Användaradministration och -säkerhet

I det här kapitlet beskrivs hur du konfigurerar och upprätthåller användarauktorisering och även teorin bakom hur autentisering och auktorisering fungerar i AEM.

Användare och grupper i AEM

I det här avsnittet behandlas de olika enheterna och relaterade begreppen mer ingående, så att du kan konfigurera ett enkelt sätt att underhålla användarhanteringskoncept.

Användare

Användare loggar in på AEM med sitt konto. Varje användarkonto är unikt och innehåller grundläggande kontoinformation tillsammans med de behörigheter som tilldelats.

Användare är ofta medlemmar i grupper, vilket förenklar tilldelningen av dessa behörigheter och/eller behörigheter.

Grupper

Grupper är samlingar med användare, andra grupper eller båda. Alla dessa samlingar kallas medlemmar i en grupp.

Deras främsta syfte är att förenkla underhållsprocessen genom att minska antalet enheter som ska uppdateras, eftersom en ändring görs i en grupp tillämpas på alla medlemmar i gruppen. Grupper återspeglar ofta:

• en roll i programmet, t.ex. någon som har rätt att surfa innehållet eller någon som har rätt att bidra med innehåll.
• din egen organisation. Du kanske vill utöka rollerna för att skilja på medverkande från olika avdelningar när de är begränsade till olika grenar i innehållsträdet.

Därför tenderar grupperna att förbli stabila, medan användarna kommer och går oftare.

Med planering och en ren struktur kan användningen av grupper återspegla din struktur, vilket ger dig en tydlig översikt och en effektiv mekanism för uppdateringar.

Inbyggda användare och grupper

AEM WCM installerar flera användare och grupper. Dessa samlingar visas när du först öppnar säkerhetskonsolen efter installationen.

I följande tabeller visas varje objekt tillsammans med:

• en kort beskrivning
• rekommendationer om nödvändiga ändringar

Ändra alla standardlösenord (om du inte tar bort själva kontot under vissa omständigheter).

Behörigheter i AEM

AEM använder åtkomstkontrollistor för att avgöra vilka åtgärder en användare eller grupp kan vidta och var den kan utföra dessa åtgärder.

Behörigheter och åtkomstkontrollistor

Behörigheter definierar vem som kan utföra vilka åtgärder på en resurs. Behörigheterna är resultatet av åtkomstkontroll utvärderingar.

Du kan ändra behörigheterna som beviljas/nekas till en viss användare genom att markera eller avmarkera kryssrutorna för den enskilda AEM funktionsmakron. En bock anger att en åtgärd är tillåten. Ingen bock indikerar att en åtgärd nekas.

Där bockmarkeringen är i rutnätet visas även vilka behörigheter användarna har på vilka platser i AEM (d.v.s. vilka sökvägar).

Åtgärder

Åtgärder kan utföras på en sida (resurs). För varje sida i hierarkin kan du ange vilken åtgärd användaren får utföra på sidan. Behörigheter kan du tillåta eller neka en åtgärd.

Åtkomstkontrollistor och hur de utvärderas

AEM WCM använder ACL-listor (Access Control Lists) för att organisera de behörigheter som tillämpas på de olika sidorna.

Åtkomstkontrollistor består av de enskilda behörigheterna och används för att avgöra i vilken ordning dessa behörigheter tillämpas. Listan är uppbyggd enligt hierarkin för de aktuella sidorna. Listan skannas sedan nedifrån och upp tills den första behörigheten som krävs för att tillämpa på en sida hittas.

Behörighetsstater

Behörigheterna tillämpas även på underordnade sidor.

Om en behörighet inte ärvs från den överordnade noden men har minst en lokal post läggs följande symboler till i kryssrutan. En lokal post skapas i CRX 2.2-gränssnittet (Jokertecken-ACL:er kan för närvarande bara skapas i CRX).

För en åtgärd vid en angiven sökväg:

När du hovrar över asterisken eller utropstecknet visas ett verktygstips med mer information om de deklarerade posterna. Verktygstipset är uppdelat i två delar:

Nedan följer några rekommendationer om hur du hanterar åtkomstkontrollistor:

• Tilldela inte behörigheter direkt till användare. Tilldela dem endast till grupper.

  Det förenklar underhållet eftersom antalet grupper är mycket mindre än antalet användare och också mindre flyktigt.

• Om du vill att en grupp/användare bara ska kunna ändra sidor, ska du inte ge dem behörighet att skapa eller neka. Ge dem endast behörighet att ändra och läsa.

