[AEM_Assets]{class="badge positive" title="S’applique à AEM Assets)."}

Contrôle d’accès basé sur les attributs attribute-based-access-control

Le contrôle d’accès basé sur les attributs (ABAC) permet aux administrateurs Content Hub de définir des règles basées sur les métadonnées qui contrôlent le niveau d’accès aux ressources disponibles dans Content Hub. Plutôt que de dépendre de l’emplacement de stockage des ressources, l’ABAC régit l’accès en fonction des attributs associés à chaque ressource.

Les administrateurs d’une organisation définissent des règles pour les groupes d’utilisateurs, qui sont mappés à un ID de groupe. Les règles sont un mélange d’opérateurs logiques et de comparaison et les administrateurs peuvent définir autant de règles que nécessaire pour gérer l’accès aux ressources dans Content Hub.

Les règles sont basées sur métadonnées. Lorsque les conditions définies dans une règle correspondent aux métadonnées de la ressource, Content Hub affiche la ressource au groupe d’utilisateurs. Par conséquent, l’accès est déterminé dynamiquement par les métadonnées elles-mêmes plutôt que par l’emplacement de stockage d’une ressource. Content Hub analyse les métadonnées de la ressource, y compris les métadonnées personnalisées, pour toutes les ressources disponibles dans Toutes les Assets et Collections afin d’afficher les résultats aux groupes d’utilisateurs.

Par exemple, AUTORISER l’accès à un groupe d’utilisateurs avec un ID de groupe = 1011 lorsque les métadonnées de ressource correspondent à « Marque = Brand X » ET « Région = EMEA OU Amériques ». Content Hub affiche ensuite dans le groupe d’utilisateurs avec l’ID = 1011 uniquement les ressources où « Marque = Brand X » et « Région = EMEA ou Amériques ».

Les règles ABAC dans Content Hub peuvent être configurées selon les approches suivantes :

Avec l’assistant AI dans Content Hub, les administrateurs définissent et gèrent les règles ABAC à l’aide de métadonnées et du langage naturel. Cela permet une configuration plus rapide des règles et réduit la dépendance aux workflows d’assistance manuels, de sorte que les administrateurs puissent ajuster directement les politiques d’accès au lieu de router chaque modification via un ticket d’assistance.

Voici quelques-uns des principaux avantages du contrôle d’accès basé sur les attributs :

  • Élimine la dépendance à la structure de dossiers pour les autorisations en découplant le contrôle d’accès de l’emplacement de stockage
  • Permet aux administrateurs de charger des ressources et de déterminer rétroactivement les structures d’autorisation afin que les autorisations puissent être appliquées une fois les ressources déjà présentes dans le système
  • Réduit le nombre de ressources en double et améliore l’intégrité des ressources, car une seule ressource peut être régie par des règles plutôt que copiée pour chaque groupe. Des doublons sont nécessaires dans les autorisations basées sur des dossiers lorsque les mêmes ressources doivent être partagées avec différents groupes.
  • Permet un accès granulaire, basé sur des règles piloté par des attributs de métadonnées spécifiques.
  • Prend en charge la gouvernance évolutive entre les marques et les régions afin que les politiques d’accès puissent évoluer avec l’entreprise
  • Améliore la gestion des ressources en centralisant les décisions d’accès autour des métadonnées

Activation du contrôle d’accès basé sur les attributs enable-attribute-based-access-control

Le contrôle d’accès basé sur les attributs (ABAC) dans Content Hub régit l’accès en évaluant les attributs (tels que les propriétés utilisateur, ressource et contextuelles) par rapport aux règles définies, ce qui permet d’affiner les autorisations au-delà de la simple affectation de rôle. Les administrateurs activent et configurent les règles ABAC dans Content Hub à l’aide de l’une des deux approches suivantes :

  • Configuration en libre-service à l’aide de l’assistant AI dans Content Hub (optimisée par l’agent de gouvernance AEM)
    Les administrateurs définissent et gèrent les règles ABAC directement en utilisant le langage naturel dans Content Hub. Cela permet la création rapide de règles en libre-service sans tickets externes, ce qui en fait l’approche la plus rapide pour les équipes qui souhaitent effectuer une itération sur les politiques d’accès directement dans Content Hub.

  • Configuration basée sur une feuille de calcul via la prise en charge d’Adobe
    Les administrateurs définissent les règles ABAC dans une feuille de calcul et les envoient par le biais de la prise en charge d’Adobe pour configuration. Cette approche convient aux ensembles de règles volumineux ou en bloc qui bénéficient d’une préparation et d’une révision structurées et hors ligne avant que la prise en charge d’Adobe ne les applique.

Configuration du contrôle d’accès basé sur les attributs (ABAC) à l’aide de l’assistant AI dans Content Hub

Avec l’assistant AI dans Content Hub, optimisé par l’agent de gouvernance AEM, vous pouvez créer et gérer des règles ABAC (contrôle d’accès basé sur les attributs) directement dans Content Hub à l’aide du langage naturel.

Le contrôle d’accès basé sur les attributs (ABAC) régit l’accès au contenu en fonction d’attributs tels que les rôles utilisateur, les métadonnées des ressources et les conditions contextuelles, plutôt que de listes d’autorisations prédéfinies et fixes. Ce modèle basé sur les attributs rend les politiques d’accès plus granulaires et plus adaptables aux besoins changeants de l’entreprise.

Ce que vous pouvez faire what-you-can-do-ai-assistant

Grâce à l’assistant d’IA, les administrateurs peuvent gérer le cycle de vie complet des règles ABAC directement via des invites conversationnelles :

  • Rechercher des règles existantes — Recherchez et examinez rapidement les politiques d’accès actuelles.
  • Créer des règles — Définissez de nouveaux contrôles d’accès à l’aide d’instructions en langage clair.
  • Mettre à jour les règles — modifier les politiques existantes sans parcourir les interfaces de configuration complexes.
  • Supprimer des règles — Supprimez les contrôles d’accès obsolètes ou inutiles.

