Verwaltung von Benutzern, Gruppen und Zugriffsrechten

Die Aktivierung des Zugriffs auf ein CRX-Repository umfasst verschiedene Themen:

• Zugriffsberechtigungen: Die Konzepte, wie sie definiert und ausgewertet werden
• Benutzerverwaltung: Verwaltung der einzelnen Konten, die für den Zugriff verwendet werden
• Gruppenverwaltung: vereinfacht die Benutzerverwaltung durch die Bildung von Gruppen
• Zugriffsrechteverwaltung: Definition von Richtlinien, die steuern, wie diese Benutzer und Gruppen auf Ressourcen zugreifen können

Nachfolgend sind die grundlegenden Elemente aufgeführt:

Benutzerkonten - CRX authentifiziert den Zugriff durch Identifizieren und Überprüfen eines Benutzers (durch diese Person oder eine andere Anwendung) entsprechend den im Benutzerkonto gespeicherten Details.

In CRX ist jedes Benutzerkonto ein Knoten im Arbeitsbereich. Ein CRX-Benutzerkonto verfügt über die folgenden Eigenschaften:

• Es stellt eine Benutzerin bzw. einen Benutzer von CRX dar.

• Es verfügt über einen Benutzernamen und ein Passwort.

• Gilt für diesen Arbeitsbereich.

• Sie kann keine Unterbenutzer haben. Für hierarchische Zugriffsberechtigungen sollten Sie Gruppen verwenden.

• Sie können Zugriffsberechtigungen für das Benutzerkonto angeben.

  Um die Verwaltung zu vereinfachen, empfiehlt Adobe jedoch, dass Sie (in den meisten Fällen) Gruppenkonten Zugriffsrechte zuweisen. Die Zuweisung von Zugriffsrechten für jeden einzelnen Benutzer wird schnell schwierig zu verwalten (die Ausnahmen sind bestimmte Systembenutzer, wenn nur eine oder zwei Instanzen vorhanden sind).

Gruppenkonten - Gruppenkonten sind Sammlungen von Benutzern und/oder anderen Gruppen. Diese dienen zur Vereinfachung der Verwaltung, da eine Änderung der einer Gruppe zugewiesenen Zugriffsrechte automatisch auf alle Benutzenden dieser Gruppe angewendet wird. Eine Benutzerin bzw. ein Benutzer muss nicht unbedingt Mitglied einer Gruppe sein, gehört aber häufig zu mehreren.

In CRX hat eine Gruppe die folgenden Eigenschaften:

• Sie stellt eine Gruppe von Benutzenden mit gleichen Zugriffsrechten dar. Beispielsweise Authoring- oder Entwicklungsfachleute.
• Gilt für diesen Arbeitsbereich.
• Sie kann Mitglieder haben. Hierbei kann es sich um Einzelpersonen oder andere Gruppen handeln.
• Eine hierarchische Gruppierung kann über Mitgliederbeziehungen erreicht werden. Eine Gruppe kann nicht direkt unter einer anderen Gruppe im Repository platziert werden.
• Sie können die Zugriffsrechte für alle Gruppenmitglieder definieren.

Zugriffsberechtigungen - CRX verwendet Zugriffsrechte, um den Zugriff auf bestimmte Bereiche des Repositorys zu steuern.

Dies erfolgt über die Zuweisung von Berechtigungen, um den Zugriff auf eine Ressource (Knoten oder Pfad) im Repository zuzulassen oder abzulehnen. Da zahlreiche Berechtigungen zugewiesen werden können, müssen sie ausgewertet werden, um festzustellen, welche Kombination für die aktuelle Anfrage relevant ist.

Mit CRX können Sie die Zugriffsberechtigungen für Benutzer- und Gruppenkonten konfigurieren. Es werden dann dieselben grundlegenden Bewertungsprinzipien auf beide angewendet.