• Använd Neka sparsamt. Använd bara Tillåt i största möjliga utsträckning.

  Om du använder Neka kan det orsaka oväntade effekter om behörigheterna tillämpas i en annan ordning än den förväntade. Om en användare är medlem i mer än en grupp kan programsatserna Neka från en grupp avbryta programsatsen Tillåt från en annan grupp eller tvärtom. Det är svårt att behålla en översikt när något sådant händer och det kan enkelt leda till oförutsedda resultat, medan Tillåt tilldelningar inte orsakar sådana konflikter.

  Adobe rekommenderar att du arbetar med Tillåt i stället för Neka Bästa praxis.

Innan du ändrar någon av behörigheterna måste du se till att du förstår hur de fungerar och fungerar tillsammans. Se CRX-dokumentationen som visar hur AEM WCM utvärderar åtkomsträttigheteroch exempel på hur du ställer in åtkomstkontrollistor.

Behörigheter

Behörigheter ger användare och grupper åtkomst till AEM på AEM sidor.

Du bläddrar bland behörigheter genom att utöka/komprimera noderna och du kan spåra behörighetsarvet upp till rotnoden.

Du tillåter eller nekar behörigheter genom att markera eller avmarkera lämpliga kryssrutor.

Visa detaljerad behörighetsinformation

Tillsammans med stödrastervyn AEM en detaljerad vy över behörigheter för en markerad användare/grupp på en viss sökväg. Detaljvyn innehåller ytterligare information.

Förutom att visa information kan du även inkludera eller exkludera den aktuella användaren eller gruppen från en grupp. Se Lägga till användare eller grupper när behörigheter läggs till. Ändringarna som görs här visas omedelbart i den övre delen av den detaljerade vyn.

Du öppnar detaljvyn i dialogrutan Behörigheter flik, klicka Information för alla valda grupper/användare och sökvägar.

Detaljerna delas upp i två delar:

Personifiera en annan användare

Med Personifiera funktionalitetkan en användare arbeta för en annan användares räkning.

Det innebär att ett användarkonto kan ange andra konton som kan fungera med deras konto. Om till exempel användare-B tillåts personifiera användare-A kan användare-B agera med hjälp av den fullständiga kontoinformationen för användare-A.

Med den här funktionen kan persondatorkonton slutföra uppgifter som om de använde det konto de personifierar. Exempel: under frånvaro eller för att dela en för stor belastning på kort sikt.

Bästa praxis

Nedan beskrivs de bästa sätten att arbeta med behörigheter och behörigheter:

Hantera användare och grupper

Användare kan vara personer som använder systemet och utländska system som gör förfrågningar till systemet.

En grupp är en uppsättning användare.

Båda kan konfigureras med funktionen för användaradministration i säkerhetskonsolen.

Åtkomst till användaradministration med säkerhetskonsolen

Du får åtkomst till alla användare, grupper och tillhörande behörigheter med hjälp av säkerhetskonsolen. Alla procedurer som beskrivs i det här avsnittet utförs i det här fönstret.

Gör något av följande om du vill få åtkomst AEM WCM-säkerhet:

• Klicka på säkerhetsikonen på välkomstskärmen eller olika platser i AEM:

• Navigera direkt till https://<server>:<port>/useradmin. Se till att du loggar in AEM som administratör.

Följande fönster visas:

I det vänstra trädet visas alla användare och grupper som finns i systemet. Du kan markera de kolumner som du vill visa, sortera innehållet i kolumnerna och till och med ändra ordningen som kolumnerna visas i genom att dra kolumnrubriken till en ny position.

Flikarna ger åtkomst till olika konfigurationer:

Filtrera användare och grupper

Du kan filtrera listan genom att ange ett filteruttryck som döljer alla användare och grupper som inte matchar uttrycket. Du kan även dölja användare och grupper med Dölj användare och dölj grupp knappar.

Så här filtrerar du användare eller grupper:

1. I den vänstra trädlistan skriver du filteruttrycket i det angivna utrymmet. Ange till exempel admin visar alla användare och grupper som innehåller den här strängen.

2. Klicka på förstoringsglaset för att filtrera listan.

   

3. Klicka på x när du vill ta bort alla filter.

Dölja användare och grupper

Att dölja användare eller grupper är ett annat sätt att filtrera listan över alla användare och grupper i ett system. Det finns två växlingsmekanismer. Om du klickar på Dölj användare döljs alla användare och om du klickar på Dölj grupper döljs alla grupper (du kan inte dölja både användare och grupper samtidigt). Information om hur du filtrerar listan med hjälp av ett filteruttryck finns i Filtrera användare och grupper.

