Utilisateurs et utilisatrices, groupes et autorisations AEM aem-users-groups-and-permissions
Adobe Experience Manager s’appuie sur les utilisateurs et utilisatrices, groupes d’utilisateurs et d’utilisatrices, et profils de produit d’Adobe IMS pour offrir aux utilisateurs et utilisatrices un accès personnalisable à AEM. Découvrez comment définir les groupes et les autorisations AEM, qui s’appuient sur les groupes d’utilisateurs et d’utilisatrices fournis d’AEM, et comment ils fonctionnent de concert avec les abstractions Adobe IMS afin de fournir un accès transparent et personnalisable à AEM.
Autorisations et contrôle d’accès AEM Assets assets-permissions-and-access-control
L’accès à Adobe Experience Manager (AEM) Assets est contrôlé par deux couches indépendantes qui doivent être configurées correctement :
- Profils de produit Adobe Admin Console : accorde les droits techniques pour accéder à un environnement AEM, par exemple, Utilisateur avancé, Collaborateur, Utilisateur limité et Administrateurs.
- Appartenance à un groupe local AEM et listes de contrôle d’accès : contrôle ce que vous pouvez réellement faire une fois dans cet environnement, par exemple charger, modifier, supprimer, approuver et configurer.
L’attribution d’un profil de produit dans Admin Console est nécessaire, mais insuffisante : un utilisateur peut être un utilisateur avec une licence complète et puissant dans Admin Console et toujours être bloqué pour chaque opération de ressource s’il n’est pas également placé dans le groupe AEM-local approprié. À l’inverse, l’appartenance correcte à un groupe local AEM n’a aucun effet si l’utilisateur n’a jamais obtenu de profil de produit Admin Console pour l’environnement.
Autorisations requises pour les opérations courantes permissions-required-for-common-operations
Opération
Autorisation ou groupe requis
Remarques
Chargez une ressource vers /content/dam
rep:write sur le chemin target /content/dam
L’appartenance à un groupe ne garantit pas à elle seule que cette situation est héritée au niveau de l’utilisateur. Si les chargements échouent pour des utilisateurs spécifiques tandis que d’autres personnes du même groupe réussissent, vérifiez que rep:write est réellement présent sur la liste de contrôle d’accès effective de l’utilisateur et pas seulement déduit de l’appartenance à un groupe.
Rechercher ou afficher des ressources dans l’interface utilisateur de la gestion des ressources numériques (DAM)
Accès en lecture à /content/dam (généralement par l’intermédiaire des dam-users) et jcr:read sur /conf/global/settings/dam/adminui-extension/metadataschema.
L’interface utilisateur d’Assets résout les définitions de schéma de métadonnées à partir de /conf pour effectuer le rendu des résultats. Si un groupe dispose d’un accès complet à /content/dam mais pas d’accès en lecture au chemin de configuration du schéma, l’interface utilisateur renvoie une NullPointerException et search/browse échoue silencieusement. Il ne s’agit pas d’un problème d’autorisation /content/dam même s’il ressemble à l’un d’eux.
Création ou modification d’un profil de dossier
L’appartenance au groupe des administrateurs locaux.
Une affectation Admin Console Administrateur n’est pas la même chose, le bouton Créer pour les profils de dossier n’est rendu que pour les comptes qui sont également membres du groupe Administrateurs locaux AEM.
Création ou modification d’un schéma de métadonnées personnalisé
Récursif jcr:read sur /conf, /conf/global/settings/dam/adminui-extension/metadataschema et jcr:write sur /conf/global/settings/dam/adminui-extension et son sous-nœud metadataschema.
L’accès en écriture au nœud du schéma de métadonnées seul ne suffit pas. L’éditeur de schéma doit également lire l’arborescence /conf parente pour en effectuer correctement le rendu.
Modifier les champs de métadonnées des ressources (par exemple, réviser le statut des ressources ingérées par Content Hub)
dam-users appartenance à un groupe.
S’applique même aux ressources ingérées via Content Hub. L’autorisation de modification sous-jacente est toujours un modèle de groupe de gestion des ressources numériques standard AEM.
