DocumentationAEMGuide de l’utilisateur

Considérations relatives à la sécurité d’AEM as a Cloud Service security-considerations

Dernière mise à jour : 29 octobre 2026
  • S'applique à :
  • Experience Manager as a Cloud Service

Créé pour :

  • Administrateur ou administratrice

Trust Store d’AEM aem-trust-store

Pour prendre en charge les opérations cryptographiques asymétriques, AEM stocke les certificats dans le référentiel de contenu, dans un Trust Store global. Ses contenus sont publics et accessibles par défaut et de façon anonyme par tous et toutes sur les instances d’éditeur.

Caractéristiques du Trust Store truststore-characteristics

  • Le Trust Store se trouve dans /etc/truststore et est constitué d’un fichier de stockage de clés Java™, du mot de passe du stockage de clés et des métadonnées du référentiel. Le mot de passe et le fichier de stockage de clés sont chiffrés pour des raisons techniques, même si les certificats contenus sont accessibles à toutes les personnes par défaut via l’API.

  • Les certificats prêts à l’emploi sont utilisés uniquement pour la prise en charge HTTPS et SAML et le magasin doit d’abord être créé manuellement.

  • Les clients et clientes peuvent l’utiliser dans leur propre code par l’intermédiaire de l’API Keystore

  • Le Trust Store peut être géré via l’interface utilisateur dans Outils - Sécurité - Trust Store ou en accédant à https://serveraddress:serverport/libs/granite/security/content/truststore.html, tel qu’illustré ci-dessous :

    Gestion du Trust Store

  • L’accès au Trust-Store peut être restreint davantage par le contrôle d’accès au référentiel selon le cas d’utilisation.

NOTE
Adobe recommande d’utiliser les contrôles d’accès par défaut pour le Trust Store, c’est-à-dire de le laisser accessible au public. Pour la configuration la plus sécurisée, vous pouvez utiliser une politique de refus jcr:all pour toutes les personnes.

Limiter l’accès anonyme aux propriétés du système restrict-anonymous-access-to-system-properties

AEM stocke les métadonnées système, telles que jcr:createdBy et jcr:lastModifiedBy, en tant que propriétés de nœud avec le contenu normal dans le référentiel. Selon la configuration et la configuration du contrôle d’accès, le rendu de ces nœuds au format JSON ou XML peut exposer des informations d’identification personnelle (PII).

Comme pour les autres données du référentiel, l’accès à ces propriétés est contrôlé par la pile d’autorisations d’Oak. Restreindre l’accès selon le principe de moindre privilège.

Dans AEM as a Cloud Service, vous pouvez utiliser Repo Init pour configurer une entrée de contrôle d’accès refusé à la racine du référentiel, ce qui limite l’accès anonyme à des propriétés système spécifiques.

Étapes de configuration configuration-steps

  1. Dans votre projet AEM, créez un fichier de configuration dans le répertoire suivant :

    ui.config/src/main/content/jcr_root/apps/<name-of-program>/osgiconfig/config.publish/

    Utilisez le nom de fichier suivant :

    org.apache.sling.jcr.repoinit.RepositoryInitializer-anonymousPermissions.config

  2. Ajoutez la configuration suivante au fichier :

    code language-text 
    scripts=["
    set ACL on /
        deny jcr:all for anonymous restriction(rep:itemNames, jcr:createdBy,jcr:lastModifiedBy,cq:lastModifiedBy,cq:lastReplicatedBy,cq:lastRolledoutBy)
    end
"]

    La restriction rep:itemNames limite l’entrée de refus aux noms répertoriés. Cette configuration limite l’accès anonyme aux propriétés suivantes :

    • jcr:createdBy
    • jcr:lastModifiedBy
    • cq:lastModifiedBy
    • cq:lastReplicatedBy
    • cq:lastRolledoutBy

  3. Validez et envoyez le fichier de configuration à votre référentiel Git, puis déployez-le via un pipeline Cloud Manager. La configuration placée dans config.publish s’applique à l’environnement de publication.

Une fois la configuration prise en compte, les propriétés ciblées ne sont plus visibles dans la sortie JSON ou XML générée à l’aide des autorisations de référentiel de l’utilisateur anonyme.

NOTE
Les réponses mises en cache avant la modification de la configuration peuvent toujours contenir les propriétés ciblées. Invalidez les caches appropriés si nécessaire.
recommendation-more-help
experience-manager-cloud-service-help-main-toc