[AEM Assets]{class="badge positive" title="(Se aplica a los AEM Assets)."}
Control de acceso basado en atributos attribute-based-access-control
El control de acceso basado en atributos (ABAC) permite a los administradores de Content Hub definir reglas basadas en metadatos que controlan el nivel de acceso a los recursos disponibles en Content Hub. En lugar de depender de dónde se almacenan los recursos, ABAC rige el acceso según los atributos adjuntos a cada recurso.
Los administradores de una organización definen reglas para los grupos de usuarios, que están asignados a un Id. de grupo. Las reglas son una combinación de operadores lógicos y de comparación, y los administradores pueden definir tantas reglas como sean necesarias para administrar el acceso a los recursos en Content Hub.
Las reglas se basan en metadatos. Cuando las condiciones definidas en una regla coinciden con los metadatos del recurso, Content Hub muestra el recurso al grupo de usuarios. Como resultado, el acceso se determina dinámicamente por los metadatos en sí, en lugar de por la ubicación en la que se almacena un recurso. Content Hub analiza los metadatos de los recursos, incluidos los metadatos personalizados, de todos los recursos disponibles en Todos los Assets y Colecciones para mostrar los resultados a los grupos de usuarios.
Por ejemplo, PERMITIR el acceso a un grupo de usuarios con ID de grupo = 1011 cuando los metadatos de los recursos coincidan con “Marca = Marca X” Y “Región = EMEA O América”. A continuación, Content Hub muestra al grupo de usuarios con ID = 1011 solo aquellos recursos en los que Brand = Brand X y Region = EMEA o Americas.
Las reglas ABAC en Content Hub se pueden configurar mediante los siguientes métodos:
- Configuración de autoservicio con el Asistente de IA en Content Hub, con tecnología del agente de control de AEM
- Configuración basada en hoja de cálculo mediante Soporte técnico de Adobe
Con AI Assistant en Content Hub, los administradores definen y administran reglas ABAC mediante metadatos y lenguaje natural. Esto permite una configuración de reglas más rápida y reduce la dependencia de los flujos de trabajo de soporte manual, de modo que los administradores pueden ajustar las políticas de acceso directamente en lugar de enrutar cada cambio a través de un ticket de soporte.
Algunas de las ventajas clave del control de acceso basado en atributos son:
- Elimina la dependencia de la estructura de carpetas para los permisos, desacoplando el control de acceso de la ubicación de almacenamiento
- Permite a los administradores cargar recursos y determinar de forma retroactiva las estructuras de permisos, por lo que los permisos se pueden aplicar una vez que los recursos ya se encuentran en el sistema
- Reduce el número de recursos duplicados y mejora la integridad de los recursos, ya que un solo recurso se puede regir por reglas en lugar de copiarse para cada grupo. Los duplicados son necesarios en los permisos basados en carpetas cuando los mismos recursos deben compartirse con grupos diferentes.
- Habilita el acceso granular basado en reglas impulsado por atributos de metadatos específicos
- Admite administración escalable en marcas y regiones, de modo que las directivas de acceso pueden crecer con la organización
- Mejora la administración de recursos al centralizar las decisiones de acceso en torno a los metadatos
Cómo habilitar el control de acceso basado en atributos enable-attribute-based-access-control
El control de acceso basado en atributos (ABAC) en Content Hub rige el acceso mediante la evaluación de atributos (como usuario, recurso y propiedades contextuales) frente a reglas definidas, lo que permite permisos específicos más allá de la asignación de funciones simples. Los administradores habilitan y configuran las reglas ABAC en Content Hub mediante cualquiera de los dos métodos siguientes:
-
Configuración de autoservicio mediante el Asistente de IA en Content Hub (con tecnología del Agente de control de AEM)
Los administradores definen y administran reglas ABAC directamente utilizando lenguaje natural en Content Hub. Esto permite crear reglas de autoservicio de forma rápida sin tickets externos, lo que lo convierte en el método más rápido para los equipos que desean iterar en las directivas de acceso directamente dentro de Content Hub. -
Configuración basada en hoja de cálculo a través del soporte técnico de Adobe
Los administradores definen las reglas ABAC en una hoja de cálculo y las envían al servicio de asistencia de Adobe para su configuración. Este método se adapta a conjuntos de reglas grandes o en bloque que se benefician de una preparación y revisión estructuradas y sin conexión antes de que el soporte de Adobe los aplique.
Configuración de ABAC (Control de acceso basado en atributos) mediante el Asistente de IA en Content Hub
Con el Asistente de IA en Content Hub, con tecnología del Agente de control de AEM, puede crear y administrar reglas de ABAC (Control de acceso basado en atributos) directamente en Content Hub mediante lenguaje natural.
ABAC (Control de acceso basado en atributos) rige el acceso al contenido en función de atributos (como roles de usuario, metadatos de recursos y condiciones contextuales) en lugar de listas de permisos fijas predefinidas. Este modelo basado en atributos hace que las directivas de acceso sean más granulares y adaptables a las cambiantes necesidades de la organización.
Lo que puede hacer what-you-can-do-ai-assistant
Con el asistente de IA, los administradores pueden administrar todo el ciclo de vida de las reglas ABAC directamente a través de mensajes de conversación:
- Buscar reglas existentes: busque y revise rápidamente las directivas de acceso actuales.
- Crear reglas: defina nuevos controles de acceso con instrucciones en lenguaje sencillo.
- Actualizar reglas: modifique las directivas existentes sin navegar por interfaces de configuración complejas.