En quoi est-ce important ? why-this-matters-ai-assistant

L’assistant AI permet aux administrateurs de créer et de gérer des règles d’accès de manière indépendante, sans avoir à recourir à des workflows d’assistance. Les règles étant exprimées en langage naturel, les administrateurs n’ont pas besoin de maîtriser une syntaxe spécialisée ou de faire passer les requêtes par les équipes d’assistance. Cela permet de réduire les délais de modification des accès, de réduire la dépendance à l’égard d’une assistance externe et de donner aux équipes de gouvernance un contrôle direct et en libre-service sur la manière dont le contenu est accédé et protégé dans Content Hub.

Avant de commencer before-you-begin-ai-assistant

Confirmez les conditions préalables suivantes avant d’utiliser l’assistant AI dans Content Hub pour la configuration des règles de contrôle d’accès basé sur les attributs (ABAC). Chaque exigence ci-dessous doit être satisfaite pour que l’assistant d’IA soit disponible et fonctionnel dans votre environnement :

  • Sous licence pour Adobe Experience Manager (AEM) as a Cloud Service — une licence AEM as a Cloud Service valide est requise pour accéder aux fonctionnalités de l’assistant AI.
  • l’assistant AI optimisé par l’agent de gouvernance AEM est activé et disponible pour votre organisation. Cet agent soutient le workflow de configuration de règles ABAC assisté.
  • Si l’accès n’est pas encore disponible, contactez votre représentant Adobe et suivez les étapes requises pour l’obtention de la licence, car le droit est accordé au niveau de l’organisation avant que l’assistant AI ne devienne utilisable.
  • Un pilote IA générative (GenAI) n’est pas nécessaire pour le programme try-buy, ce qui permet aux entreprises d’évaluer l’assistant AI sans ce composant de licence supplémentaire.

Étapes de configuration des règles de contrôle d’accès basé sur les attributs (ABAC) à l’aide de l’assistant AI steps-ai-assistant

Le contrôle d’accès basé sur les attributs (ABAC) détermine qui peut accéder aux ressources en fonction d’attributs tels que le groupe d’utilisateurs et les produits métadonnées, plutôt que de listes d’autorisations statiques et gérées manuellement. Dans Content Hub, l’assistant AI vous permet de créer ces règles à l’aide d’instructions simples en langage naturel, puis de générer un aperçu structuré à réviser avant toute application.

  1. Ouvrez l’assistant d’IA dans Content Hub.

  2. Commencez par une simple instruction.

    Commencez par une invite générale qui indique à l’assistant AI ce que vous souhaitez accomplir. Par exemple :

    Create a new rule in Content Hub

    L’assistant d’IA vous guide ensuite à travers les informations requises pour créer la règle, en vous invitant à fournir tous les détails manquants.

  3. Définissez la règle en langage naturel.

    Décrivez la condition d’accès en langage clair, en spécifiant le groupe d’utilisateurs, les ressources et l’attribut qui détermine l’accès. Par exemple :

    Frescopa Web Marketers user group should have access to assets where product equals Frescopa

  4. Sélectionnez l’environnement auquel la règle ABAC doit s’appliquer.

    Le choix de l’environnement approprié garantit que la règle est limitée uniquement à la cible prévue et n’affecte pas d’autres environnements.

  5. Vérifiez la règle avant de l’appliquer.

    L’assistant AI génère un aperçu structuré de la règle. Rien n’est appliqué automatiquement. Vous pouvez vérifier la règle générée, l’ajuster si nécessaire ou annuler l’action avant de l’appliquer. Cette étape de prévisualisation vous donne un contrôle total et empêche les modifications d’accès involontaires.

  6. Enregistrez et appliquez la règle.

    Une fois enregistrée, la règle est appliquée dynamiquement, évaluant la ressource métadonnées en temps réel chaque fois que l’accès est demandé. Étant donné que l’application est pilotée par les métadonnées, la règle s’applique automatiquement aux ressources correspondantes au fur et à mesure qu’elles sont ajoutées ou mises à jour, sans nécessiter de réaffectation manuelle des autorisations.

Cette étape de révision obligatoire garantit la précision avant l’application de la règle, ce qui réduit le risque d’octroi ou de refus d’accès incorrect.

Gestion des règles ABAC à l’aide d’invites manage-abac-rules-using-prompts

Une fois que vous avez commencé à utiliser l’assistant AI, vous gérez les règles ABAC (Attribute-Based Access Control) de manière conversationnelle, à l’aide d’invites en langage clair au lieu de parcourir les menus de configuration. ABAC détermine qui peut accéder aux ressources en fonction d’attributs tels que le groupe d’utilisateurs, la région ou d’autres propriétés de métadonnées. L’assistant AI vous permet de découvrir, créer, mettre à jour et supprimer ces règles par le biais d’une conversation naturelle. Cette approche conversationnelle rationalise la gestion des accès, réduit la nécessité de mémoriser la syntaxe des règles et facilite la précision des autorisations à mesure que les équipes et le contenu évoluent.

Découvrir les règles

Utilisez ces invites pour passer en revue les règles d’accès déjà en place avant d’apporter des modifications :

  • Afficher toutes les règles ABAC Content Hub existantes

Créer des règles

Utilisez ces invites pour accorder à un groupe l’accès aux ressources, de manière large ou à des valeurs de métadonnées spécifiques telles que la région :

  • Créer une règle qui donne au groupe marketing produit l’accès à toutes les ressources
  • Accorder au groupe des ventes l’accès aux ressources dont la région est égale à EMEA

Mettre à jour les règles

Utilisez ces invites pour étendre ou modifier une règle existante, par exemple pour élargir les zones géographiques accessibles par un groupe :

  • Mettre à jour la règle pour que le groupe marketing EMEA inclue APAC

Supprimer des règles

Utilisez ces invites pour supprimer une règle d’accès qui n’est plus nécessaire :

  • Supprimer la règle pour le groupe Marketing produit

Explorer les métadonnées et les groupes

Utilisez ces invites pour afficher les groupes et les propriétés de métadonnées disponibles avant de définir de nouvelles règles, de sorte que vos conditions fassent référence à des attributs valides :

  • Afficher les groupes disponibles et les propriétés de métadonnées pour définir des règles

Configuration d’ABAC à l’aide d’une feuille de calcul

Si l’assistant AI n’est pas activé pour votre organisation, vous pouvez configurer des règles de contrôle d’accès basé sur les attributs (ABAC) à l’aide du workflow basé sur une feuille de calcul. ABAC régit l’accès à Adobe Experience Manager Assets en évaluant les attributs d’utilisateur, de ressource et d’environnement. La méthode de feuille de calcul offre une alternative à l’assistant AI pour définir ces règles.

