ユーザー管理とセキュリティ

この章では、ユーザー認証を設定して管理する方法を説明します。また、AEM における認証と承認の機能の背後にある理論についても説明します。

AEM のユーザーとグループ

この節では、管理しやすいユーザー管理概念の設定に役立つ様々なエンティティと、関連する概念について詳しく取り上げます。

ユーザー

ユーザーはアカウントを使用して AEM にログインします。各ユーザーアカウントは一意であり、基本的なアカウントの詳細情報と、割り当てられている権限を保持します。

多くの場合、ユーザーはグループのメンバーです。権限の割り当てをグループに対しておこなうことで簡略化できます。

グループ

グループはユーザーおよび他のグループの集合です。これらはすべてグループのメンバーと呼ばれます。

グループの主な目的は、更新するエンティティの数を減らしてメンテナンスプロセスを簡略化することです。これは、グループに対する変更がそのグループのすべてのメンバーに適用されるという機能を利用したものです。多くの場合、グループには次の項目が反映されます。

• アプリケーション内の役割：コンテンツの閲覧を許可されているユーザー、コンテンツの寄稿を許可されているユーザーなど
• 自身の組織：寄稿者がコンテンツツリー内の別のブランチに制限されている場合、役割を拡張して、別の部門からの寄稿者を区別できます。

したがって、グループは固定される傾向にありますが、ユーザーはより頻繁に追加／削除されます。

構造がよく計画され、整理されていれば、その構造に合わせてグループを使用できます。これにより、全体を把握しやすくなり、効率的な方法で更新をおこなえるようになります。

組み込みのユーザーとグループ

AEM WCM では複数のユーザーとグループがインストールされます。インストール後に初めてセキュリティコンソールにアクセスすると、表示されます。

以下の表は、組み込みのユーザーおよびグループと、次の項目を示しています。

• 簡単な説明
• 必要な変更に関する推奨事項

（特定の事情によりアカウント自体を削除しない場合、）デフォルトのパスワードはすべて変更してください​。

AEM の権限

AEM では、ACL を使用して、ユーザーまたはグループが実行できるアクションとそのアクションを実行できる場所を決定します。

権限と ACL

権限では、リソースに対してどのユーザーがどのようなアクションを実行できるかを定義します。権限は、アクセス制御の評価の結果です。

AEM の個々のアクションのチェックボックスをオン／オフにすることで、特定のユーザーに対して付与／拒否された権限を変更できます。チェックマークありは、アクションが許可されていることを示します。チェックマークなしは、アクションが拒否されていることを示します。

また、グリッド内のチェックマークは、AEM 内のどの場所（パス）でどのような権限がユーザーに付与されているかを示します。

アクション

アクションはページ（リソース）に対して実行できます。階層内のページごとに、ユーザーがそのページに対して実行できるアクションを指定できます。権限を使用してアクションを許可または拒否できます。

アクセス制御リストとその評価方法

AEM WCM では、アクセス制御リスト（ACL）を使用して、様々なページに適用される権限を整理します。

アクセス制御リストは個々の権限で構成され、その権限を実際に適用する順序を決定するために使用されます。このリストは、検討中のページの階層に従って作成されます。ページへの適用に適した最初の権限が見つかるまで、作成されたリストが下から上にスキャンされます。

権限の状態

この権限は子ページにも適用されます。

親ノードから権限が継承されず、その権限の対象となるローカルエントリが 1 つ以上ある場合は、次の記号がチェックボックスに表示されます。ローカルエントリは CRX 2.2 インターフェイスで作成されたものです（現時点では、ワイルドカード ACL は CRX でのみ作成できます）。

特定のパスにおけるアクションには次の記号が表示されます。

アスタリスクまたは感嘆符の上にマウスポインターを置くと、宣言されたエントリの詳細を示すツールチップが表示されます。このツールチップは 2 つの部分に分かれています。

アクセス制御リストの管理に関する推奨事項を以下に示します。

• 権限を直接ユーザーに割り当てないでください。権限はグループにのみ割り当てます。

  これにより、グループ数がユーザー数より少なくなり、変更の回数も減るので、メンテナンスが簡略化されます。

• グループまたはユーザーがページの変更だけをおこなえるようにするには、作成または拒否の権限を付与しないでください。付与するのは、変更と読み取りの権限のみです。

• 「拒否」の使用は慎重におこなってください。可能な限り、「許可」のみを使用します。

  「拒否」を使用すると、想定された順序とは異なる順序で権限が適用される場合に、予想外の影響が生じる可能性があります。ユーザーが複数のグループのメンバーである場合は、あるグループからの「拒否」ステートメントによって、別のグループからの「許可」ステートメントが取り消される可能性があります（逆の場合も同様です）。この問題がいつ発生するかを常に把握することは困難であり、予想外の結果が生じやすくなります。一方、「許可」を割り当てておけば、このような不一致は生じません。