- Eliminar reglas: elimine los controles de acceso obsoletos o innecesarios.
Por qué importa esto why-this-matters-ai-assistant
El asistente de IA permite a los administradores crear y administrar reglas de acceso de forma independiente, sin depender de flujos de trabajo de soporte. Dado que las reglas se expresan en lenguaje natural, los administradores no necesitan dominar la sintaxis especializada ni dirigir las solicitudes a través de los equipos de asistencia. Esto reduce el tiempo de respuesta para los cambios de acceso, minimiza la dependencia de la asistencia externa y proporciona a los equipos de administración un control directo y de autoservicio sobre cómo se accede al contenido y se protege dentro de Content Hub.
Antes de empezar before-you-begin-ai-assistant
Confirme los siguientes requisitos previos antes de utilizar el Asistente de IA en Content Hub para la configuración de reglas de control de acceso basado en atributos (ABAC). Todos los requisitos que se indican a continuación deben cumplirse para garantizar que el asistente de IA esté disponible y funcione dentro de su entorno:
- Con licencia para Adobe Experience Manager (AEM) as a Cloud Service: se requiere una licencia válida de AEM as a Cloud Service para acceder a las funciones del Asistente de IA.
- El Asistente de IA con tecnología del Agente de control de AEM está habilitado y disponible para su organización; este agente sustenta el flujo de trabajo de configuración de reglas ABAC asistidas.
- Si el acceso aún no está disponible, póngase en contacto con su representante de Adobe y complete los pasos de licencia necesarios, ya que el derecho se proporciona en el nivel de organización antes de que el asistente de IA se pueda utilizar.
- No se requiere un controlador de IA generativo GenAI para el programa try-buy, lo que permite a las organizaciones evaluar el asistente de IA sin ese componente de licencia adicional.
Pasos para configurar las reglas de Control de acceso basado en atributos (ABAC) mediante el Asistente de IA steps-ai-assistant
Control de acceso basado en atributos (ABAC) determina quién puede tener acceso a los recursos en función de atributos como el grupo de usuarios y los metadatos del producto, en lugar de las listas de permisos estáticas y mantenidas manualmente. En Content Hub, el Asistente de IA le permite crear estas reglas utilizando instrucciones en lenguaje natural y, a continuación, genera una vista previa estructurada para su revisión antes de que se aplique algo.
-
Abra el Asistente de IA en Content Hub.
-
Comience con una instrucción sencilla.
Comience con un mensaje amplio que le diga al Asistente de IA lo que desea lograr. Por ejemplo:
Create a new rule in Content HubA continuación, el Asistente de IA le guía por la información necesaria para crear la regla y le solicita los detalles que faltan.
-
Defina la regla en idioma natural.
Describa la condición de acceso en un lenguaje sencillo, especificando el grupo de usuarios, los recursos y el atributo que determina el acceso. Por ejemplo:
Frescopa Web Marketers user group should have access to assets where product equals Frescopa -
Seleccione el entorno donde se debe aplicar la regla ABAC.
La elección del entorno correcto garantiza que la regla tenga un ámbito exclusivo para el destino deseado y que no afecte a otros entornos.
-
Revise la regla antes de aplicarla.
El asistente de IA genera una previsualización estructurada de la regla. No se aplica nada automáticamente. Puede revisar la regla generada, ajustarla si es necesario o cancelar la acción antes de aplicarla. Este paso de vista previa le proporciona control total y evita cambios de acceso no deseados.
-
Guarde y aplique la regla.
Una vez guardada, la regla se aplica dinámicamente y evalúa los metadatos del recurso en tiempo real cada vez que se solicita acceso. Dado que la aplicación está basada en metadatos, la regla se aplica automáticamente a los recursos coincidentes a medida que se añaden o actualizan, sin requerir la reasignación manual de permisos.
Este paso de revisión obligatorio garantiza la precisión antes de aplicar la regla, lo que reduce el riesgo de conceder o denegar el acceso incorrectamente.
Administración de reglas ABAC mediante indicadores manage-abac-rules-using-prompts
Después de empezar a usar el Asistente para IA, administra las reglas de Control de acceso basado en atributos (ABAC) de forma conversacional, mediante mensajes en lenguaje sencillo en lugar de navegar por los menús de configuración. ABAC determina quién puede acceder a los recursos en función de atributos como grupo de usuarios, región u otras propiedades de metadatos. El Asistente de IA le permite descubrir, crear, actualizar y eliminar estas reglas a través de una conversación natural. Este enfoque conversacional optimiza la administración de acceso, reduce la necesidad de memorizar la sintaxis de reglas y facilita la precisión de los permisos a medida que evolucionan los equipos y el contenido.