Pour définir et soumettre des règles ABAC, procédez comme suit :

  1. Cliquez sur Télécharger la feuille de calcul pour télécharger le modèle et définir vos règles dans la feuille de calcul.
  2. Définissez les règles de la feuille de calcul à l’aide des instructions décrites dans cet article.
  3. Créez un ticket d’assistance Adobe et fournissez à Adobe les règles définies dans la feuille de calcul.

[Télécharger la feuille de calcul]{class="badge informative"}

Définissez des règles dans la feuille de calcul à l’aide des instructions décrites dans cet article.

IMPORTANT
Après avoir défini les règles, accédez à l’onglet Erreurs de validation de la feuille de calcul et cliquez sur Exécuter les validations ABAC. L’exécution de cette validation recherche les erreurs dans les règles définies avant l’envoi, ce qui permet de s’assurer que les règles sont correctement structurées. Le message Toutes les validations effectuées confirme que vous pouvez fournir les règles définies à Adobe.

Étapes de configuration des règles ABAC à l’aide d’une feuille de calcul steps-spreadsheet

Configurez les règles Contrôle d’accès basé sur les attributs (ABAC) par le biais du workflow de feuille de calcul en procédant comme suit :

  1. Téléchargez le modèle de feuille de calcul ABAC. Ce modèle fournit la structure normalisée utilisée par Adobe pour interpréter et appliquer vos règles d’accès.
  2. Définissez des règles d’accès dans la feuille de calcul à l’aide de conditions basées sur les métadonnées - conditions qui accordent ou limitent l’accès en fonction d’attributs de contenu tels que des balises, des propriétés ou des classifications plutôt que sur des ressources individuelles. Cette approche basée sur les attributs permet aux règles de se mettre à l’échelle automatiquement au fur et à mesure que du nouveau contenu correspondant à ces attributs est ajouté.
  3. Mappez chaque règle à l’identifiant de groupe IMS (Identity Management System) approprié. Le mappage précis garantit que chaque règle s’applique au groupe d’utilisateurs prévu, ce qui empêche d’accorder ou de refuser l’accès à une audience incorrecte.
  4. Saisissez l’intention commerciale de chaque règle dans le champ des commentaires. Cela permet à Adobe de comprendre clairement l’objectif derrière chaque condition et de configurer l’accès avec précision, ce qui réduit le risque de mauvaise interprétation.
  5. Envoyez un ticket d’assistance Adobe et partagez la feuille de calcul remplie avec Adobe. Joindre le modèle finalisé donne à l’équipe d’Adobe tout ce dont elle a besoin pour réviser et implémenter vos règles.
  6. Adobe configure les règles de votre organisation en fonction de la feuille de calcul envoyée, en appliquant les conditions ABAC définies à votre environnement.

Exemple de cas d’utilisation de contrôle d’accès basé sur les attributs example-metadata-based-rules

Pour prendre en charge un déploiement marketing à grande échelle, les membres des équipes de plusieurs régions et marques doivent avoir accès à des ressources numériques partagées, chaque personne disposant d’une portée spécifique définie par région et marque. Le contrôle d’accès basé sur les attributs (ABAC) applique automatiquement ces règles d’accès en évaluant les métadonnées de ressource, telles que les attributs region et brand associés à chaque ressource, plutôt que de compter sur des listes d’autorisations gérées manuellement. Comme l’accès est déterminé par la mise en correspondance des attributs affectés d’un utilisateur avec les métadonnées de chaque ressource, les autorisations restent cohérentes et à jour à mesure que la bibliothèque de ressources se développe. Le tableau suivant illustre les rôles de ce cas d’utilisation et les règles appliquées :

Personne
Rôle
Description du rôle
ID de groupe
Règle ABAC
John
Responsable marketing EMEA
Supervise l’exécution marketing pour toutes les marques dans la zone EMEA. Nécessite l’accès aux ressources approuvées pour toutes les marques destinées aux marchés EMEA.
group-emea-marketing
région = « EMEA »
Mike
Responsable marketing APAC
Supervise l’exécution marketing sur toutes les marques dans APAC. Nécessite l’accès aux ressources approuvées pour toutes les marques destinées aux marchés APAC.
group-apac-marketing
région = « APAC »
Sophie
Brand X Manager (EMEA)
Gère l’identité Brand X dans la zone EMEA. Ne doit afficher que le contenu approuvé par Brand X adapté aux marchés de la zone EMEA.
group-emea-brandx
région = « EMEA » et marque = « Brand X »
Tom
Brand Y Manager (APAC)
Gère l’identité de la marque Y dans APAC. Ne doit afficher que le contenu approuvé par la marque Y adapté aux marchés APAC.
group-apac-brandy
région = « APAC » et marque = « Marque Y »

Grâce à ces règles, les administrateurs Content Hub bénéficient des avantages suivants :

  • Accès granulaire, basé sur des règles : les utilisateurs voient uniquement les ressources pertinentes pour leur région et leur marque. Étant donné que la règle ABAC évalue automatiquement les métadonnées, cette définition de portée ne nécessite aucune attribution d’autorisation manuelle, ce qui réduit les frais administratifs et le risque d’accès mal configuré.
  • Collaboration mondiale transparente : les équipes régionales et de marque travaillent en parallèle sans conflits d’accès, car la visibilité de chaque équipe est limitée précisément par sa propre règle pilotée par les métadonnées.
  • Autorisations évolutives et pérennes : à mesure que de nouvelles régions ou marques sont ajoutées, les administrateurs mettent à jour les règles directement par rapport aux métadonnées sous-jacentes plutôt que de réaffecter les autorisations utilisateur par utilisateur. Le modèle d’accès est ainsi plus simple à étendre, ce qui garantit que la structure des autorisations suit le rythme de la croissance organisationnelle sans remaniement perturbateur.

