. Seleziona l'utente o il gruppo dall'elenco, fai doppio clic per aprirlo e fai clic su Autorizzazioni.

2. Nella griglia, passare al percorso in cui si desidera che l'utente disponga dei privilegi di replica o cercare i nodi.

3. Nella colonna Replica nel percorso selezionato, selezionare una casella di controllo per aggiungere il privilegio di replica per l'utente o il gruppo oppure deselezionare la casella di controllo per rimuovere il privilegio di replica. AEM viene visualizzato un triangolo rosso in qualsiasi punto in cui sono state apportate modifiche che non sono ancora state salvate.

   

4. Fai clic su Salva per salvare le modifiche.

Ricerca dei nodi

Quando aggiungi o rimuovi autorizzazioni, puoi sfogliare o cercare il nodo.

Esistono due tipi diversi di ricerca dei percorsi:

• Ricerca percorso - Se la stringa di ricerca inizia con un "/", la ricerca cerca i sotto-nodi diretti del percorso specificato:

Nella casella di ricerca è possibile effettuare le seguenti operazioni:

• Ricerca FullText - Se la stringa di ricerca non inizia con un "/", viene eseguita una ricerca full-text su tutti i nodi sotto il percorso "/content".

Per eseguire una ricerca su percorsi o testo completo:

1. Nella console Protezione, seleziona un utente o un gruppo e fai clic sulla scheda Autorizzazioni .

2. Nella casella Cerca immettere un termine da cercare.

Impersona utenti

Puoi specificare uno o più utenti autorizzati a rappresentare l’utente corrente. Ciò significa che possono cambiare le impostazioni del loro account a quelle dell'utente corrente e agire per conto di questo utente.

Utilizzare questa funzione con cautela, in quanto può consentire agli utenti di eseguire azioni che non possono essere eseguite dal proprio utente. Durante la rappresentazione di un utente, gli utenti ricevono una notifica del fatto che non hanno effettuato l’accesso come se stessi.

Esistono vari scenari in cui potresti voler utilizzare questa funzionalità, tra cui:

• Se sei fuori ufficio, puoi lasciare che un'altra persona ti impersoni mentre sei via. Utilizzando questa funzione, puoi assicurarti che qualcuno disponga dei tuoi diritti di accesso e non devi modificare un profilo utente o fornire la tua password.
• È possibile utilizzarlo a scopo di debug. Ad esempio, per vedere come il sito Web cerca un utente con diritti di accesso limitati. Inoltre, se un utente si lamenta di problemi tecnici, puoi impersonare tale utente per diagnosticare e risolvere il problema.

Per rappresentare un utente esistente:

1. Nell’elenco ad albero, selezionare il nome della persona che si desidera assegnare ad altri utenti da rappresentare. Fare doppio clic per aprire.

2. Fai clic sulla scheda Impersonatori .

3. Fai clic sull’utente che desideri poter rappresentare l’utente selezionato. Trascina l’utente (che rappresenterà) dall’elenco al riquadro Impersona. Il nome viene visualizzato nell’elenco.

   

4. Fai clic su Salva.

Impostazione delle preferenze utente e gruppo

Per impostare le preferenze utente e gruppo, incluse la lingua, la gestione delle finestre e le preferenze della barra degli strumenti:

1. Selezionare l'utente o il gruppo di cui si desidera modificare le preferenze nella struttura a sinistra. Per selezionare più utenti o gruppi, fare clic sulle selezioni tenendo premuto Ctrl o Maiusc.

2. Fare clic sulla scheda Preferenze.

   

3. Apporta le modifiche necessarie al gruppo o alle preferenze utente e fai clic su Salva al termine.

Impostazione di utenti o amministratori per avere il privilegio di gestire altri utenti

Per impostare gli utenti o gli amministratori in modo che dispongano dei privilegi per eliminare/attivare/disattivare altri utenti:

1. Aggiungi l'utente a cui si desidera assegnare i privilegi per gestire altri utenti al gruppo amministratore e salva le modifiche.

   

2. Nella scheda Autorizzazioni dell'utente, passare a "/" e nella colonna Replica selezionare la casella di controllo per consentire la replica in "/" e fare clic su Salva.

   

   L’utente selezionato può ora disattivare, attivare, eliminare e creare gli utenti.

Estensione dei privilegi a livello di progetto

Se prevedi di implementare privilegi specifici per le applicazioni, le informazioni seguenti descrivono ciò che devi sapere per implementare un privilegio personalizzato e come applicarlo in CQ:

Il privilegio di modifica della gerarchia è coperto da una combinazione di privilegi jcr. Il privilegio di replica si chiama crx:replicate che viene memorizzato/valutato insieme ad altri privilegi sull'archivio jcr. Tuttavia, essa non viene applicata a livello di jcr.

La definizione e la registrazione dei privilegi personalizzati fa ufficialmente parte della API Jackrabbit a partire dalla versione 2.4 (vedi anche JCR-2887). L'ulteriore utilizzo è coperto da JCR Access Control Management, come definito da JSR 283 (sezione 16). Inoltre, l’API Jackrabbit definisce un paio di estensioni.

Il meccanismo di registrazione dei privilegi si riflette nell'interfaccia utente in Configurazione archivio.

La registrazione di nuovi privilegi (personalizzati) è a sua volta protetta da un privilegio integrato che deve essere concesso a livello di archivio (in JCR: passando 'null' come parametro 'absPath' nell'api mgt di ac, vedi jsr 333 per ulteriori dettagli). Per impostazione predefinita, admin e tutti i membri degli amministratori dispongono di tale privilegio.