Descubrir reglas
Utilice estas indicaciones para revisar las reglas de acceso ya establecidas antes de realizar cambios:
- Mostrar todas las reglas ABAC de Content Hub existentes
Crear reglas
Utilice estas indicaciones para conceder a un grupo acceso a los recursos, ya sea en sentido amplio o con ámbitos a valores de metadatos específicos como la región:
- Cree una regla que proporcione acceso al grupo de marketing de producto a todos los recursos
- Conceder acceso al grupo de ventas a recursos cuya región sea igual a EMEA
Actualizar reglas
Utilice estos indicadores para ampliar o modificar una regla existente, por ejemplo, para ampliar las regiones a las que puede llegar un grupo:
- Actualizar regla para el grupo de marketing de EMEA para incluir APAC
Eliminar reglas
Utilice estas indicaciones para eliminar una regla de acceso que ya no sea necesaria:
- Eliminar la regla para el grupo de marketing de producto
Explorar metadatos y grupos
Utilice estos indicadores para ver los grupos y las propiedades de metadatos disponibles antes de definir nuevas reglas, de modo que las condiciones hagan referencia a atributos válidos:
- Mostrar los grupos y las propiedades de metadatos disponibles para establecer las reglas
Configurar ABAC mediante hoja de cálculo
Si el Asistente de IA no está habilitado para su organización, puede configurar las reglas de Control de acceso basado en atributos (ABAC) mediante el flujo de trabajo basado en hoja de cálculo. ABAC rige el acceso a Adobe Experience Manager Assets mediante la evaluación de los atributos de usuario, recurso y entorno, y el método de hoja de cálculo proporciona una alternativa al asistente de IA para definir estas reglas.
Siga estos pasos para definir y enviar reglas ABAC:
- Haga clic en Descargar hoja de cálculo para descargar la plantilla y definir las reglas en la hoja de cálculo.
- Defina las reglas en la hoja de cálculo siguiendo las directrices descritas en este artículo.
- Cree un ticket de asistencia de Adobe y proporcione las reglas definidas en la hoja de cálculo a Adobe.
[Descargar hoja de cálculo]{class="badge informative"}
Defina las reglas en la hoja de cálculo siguiendo las directrices descritas en este artículo.
Pasos para configurar las reglas ABAC mediante hoja de cálculo steps-spreadsheet
Configure las reglas de Control de acceso basado en atributos (ABAC) a través del flujo de trabajo de la hoja de cálculo al completar los siguientes pasos en orden:
- Descargue la plantilla de hoja de cálculo ABAC. Esta plantilla proporciona la estructura estandarizada que utiliza Adobe para interpretar y aplicar las reglas de acceso.
- Defina reglas de acceso en la hoja de cálculo utilizando condiciones basadas en metadatos: condiciones que concedan o restrinjan el acceso en función de atributos de contenido como etiquetas, propiedades o clasificaciones, en lugar de recursos individuales. Este método basado en atributos permite que las reglas se escalen automáticamente a medida que se agrega contenido nuevo que coincida con esos atributos.
- Asigne cada regla al ID de grupo de IMS (sistema Identity Management) correspondiente. La asignación precisa garantiza que cada regla se aplique al grupo de usuarios deseado, lo que evita que se conceda o deniegue el acceso a la audiencia incorrecta.
- Capture la intención comercial de cada regla en el campo de comentarios. Esto garantiza que Adobe comprenda claramente el propósito de cada condición y configure el acceso con precisión, lo que reduce el riesgo de malinterpretaciones.
- Envíe un ticket de asistencia de Adobe y comparta la hoja de cálculo completa con Adobe. La adición de la plantilla finalizada proporciona al equipo de Adobe todo lo necesario para revisar e implementar las reglas.
- Adobe configura las reglas para su organización en función de la hoja de cálculo enviada y aplica las condiciones ABAC definidas a su entorno.
Ejemplo de caso de uso de control de acceso basado en atributos example-metadata-based-rules
Para admitir una implementación de marketing a gran escala, los integrantes del equipo de varias regiones y marcas requieren acceso a recursos digitales compartidos, y a cada persona se le concede un ámbito específico definido por la región y la marca. El control de acceso basado en atributos (ABAC) aplica estas reglas de acceso automáticamente mediante la evaluación de metadatos de recursos, como los atributos region y brand adjuntos a cada recurso, en lugar de depender de listas de permisos mantenidas manualmente. Dado que el acceso se determina haciendo coincidir los atributos asignados de un usuario con los metadatos de cada recurso, los permisos se mantienen coherentes y actuales a medida que aumenta la biblioteca de recursos. La siguiente tabla ilustra las personalidades de este caso de uso y las reglas aplicadas:
Con estas reglas, los administradores de Content Hub obtienen lo siguiente:
- Acceso granular basado en reglas: Los usuarios solo ven los recursos relevantes para su región y marca. Debido a que la regla ABAC evalúa los metadatos automáticamente, este ámbito no requiere asignaciones de permisos manuales, lo que reduce la sobrecarga administrativa y el riesgo de acceso mal configurado.
- Colaboración global perfecta: Los equipos regionales y de marca trabajan en paralelo sin conflictos de acceso, porque la visibilidad de cada equipo está limitada precisamente por su propia regla basada en metadatos.
- Permisos escalables y a prueba de cambios en el futuro: a medida que se agregan nuevas regiones o marcas, los administradores actualizan las reglas directamente comparándolas con los metadatos subyacentes, en lugar de reasignar los permisos que el usuario utiliza. Esto hace que el modelo de acceso sea sencillo de ampliar, lo que garantiza que la estructura de permisos mantenga el ritmo del crecimiento de la organización sin reelaboraciones molestas.
Casos adicionales en los que ABAC sea útil additional-scenarios-abac
El Control de acceso basado en atributos (ABAC) también aborda los siguientes escenarios, otorgando o restringiendo el acceso en función de atributos del usuario como marca, mercado, función del equipo y región:
- Marca global y acceso regional: los equipos solo ven los activos relevantes para su marca y mercado. Esto mantiene la coherencia de la marca y reduce el riesgo de exposición accidental de activos entre marcas o entre mercados.
- Colaboración entre agencias y socios: Las agencias externas y los socios solo pueden acceder a los activos de campaña relevantes para ellos. Esto limita la exposición de terceros a activos internos no relacionados, al tiempo que permite una colaboración centrada.