Scénarios supplémentaires dans lesquels l’ABAC est utile additional-scenarios-abac

Le contrôle d’accès basé sur les attributs (ABAC) traite également les scénarios suivants, en accordant ou en limitant l’accès en fonction d’attributs utilisateur tels que la marque, le marché, la fonction d’équipe et la région :

  • Marque mondiale et accès régional : les équipes ne voient que les ressources pertinentes pour leur marque et leur marché. Cela permet de maintenir la cohérence de la marque et de réduire le risque d’exposition accidentelle aux actifs de plusieurs marques ou marchés.
  • Collaboration entre agences et partenaires : les agences et partenaires externes ne peuvent accéder qu’aux ressources de la campagne qui les concernent. Cela limite l’exposition des tiers à des ressources internes non liées tout en permettant une collaboration ciblée.
  • Accès en fonction du rôle pour différentes équipes : les équipes telles que les équipes marketing, commerciales et juridiques peuvent accéder aux ressources pertinentes pour leur fonction, en s’assurant que chaque équipe travaille uniquement avec du contenu pertinent pour ses responsabilités.
  • Conformité juridique spécifique à la région : les utilisateurs peuvent être limités à des ressources approuvées pour des exigences réglementaires ou régionales spécifiques, ce qui permet de faire respecter les limites de conformité et d’empêcher l’utilisation de contenu non approuvé dans une juridiction donnée.
IMPORTANT
L'ABAC fonctionne selon un principe défaut-refus. Par défaut, tous les autres groupes d’utilisateurs qui ne sont spécifiés par aucune règle dans la feuille de calcul se voient refuser l’accès. Comme l’accès est accordé uniquement par le biais de règles définies explicitement, si un utilisateur ou une utilisatrice ne fait partie d’aucun groupe pour lequel des règles ABAC sont définies, cet utilisateur ou cette utilisatrice ne peut accéder à aucune ressource. Si certains utilisateurs doivent avoir accès à toutes les ressources (les administrateurs, par exemple), incluez un groupe avec un ID de groupe dans la feuille de calcul et indiquez que ce groupe doit avoir accès à toutes les ressources afin qu’Adobe puisse le configurer en conséquence.

Éléments de règle pris en charge supported-rule-constructs

Les règles sont créées à partir de deux catégories de constructions : opérateurs logiques, qui combinent plusieurs conditions, et opérateurs de comparaison, qui testent des attributs d’utilisateur ou de ressource individuels par rapport à une valeur. Ensemble, ces éléments définissent exactement à quel moment l’accès est accordé ou refusé.

  • Opérateurs logiques (combiner les conditions dans une seule évaluation) :

    • AND : toutes les conditions doivent renvoyer la valeur true pour que la règle corresponde. Parce que chaque clause doit contenir ET réduit la portée d’une règle et applique des exigences d’accès plus strictes.
    • OR : au moins une condition doit renvoyer la valeur true pour que la règle corresponde. Parce qu’une seule clause satisfaite est suffisante, OU élargit le champ d’application d’une règle et couvre plusieurs cas admissibles.
  • Opérateurs de comparaison (test d’un attribut unique par rapport à une valeur) :

    • Est égal à (=) : vérifie si un attribut d’utilisateur ou de ressource correspond à une valeur spécifiée. Cela permet de s’assurer qu’une décision d’accès s’applique uniquement lorsque l’attribut correspond exactement à la valeur cible.
    • Différent de (!=) : vérifie si un attribut d’utilisateur ou de ressource ne correspond pas à une valeur spécifiée. Cela permet de s’assurer qu’une règle exclut les entités dont l’attribut diffère de la valeur cible.

Comportement des métadonnées à valeur de tableau : lorsque les champs de métadonnées de ressource contiennent des tableaux (par exemple, plusieurs régions ou plusieurs balises), les opérateurs de comparaison passent à une sémantique d’appartenance à un jeu. Dans ce cas, la logique Est égal à​Contient, correspondant lorsque la valeur spécifiée est présente n’importe où dans le tableau, et la logique N’est pas égal à​Ne contient pas, correspondant uniquement lorsque la valeur spécifiée est entièrement absente du tableau. Cette définition complète est importante, car elle détermine la manière dont les attributs à plusieurs valeurs sont évalués lors des décisions d’accès.

Comme ces opérateurs se combinent proprement, ils vous permettent d’écrire des règles simples, mais expressives, qui se lisent presque comme un langage simple. Par exemple, la règle AUTORISER si région = emea (Europe, Moyen-Orient et Afrique) ET assetType != prototype ET balises != confidentiel accorde l’accès uniquement aux ressources situées dans la région EMEA, exclut toute ressource marquée en tant que prototype et exclut toute ressource dont le tableau de balises contient la valeur confidential. Par conséquent, une seule instruction lisible exprime une politique d’accès précise et multicondition.

Directives guidelines-attribute-based-access-control

Les instructions suivantes s’appliquent à la configuration des règles Contrôle d’accès basé sur les attributs (ABAC) basée sur l’assistant IA comme sur une feuille de calcul :