Auswerten von Zugriffsrechten

Objekte und Prinzipale

CRX verwendet zwei Hauptkonzepte zur Bewertung der Zugriffsrechte:

• Ein Prinzipal ist eine Entität, die Zugriffsrechte besitzt. Zu den Prinzipalen gehören:

  • Ein Benutzerkonto

  • Ein Gruppenkonto

    Wenn ein Benutzerkonto zu einer oder mehreren Gruppen gehört, ist es auch mit jedem dieser Gruppenprinzipale verknüpft.

• Ein Objekt repräsentiert die Quelle einer Anfrage.

  Es dient zur Konsolidierung der für diese Anfrage relevanten Zugriffsrechte. Diese stammen von:

  • dem Benutzerprinzipal

    den Rechten, die Sie dem Benutzerkonto direkt zuweisen

  • allen mit diesem Benutzer verknüpften Gruppenprinzipalen

    Alle Rechte werden einer der Gruppen zugewiesen, zu denen der Benutzer gehört.

  Das Ergebnis wird dann verwendet, um den Zugriff auf die angeforderte Ressource zu erlauben oder zu verweigern.

Kompilieren der Liste der Zugriffsrechte für ein Subjekt

In CRX hängt das Betreff von Folgendem ab:

• dem Benutzer-Prinzipal
• allen Gruppenprinzipalen, die mit dieser Person verknüpft sind

Die Liste der für das Subjekt geltenden Zugriffsrechte wird erstellt aus:

• den Rechten, die Sie dem Benutzerkonto direkt zuweisen
• sowie allen Rechten, die Sie jeder der Gruppen zugewiesen haben, zu denen der Benutzer gehört

Auflösen von Anfrage- und Zugriffsrechten

Wenn CRX die Anfrage verarbeitet, vergleicht es die Zugriffsanfrage des Betreffs mit der Zugriffssteuerungsliste auf dem Repository-Knoten:

Wenn also Linda eine Aktualisierung des Knotens /features in der folgenden Repository-Struktur anfordert:

Rangfolge der Priorität

Zugriffsberechtigungen in CRX werden wie folgt bewertet:

• Benutzerprinzipale haben immer Vorrang vor Gruppenprinzipalen, unabhängig von:

  • ihrer Reihenfolge in der Zugriffsteuerungsliste
  • ihrer Position in der Knotenhierarchie

• Für einen bestimmten Prinzipal gibt es (höchstens) einen Ablehnungs- und einen Zulassungseintrag für einen bestimmten Knoten. Die Implementierung löscht immer redundante Einträge und stellt sicher, dass dieselbe Berechtigung nicht sowohl in den Zulassungs- als auch in den Ablehnungseinträgen aufgeführt wird.

Nachfolgend sehen Sie zwei Beispiele, in denen der Benutzer aUser Mitglied der Gruppe aGroup ist:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Im obigen Fall:

• wird dem Benutzer aUser keine Schreibberechtigung für den Knoten grandChildNode gewährt.

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

In diesem Fall:

• wird dem Benutzer aUser keine Schreibberechtigung für den Knoten grandChildNode gewährt.
• Der zweite ACE-Eintrag für den Benutzer aUser ist redundant.

Zugriffsberechtigungen von mehreren Gruppenprinzipalen werden anhand ihrer Reihenfolge bewertet, sowohl innerhalb der Hierarchie als auch innerhalb einer einzigen Zugriffssteuerungsliste.

Best Practices

Die nachfolgende Tabelle enthält einige Empfehlungen und Best Practices:

Benutzerverwaltung

Für die Benutzerverwaltung wird ein Standard-Dialogfeld verwendet.

Sie müssen beim entsprechenden Arbeitsbereich angemeldet sein und können dann über diese beiden Optionen auf das Dialogfeld zugreifen:

• über den Link Benutzerverwaltung in der Hauptkonsole von CRX
• über das Menü Sicherheit des CRX-Explorers

Eigenschaften

• Benutzer-ID

  Der Kurzname für das Konto wird beim Zugriff auf CRX verwendet.