Dölj användare och grupper:

1. I Säkerhet konsol, klicka Dölj användare eller Göm grupper. Den valda knappen visas markerad.

   

2. Om du vill visa användare eller grupper igen klickar du på motsvarande knapp igen.

Skapa användare och grupper

Så här skapar du en användare eller grupp:

1. I Säkerhet lista över konsolträd, klicka på Redigera och sedan antingen Skapa användare eller Skapa grupp.

   

2. Ange nödvändig information beroende på om du skapar en användare eller en grupp.

   • Om du väljer Skapa användare, Ange inloggnings-ID, för- och efternamn, e-postadress och ett lösenord. Som standard skapar AEM en bana som baseras på den första bokstaven i efternamnet, men du kan välja en annan bana.

   

   • Om du väljer Skapa grupp anger du ett grupp-ID och en valfri beskrivning.

   

3. Klicka Skapa. Användaren eller gruppen som du skapade visas i trädlistan.

Ta bort användare och grupper

Så här tar du bort en användare eller grupp:

1. I Säkerhet markerar du den användare eller grupp som du vill ta bort. Om du vill ta bort flera objekt Skift-klickar eller Ctrl-klickar du för att markera dem.
2. Klicka Redigera, och välj sedan Ta bort. AEM frågar om du vill ta bort användaren eller gruppen.
3. Klicka OK för att bekräfta eller avbryta.

Ändra användar- och gruppegenskaper

Så här ändrar du användar- och gruppegenskaper:

1. I Säkerhet dubbelklicka på det användar- eller gruppnamn som du vill ändra.

2. Klicka på Egenskaper gör du ändringarna och klickar på Spara.

   

Ändra ett användarlösenord

Använd följande procedur för att ändra en användares lösenord.

1. I Säkerhet dubbelklicka på det användarnamn du vill ändra lösenordet för.

2. Klicka på Egenskaper -flik (om den inte redan är aktiv).

3. Klicka Ange lösenord. Fönstret Ange lösenord öppnas där du kan ändra ditt lösenord.

   

4. Ange det nya lösenordet två gånger. Eftersom de inte visas i klartext är den här åtgärden en bekräftelse - om de inte matchar visas ett fel i systemet.

5. Klicka Ange för att aktivera det nya lösenordet för kontot.

Lägga till användare eller grupper i en grupp

AEM erbjuder tre olika sätt att lägga till användare eller grupper i en befintlig grupp:

• När du är i gruppen kan du lägga till medlemmar (antingen användare eller grupper).
• När du är medlem kan du lägga till medlemmar i grupper.
• När du arbetar med behörigheter kan du lägga till medlemmar i grupper.

Grupper - lägga till användare eller grupper i en grupp

The Grupper visas vilka grupper det aktuella kontot tillhör. Du kan använda den för att lägga till det valda kontot i en grupp:

1. Dubbelklicka på namnet på kontot (användaren eller gruppen) som du vill tilldela en grupp.

2. Klicka på Grupper -fliken. Du ser en lista över grupper som kontot redan tillhör.

3. Klicka på namnet på gruppen som du vill lägga till i kontot i trädlistan och dra den till Grupper fönster. (Om du vill lägga till flera användare Skift-klickar eller Ctrl-klickar du på namnen och drar dem.)

   

4. Klicka Spara för att spara ändringarna.

Medlemmar - Lägga till användare eller grupper i en grupp

The Medlemmar Fliken fungerar bara för grupper och visar vilka användare och grupper som tillhör den aktuella gruppen. Du kan använda den för att lägga till konton i en grupp:

1. Dubbelklicka på namnet på gruppen som du vill lägga till medlemmar i.

2. Klicka på Medlemmar -fliken. En lista över medlemmar som redan tillhör den här gruppen visas.

3. Klicka på namnet på den medlem du vill lägga till i gruppen i trädlistan och dra det till Medlemmar fönster. (Om du vill lägga till flera användare Skift-klickar eller Ctrl-klickar du på namnen och drar dem.)

   

4. Klicka Spara för att spara ändringarna.

Lägga till användare eller grupper när behörigheter läggs till

Så här lägger du till medlemmar i en grupp på en viss sökväg:

1. Dubbelklicka på namnet på gruppen eller användaren som du vill lägga till användare i.

2. Klicka på Behörigheter -fliken.

3. Navigera till sökvägen som du vill lägga till behörigheter i och klicka på Information. Den nedre delen av informationsfönstret innehåller information om vem som har behörighet för den sidan.