- Acceso basado en roles para equipos diferentes: equipos como marketing, ventas y legal pueden acceder a recursos relevantes para su función, asegurándose de que cada equipo trabaje únicamente con contenido relevante para sus responsabilidades.
- Cumplimiento legal específico de la región: los usuarios pueden restringirse a los recursos aprobados para requisitos regulatorios o regionales específicos, lo que ayuda a aplicar los límites de cumplimiento y a evitar el uso de contenido no aprobado en una jurisdicción determinada.
Construcciones de reglas compatibles supported-rule-constructs
Las reglas se crean a partir de dos categorías de construcciones: operadores lógicos, que combinan varias condiciones, y operadores de comparación, que prueban atributos de usuario o recurso individuales con un valor. Juntas, estas construcciones definen exactamente cuándo se concede o deniega el acceso.
-
Operadores lógicos (combinar condiciones en una sola evaluación):
- AND: todas las condiciones deben evaluarse como verdaderas para que la regla coincida. Dado que cada cláusula debe ser válida, AND reduce el ámbito de una regla y exige requisitos de acceso más estrictos.
- OR: al menos una condición debe evaluarse como verdadera para que la regla coincida. Dado que cualquier cláusula satisfecha única es suficiente, O amplía el ámbito de una regla y cubre varios casos que cumplen los requisitos.
-
Operadores de comparación (pruebe un solo atributo con un valor):
- Es igual a (=): Comprueba si un usuario o atributo de recurso coincide con un valor especificado. Esto garantiza que una decisión de acceso se aplique únicamente cuando el atributo corresponda exactamente al valor de destino.
- No es igual a (!=): comprueba si un usuario o atributo de recurso no coincide con un valor especificado. Esto garantiza que una regla excluya entidades cuyo atributo difiera del valor del objetivo.
Comportamiento de metadatos con valores de matriz: cuando los campos de metadatos de recursos contienen matrices (por ejemplo, varias regiones o varias etiquetas), los operadores de comparación cambian a la semántica de pertenencia a conjuntos. En este caso, Igual responde a contiene lógica, que coincide cuando el valor especificado está presente en cualquier parte de la matriz, y No igual responde a no contiene lógica, que coincide únicamente cuando el valor especificado está ausente por completo de la matriz. Esta definición completa es importante porque determina cómo se evalúan los atributos de varios valores durante las decisiones de acceso.
Debido a que estos operadores se combinan de forma limpia, le permiten escribir reglas sencillas pero expresivas que se leen casi como un lenguaje sencillo. Por ejemplo, la regla PERMITIR si region = emea (Europa, Oriente Medio y África) AND assetType != prototype AND tags != confidencial concede acceso solo a los recursos ubicados en la región EMEA, excluye cualquier recurso marcado como prototipo y excluye cualquier recurso cuya matriz de etiquetas contenga el valor confidential. Como resultado, una sola instrucción legible expresa una directiva de acceso precisa y con varias condiciones.
Directrices guidelines-attribute-based-access-control
Las siguientes directrices se aplican a la configuración basada en el Asistente de IA y en hoja de cálculo de las reglas de Control de acceso basado en atributos (ABAC):
- Las reglas ABAC solo se aplican a los recursos aprobados para Content Hub. Para obtener más información, consulte Aprobar Assets para Content Hub.
- No defina las reglas de DENEGACIÓN. Convertir siempre las reglas DENY en reglas ALLOW. La evaluación ABAC en Content Hub se basa en la lógica basada en permitidos, por lo que expresar cada condición como una regla ALLOW garantiza que el acceso se conceda de forma explícita y predecible en lugar de inferirse de las exclusiones. Por ejemplo,
ALLOW if region = user-region DENY if assetType = prototype AND confidential = yesse puede convertir enALLOW if region = user-region AND (assetType != prototype OR confidential != yes). - Las reglas ABAC se aplican a los grupos de usuarios que utilizan la ID de grupo de Identity Management System (IMS), que está disponible en Admin Console. El uso del ID de grupo de IMS garantiza que las reglas se enlacen a la identidad de grupo correcta de forma coherente.
- Puede establecer el Destino de aprobación para los recursos mediante el entorno de creación de AEM as a Cloud Service. Las reglas ABAC se aplican a los recursos aprobados con Approval Target = Content Hub. Por el contrario, Approval Target = Delivery es para recursos disponibles tanto para Delivery como para Content Hub. Debido a que los recursos marcados como Destino de aprobación = Envío son visibles para todos los usuarios en Content Hub, las restricciones ABAC no limitan su visibilidad.
- Asegúrese de que los esquemas de metadatos utilizados en las reglas ABAC estén correctamente definidos y disponibles en AEM. Proporcione la ruta completa del esquema de metadatos o los esquemas de AEM que definen las propiedades a las que se hace referencia en las reglas ABAC. De forma opcional, cree una carpeta de prueba con recursos de muestra que coincidan con las condiciones ABAC para verificar el comportamiento de las reglas y evaluar el acceso con precisión.
- Capture la intención comercial de la regla en los comentarios, incluso cuando la condición esté escrita correctamente, ya que la intención documentada ayuda a validar y corregir la lógica si es necesario.
- Asegúrese de que los valores de metadatos utilizados para las reglas de acceso, como brand, region y product, se mantengan de forma coherente en todos los recursos. Los valores de metadatos coherentes evitan que las reglas no coincidan con los recursos que deben regirse por ellas.