  • Les règles ABAC s’appliquent uniquement aux ressources approuvées pour Content Hub. Pour plus d’informations, voir ​ Approuver Assets pour Content Hub ​.
  • Ne définissez pas de règles DENY. Toujours convertir les règles DENY en règles ALLOW. L’évaluation ABAC dans Content Hub est construite autour d’une logique basée sur les autorisations. De ce fait, l’expression de chaque condition en tant que règle ALLOW garantit que l’accès est accordé explicitement et de manière prévisible plutôt que déduit des exclusions. Par exemple, les ALLOW if region = user-region DENY if assetType = prototype AND confidential = yes peuvent être convertis en ALLOW if region = user-region AND (assetType != prototype OR confidential != yes).
  • Les règles ABAC sont appliquées aux groupes d’utilisateurs à l’aide de l’identifiant de groupe Identity Management System (IMS) disponible dans Admin Console. L’utilisation de l’identifiant de groupe IMS garantit que les règles se lient à l’identité de groupe correcte de manière cohérente.
  • Vous pouvez définir la ​ Cible d’approbation ​ pour les ressources à l’aide de l’environnement de création AEM as a Cloud Service. Les règles ABAC sont appliquées aux ressources approuvées avec une cible d’approbation = Content Hub. En revanche, la variable Cible de validation = Diffusion concerne les ressources disponibles pour la diffusion et Content Hub. Comme les ressources marquées comme Cible de validation = Diffusion sont visibles par tous les utilisateurs dans Content Hub, les restrictions ABAC ne limitent pas leur visibilité.
  • Vérifiez que les schémas de métadonnées utilisés dans les règles ABAC sont correctement définis et disponibles dans AEM. Indiquez le chemin d’accès complet du ou des schémas de métadonnées dans AEM qui définissent les propriétés référencées dans les règles ABAC. Vous pouvez éventuellement créer un dossier de test avec des exemples de ressources qui correspondent aux conditions ABAC pour vérifier le comportement de la règle et évaluer l’accès avec précision.
  • Capturez l’intention commerciale de la règle dans les commentaires, même lorsque la condition est correctement écrite, car l’intention documentée permet de valider et de corriger la logique si nécessaire.
  • Assurez-vous que les valeurs de métadonnées utilisées pour les règles d’accès, telles que marque, région et produit, sont conservées de manière cohérente dans toutes les ressources. Des valeurs de métadonnées cohérentes empêchent les règles de ne pas correspondre aux ressources qui doivent être régies par elles.
  • Commencez par des cas d’utilisation clés tels que l’accès ​​basé sur la marque ou basé sur la région, car ils représentent les scénarios de contrôle d’accès les plus courants et les plus simples.
  • Utiliser des invites claires lors de la définition de règles avec l’assistant AI Décrivez l’intention dans un langage professionnel afin que l’assistant AI puisse la traduire précisément en une règle structurée.
  • Les fichiers de licence Portable Document Format (PDF) définis pour Digital Rights Management (DRM) doivent rester visibles pour tous les utilisateurs, afin qu’ils puissent consulter les informations de licence lors du téléchargement de la ressource avec sa licence.

Questions fréquentes faqs-attribute-based-access-control-content-hub

Qu’est-ce que le contrôle d’accès basé sur les attributs (ABAC) ?

Le contrôle d’accès basé sur les attributs (ABAC) est un modèle d’autorisation qui accorde ou refuse l’accès aux ressources en évaluant attributs plutôt que des rôles fixes uniquement. Dans ABAC, les décisions d’accès sont déterminées dynamiquement au moment de la demande en comparant les attributs de l’utilisateur, de la ressource, de l’action et de l’environnement environnant à un ensemble de politiques définies. Comme ces décisions sont calculées à partir de valeurs d’attribut plutôt que d’autorisations statiques, ABAC prend en charge un contrôle d’accès affiné et contextuel, adapté aux systèmes volumineux et complexes.

Quels attributs ABAC évalue-t-il ?

Les politiques ABAC s’appuient généralement sur quatre catégories d’attributs :

  • Attributs du sujet — caractéristiques de l’utilisateur ou de l’entité demandant l’accès, telles que le service, la fonction, le niveau d’autorisation ou l’appartenance à un groupe.
  • Attributs de ressource (objet) : propriétés du contenu ou de la ressource accessible, telles que la classification, le propriétaire, le type de contenu ou le libellé de sensibilité.
  • Attributs d’action — opération demandée, telle que la lecture, la modification, la publication ou la suppression.
  • Attributs environnementaux — conditions contextuelles au moment de la demande, telles que l’heure, l’emplacement, le type d’appareil ou le réseau.

En combinant ces attributs, ABAC évalue chaque requête par rapport aux règles de politique et renvoie une décision d’autorisation ou de refus. Ce mécanisme garantit que l’accès reflète les circonstances spécifiques d’une requête plutôt qu’un rôle prédéfini unique.

En quoi l’ABAC diffère-t-il du contrôle d’accès basé sur les rôles (RBAC) ?

Contrairement au contrôle d’accès basé sur les rôles (RBAC) qui accorde des autorisations en fonction du rôle attribué à un utilisateur, le contrôle ABAC accorde des autorisations en fonction de plusieurs attributs évalués ensemble. RBAC attribue l’accès par le biais de définitions de rôle relativement statiques, ce qui peut devenir difficile à gérer à mesure que le nombre de rôles se multiplie. L’ABAC, en revanche, exprime les règles d’accès sous la forme de politiques qui référencent des attributs, ce qui permet à une seule politique de couvrir de nombreux scénarios sans créer un nouveau rôle pour chaque combinaison. Par conséquent, l’ABAC offre généralement une plus grande flexibilité et une granularité plus fine, tandis que le RBAC est souvent plus simple à configurer pour des structures d’autorisation simples. De nombreuses organisations combinent les deux modèles, en utilisant les rôles comme un attribut au sein d’une politique plus large basée sur les attributs.

Pourquoi utiliser l’ABAC dans un hub de contenu ?

Dans un hub de contenu, l’ABAC est utilisé pour contrôler qui peut afficher, modifier ou publier des éléments de contenu spécifiques en fonction de leurs attributs. Cette approche permet aux administrateurs de définir des règles d’accès une seule fois et de les appliquer de manière cohérente sur les bibliothèques de contenu volumineuses, car l’accès est évalué à partir d’attributs tels que la classification de contenu et le service utilisateur, plutôt que d’attribuer manuellement des autorisations sur chaque élément. Les avantages pratiques sont les suivants :

  • Contrôle précis — l’accès peut être adapté à des éléments et conditions de contenu individuels.
  • Évolutivité : les politiques s’appliquent automatiquement lorsque de nouveaux contenus et utilisateurs sont ajoutés, ce qui réduit la charge d’administration manuelle.
  • Prise en compte du contexte — l’accès peut répondre à des facteurs environnementaux tels que l’emplacement, l’heure ou l’appareil.
  • Cohérence : des politiques centralisées appliquent des règles d’accès uniformes dans l’ensemble du hub de contenu.

Comment les politiques ABAC sont-elles définies ?

Les politiques ABAC sont définies comme des règles spécifiant les conditions d’attribut qui doivent être remplies pour qu’une action soit autorisée. Chaque politique relie sujets, ressources, actions et conditions environnementales en instructions logiques que le moteur de contrôle d’accès évalue au moment de la demande. Comme les politiques font référence à des attributs plutôt qu’à des individus nommés, elles restent valides en tant qu’utilisateurs et utilisatrices et que contenu change, ce qui réduit la maintenance continue et permet d’appliquer le principe de moindre privilège.