  そのため、「拒否」ではなく「許可」を使用することをお勧めします。ベストプラクティスを参照してください。

権限を変更する前に、その権限の役割と相互関係について理解しておいてください。AEM WCM におけるアクセス権限の評価方法とアクセス制御リストの設定例については、CRX のドキュメントを参照してください。

権限

権限を付与すると、ユーザーやグループが AEM ページ上の AEM 機能にアクセスできるようになります。

パス別の権限を参照するには、ノードを展開したり折りたたんだりします。権限の継承はルートノードまで追跡できます。

権限を許可または拒否するには、対応するチェックボックスをオンまたはオフにします。

権限の詳細情報の表示

AEM には、グリッド表示の他にも、特定のパスにおける選択したユーザー／グループの権限の詳細表示が用意されています。この詳細表示には追加情報が示されます。

情報の表示だけでなく、ユーザー／グループをグループに追加したり、グループから除外したりすることもできます。権限を追加する際のユーザーまたはグループの追加を参照してください。ここで行った変更は、詳細表示の上部にすぐに反映されます。

詳細表示にアクセスするには、「権限」タブで、選択したグループ／ユーザーおよびパスの「詳細」をクリックします。

詳細は 2 つの部分に分かれています。

別のユーザーとしての実行

別のユーザーとして実行する機能では、ユーザーは別のユーザーに成り代わって作業を行うことができます。

これは、あるユーザーアカウントが操作をおこなうための他のアカウントを指定できることを意味します。つまり、ユーザー B がユーザー A として実行することを許可されている場合、ユーザー B はユーザー A のアカウントの詳細をすべて使用してアクションを実行できます。

これにより、別のユーザーのアカウントを使用しているかのようにタスクを完了できます。例えば、ユーザーの不在時や過剰な量の作業を短期間だけ分担する場合などに便利です。

ベストプラクティス

次の表は、権限と特権を使用する場合のベストプラクティスを示しています。

ユーザーとグループの管理

ユーザーには、システムおよびそのシステムに対する要求をおこなう外部システムを使用する人々が含まれます。

グループはユーザーの集合です。

ユーザーとグループは、セキュリティコンソール内のユーザー管理機能を使用して設定できます。

セキュリティコンソールを使用したユーザー管理へのアクセス

すべてのユーザー、グループおよび関連付けられている権限にアクセスするには、セキュリティコンソールを使用します。ここで説明する手順はすべて、このウィンドウで実行されます。

AEM WCM セキュリティにアクセスするには、次のいずれかの操作をおこないます。

• ようこそ画面または AEM の様々な場所で、セキュリティアイコンをクリックします。

• https://<server>:<port>/useradmin に直接アクセスします。管理者として AEM にログインしてください。

次のウィンドウが表示されます。

システム内の現在のユーザーとグループがすべて左側のツリーに表示されます。表示する列を選択したり、列の内容を並べ替えたりできます。また、列ヘッダーを新しい位置にドラッグして列の表示順序を変更することもできます。

タブを使用すると、様々な設定にアクセスできます。

ユーザーとグループのフィルタリング

フィルター式を入力してリストをフィルタリングできます。これにより、式に一致しないすべてのユーザーとグループが非表示になります。また、ユーザー非表示とグループ非表示の各ボタンを使用してユーザーとグループを非表示にすることもできます。

ユーザーまたはグループをフィルタリングするには：

1. 左側のツリーリストの指定されたスペースにフィルター式を入力します。例えば、admin と入力すると、この文字列を含むすべてのユーザーとグループが表示されます。

2. 虫眼鏡をクリックしてリストをフィルタリングします。

   

3. すべてのフィルターを削除する場合は、x をクリックします。

ユーザーとグループの非表示

システム内のすべてのユーザーとグループのリストをフィルタリングする方法として、ユーザーまたはグループを非表示にすることもできます。切り替えのメカニズムは 2 つあります。「ユーザー非表示」をクリックすると、すべてのユーザーが非表示になります。「グループ非表示」をクリックすると、すべてのグループが非表示になります（ユーザーとグループの両方を同時に非表示にすることはできません）。フィルター式を使用してリストをフィルタリングするには、ユーザーとグループのフィルタリングを参照してください。