   

4. Markera kryssrutan i dialogrutan medlem -kolumn för de medlemmar som du vill ska ha behörighet till den sökvägen. Avmarkera kryssrutan för den medlem som du vill ta bort behörigheter för. En röd triangel visas i cellen som du har ändrat.

5. Klicka OK för att spara ändringarna.

Ta bort användare eller grupper från grupper

AEM erbjuder tre olika sätt att ta bort användare eller grupper från en grupp:

• När du är i gruppprofilen kan du ta bort medlemmar (antingen användare eller grupper).
• När du är i medlemsprofilen kan du ta bort medlemmar från grupper.
• När du arbetar med behörigheter kan du ta bort medlemmar från grupper.

Grupper - Tar bort användare eller grupper från grupper

Så här tar du bort en användare eller ett gruppkonto från en grupp:

1. Dubbelklicka på namnet på gruppen eller användarkontot som du vill ta bort från en grupp.

2. Klicka på Grupper -fliken. Du ser vilka grupper det valda kontot tillhör.

3. I Grupper klickar du på namnet på den användare eller grupp som du vill ta bort från gruppen och klickar på Ta bort. (Om du vill ta bort flera konton Skift-klickar eller Ctrl-klickar du på dessa namn och klickar på Ta bort.)

   

4. Klicka Spara för att spara ändringarna.

Medlemmar - Tar bort användare eller grupper från grupper

Så här tar du bort konton från en grupp:

1. Dubbelklicka på namnet på gruppen som du vill ta bort medlemmar från.

2. Klicka på Medlemmar -fliken. En lista över medlemmar som redan tillhör den här gruppen visas.

3. I Medlemmar klickar du på namnet på den medlem du vill ta bort från gruppen och klickar på Ta bort. (Om du vill ta bort flera användare Skift-klickar eller Ctrl-klickar du på namnen och klickar på Ta bort.)

   

4. Klicka Spara för att spara ändringarna.

Ta bort användare eller grupper när behörigheter läggs till

Så här tar du bort medlemmar från en grupp på en viss sökväg:

1. Dubbelklicka på namnet på gruppen eller användaren som du vill ta bort användare från.

2. Klicka på Behörigheter -fliken.

3. Navigera till sökvägen som du vill ta bort behörigheter till och klicka på Information. Den nedre delen av informationsfönstret innehåller information om vem som har behörighet för den sidan.

   

4. Markera kryssrutan i dialogrutan medlem -kolumn för de medlemmar som du vill ska ha behörighet till den sökvägen. Avmarkera kryssrutan för den medlem som du vill ta bort behörigheter för. En röd triangel visas i cellen som du har ändrat.

5. Klicka OK för att spara ändringarna.

Användarsynkronisering

När distributionen är en publicera servergrupp, användare och grupper måste synkroniseras mellan alla publiceringsnoder.

Mer information om användarsynkronisering och hur du aktiverar den finns i Användarsynkronisering.

Hantera behörigheter

I det här avsnittet beskrivs hur du anger behörigheter, inklusive replikeringsbehörigheter.

Ange behörigheter

Med behörigheter kan användare utföra vissa åtgärder på resurser på vissa sökvägar. Den innehåller även funktioner för att skapa eller ta bort sidor.

Så här lägger du till, ändrar eller tar bort behörigheter:

1. I Säkerhet dubbelklicka på namnet på den användare eller grupp som du vill ange behörigheter för eller sök efter noder.

2. Klicka på Behörigheter -fliken.

   

3. Markera en kryssruta i trädstödrastret om du vill att den markerade användaren eller gruppen ska kunna utföra en åtgärd, eller avmarkera en kryssruta om du vill neka användaren eller gruppen att utföra en åtgärd. Mer information får du genom att klicka Information.

4. När du är klar klickar du Spara.

Ange replikeringsbehörighet

Replikeringsprivilegium är rätten att publicera innehåll, och det kan anges för grupper och användare.

Så här anger du replikeringsbehörighet:

1. Markera användaren eller gruppen i listan, dubbelklicka för att öppna och klicka på Behörigheter.

2. I rutnätet navigerar du till den sökväg där du vill att användaren ska ha replikeringsbehörighet eller sök efter noder.

3. I Replikera vid den valda sökvägen markerar du en kryssruta för att lägga till replikeringsbehörighet för den användaren eller gruppen, eller avmarkerar kryssrutan för att ta bort replikeringsbehörighet. AEM visar en röd triangel var som helst där du har gjort ändringar som ännu inte har sparats.