L’ABAC est-elle plus sûre que les approches basées sur les rôles ?

L’ABAC peut renforcer la sécurité en permettant des décisions d’accès plus précises et contextuelles que les modèles de rôle uniquement. L’évaluation conjointe de plusieurs attributs permet à une organisation d’appliquer des conditions nuancées, par exemple la restriction de l’accès à un contenu sensible, sauf si plusieurs critères sont remplis simultanément. L’efficacité d’ABAC dépend de politiques bien conçues et de données d’attributs précises. Les résultats en matière de sécurité s’améliorent donc lorsque les sources d’attributs sont tenues fiables et à jour.

Qu’est-ce que le contrôle d’accès basé sur les attributs (ABAC) dans AEM Assets Content Hub ?

Le contrôle d’accès basé sur les attributs (ABAC) dans AEM Assets Content Hub est un modèle d’autorisation qui permet aux administrateurs de définir des règles basées sur les métadonnées pour contrôler le niveau d’accès des différents groupes d’utilisateurs aux ressources numériques. Plutôt que d’attribuer des autorisations ressource par ressource, les administrateurs expriment les politiques d’accès sous la forme de conditions évaluées en fonction des attributs stockés dans les métadonnées de chaque ressource.

Comment l’ABAC détermine l’accès

L’accès est accordé ou refusé selon que les métadonnées d’une ressource correspondent ou non aux conditions spécifiées dans les règles. Comme les métadonnées de la ressource sont évaluées par rapport à ces conditions au moment de la requête, les autorisations s’appliquent automatiquement et de manière cohérente à l’ensemble de la bibliothèque de ressources. Par conséquent, lorsque les métadonnées d’une ressource remplissent les conditions d’une règle, le groupe d’utilisateurs associé peut afficher ou utiliser cette ressource ; dans le cas contraire, la ressource reste masquée dans ce groupe.

Principales caractéristiques du contrôle d’accès basé sur les attributs

  • Basée sur les métadonnées : les décisions d’accès sont basées sur les attributs de ressources tels que la classification, le service, la région, la campagne ou les droits d’utilisation, plutôt que sur des listes d’autorisations statiques par ressource.
  • Granulaire : les règles peuvent cibler des combinaisons précises de conditions de métadonnées, ce qui permet aux administrateurs de contrôler précisément à quelles ressources chaque groupe d’utilisateurs peut accéder.
  • Dynamique : comme l’accès suit les métadonnées, la visibilité se met automatiquement à jour à mesure que les métadonnées des ressources sont modifiées ou que de nouvelles ressources correspondant aux règles existantes sont ajoutées. Aucune nouvelle autorisation manuelle n’est nécessaire.
  • Orienté groupe : les politiques sont appliquées à des groupes d’utilisateurs définis, en veillant à ce que chaque audience ne voie que les ressources pertinentes pour son rôle.

Applications pratiques et avantages

Le contrôle d’accès basé sur les attributs est bien adapté aux référentiels de ressources partagés volumineux où de nombreuses équipes travaillent à partir du même Content Hub, mais nécessitent différents niveaux de visibilité. Les applications courantes incluent la restriction des ressources confidentielles ou non publiées à des équipes spécifiques, la limitation du contenu spécifique à une région aux marchés correspondants et l’application des contraintes de droits d’utilisation ou de licence en exposant les ressources uniquement aux groupes autorisés à les utiliser. Cette approche dynamique, basée sur les métadonnées, réduit les frais d’administration manuels, réduit le risque d’exposition des ressources aux mauvais utilisateurs et maintient les politiques d’accès alignées sur la bibliothèque de ressources à mesure qu’elle se développe et change.

Comment les administrateurs définissent-ils les règles d’accès à l’aide d’ABAC dans AEM Assets Content Hub ?

Les administrateurs définissent les règles d’accès dans Contrôle d’accès basé sur les attributs (ABAC) dans Adobe Experience Manager (AEM) Assets Content Hub en créant des conditions sur les métadonnées des ressources et en liant ces conditions à des groupes d’utilisateurs spécifiques. ABAC est un modèle d’accès dans lequel les autorisations sont accordées dynamiquement en fonction des attributs d’une ressource, plutôt que des autorisations fixes attribuées manuellement, ce qui permet à la visibilité de se mettre automatiquement à l’échelle à mesure que du nouveau contenu est ajouté.

Fonctionnement des règles d’accès ABAC

Les administrateurs créent des règles d’accès en procédant comme suit :

  1. Définir des conditions de métadonnées — Définissez des conditions en fonction des attributs de métadonnées des ressources, tels que marque ou région.
  2. Appliquer des opérateurs logiques et de comparaison — Combinez des attributs à l’aide d’opérateurs pour exprimer précisément les ressources qui remplissent les critères d’une règle.
  3. Lier des conditions à des ID de groupe d’utilisateurs : associez chaque condition à des ID de groupe d’utilisateurs spécifiques, en mappant les ressources correspondantes aux groupes qui doivent les voir.

Composants clés des règles ABAC

  • Attributs de métadonnées : les propriétés de ressource telles que la marque ou la région servent de base à chaque condition. De ce fait, l’accès suit le contenu lui-même plutôt que les affectations de ressources individuelles.
  • Opérateurs logiques et de comparaison : ces opérateurs permettent un contrôle précis et granulaire, ce qui permet aux administrateurs et administratrices de définir des conditions étroites ou générales qui correspondent exactement à l’ensemble de ressources prévu.
  • ID de groupe d’utilisateurs : les règles connectent les ressources éligibles à des groupes d’utilisateurs définis, déterminant précisément quelles ressources restent visibles pour chaque groupe d’utilisateurs.

Comme l’accès est piloté par des attributs, les règles ABAC s’appliquent automatiquement à toute ressource correspondant aux conditions définies. Par conséquent, les nouvelles ressources balisées avec les métadonnées appropriées héritent de la visibilité correcte sans nécessiter de réaffectation manuelle, ce qui réduit les frais administratifs et permet d’appliquer une gouvernance cohérente et évolutive sur les bibliothèques de ressources volumineuses.