ユーザーとグループを非表示にするには：

1. セキュリティ​コンソールで、「ユーザー非表示」または「グループ非表示」をクリックします。選択したボタンがハイライト表示されます。

   

2. ユーザーまたはグループを再度表示するには、対応するボタンをもう一度クリックします。

ユーザーとグループの作成

新しいユーザーまたはグループを作成するには：

1. セキュリティ​コンソールのツリーリストで、「編集」をクリックし、「ユーザーを作成」または「グループを作成」をクリックします。

   

2. ユーザーとグループのどちらを作成するかに従って、必要な詳細を入力します。

   • 「ユーザーを作成」を選択した場合は、ログイン ID、姓名、電子メールアドレスおよびパスワードを入力します。デフォルトでは、AEM は姓の最初の文字に基づいてパスを作成しますが、別のパスを選択することもできます。

   

   • 「グループを作成」を選択した場合は、グループ ID と説明（オプション）を入力します。

   

3. 「作成」をクリックします。作成したユーザーまたはグループがツリーリストに表示されます。

ユーザーとグループの削除

ユーザーまたはグループを削除するには：

1. セキュリティ​コンソールで、削除するユーザーまたはグループを選択します。複数の項目を削除する場合は、Shift キーまたは Ctrl キーを押しながらクリックして項目を選択します。
2. 「編集」をクリックし、「削除」を選択します。ユーザーまたはグループを削除するかどうかを確認するメッセージが AEM WCM に表示されます。
3. 「OK」をクリックして確定するか、「キャンセル」をクリックしてアクションをキャンセルします。

ユーザーとグループのプロパティの変更

ユーザーとグループのプロパティを変更するには：

1. セキュリティ​コンソールで、変更するユーザーまたはグループの名前をダブルクリックします。

2. 「プロパティ」タブをクリックし、必要な変更を行なって「保存」をクリックします。

   

ユーザーパスワードの変更

以下の手順を使用して、ユーザーのパスワードを変更します。

1. セキュリティ​コンソールで、パスワードを変更するユーザーの名前をダブルクリックします。

2. 「プロパティ」タブをクリックします（まだアクティブでない場合）。

3. 「パスワードを設定」をクリックします。パスワードを設定ウィンドウが開きます。このウィンドウでパスワードを変更できます。

   

4. 新しいパスワードを 2 回入力します。パスワードはクリアテキストとして表示されないので、確認のために 2 回入力する必要があります。2 つのパスワードが一致しない場合は、エラーが表示されます。

5. 「設定」をクリックして、アカウントの新しいパスワードを有効にします。

グループへのユーザーまたはグループの追加

AEM には、ユーザーまたはグループを既存のグループに追加するための方法が 3 つ用意されています。

• グループに属している場合は、メンバー（ユーザーまたはグループ）を追加できます。
• メンバーである場合は、グループにメンバーを追加できます。
• 権限を使用する場合は、グループにメンバーを追加できます。

グループ - グループへのユーザーまたはグループの追加

「グループ」タブには、現在のアカウントが属するグループが表示されます。このタブを使用して、選択したアカウントをグループに追加できます。

1. グループに割り当てるアカウント（ユーザーまたはグループ）の名前をダブルクリックします。

2. 「グループ」タブをクリックします。アカウントが既に属しているグループのリストが表示されます。

3. ツリーリストで、アカウントに追加するグループの名前をクリックし、グループ​ウィンドウにドラッグします（複数のユーザーを追加する場合は、Shift キーまたは Ctrl キーを押しながら名前をクリックしてドラッグします）。

   

4. 「保存」をクリックして変更を保存します。

メンバー - グループへのユーザーまたはグループの追加

「メンバー」タブはグループについてのみ使用できます。このタブには、現在のグループに属しているユーザーとグループが表示されます。このタブを使用して、アカウントをグループに追加できます。

1. メンバーを追加するグループの名前をダブルクリックします。

2. 「メンバー」タブをクリックします。このグループに既に属しているメンバーのリストが表示されます。

3. ツリーリストで、グループに追加するメンバーの名前をクリックし、メンバー​ウィンドウにドラッグします（複数のユーザーを追加する場合は、Shift キーまたは Ctrl キーを押しながら名前をクリックしてドラッグします）。

   

4. 「保存」をクリックして変更を保存します。

権限を追加する際のユーザーまたはグループの追加

特定のパスにあるグループにメンバーを追加するには：

1. ユーザーを追加するグループまたはユーザーの名前をダブルクリックします。

2. 「権限」タブをクリックします。

3. 権限を追加するパスに移動して、「詳細」をクリックします。詳細ウィンドウの下部には、対象のページに対する権限を持つユーザーの情報が表示されます。

   