• Prinzipalname

  Vollständiger Name des Kontos

• Kennwort

  Erforderlich, wenn mit diesem Konto auf CRX zugegriffen wird

• ntlmhash

  Wird automatisch jedem neuen Konto zugewiesen und bei Änderung des Kennworts aktualisiert

• Sie können neue Eigenschaften hinzufügen, indem Sie einen Namen, einen Typ und den Wert definieren. Klicken Sie für jede neue Eigenschaft auf „Speichern“ (grünes Häkchensymbol).

Gruppenmitgliedschaft

Hier werden alle Gruppen angezeigt, die zu diesem Konto gehören. Die Spalte Übernommen zeigt Mitgliedschaften an, die durch eine Mitgliedschaft bei einer anderen Gruppe übernommen wurden.

Wenn Sie auf eine Gruppen-ID klicken (sofern verfügbar), wird die Gruppenverwaltung für diese Gruppe.

Darsteller

Mit der Funktion „Stellvertretend agieren“ kann ein Benutzer im Namen eines anderen Benutzers arbeiten.

Das bedeutet, dass ein Benutzerkonto andere Konten (Einzelperson oder Gruppe) angeben kann, die mit ihrem Konto arbeiten können. Wenn also Benutzer B stellvertretend für Benutzer A agieren darf, kann Benutzer B mit den vollständigen Kontodetails von Benutzer A handeln (einschließlich ID, Name und Zugriffsberechtigungen).

Dies ermöglicht es dem Darsteller, Aufgaben so auszuführen, als ob er das Konto, für das er stellvertretend agiert, verwendet hätte, z. B. während einer Abwesenheit oder kurzfristig eine übermäßige Belastung.

Wenn ein Konto stellvertretend für ein anderes agiert, ist es schwer zu sehen. Die Protokolldateien enthalten keine Informationen darüber, dass bei den Ereignissen eine Stellvertretung stattgefunden hat. Wenn also Benutzer B stellvertretend für Benutzer A agiert, können alle Ereignisse so aussehen, als ob sie von Benutzer A persönlich durchgeführt würden.

Erstellen eines Benutzerkontos

1. Öffnen Sie das Dialogfeld Benutzerverwaltung.

2. Klicken Sie auf Benutzer erstellen.

3. Sie können dann die Eigenschaften eingeben:

   • Benutzer-ID – wird als Kontoname verwendet
   • Kennwort – wird bei der Anmeldung benötigt
   • Prinzipalname – dient zur Eingabe des vollständigen Textnamens
   • Zwischenpfad – kann zum Erstellen einer hierarchischen Struktur verwendet werden

4. Klicken Sie auf Speichern (grünes Häkchen-Symbol).

5. Das Dialogfeld wird erweitert, sodass Sie Folgendes tun können:

   1. Konfigurieren Sie Eigenschaften.
   2. Zeigen Sie die Gruppenmitgliedschaft an.
   3. Definieren Sie Darsteller.

Aktualisieren eines Benutzerkontos

1. Mit dem Benutzerverwaltung die Listenansicht aller Konten.
2. Navigieren Sie durch die Baumstruktur.
3. Klicken Sie auf das gewünschte Konto, damit Sie es zur Bearbeitung öffnen können.
4. Nehmen Sie eine Änderung vor und klicken Sie dann auf Speichern (grünes Häkchensymbol) für diesen Eintrag.
5. Klicken Sie auf Schließen, um den Vorgang zu beenden, oder auf Liste…, um zur Liste aller Benutzerkonten zurückzukehren.

Entfernen eines Benutzerkontos

1. Mit dem Benutzerverwaltung die Listenansicht aller Konten.
2. Navigieren Sie durch die Baumstruktur.
3. Wählen Sie das gewünschte Konto aus und klicken Sie auf Benutzer löschen; das Konto wird sofort gelöscht.