Quels sont les principaux avantages de l’utilisation d’ABAC par rapport aux autorisations traditionnelles basées sur les dossiers dans AEM Assets Content Hub ?

Contrôle d’accès basé sur les attributs (ABAC) dans Adobe Experience Manager (AEM) Assets Content Hub accorde des autorisations en fonction des attributs et des métadonnées des ressources plutôt que de l’emplacement du dossier physique. Il s’agit de l’avantage principal par rapport aux autorisations traditionnelles basées sur les dossiers : l’accès est déterminé par ce qu’est une ressource , et non par son emplacement de stockage.

Principaux avantages d’ABAC dans AEM Assets Content Hub

  • Élimine la dépendance aux structures de dossiers pour les autorisations. Les droits d’accès étant pilotés par des attributs et des métadonnées plutôt que par une hiérarchie de dossiers fixe, les administrateurs ne sont plus obligés de concevoir des arborescences de dossiers autour de qui peut voir quoi.
  • Active l’attribution rétroactive des autorisations. Les administrateurs peuvent commencer par charger des ressources et attribuer des autorisations par la suite, ce qui découple l’ingestion de contenu de la définition des règles d’accès.
  • Réduit le nombre de ressources en double nécessaires car une seule ressource peut être régie par plusieurs règles basées sur des attributs plutôt que d’être copiée dans des dossiers distincts pour servir différentes audiences.
  • Simplifie le partage entre plusieurs groupes. Lorsqu’une même ressource doit être mise à la disposition de plusieurs équipes ou audiences, ABAC permet d’exposer une copie faisant autorité à chaque groupe par le biais de règles d’attribut au lieu d’emplacements dupliqués.

Pourquoi l’ABAC simplifie la gestion des autorisations

Les autorisations étant associées aux attributs plutôt qu’aux chemins d’accès aux dossiers, ABAC supprime la rigidité qui force les administrateurs à dupliquer les ressources ou à restructurer les dossiers chaque fois que les besoins d’accès changent. Cela s’avère particulièrement utile lorsque des ressources doivent être partagées avec plusieurs groupes, car une ressource régie peut répondre à plusieurs scénarios d’accès à la fois.

ABAC améliore ainsi l’intégrité des ressources et simplifie la gestion des autorisations. Le fait de conserver moins de doublons signifie qu’une seule source de vérité est disponible pour chaque ressource, ce qui réduit la dérive des versions et le risque de circulation de fichiers obsolètes. En séparant le chargement des ressources de l’attribution des autorisations, l’ABAC offre aux administrateurs un modèle plus flexible et plus évolutif pour contrôler l’accès aux bibliothèques de ressources volumineuses et en évolution.

Les administrateurs peuvent-ils configurer des règles ABAC directement dans l’interface Content Hub d’AEM Assets ?

Oui. Les administrateurs peuvent configurer des règles Contrôle d’accès basé sur les attributs (ABAC) directement dans l’interface Adobe Experience Manager (AEM) Assets Content Hub. ABAC régit l’accès aux ressources en fonction d’attributs tels que les rôles utilisateur, les métadonnées des ressources et le contexte organisationnel, ce qui permet d’appliquer les autorisations de manière dynamique plutôt que par le biais de listes fixes attribuées manuellement.

Les administrateurs disposent de deux chemins pris en charge pour configurer les règles ABAC :

  • Assistant AI dans Content Hub — Les administrateurs configurent les règles ABAC directement dans l’interface à l’aide de l’assistant AI, à condition que cette fonctionnalité soit activée pour leur organisation. Cette approche dans l’interface permet aux équipes de définir et d’ajuster les règles d’accès sans quitter Content Hub.
  • Workflow basé sur les feuilles de calcul via la prise en charge d’Adobe — Les administrateurs peuvent continuer à utiliser le workflow basé sur les feuilles de calcul établi via la prise en charge d’Adobe, qui reste disponible comme méthode alternative pour définir les règles ABAC.

Comme les deux options produisent les mêmes résultats de gouvernance ABAC, les entreprises peuvent choisir l’assistant AI pour une configuration directe dans l’interface ou conserver le workflow basé sur une feuille de calcul en fonction de leurs préférences opérationnelles et des fonctionnalités activées pour leur environnement.

Quels types de conditions de métadonnées peuvent être utilisés lors de la configuration de règles ABAC dans AEM Assets Content Hub ?

Les règles ABAC (Attribute-Based Access Control) d’Assets Content Hub Adobe Experience Manager (AEM) prennent en charge deux catégories de conditions de métadonnées : opérateurs logiques et opérateurs de comparaison, évaluées par rapport aux attributs de métadonnées définis dans les schémas de métadonnées AEM. ABAC détermine qui peut accéder à quelles ressources en évaluant les attributs associés au contenu. De ce fait, les conditions de métadonnées forment la logique principale qui détermine les résultats d’accès.

Opérateurs pris en charge

Les règles ABAC combinent et comparent des valeurs de métadonnées à l’aide des types d’opérateurs suivants :

  • Opérateurs logiques — AND et OR, utilisés pour combiner plusieurs conditions de métadonnées dans une seule règle.
  • Opérateurs de comparaison — est égal à et n’est pas égal à, utilisés pour tester si un attribut de métadonnées correspond ou ne correspond pas à une valeur spécifiée.

La combinaison d’opérateurs logiques et de comparaison permet à une seule règle d’exprimer à la fois des conditions d’accès larges et précises.

Attributs de métadonnées éligibles

Les conditions de métadonnées peuvent être créées sur divers champs d’attribut généralement associés aux ressources numériques, notamment :

  • Zone géographique
  • Marque
  • Produit
  • Campagne
  • Type de ressource
  • Statut de publication

Ces attributs permettent aux organisations d’étendre l’accès en fonction de la manière dont les ressources sont classées, par exemple en limitant la visibilité par zone géographique du marché, propriété de la marque, gamme de produits, association de campagne, format de ressource ou état de publication.