4. 対象のパスに対する権限を追加するメンバーの「メンバー」列のチェックボックスをオンにします。権限を削除するメンバーのチェックボックスはオフにしてください。変更をおこなったセルには赤い三角形が表示されます。

5. 「OK」をクリックして、変更を保存します。

グループからのユーザーまたはグループの削除

AEM には、ユーザーまたはグループをグループから削除するための方法が 3 つ用意されています。

• グループプロファイルに属している場合は、メンバー（ユーザーまたはグループ）を削除できます。
• メンバープロファイルに属している場合は、グループからメンバーを削除できます。
• 権限を使用する場合は、グループからメンバーを削除できます。

グループ - グループからのユーザーまたはグループの削除

グループからユーザーまたはグループアカウントを削除するには：

1. グループから削除するグループまたはユーザーアカウントの名前をダブルクリックします。

2. 「グループ」タブをクリックします。選択したアカウントが属しているグループが表示されます。

3. グループ​ウィンドウで、グループから削除するユーザーまたはグループの名前をクリックして、「削除」をクリックします（複数のアカウントを削除する場合は、Shift キーまたは Ctrl キーを押しながら名前をクリックして、「削除」をクリックします）。

   

4. 「保存」をクリックして変更を保存します。

メンバー - グループからのユーザーまたはグループの削除

グループからアカウントを削除するには：

1. メンバーを削除するグループの名前をダブルクリックします。

2. 「メンバー」タブをクリックします。このグループに既に属しているメンバーのリストが表示されます。

3. メンバー​ウィンドウで、グループから削除するメンバーの名前をクリックして、「削除」をクリックします（複数のユーザーを削除する場合は、Shift キーまたは Ctrl キーを押しながら名前をクリックして、「削除」をクリックします）。

   

4. 「保存」をクリックして変更を保存します。

権限を追加する際のユーザーまたはグループの削除

特定のパスにあるグループからメンバーを削除するには：

1. ユーザーを削除するグループまたはユーザーの名前をダブルクリックします。

2. 「権限」タブをクリックします。

3. 権限を削除するパスに移動して、「詳細」をクリックします。詳細ウィンドウの下部には、対象のページに対する権限を持つユーザーの情報が表示されます。

   

4. 対象のパスに対する権限を追加するメンバーの「メンバー」列のチェックボックスをオンにします。権限を削除するメンバーのチェックボックスはオフにしてください。変更をおこなったセルには赤い三角形が表示されます。

5. 「OK」をクリックして、変更を保存します。

ユーザー同期

デプロイメントがパブリッシュファームであるとき、ユーザーとグループをすべてのパブリッシュノード間で同期する必要があります。

ユーザー同期の概要とそれを有効にする方法について詳しくは、ユーザー同期を参照してください。

権限の管理

ここでは、権限（レプリケーション権限を含む）を設定する方法について説明します。

権限の設定

ユーザーは権限を使用して、特定のパスにあるリソースに対して特定のアクションを実行できます。権限にはページを作成または削除する機能も含まれます。

権限を追加、変更または削除するには：

1. セキュリティ​コンソールで、権限を設定するユーザーまたはグループの名前をダブルクリックするか、ノードを検索します。

2. 「権限」タブをクリックします。

   

3. ツリーグリッドで、チェックボックスをオンにして、選択したユーザーまたはグループによるアクションの実行を許可します。または、チェックボックスをオフにして、選択したユーザーまたはグループによるアクションの実行を拒否します。詳細を確認するには、「詳細」をクリックします。

4. 完了したら、「保存」をクリックします。

レプリケーション権限の設定

レプリケーション権限はコンテンツを公開する権限です。グループとユーザーに対してこの権限を設定できます。

レプリケーション権限を設定するには：

1. リストからユーザーまたはグループを選択し、ダブルクリックして開きます。「権限」をクリックします。

2. グリッドで、ユーザーにレプリケーション権限を設定するパスに移動するか、ノードを検索します。

3. 選択したパスの「レプリケーション」列で、チェックボックスをオンにして、対象のユーザーまたはグループのレプリケーション権限を追加します。または、チェックボックスをオフにして、レプリケーション権限を削除します。AEM では、変更を行った（未保存の）項目に赤い三角形が表示されます。

   