Utiliser l’action Partager le lien
jcr:modifyAccessControl sur le dossier et le groupe ne doivent pas être exclus de Autoriser uniquement pour les groupes
Configuré sous Outils > Assets > Configurations d’Assets > Partage de lien. Il a été observé que cela diffère entre les environnements (par exemple, il est présent dans le serveur de développement, mais manquant dans le serveur de production) même avec un code identique, vous devez donc vérifier à la fois la liste de contrôle d’accès et cet écran de configuration par environnement.
Obtenir la licence d’une ressource Adobe Stock et l’enregistrer
L’appartenance au groupe de licences Stock et au groupe de création de gestion des ressources numériques de base (par exemple, dam-users)
L’appartenance au groupe Stock seul ne suffit pas pour terminer le workflow Licence et enregistrement.
Affichage de la bande passante et du stockage dans Dynamic Media Classic
Privilèges d’administrateur système.
Des privilèges insuffisants apparaissent comme erreur Scene7 au lieu d’un message standard de refus d’autorisation.
Accès à l’API par le biais d’un jeton du porteur JSON Web Token (JWT) ou d’un compte technique
L’utilisateur AEM sous-jacent du compte technique doit être explicitement ajouté au groupe AEM requis (par exemple, un groupe lecture seule).
La mise en service d’un profil de produit ou d’un service dans la console d’administration crée l’utilisateur du compte technique. Cela ne lui accorde pas automatiquement tous les groupes AEM nécessaires pour les réponses complètes de l’API, comme les listes de rendu complètes. L’appartenance au groupe AEM du compte doit toujours être configurée séparément.
Héritage de groupe et évaluation des autorisations group-inheritance-and-permission-evaluation
- Par défaut, les autorisations appliquées à une cascade de dossiers parents aux dossiers et ressources enfants.
- Les règles de refus explicites ont la priorité sur les règles d’autorisation. Vous pouvez être membre d’un groupe qui a autorisé l’accès, mais si vous (directement ou par l’intermédiaire d’un autre groupe) êtes également soumis à une règle de refus jcr:read (ou autre) sur ce chemin ou un chemin ancêtre, le refus l’emporte, même si les deux cas semblent avoir des appartenances identiques à un groupe dans la console d’administration.
- Lorsque deux utilisateurs disposant d’autorisations apparemment identiques se comportent différemment, comparez leurs listes de contrôle d’accès en vigueur (Outils > Sécurité > Autorisations ou l’explorateur de référentiels), pas seulement leurs listes d’appartenance à un groupe. Vous devez rechercher spécifiquement les règles de refus incluses dans l’un des groupes.
Distinction des types de groupes distinguishing-group-types
AEM ne sépare pas visuellement les types de groupes dans Outils > Sécurité > Groupes, ce qui rend les audits d’autorisations volumineux difficiles. Utilisez les règles suivantes pour classer un groupe :
- Les groupes prêts à l’emploi OOTB) disposent d’identifiants de groupe fixes et connus, par exemple, les administrateurs, les utilisateurs de gestion des ressources numériques et les auteurs de contenu.
- Les groupes synchronisés par l’IMS créés automatiquement à partir des groupes d’utilisateurs de la console d’administration comportent une propriété rep:externalId se terminant par ;ims.
- Les groupes personnalisés créés directement dans AEM ne possèdent aucune propriété rep:externalId.
Les conseils d’Adobe consistent à traiter les groupes locaux prêts à l’emploi et personnalisés comme les principaux blocs de création des autorisations et à traiter les groupes synchronisés IMS uniquement comme des points d’entrée qui mappent les affectations de la console d’administration dans AEM, et non comme un emplacement pour superposer des listes de contrôle d’accès ad hoc supplémentaires.
Comportement spécifique à Content Hub et Brand Portal content-hub-brand-portal-specific-behavior
- L’accès à Content Hub n’est pas contrôlé par les groupes Content Hub dédiés. Il est contrôlé par des profils de produit de console d’administration spécifiques à un environnement, généralement appelés Utilisateurs AEM Assets limités - diffusion - Programme - Environnement .
- L’accès à ContentHub est accordé uniquement par l’intermédiaire du profil de produit Utilisateur limité. Le profil Utilisateur avancé n’accorde pas à lui seul l’accès à ContentHub. L’affectation des Utilisateur avancé et Utilisateur limité au même compte ne consomme pas deux fois les licences.