Exigences relatives au schéma de métadonnées

Les propriétés de métadonnées référencées dans les règles ABAC doivent être correctement définies et disponibles dans les schémas de métadonnées AEM. Cette exigence garantit que le moteur de règle peut localiser et évaluer chaque attribut de manière fiable. Si une propriété est manquante ou n’est pas correctement configurée dans le schéma, la condition correspondante ne peut pas être évaluée et la règle peut ne pas s’appliquer comme prévu. Il est donc essentiel de confirmer que chaque champ utilisé dans une règle existe dans le schéma pour garantir un contrôle d’accès cohérent et prévisible.

Pourquoi l’ABAC Content Hub d’AEM Assets est-il particulièrement utile pour les organisations disposant d’équipes nombreuses et de besoins en ressources divers ?

Le contrôle d’accès basé sur les attributs (ABAC) dans Adobe Experience Manager (AEM) Assets Content Hub est particulièrement utile pour les organisations disposant d’équipes importantes, car il permet un accès granulaire, basé sur des règles aux ressources déterminé automatiquement par les attributs utilisateur et ressource, plutôt que par des listes d’autorisations gérées manuellement. ABAC est donc parfaitement adapté aux entreprises qui gèrent diverses bibliothèques de ressources sur plusieurs équipes, marchés et lignes de produits.

Comment ABAC contrôle l’accès aux ressources

Contrairement aux modèles d’autorisation statiques qui ne prennent en charge que les rôles, l’ABAC évalue une combinaison d’attributs au moment de l’accès et n’accorde de visibilité que lorsque les règles définies sont respectées. Les décisions d’accès sont généralement pilotées par des attributs tels que :

  • Rôles utilisateur — apparier les ressources à la ou aux fonctions d’une personne
  • Régions — restreindre ou exposer des actifs en fonction de leur géographie ou de leur marché
  • Marques : séparation des ressources par identité de marque au sein d’une organisation multimarque
  • Besoins de l’entreprise — alignement de l’accès avec les exigences de l’équipe, du service ou de la campagne

Étant donné que ces règles sont appliquées dynamiquement, les administrateurs définissent la logique une seule fois et laissent le système l’appliquer de manière cohérente à l’ensemble du catalogue de ressources.

Avantages pratiques pour les grandes équipes distribuées

L’ABAC garantit que les utilisateurs ne voient que les ressources correspondant à leurs responsabilités, ce qui réduit directement l’encombrement, empêche l’utilisation accidentelle de contenu non autorisé et permet de naviguer entre les grandes bibliothèques de ressources. Les entreprises bénéficient ainsi de plusieurs avantages pratiques :

  • Aucune attribution manuelle d’autorisations — l’accès est régi par des règles plutôt que par des autorisations individuelles, ce qui réduit les frais administratifs à mesure que les équipes se développent.
  • Pas de duplication excessive des ressources - une ressource unique gérée de manière centralisée peut être exposée aux audiences appropriées par le biais d’attributs, plutôt que copiée dans des silos distincts pour chaque équipe, région ou marque.
  • Expériences pertinentes et filtrées — la visibilité étant liée aux responsabilités, chaque utilisateur travaille depuis une perspective adaptée à ses besoins, ce qui améliore l’efficacité et la gouvernance des ressources.

Cette approche basée sur les attributs s’adapte parfaitement aux organisations disposant d’équipes nombreuses et de besoins en ressources divers, car l’ajout de nouveaux utilisateurs, de nouvelles régions ou de nouvelles marques nécessite de mettre à jour les attributs et les règles plutôt que de recréer les autorisations sur l’ensemble du système.

Comment les administrateurs doivent-ils préparer la feuille de calcul ABAC pour AEM Assets Content Hub avant de l’envoyer à l’assistance Adobe ?

Pour préparer la feuille de calcul Contrôle d’accès basé sur les attributs (ABAC) pour AEM Assets Content Hub, les administrateurs doivent effectuer une séquence d’étapes de configuration et de documentation avant de l’envoyer à l’assistance Adobe. ABAC régit l’accès en évaluant les attributs, tels que l’appartenance à un groupe d’utilisateurs, les autorisations et les conditions de métadonnées. Une feuille de calcul correctement structurée est donc essentielle pour que la prise en charge d’Adobe puisse traduire le modèle d’accès prévu en une configuration fonctionnelle.

Étapes de préparation de la feuille de calcul ABAC

  1. Création de groupes d’utilisateurs dans le Adobe Admin Console. Configurez les groupes d’utilisateurs requis dans ​, l’emplacement central pour la gestion des utilisateurs et des groupes dans les produits Adobe. L’établissement de groupes ici garantit que les règles d’accès correspondent à des identités réelles configurées plutôt qu’à des valeurs d’espace réservé.
  2. Enregistrer les ID de groupe. Notez les ID de groupe pour chaque groupe d’utilisateurs. Ces identifiants font référence de manière unique à chaque groupe de la feuille de calcul, ce qui permet à la prise en charge d’Adobe de faire correspondre chaque règle d’accès au groupe approprié sans ambiguïté.
  3. Définissez les autorisations et conditions de chaque groupe. Indiquez clairement les autorisations et conditions qui s’appliquent à chaque groupe directement dans la feuille de calcul. Des définitions explicites empêchent les erreurs d’interprétation et garantissent que chaque groupe reçoit exactement l’accès auquel il est destiné.
  4. Mappage des propriétés de métadonnées aux schémas appropriés. Vérifiez que toutes les propriétés de métadonnées sont correctement mappées à leurs schémas correspondants. Un mappage précis est essentiel, car les conditions ABAC reposent sur des attributs de métadonnées et toute incohérence entre les propriétés et les schémas peut entraîner l’échec des règles d’accès ou un comportement inattendu.
  5. Documentez l’intention de l’entreprise dans la colonne des commentaires. Utilisez la colonne commentaires pour clarifier l’intention commerciale derrière chaque règle. Ce contexte aide l’assistance Adobe à comprendre l’objectif de chaque règle, ce qui réduit la clarification aller-retour et garantit que la configuration finale reflète les objectifs réels de l’organisation en matière de gouvernance d’accès.

La réalisation de ces étapes génère une feuille de calcul explicite et vérifiable qui simplifie la remise à l’assistance Adobe et réduit le risque d’erreurs de configuration lors de la mise en œuvre.

Voir également

recommendation-more-help
experience-manager-cloud-service-help-main-toc