- Comience con casos de uso clave como el acceso basado en la marca o el acceso basado en la región, ya que representan los escenarios de control de acceso más comunes y directos.
- Utilice indicaciones claras al definir reglas con el Asistente de IA. Describa la intención en el lenguaje empresarial para que el asistente de IA pueda traducirla con precisión en una regla estructurada.
- Los archivos de licencia Portable Document Format (PDF) configurados para Digital Rights Management (DRM) deben permanecer visibles para todos los usuarios, de modo que los usuarios puedan revisar la información de licencia al descargar el recurso con su licencia.
Preguntas frecuentes faqs-attribute-based-access-control-content-hub
¿Qué es el control de acceso basado en atributos (ABAC)?
Control de acceso basado en atributos (ABAC) es un modelo de autorización que concede o deniega el acceso a los recursos mediante la evaluación de atributos, en lugar de únicamente funciones fijas. En ABAC, las decisiones de acceso se determinan dinámicamente en el momento de la solicitud comparando los atributos del usuario, el recurso, la acción y el entorno circundante con un conjunto de directivas definidas. Dado que estas decisiones se calculan a partir de valores de atributo en lugar de permisos estáticos, ABAC admite un control de acceso detallado y según el contexto que se adapta a sistemas grandes y complejos.
¿Qué atributos evalúa ABAC?
Las políticas ABAC suelen basarse en cuatro categorías de atributos:
- Atributos del sujeto: características del usuario o entidad que solicita acceso, como departamento, cargo, nivel de autorización o pertenencia a grupo.
- Atributos de recurso (objeto): propiedades del contenido o recurso al que se tiene acceso, como clasificación, propietario, tipo de contenido o etiqueta de confidencialidad.
- Atributos de acción: la operación que se solicita, como leer, editar, publicar o eliminar.
- Atributos de entorno: condiciones contextuales a la hora de la solicitud, como la hora del día, la ubicación, el tipo de dispositivo o la red.
Al combinar estos atributos, ABAC evalúa cada solicitud comparándola con las reglas de la política y devuelve una decisión de permitir o denegar. Este mecanismo garantiza que el acceso refleje las circunstancias específicas de una solicitud en lugar de una única función predefinida.
¿En qué se diferencian ABAC y Control de acceso basado en roles (RBAC)?
A diferencia de Control de acceso basado en roles (RBAC), que concede permisos según la función asignada de un usuario, ABAC concede permisos según varios atributos evaluados a la vez. RBAC asigna acceso a través de definiciones de funciones relativamente estáticas, que pueden resultar difíciles de administrar a medida que se multiplica el número de funciones. ABAC, por el contrario, expresa las reglas de acceso como políticas que hacen referencia a los atributos, lo que permite que una sola política cubra muchos escenarios sin crear una nueva función para cada combinación. Como resultado, ABAC suele ofrecer una mayor flexibilidad y una granularidad más fina, mientras que RBAC suele ser más fácil de configurar para estructuras de permisos sencillas. Muchas organizaciones combinan ambos modelos, utilizando las funciones como un atributo dentro de una directiva basada en atributos más amplia.
¿Por qué utilizar ABAC en un centro de contenido?
En un centro de contenido, ABAC se utiliza para controlar quién puede ver, editar o publicar elementos de contenido específicos en función de sus atributos. Este método permite a los administradores definir reglas de acceso una vez y aplicarlas de forma coherente en las bibliotecas de contenido grandes, ya que el acceso se evalúa desde atributos como la clasificación de contenido y el departamento de usuarios en lugar de asignar permisos manualmente a cada elemento. Los beneficios prácticos incluyen:
- Control preciso: el acceso se puede adaptar a los elementos y condiciones de contenido individuales.
- Escalabilidad: las directivas se aplican automáticamente a medida que se agrega contenido nuevo y usuarios, lo que reduce la administración manual.
- Reconocimiento del contexto: el acceso puede responder a factores ambientales como la ubicación, la hora o el dispositivo.
- Coherencia: las directivas centralizadas aplican reglas de acceso uniformes en todo el centro de contenido.
¿Cómo se definen las políticas ABAC?
Las políticas ABAC se definen como reglas que especifican qué condiciones de atributo deben cumplirse para que se permita una acción. Cada directiva vincula asuntos, recursos, acciones y condiciones ambientales en instrucciones lógicas que el motor de control de acceso evalúa en el momento de la solicitud. Dado que las directivas hacen referencia a atributos en lugar de personas con nombre, siguen siendo válidas como usuarios y como cambios de contenido, lo que reduce el mantenimiento continuo y ayuda a aplicar el principio de menor privilegio.
¿Es ABAC más seguro que los enfoques basados en funciones?
ABAC puede reforzar la seguridad al permitir decisiones de acceso más precisas y sensibles al contexto que los modelos de solo rol. La evaluación conjunta de varios atributos permite a una organización aplicar condiciones con matices; por ejemplo, restringir el acceso a contenido confidencial a menos que se cumplan varios criterios simultáneamente. La eficacia de ABAC depende de políticas bien diseñadas y datos de atributos precisos, por lo que los resultados de seguridad mejoran cuando las fuentes de atributos se mantienen confiables y actualizadas.
¿Qué es el Control de acceso basado en atributos (ABAC) en AEM Assets Content Hub?
