在OSGi環境AEM上強化和保護表單

瞭解在OSGi伺服器上保護AEM Forms安全的建議和最佳做法。

保護伺服器環境對組織至關重要。 本文介紹了保護運行AEM Forms的伺服器安全的建議和最佳做法。 這不是針對您作業系統的完整主機強化檔案。 相反地,本文說明您應實作的各種安全強化設定,以增強已部署應用程式的安全性。 不過,為了確保應用程式伺服器保持安全,除了本文中提供的建議外,您還應實作安全性監控、偵測和回應程式。 本檔案也包含保護PII(個人識別資訊)的最佳實務和准則。

本文的適用對象為負責規劃AEM Forms應用程式或基礎架構開發與部署的顧問、安全專家、系統架構設計人員和IT專業人員。 這些角色包括以下常見角色:

  • IT和營運部門的工程師必須在自己或客戶組織中部署安全的Web應用程式和伺服器。
  • 負責規劃組織中客戶的建築工作的建築師和規劃師。
  • IT安全專家,他們專注於在組織內跨平台提供安全性。
  • 需要客戶和合作夥伴詳細資源的Adobe和合作夥伴的顧問。

以下映像顯示典型AEM Forms部署中使用的元件和協定,包括相應的防火牆拓撲:

典型體系結構

AEM Forms具備高度的可自訂性,可在多種不同的環境中運作。 有些建議可能不適用於您的組織。

安全傳輸層

傳輸層安全漏洞是對任何面向網際網路或面向內部網的應用程式伺服器的首批威脅之一。 本節介紹加強網路上主機抵御這些漏洞的過程。 它解決了網路分段、傳輸控制協定/Internet協定(TCP/IP)棧強化以及使用防火牆保護主機的問題。

限制開放端點

組織可以有外部防火牆,以限制使用者與AEM Forms發佈群組之間的存取。 組織也可以有內部防火牆,以限制發佈群與組織元素內的其他元素(例如,作者例項、處理例項、資料庫)之間的存取。 允許防火牆為最終用戶和組織元素內部訪問有限數量的AEM FormsURL:

配置外部防火牆

您可以設定外部防火牆,以允許特定AEM FormsURL存取網際網路。 要填寫或提交最適化表單、HTML5、信件管理信件或登入AEM Forms伺服器,必須存取這些URL:

元件 URI
最適化表單
  • /content/dam/formsanddocuments/AF_PATH/jcr:content
  • /etc/clientlibs/fd/
  • /content/forms/af/AF_PATH
  • /libs/granite/csrf/
HTML5表格
  • /content/forms/formsets/profiles/
通信管理
  • /aem/forms/createcorresponces*
表單入口網站
  • /content/forms/portal/
  • /libs/cq/ui/widgets*
  • /libs/cq/security/
AEM Forms 應用程式
  • /j_security_check*
  • /soap/services/authenticationManagerService

配置內部防火牆

您可以配置內部防火牆,以允許某些AEM Forms元件(例如,作者實例、處理實例、資料庫)與發佈群和拓撲圖中提及的其他內部元件通信:

主機
URI
發佈群(發佈節點) /bin/receive
處理伺服器 /content/forms/fp/*
Forms Workflow附加伺服器(JEE伺服器上的AEM Forms) /soap/sdk

設定儲存庫權限和訪問控制清單(ACL)

依預設,每個人都可存取發佈節點上可用的資產。 所有資產都啟用唯讀存取。 必須啟用匿名存取。 如果您打算限制表單檢視並僅將存取權提交給已驗證的使用者,則使用通用群組只允許已驗證的使用者擁有發佈節點上可用資產的唯讀存取權。 下列位置/目錄包含需要強化的表單資產(已驗證使用者的唯讀存取權):

  • /content/*
  • /etc.clientlibs/fd/*
  • /libs/fd/*

安全地處理表單資料

AEM Forms將資料儲存至預先定義的位置和暫存資料夾。 您應保護資料的安全,以防止未經授權的使用。

設定臨時資料夾的定期清理

當您為檔案附件、驗證或預覽元件配置表單時,相應的資料將儲存在位於/tmp/fd/的發佈節點上。 系統會定期清除資料。 您可以將預設資料清除作業修改為更具攻擊性。 要修改計劃清除資料的作業,請開啟Web控AEM制台,開啟AEM Forms臨時儲存清除任務,並修改Cron表達式。