Definieren von Eigenschaften

Sie können Eigenschaften für neue oder vorhandene Konten definieren:

1. Öffnen Sie das Dialogfeld Benutzerverwaltung für das entsprechende Konto.
2. Geben Sie einen Namen für die Eigenschaft an.
3. Wählen Sie den Typ aus der Dropdown-Liste aus.
4. Definieren Sie den Wert.
5. Klicken Sie auf „Speichern“ (grünes Häkchensymbol) für die neue Eigenschaft.

Vorhandene Eigenschaften können über das Papierkorbsymbol gelöscht werden.

Mit Ausnahme des Kennworts können Eigenschaften nicht bearbeitet werden. Sie müssen gelöscht und neu erstellt werden.

Ändern des Passworts

Die Passwort ist eine spezielle Eigenschaft, die durch Klicken auf Kennwort ändern -Link.

Über das Menü Sicherheit im CRX-Explorer können Sie auch das Passwort für Ihr eigenes Benutzerkonto ändern.

Definieren von Darstellern

Sie können Darsteller zur Stellvertretung für neue oder vorhandene Konten definieren:

1. Öffnen Sie das Dialogfeld Benutzerverwaltung für das entsprechende Konto.

2. Geben Sie das Konto an, dem es gestattet sein soll, stellvertretend für dieses Konto zu agieren.

   Sie können über die Option „Durchsuchen…“ ein bestehendes Konto auswählen.

3. Klicken Sie auf „Speichern“ (grünes Häkchensymbol) für die neue Eigenschaft.

Gruppenverwaltung

Für die Gruppenverwaltung wird ein Standarddialogfeld verwendet.

Sie müssen beim entsprechenden Arbeitsbereich angemeldet sein und können dann über diese beiden Optionen auf das Dialogfeld zugreifen:

• über den Link Gruppenverwaltung in der Hauptkonsole von CRX
• über das Menü Sicherheit des CRX-Explorers

Eigenschaften

• Gruppen-ID

  Kurzname für das Gruppenkonto

• Prinzipalname

  Vollständiger Name des Gruppenkontos

• Sie können neue Eigenschaften hinzufügen, indem Sie einen Namen, einen Typ und den Wert definieren. Klicken Sie für jede neue Eigenschaft auf „Speichern“ (grünes Häkchensymbol).

• Mitglieder

  Sie können Benutzer oder andere Gruppen als Mitglieder dieser Gruppe hinzufügen.

Gruppenmitgliedschaft

Hier werden alle Gruppen angezeigt, die zu diesem aktuellen Gruppenkonto gehören. Die Spalte Übernommen zeigt Mitgliedschaften an, die durch eine Mitgliedschaft bei einer anderen Gruppe übernommen wurden.

Durch Klicken auf eine Gruppen-ID wird das Dialogfeld für diese Gruppe geöffnet.

Mitglieder

Listet alle Konten (Einzelpersonen und/oder Gruppen) auf, die Mitglieder der aktuellen Gruppe sind.

Die Spalte Übernommen zeigt Mitgliedschaften an, die durch eine Mitgliedschaft bei einer anderen Gruppe übernommen wurden.

Erstellen eines Gruppenkontos

1. Öffnen Sie die Gruppenverwaltung Dialogfeld.

2. Klicken Sie auf Gruppe erstellen.

3. Sie können dann die Eigenschaften eingeben:

   • Prinzipalname – dient zur Eingabe des vollständigen Textnamens
   • Zwischenpfad – kann zum Erstellen einer hierarchischen Struktur verwendet werden

4. Klicken Sie auf Speichern (grünes Häkchen-Symbol).

5. Das Dialogfeld wird erweitert, sodass Sie:

   1. Konfigurieren Sie Eigenschaften.
   2. Zeigen Sie die Gruppenmitgliedschaft an.
   3. Mitglieder verwalten.

Aktualisieren eines Gruppenkontos

1. Mit dem Gruppenverwaltung die Listenansicht aller Konten.
2. Navigieren Sie durch die Baumstruktur.
3. Klicken Sie auf das gewünschte Konto, damit Sie es zur Bearbeitung öffnen können.
4. Nehmen Sie eine Änderung vor und klicken Sie dann auf Speichern (grünes Häkchensymbol) für diesen Eintrag.
5. Klicken Sie auf Schließen, um den Vorgang zu beenden oder auf Liste…, um zur Liste aller Gruppenkonten zurückzukehren.