Control de acceso basado en atributos (ABAC) en AEM Assets Content Hub es un modelo de permisos que permite a los administradores definir reglas basadas en metadatos para controlar el nivel de acceso que tienen los distintos grupos de usuarios a los recursos digitales. En lugar de asignar permisos recurso por recurso, los administradores expresan las directivas de acceso como condiciones evaluadas en función de los atributos almacenados en los metadatos de cada recurso.
Cómo ABAC determina el acceso
El acceso se concede o deniega en función de si los metadatos de un recurso coinciden con las condiciones especificadas en las reglas. Dado que los metadatos del recurso se evalúan en función de estas condiciones en el momento de la solicitud, los permisos se aplican de forma automática y coherente en toda la biblioteca de recursos. Como resultado, cuando los metadatos de un recurso cumplen las condiciones de una regla, el grupo de usuarios asociado puede ver o trabajar con ese recurso; cuando no lo hace, el recurso permanece oculto para ese grupo.
Características clave del control de acceso basado en atributos
- Dirigido por metadatos: Las decisiones de acceso se basan en atributos de recursos como clasificación, departamento, región, campaña o derechos de uso, en lugar de en listas de permisos estáticas por recurso.
- Granular: Las reglas pueden dirigirse a combinaciones precisas de condiciones de metadatos, lo que proporciona a los administradores un control preciso sobre los recursos a los que puede acceder cada grupo de usuarios.
- Dinámico: Debido a que el acceso sigue a los metadatos, la visibilidad se actualiza automáticamente a medida que cambian los metadatos de los recursos o se agregan nuevos recursos que coinciden con las reglas existentes (no se requieren permisos adicionales manuales).
- Orientado al grupo: Las directivas se aplican a grupos de usuarios definidos, lo que garantiza que cada audiencia vea únicamente los recursos relevantes para su rol.
Aplicaciones y beneficios prácticos
El control de acceso basado en atributos es adecuado para repositorios de recursos grandes y compartidos en los que muchos equipos trabajan desde la misma Content Hub pero requieren diferentes niveles de visibilidad. Las aplicaciones comunes incluyen la restricción de recursos confidenciales o no liberados a equipos específicos, la limitación de contenido específico de la región a los mercados correspondientes y la aplicación de restricciones de derechos de uso o licencias al exponer los recursos únicamente a grupos a los que se les permite utilizarlos. Este enfoque dinámico basado en metadatos reduce la sobrecarga administrativa manual, minimiza el riesgo de que los recursos estén expuestos a usuarios incorrectos y mantiene las políticas de acceso alineadas con la biblioteca de recursos a medida que crece y cambia.
¿Cómo definen los administradores las reglas de acceso mediante ABAC en AEM Assets Content Hub?
Los administradores definen las reglas de acceso en Control de acceso basado en atributos (ABAC) en Adobe Experience Manager (AEM) Assets Content Hub mediante la creación de condiciones en los metadatos de los recursos y la vinculación de esas condiciones a grupos de usuarios específicos. ABAC es un modelo de acceso en el que los permisos se conceden dinámicamente en función de los atributos de un recurso en lugar de permisos fijos y asignados manualmente, lo que permite que la visibilidad se escale automáticamente a medida que se agregue contenido nuevo.
Funcionamiento de las reglas de acceso ABAC
Los administradores crean reglas de acceso siguiendo estos pasos:
- Definir condiciones de metadatos: establezca condiciones basadas en atributos de metadatos de recursos, como marca o región.
- Aplicar operadores lógicos y de comparación: combine atributos mediante operadores para expresar con precisión qué recursos cumplen los requisitos para una regla.
- Vincular condiciones a ID de grupos de usuarios: asocie cada condición con ID de grupos de usuarios específicos y asigne recursos coincidentes a los grupos que deben verlos.
Componentes clave de las reglas ABAC
- Atributos de metadatos: Las propiedades de recursos como la marca o la región sirven de base para cada condición, por lo que el acceso sigue al contenido en sí, en lugar de a las asignaciones de recursos individuales.
- Operadores lógicos y de comparación: Estos operadores habilitan un control preciso y granular, lo que permite a los administradores definir condiciones estrechas o amplias que coincidan exactamente con el conjunto de recursos deseado.
- ID de grupos de usuarios: Las reglas conectan los recursos que cumplen los requisitos con los grupos de usuarios definidos, determinando con precisión qué recursos permanecen visibles para cada grupo de usuarios.
Dado que el acceso está impulsado por atributos, las reglas ABAC se aplican automáticamente a cualquier recurso que coincida con las condiciones definidas. Como resultado, los nuevos recursos etiquetados con los metadatos relevantes heredan la visibilidad correcta sin requerir una reasignación manual, lo que reduce la sobrecarga administrativa y ayuda a aplicar un control coherente y escalable en las bibliotecas de recursos grandes.
¿Cuáles son las principales ventajas de utilizar ABAC sobre los permisos tradicionales basados en carpetas en AEM Assets Content Hub?
Control de acceso basado en atributos (ABAC) en Adobe Experience Manager (AEM) Assets Content Hub concede permisos basados en atributos y metadatos de recursos en lugar de en la ubicación de carpetas físicas. Esta es la principal ventaja sobre los permisos tradicionales basados en carpetas: el acceso está determinado por lo que es un recurso is, no por dónde está almacenado.
Ventajas clave de ABAC en AEM Assets Content Hub
- Elimina la dependencia de las estructuras de carpetas para los permisos. Los derechos de acceso están impulsados por atributos y metadatos en lugar de una jerarquía de carpetas fija, por lo que los administradores ya no están obligados a diseñar árboles de carpetas alrededor de quién puede ver qué.