   

4. Klicka Spara för att spara ändringarna.

Söker efter noder

När du lägger till eller tar bort behörigheter kan du antingen bläddra eller söka efter noden.

Det finns två olika typer av sökvägar:

• Sökväg - Om söksträngen börjar med ett "/" söker den efter de direkta delnoderna i den angivna sökvägen:

I sökrutan kan du göra följande:

• Fulltextsökning - Om söksträngen inte börjar med ett "/" utförs en fulltextsökning på alla noder under sökvägen "/content".

Så här söker du efter banor eller fulltext:

1. Välj en användare eller grupp i säkerhetskonsolen och klicka sedan på knappen Behörigheter -fliken.

2. Ange en sökterm i sökrutan.

Personifiera användare

Du kan ange en eller flera användare som får personifiera den aktuella användaren. Detta innebär att de kan ändra sina kontoinställningar till den aktuella användarens och agera för den här användarens räkning.

Använd den här funktionen med försiktighet eftersom den kan tillåta användare att utföra åtgärder som deras egen användare inte kan. När en användare personifieras meddelas användaren om att han/hon inte är inloggad som sig själv.

Det finns olika scenarier när du kanske vill använda den här funktionen, bland annat:

• Om du inte är på kontoret kan du låta en annan person personifiera dig medan du är borta. Genom att använda den här funktionen kan du se till att någon har din åtkomstbehörighet och du inte behöver ändra en användarprofil eller ange ditt lösenord.
• Du kan använda den i felsökningssyfte. Om du till exempel vill se hur webbplatsen ser ut för en användare med begränsad behörighet. Om en användare klagar på tekniska problem kan du dessutom personifiera användaren för att diagnostisera och åtgärda problemet.

Så här personifierar du en befintlig användare:

1. I trädlistan markerar du namnet på den person som du vill tilldela andra användare personifiering. Dubbelklicka för att öppna.

2. Klicka på Personifierare -fliken.

3. Klicka på den användare som du vill ska kunna personifiera den valda användaren. Dra användaren (personifieraren) från listan till personifieringsrutan. Namnet visas i listan.

   

4. Klicka Spara.

Ange inställningar för användare och grupper

Så här anger du användar- och gruppinställningar, inklusive språk, fönsterhantering och verktygsfältsinställningar:

1. Markera den användare eller grupp vars inställningar du vill ändra i det vänstra trädet. Om du vill markera flera användare eller grupper Ctrl-klickar eller Skift-klickar du på dina val.

2. Klicka på Inställningar -fliken.

   

3. Gör de ändringar som behövs i grupp- eller användarinställningarna och klicka på Spara när du är klar.

Ange att användare eller administratörer ska ha behörighet att hantera andra användare

Så här anger du att användare eller administratörer ska ha behörighet att ta bort/aktivera/inaktivera andra användare:

1. Lägg till användaren som du vill ge behörighet att hantera andra användare i administratörsgruppen och spara ändringarna.

   

2. I användarens Behörigheter navigerar du till"/" och markerar kryssrutan för replikering vid "/" i kolumnen Replikera och klickar på Spara.

   

   Den valda användaren kan nu inaktivera, aktivera, ta bort och skapa användare.

Utöka behörigheter på projektnivå

Om du tänker implementera programspecifika behörigheter beskriver följande information vad du måste känna till för att implementera ett anpassat privilegium och hur du tillämpar det i CQ:

Privilegiet för att ändra hierarkin täcks av en kombination av jcr-privilegier. Replikeringsprivilegiet är namngivet crx:replikera som lagras/utvärderas tillsammans med andra behörigheter i jcr-databasen. Den tillämpas dock inte på jcr-nivån.

Definitionen och registreringen av anpassade behörigheter är officiellt en del av Jackrabbit API från version 2.4 (se även JCR-2887). Ytterligare användning täcks av JCR Access Control Management som definieras av JSR 283 (avsnitt 16). API:t Jackrabbit definierar dessutom ett par tillägg.

Behörighetsregistreringsmekanismen återspeglas i användargränssnittet under Databaskonfiguration.

Registreringen av nya (anpassade) behörigheter skyddas av ett inbyggt privilegium som måste beviljas på databasnivån. I JCR: skicka 'null' som 'absPath'-parameter i ac mgt api finns mer information i jsr 333. Som standard admin och alla administratörer har denna behörighet.