在上述案例中,資料僅會儲存給已驗證的使用者。 此外,資料還受到訪問控制清單(ACL)的保護。 因此,修改資料清除是保護資訊安全的另外一個步驟。

保護表單入口網站提交動作儲存的資料

預設情況下,最適化表單的表單門戶提交操作會將資料保存到發佈節點的本地儲存庫中。 資料儲存於/content/forms/fp。 建議不要將資料儲存在發佈例項上。

您可以配置儲存服務以通過線路向處理群集發送,而無需在發佈節點上本地保存任何內容。 處理群集位於私有防火牆後的安全區域,資料保持安全。

使用DS設定服務的處理服AEM務器憑據,將資料從發佈節點發佈到處理伺服器。 建議使用受限非管理用戶的憑據,並具有對處理伺服器儲存庫的讀寫訪問權。 有關詳細資訊,請參閱為草稿和提交配置儲存服務

由表單資料模型(FDM)處理的安全資料

使用具有最低所需權限的用戶帳戶為表單資料模型(FDM)配置資料源。 使用管理帳戶可讓未經授權的使用者開放存取中繼資料和架構實體。
資料整合還提供了授權FDM服務請求的方法。 您可以插入執行前和執行後授權機制來驗證請求。 服務請求是在預先填寫表單、提交表單及透過規則叫用服務時產生的。

預處理授權:您 可以使用預處理授權來驗證請求的真實性,然後再執行。您可以使用輸入、服務和請求詳細資訊來允許或停止執行請求。 如果停止執行,則可以返回資料整合例外OPERATION_ACCESS_DENIED。 您也可以在傳送用戶端要求以執行之前加以修改。 例如,變更輸入並新增其他資訊。

流程後授權: 您可以使用流程後授權來驗證和控制結果,然後再將結果返回給請求者。您也可以篩選、修剪及插入其他資料至結果。

限制用戶訪問

作者、發佈和處理例項需要一組不同的使用者角色。 請勿使用管理員認證執行任何例項。

在發佈例項上:

  • 只有表單使用者群組的使用者才能預覽、建立草稿及提交表單。
  • 只有cm-user-agent組的用戶才能預覽通信管理信件。
  • 停用所有非必要的匿名存取。

在作者實例上:

  • 有一組預先定義的群組,每個角色都具有特定權限。 指派使用者至群組。

    • 表單使用者群組的使用者:

      • 可以建立、填寫、發佈及提交表格。
      • 無法建立以XDP為基礎的調適性表單。
      • 沒有編寫最適化表單指令碼的權限。
      • 無法導入XDP或包含XDP的任何包
    • 表單使用者——強大的使用者群組——建立、填寫、發佈和送出所有類型的表單、編寫最適化表單的指令碼、匯入包含XDP的封裝。

    • 範本作者和範本強大使用者的使用者可以預覽並建立範本。

    • fdm-authors的用戶可以建立和修改表單資料模型。

    • cm-user-agent組的用戶可以建立、預覽和發佈通信管理信件。

    • 工作流編輯組的用戶可以建立收件箱應用程式和工作流模型。

在處理作者時:

  • 對於遠程保存和提交使用案例,請建立對crx-repository的content/form/fp路徑具有讀取、建立和修改權限的用戶。
  • 將使用者新增至工作流程使用者群組,讓使用者可使用收件AEM匣應用程式。

AEM Forms環境的安全內部網元素

通常,處理群集和Forms Workflow附加模組(JEE上的AEM Forms)在防火牆後運行。 因此,這些都被認為是安全的。 您仍然可以執行幾個步驟來強化這些環境:

安全處理群集

處理群集在作者模式下運行,但不用於開發活動。 請勿允許一般使用者納入處理叢集的內容作者和表單使用者群組。

使用AEM最佳做法保護AEM Forms環境

本檔案提供了AEM Forms環境的具體說明。 您應確保在部署時基礎安AEM裝是安全的。 如需詳細指示,請參閱AEM安全檢查清單檔案。

本頁內容

Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free
Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free
Adobe Maker Awards Banner

Time to shine!

Apply now for the 2021 Adobe Experience Maker Awards.

Apply now
Adobe Maker Awards Banner

Time to shine!

Apply now for the 2021 Adobe Experience Maker Awards.

Apply now