- Habilita la asignación de permisos retroactivos. Los administradores pueden cargar los recursos primero y asignar permisos después, lo que desvincula la ingesta de contenido de la definición de reglas de acceso.
- Reduce el número de recursos duplicados necesarios, ya que un solo recurso se puede regir por varias reglas basadas en atributos en lugar de copiarse en carpetas independientes para servir a distintas audiencias.
- Simplifica el uso compartido entre varios grupos. Cuando el mismo recurso debe estar disponible para varios equipos o audiencias, ABAC permite exponer una copia autorizada a cada grupo mediante reglas de atributos en lugar de ubicaciones duplicadas.
Por qué ABAC simplifica la administración de permisos
Dado que los permisos se adjuntan a atributos en lugar de a rutas de carpetas, ABAC elimina la rigidez que obliga a los administradores a duplicar recursos o a reestructurar carpetas cada vez que cambian las necesidades de acceso. Esto resulta especialmente útil cuando es necesario compartir recursos con varios grupos, ya que un recurso controlado puede satisfacer muchos escenarios de acceso a la vez.
Como resultado, ABAC mejora la integridad de los recursos y simplifica la administración de permisos. El mantenimiento de menos copias duplicadas supone una única fuente fiable para cada recurso, lo que reduce la deriva de versiones y el riesgo de que circulen archivos obsoletos. Al separar la carga de recursos de la asignación de permisos, ABAC ofrece a los administradores un modelo más flexible y escalable para controlar el acceso en bibliotecas de recursos grandes y en evolución.
¿Pueden los administradores configurar reglas ABAC directamente en la interfaz de Content Hub de los AEM Assets?
Sí. Los administradores pueden configurar las reglas de Control de acceso basado en atributos (ABAC) directamente en la interfaz de Adobe Experience Manager (AEM) Assets Content Hub. ABAC rige el acceso a los recursos en función de atributos como funciones de usuario, metadatos de recursos y contexto organizativo, lo que permite que los permisos se apliquen de forma dinámica en lugar de mediante listas fijas asignadas manualmente.
Los administradores tienen dos rutas admitidas para configurar reglas ABAC:
- Asistente de IA en Content Hub: los administradores configuran las reglas ABAC directamente en la interfaz mediante el Asistente de IA, siempre que esta capacidad esté habilitada para su organización. Este enfoque en la interfaz permite a los equipos definir y ajustar las reglas de acceso sin salir de Content Hub.
- Flujo de trabajo basado en hojas de cálculo mediante el soporte de Adobe: los administradores pueden seguir utilizando el flujo de trabajo basado en hojas de cálculo mediante el soporte de Adobe, que permanece disponible como método alternativo para definir reglas ABAC.
Dado que ambas opciones producen el mismo resultado de control de ABAC, las organizaciones pueden elegir el asistente de IA para la configuración directa en la interfaz o conservar el flujo de trabajo basado en hojas de cálculo según sus preferencias operativas y las funciones habilitadas para su entorno.
¿Qué tipos de condiciones de metadatos se pueden utilizar al configurar reglas ABAC en AEM Assets Content Hub?
Las reglas de Control de acceso basado en atributos (ABAC) de Adobe Experience Manager (AEM) Assets Content Hub admiten dos categorías de condiciones de metadatos: operadores lógicos y operadores de comparación, evaluados con atributos de metadatos definidos en los esquemas de metadatos de AEM. ABAC determina quién puede acceder a qué recursos mediante la evaluación de los atributos adjuntos al contenido, de modo que las condiciones de los metadatos forman la lógica principal que determina los resultados del acceso.
Operadores admitidos
Las reglas ABAC combinan y comparan valores de metadatos utilizando los siguientes tipos de operadores:
- Operadores lógicos — AND y OR, usados para combinar varias condiciones de metadatos dentro de una sola regla.
- Operadores de comparación — es igual a y no es igual a, utilizados para comprobar si un atributo de metadatos coincide con un valor especificado o no coincide con él.
La combinación de operadores lógicos y de comparación permite que una sola regla exprese condiciones de acceso amplias y precisas.
Atributos de metadatos aptos
Las condiciones de los metadatos se pueden crear en una serie de campos de atributos comúnmente asociados con recursos digitales, incluidos los siguientes:
- Región
- Marca
- Producto
- Campaña
- Tipo de recurso
- Estado de publicación
Estos atributos permiten a las organizaciones ampliar el acceso según la forma en que se clasifiquen los recursos como, por ejemplo, restricciones de visibilidad por región de mercado, propiedad de marca, línea de productos, asociación de campañas, formato de recursos o estado de publicación.
Requisito de esquema de metadatos
Las propiedades de metadatos a las que se hace referencia en las reglas ABAC deben definirse correctamente y estar disponibles en los esquemas de metadatos de AEM. Este requisito garantiza que el motor de reglas pueda localizar y evaluar cada atributo de forma fiable. Si una propiedad falta o está configurada incorrectamente en el esquema, la condición correspondiente no se puede evaluar y la regla puede no aplicarse como estaba previsto. Por lo tanto, confirmar que todos los campos utilizados en una regla existen en el esquema es esencial para un control de acceso coherente y predecible.
¿Por qué los AEM Assets de Content Hub ABAC son especialmente útiles para organizaciones con equipos grandes y diversas necesidades de recursos?