- Les droits d’administrateur Content Hub nécessitent l’appartenance à des profils de produit spécifiques (Utilisateurs limités AEM Assets - Administrateurs de diffusion et AEM - Auteur de production). La visibilité de l’onglet Admin dans l’interface utilisateur de n’est pas en soi une preuve de droits d’administrateur.
- Une fois activées, les règles ABAC (Attribute-Based Access Control) sont configurées en libre-service par l’intermédiaire de l’assistant AI ou de l’agent de gouvernance dans Content Hub ; il n’existe pas d’écran d’autorisations ABAC dédié distinct. Si des groupes spécifiques ne voient aucune ressource dans Content Hub malgré des affectations de groupe ou de profil correctes, vérifiez si les politiques ABAC sont activées et si les attributs utilisateur ou les métadonnées de ressource répondent à ces politiques avant d’supposer une mauvaise configuration de groupe.
- Les modifications apportées aux utilisateurs ou aux groupes dans la console d’administration ne sont pas répercutées dans Brand Portal en temps réel. Une tâche de synchronisation en arrière-plan s’exécute environ toutes les 8 heures. Par conséquent, patientez entre 5 et 10 heures avant de résoudre les problèmes liés à un rapport les modifications n’apparaissent pas signalé comme bogue.
- Une collection marquée comme publique dans Brand Portal n’est toujours pas accessible aux utilisateurs invités si le dossier de gestion des ressources numériques (DAM) sous-jacent n’est pas public et si les ressources ne sont pas publiées à partir d’AEM Assets. La visibilité au niveau de la collection ne remplace pas la visibilité au niveau du dossier.
- Un groupe d’utilisateurs fermé (CUG) appliqué à un chemin DAM peut bloquer la visibilité côté éditeur par environnement, même après une réplication réussie. Une propriété cq:lastReplicated manquante est un signal de diagnostic utile indiquant que la ressource n’a jamais été réellement publiée (contrairement au fait d’être bloquée par un CUG après publication).
Résolution des erreurs de refus d’autorisation troubleshooting-permission-denied-errors
- Confirmez l’affectation du profil de produit de la console d’administration pour l’environnement approprié (l’instance de création par rapport à l’instance de diffusion ou Content Hub sont configurées séparément ; le profil Utilisateurs limités réside en particulier sous une instance diffusion distincte, et non l’instance de création principale).
- Confirmez l’appartenance au groupe local AEM correspondant, et pas seulement le profil de la console d’administration, car les deux sont obligatoires.
- Vérifiez que vous vous connectez avec le compte Adobe de votre organisation ou de votre société plutôt qu’avec un compte Adobe ID personnel. L’accès affecté au compte de l’organisation n’apparaît pas si vous êtes connecté personnellement. Le Whitelistage peut également être requis.
- Inspectez la liste de contrôle d’accès en vigueur sur le chemin spécifique dans le navigateur de référentiel ou l’interface utilisateur Sécurité ou Autorisations pour rechercher les règles de refus qui remplacent la règle d’autorisation d’un groupe par ailleurs correct.
- Pour les échecs de recherche ou de navigation dans la gestion des ressources numériques avec un accès /content/dam correct, vérifiez spécifiquement l’accès en lecture à /conf/global/settings/dam/adminui-extension/metadataschema. Il s’agit d’un bloqueur courant et non évident.
- Pour les échecs de modification du profil de dossier ou du schéma de métadonnées, confirmez l’appartenance au groupe d’administrateurs locaux (profils de dossier) ou la combinaison de lecture et d’écriture récursive full /conf. Les subventions plus étroites qui semblent justes sont souvent incomplètes.
- L’affectation de la console d’administration seule n’accorde jamais de fonctionnalités dans l’application. Vérifiez toujours que le groupe AEM-local correspondant ou l’ACL existe.
Ressources supplémentaires
+ Prise en charge IMS d’Adobe Experience Manager as a Cloud Service
+ Groupes d’utilisateurs et d’utilisatrices fournis par AEM et leurs autorisations
recommendation-more-help
experience-manager-learn-help-cloud-service