Entfernen eines Gruppenkontos

1. Mit dem Gruppenverwaltung die Listenansicht aller Konten.
2. Navigieren Sie durch die Baumstruktur.
3. Wählen Sie das gewünschte Konto aus und klicken Sie auf Gruppe löschen; das Konto wird sofort gelöscht.

Definieren von Eigenschaften

Sie können Eigenschaften für neue oder vorhandene Konten definieren:

1. Öffnen Sie das Dialogfeld Gruppenverwaltung für das entsprechende Konto.
2. Geben Sie einen Namen für die Eigenschaft an.
3. Wählen Sie den Typ aus der Dropdown-Liste aus.
4. Definieren Sie den Wert.
5. Klicken Sie auf „Speichern“ (grünes Häkchensymbol) für die neue Eigenschaft.

Vorhandene Eigenschaften können über das Papierkorbsymbol gelöscht werden.

Mitglieder

Sie können Mitglieder zur aktuellen Gruppe hinzufügen:

1. Öffnen Sie das Dialogfeld Gruppenverwaltung für das entsprechende Konto.

2. Sie haben folgende Möglichkeiten:

   • Geben Sie den Namen des erforderlichen Mitglieds ein (Benutzer- oder Gruppenkonto).
   • Oder verwenden Sie Durchsuchen…, um nach dem Prinzipal (Benutzer- oder Gruppenkonto) zu suchen, den Sie hinzufügen möchten, und wählen Sie diesen aus.

3. Klicken Sie auf „Speichern“ (grünes Häkchensymbol) für die neue Eigenschaft.

Alternativ können Sie ein vorhandenes Mitglied über das Papierkorbsymbol löschen.

Verwalten von Zugriffsrechten

Mit dem Zugriffssteuerung -Registerkarte von CRXDE Lite können Sie die Zugriffssteuerungsrichtlinien definieren und die entsprechenden Berechtigungen zuweisen.

Beispiel: für Aktueller Pfad Wählen Sie die gewünschte Ressource im linken Bereich und im unteren rechten Bereich die Registerkarte Zugriffssteuerung aus:

Die Richtlinien sind wie folgt kategorisiert:

• Gültige Richtlinien zur Zugriffssteuerung

  Diese Richtlinien können angewendet werden.

  Dies sind Richtlinien, die für die Erstellung einer lokalen Richtlinie zur Verfügung stehen. Wenn Sie eine entsprechende Richtlinie auswählen und hinzufügen, wird sie zu einer lokalen Richtlinie.

• Lokale Richtlinien zur Zugriffssteuerung

  Dies sind Richtlinien zur Zugriffssteuerung, die Sie angewendet haben. Sie können sie dann aktualisieren, sortieren oder entfernen.

  Eine lokale Richtlinie überschreibt alle Richtlinien, die vom übergeordneten Element übernommen wurden.

• Gültige Richtlinien zur Zugriffssteuerung

  Dies sind Richtlinien zur Zugriffssteuerung, die jetzt für alle Zugriffsanfragen gelten. Sie zeigen die aggregierten Richtlinien an, die von den lokalen Richtlinien abgeleitet bzw. vom übergeordneten Element übernommenen werden.

Auswählen von Richtlinien

Sie können Richtlinien für Folgendes auswählen:

• Aktueller Pfad

  Wählen Sie wie im vorherigen Beispiel eine Ressource innerhalb des Repositorys aus. Die Richtlinien für diesen "aktuellen Pfad"werden angezeigt.

• Repository

  Wählt die Zugriffssteuerung auf Repository-Ebene aus. Beispiel: Wenn Sie die Berechtigung jcr:namespaceManagement festlegen, die nur für das Repository und nicht für einen Knoten relevant ist.