Control de acceso basado en atributos (ABAC) en Adobe Experience Manager (AEM) Assets Content Hub es particularmente útil para las organizaciones con equipos grandes porque habilita el acceso granular basado en reglas a los recursos determinado automáticamente por los atributos de usuario y recurso en lugar de mantener manualmente las listas de permisos. Esto hace que ABAC sea muy adecuado para las empresas que administran diversas bibliotecas de recursos en varios equipos, mercados y líneas de productos.
Cómo controla ABAC el acceso a los recursos
A diferencia de los modelos de permisos estáticos solo de funciones, ABAC evalúa una combinación de atributos en el momento del acceso y solo concede visibilidad cuando se cumplen las reglas definidas. Las decisiones de acceso suelen estar impulsadas por atributos como:
- Roles de usuario: se comparan los recursos con la función o las responsabilidades del trabajo de una persona
- Regiones: restringir o exponer recursos según la ubicación geográfica o el mercado
- Marcas: separar recursos por identidad de marca dentro de una organización con varias marcas
- Necesidades empresariales: alinear el acceso con los requisitos de equipo, departamento o campaña
Dado que estas reglas se aplican dinámicamente, los administradores definen la lógica una vez y permiten que el sistema la aplique de forma coherente en todo el catálogo de recursos.
Ventajas prácticas para equipos grandes y distribuidos
ABAC garantiza que los usuarios solo vean los recursos relevantes para sus responsabilidades, lo que reduce directamente el desorden, evita el uso accidental de contenido no autorizado y mantiene navegables las grandes bibliotecas de recursos. Como resultado, las organizaciones obtienen varias ventajas prácticas:
- No hay asignaciones manuales de permisos: el acceso se rige por reglas en lugar de concesiones una por una, lo que reduce los gastos administrativos a medida que los equipos crecen.
- No hay una duplicación excesiva de recursos: un solo recurso administrado centralmente puede exponerse a las audiencias adecuadas a través de atributos, en lugar de copiarse en silos separados para cada equipo, región o marca.
- Experiencias relevantes y filtradas: como la visibilidad está ligada a las responsabilidades, cada usuario trabaja desde una vista adaptada a sus necesidades, mejorando la eficacia y la gobernanza de los recursos.
Este enfoque basado en atributos se adapta perfectamente a las organizaciones con equipos grandes y diversas necesidades de recursos, ya que la adición de nuevos usuarios, regiones o marcas requiere la actualización de atributos y reglas en lugar de la reconstrucción de permisos en todo el sistema.
¿Cómo deben preparar los administradores la hoja de cálculo ABAC para AEM Assets Content Hub antes de enviarla al Soporte de Adobe?
Para preparar la hoja de cálculo de Control de acceso basado en atributos (ABAC) para Content Hub de AEM Assets, los administradores deben completar una secuencia de pasos de configuración y documentación antes de enviarla al Soporte técnico de Adobe. ABAC rige el acceso mediante la evaluación de atributos (como la pertenencia a grupos de usuarios, permisos y condiciones de metadatos), por lo que una hoja de cálculo correctamente estructurada es esencial para que el Soporte de Adobe traduzca el modelo de acceso deseado a una configuración de trabajo.
Pasos para preparar la hoja de cálculo ABAC
- Crear grupos de usuarios en Adobe Admin Console. Configure los grupos de usuarios necesarios en Adobe Admin Console, la ubicación central para administrar usuarios y grupos en los productos de Adobe. El establecimiento de grupos aquí garantiza que las reglas de acceso se asignen a identidades reales aprovisionadas en lugar de a valores de marcador de posición.
- Registrar los identificadores de grupo. Tenga en cuenta los ID de grupo de cada grupo de usuarios. Estos identificadores hacen referencia de forma exclusiva a cada grupo en la hoja de cálculo, lo que permite al Soporte de Adobe hacer coincidir todas las reglas de acceso con el grupo correcto sin ambigüedad.
- Defina permisos y condiciones para cada grupo. Especifique claramente los permisos y las condiciones que se aplican a cada grupo directamente en la hoja de cálculo. Las definiciones explícitas evitan malinterpretaciones y garantizan que cada grupo reciba exactamente el acceso que pretende tener.
- Asigne propiedades de metadatos a los esquemas apropiados. Confirme que todas las propiedades de metadatos estén asignadas correctamente a sus esquemas correspondientes. La asignación precisa es crítica porque las condiciones de ABAC dependen de los atributos de metadatos, y cualquier discrepancia entre propiedades y esquemas puede provocar que las reglas de acceso fallen o se comporten de forma inesperada.
- Documentar la intención del negocio en la columna de comentarios. Use la columna comentarios para aclarar la intención de negocio detrás de cada regla. Este contexto ayuda al soporte de Adobe a comprender el propósito de cada regla, lo que reduce las aclaraciones de un lado a otro y garantiza que la configuración final refleje los objetivos reales de gobernanza de acceso de la organización.
Al completar estos pasos, se genera una hoja de cálculo autoexplicable y verificable que optimiza el traspaso al Soporte de Adobe y reduce el riesgo de errores de configuración durante la implementación.
Consulte también
- Traducir recursos
- API HTTP de recursos
- Formatos de archivo compatibles con recursos
- Buscar recursos
- Recursos de red
- Informes de recurso
- Esquemas de metadatos
- Descarga de recursos
- Administración de metadatos
- Administración de plantillas de Dynamic Media
- Administración de informes en la vista Recursos
- Facetas de búsqueda
- Administrar colecciones
- Importación masiva de metadatos
- Publicación de recursos en AEM y Dynamic Media