4. 「保存」をクリックして変更を保存します。

ノードの検索

権限を追加または削除する場合に、ノードを参照または検索できます。

パス検索には 2 種類の方法があります。

• パス検索 - 検索文字列が「/」で始まる場合は、特定のパスの直下のサブノードが検索されます。

検索ボックスでは以下の操作を行うことができます。

• フルテキスト検索 - 検索文字列が「/」で始まらない場合は、パス「/content」の下にあるすべてのノードに対してフルテキスト検索が実行されます。

パス検索またはフルテキスト検索を実行するには：

1. セキュリティコンソールで、ユーザーまたはグループを選択して、「権限」タブをクリックします。

2. 「検索」ボックスに検索する用語を入力します。

別のユーザーとしての実行

現在のユーザーとしての実行を許可する 1 人以上のユーザーを指定できます。つまり、指定されたユーザーは現在のユーザーのアカウント設定に切り替えて、そのユーザーの代理として操作をおこなうことができます。

元のユーザーが実行できないアクションが許可される可能性があるので、この機能を使用する際は注意が必要です。別のユーザーとして実行する場合は、元のユーザーとしてログインしていないと通知されます。

以下に示す様々なシナリオでこの機能を使用できます。

• あなたがオフィスにいない場合に、別の担当者があなたの代理として操作をおこなうことができます。この機能を使用すると、別の担当者があなたのアクセス権限を引き継ぐことができます。ユーザープロファイルを変更したり、パスワードを公開したりする必要はありません。
• デバッグの目的でこの機能を使用できます。例えば、アクセス権限が制限されているユーザーを Web サイトで検索する方法を確認できます。また、あるユーザーが技術的な問題を訴える場合は、そのユーザーとして実行し、問題を診断して修正できます。

既存のユーザーとして実行するには：

1. ツリーリストで、他のユーザーが操作を代理するユーザーの名前を選択します。ダブルクリックして開きます。

2. 「実行」タブをクリックします。

3. 選択したユーザーとして実行することのできるユーザーをクリックします。ユーザーをリストから実行ウィンドウにドラッグします。リストに名前が表示されます。

   

4. 「保存」をクリックします。

ユーザーとグループの環境設定の指定

ユーザーとグループの環境設定（言語、ウィンドウ管理、ツールバーの環境設定を含む）を指定するには：

1. 環境設定を変更するユーザーまたはグループを左側のツリーで選択します。複数のユーザーまたはグループを選択するには、Ctrl キーまたは Shift キーを押しながら選択項目をクリックします。

2. 「環境設定」タブをクリックします。

   

3. 必要に応じて、グループまたはユーザーの環境設定を変更し、完了したら「保存」をクリックします。

ユーザーまたは管理者に他のユーザーの管理権限を付与するための設定

ユーザーまたは管理者が他のユーザーを削除／アクティベート／アクティベート解除する権限を付与するための設定を行うには：

1. 他のユーザーを管理する権限を付与するユーザーを administrators グループに追加して、変更を保存します。

   

2. ユーザーの「権限」タブで、「/」に移動します。「レプリケーション」列で、チェックボックスをオンにして「/」におけるレプリケーションを許可し、「保存」をクリックします。

   

   これで、選択したユーザーがユーザーのアクティベート解除、アクティベート、削除および作成をおこなうことができます。

プロジェクトレベルでの権限の拡張

アプリケーション専用の権限を実装する場合に、カスタム権限を実装するために確認しておく必要のある情報および CQ 全体でその権限を適用する方法を以下に示します。

階層の変更権限は JCR 権限の組み合わせによってカバーされます。レプリケーション権限の名前は crx:replicate です。この権限は、他の権限と共に JCR リポジトリに保存され、評価されます。ただし、この権限は JCR レベルでは適用されません。

カスタム権限の定義と登録は、公式には Jackrabbit API（バージョン 2.4 以降）の一部です（JCR-2887 も参照）。その他の使用方法は、JSR 283（Section 16）で定義されているとおり、JCR アクセス制御管理によってカバーされます。また、Jackrabbit API では複数の拡張機能を定義します。

権限の登録メカニズムは、リポジトリ設定​の下の UI に反映されます。

新しい（カスタム）権限の登録は、リポジトリレベルで付与する必要のある組み込みの権限によって保護されます（JCR の場合、AC MGT API で「absPath」パラメーターとして「null」を渡します。詳しくは、JSR 333 を参照してください）。デフォルトでは、admin と administrators のすべてのメンバーにこの権限が付与されています。

Business.Adobe.com リソース

Customer Communications Embedded Charts Responsive Forms Theme Editor Managed Cloud Customer Experience Management