• Prinzipal

  Ein Prinzipal, der im Repository registriert ist.

  Sie können entweder die Principal oder klicken Sie auf das Symbol rechts neben dem Feld, um die Prinzipal auswählen Dialogfeld.

  Damit können Sie Suche für Benutzer oder Gruppe. Wählen Sie den erforderlichen Prinzipal aus der resultierenden Liste aus und klicken Sie auf OK , um den Wert wieder in das vorherige Dialogfeld zu übertragen.

Berechtigungen

Die folgenden Berechtigungen können beim Hinzufügen eines Zugangssteuerungseintrags ausgewählt werden (umfassende Details finden Sie in Sicherheits-API).

Registrieren von neuen Berechtigungen

Sie können auch neue Berechtigungen registrieren:

1. Wählen Sie in der Symbolleiste Instrumente, dann Berechtigungen , um die aktuell registrierten Berechtigungen anzuzeigen.

   

2. Verwenden Sie die Berechtigung registrieren Symbol (+), damit Sie eine Berechtigung definieren können:

   

3. Klicken Sie zum Speichern auf OK. Die Berechtigung steht jetzt zur Auswahl zur Verfügung.

Hinzufügen von Zugriffssteuerungseinträgen

1. Wählen Sie die Ressource aus und öffnen Sie die Registerkarte Zugriffssteuerung.

2. Um neue Richtlinien zur lokalen Zugriffssteuerung hinzuzufügen, klicken Sie auf das +-Symbol rechts neben der Liste Gültige Richtlinie für die Zugriffssteuerung:

   

3. Es wird ein neuer Eintrag unter Richtlinien zur lokalen Zugriffssteuerung angezeigt:

   

4. Klicken Sie auf + -Symbol, damit Sie einen Eintrag hinzufügen können:

   

   HINWEIS

   Derzeit ist es nur mithilfe einer Übergangslösung möglich, eine leere Zeichenfolge festzulegen.

   Dazu müssen Sie "".

5. Definieren Sie Ihre Zugriffssteuerungsrichtlinie und klicken Sie zum Speichern auf OK. Ihre neue Richtlinie lautet:

   • aufgeführt unter Richtlinie zur lokalen Zugriffssteuerung
   • Änderungen werden in der Effektive Richtlinien zur Zugriffssteuerung.

CRX überprüft Ihre Auswahl. Für einen bestimmten Prinzipal gibt es (höchstens) eine Ablehnungs- und eine Zulassungseingabe für einen bestimmten Knoten. Die Implementierung löscht immer redundante Einträge und stellt sicher, dass dieselbe Berechtigung nicht sowohl in den Zulassungs- als auch in den Ablehnungseinträgen aufgeführt wird.

Sortieren von Richtlinien zur lokalen Zugriffssteuerung

Die Reihenfolge in der Liste zeigt die Reihenfolge an, in der die Richtlinien angewendet werden.

1. In der Tabelle von Richtlinien zur lokalen Zugriffssteuerung, wählen Sie den gewünschten Eintrag aus und ziehen Sie ihn an die neue Position in der Tabelle.

   

2. Die Änderungen werden in beiden Tabellen für die Lokal und Effektive Richtlinien zur Zugriffssteuerung.

Entfernen von Richtlinien zur Zugriffssteuerung

1. In der Tabelle von Richtlinien zur lokalen Zugriffssteuerung klicken Sie auf das rote Symbol (-) rechts neben dem Eintrag.
2. Der Eintrag wird aus beiden Tabellen für die Lokal und Effektive Richtlinien zur Zugriffssteuerung.

Testen von Richtlinien zur Zugriffssteuerung

1. Wählen Sie in der CRXDE Lite-Symbolleiste die Option Instrumente, dann Zugriffskontrolle testen….

2. Oben rechts wird ein neues Dialogfeld geöffnet. Wählen Sie den Pfad und/oder den Prinzipal aus, den Sie testen möchten.

3. Klicken Sie auf Testen, um die Ergebnisse für Ihre Auswahl zu sehen: