[AEM Assets]{class="badge positive" title="Si applica ad AEM Assets)."}
Controllo degli accessi basato su attributi attribute-based-access-control
Il controllo degli accessi basato su attributi (ABAC) consente agli amministratori di Content Hub di definire regole basate su metadati che controllano il livello di accesso alle risorse disponibili in Content Hub. Anziché fare affidamento sulla posizione in cui sono memorizzate le risorse, ABAC regola l’accesso in base agli attributi associati a ciascuna risorsa.
Gli amministratori di un’organizzazione definiscono regole per i gruppi di utenti, mappati a un ID gruppo. Le regole sono un mix di operatori logici e di confronto e gli amministratori possono definire tutte le regole necessarie per gestire l’accesso alle risorse in Content Hub.
Le regole si basano su metadati. Quando le condizioni definite in una regola corrispondono ai metadati della risorsa, Content Hub la visualizza al gruppo di utenti. Di conseguenza, l’accesso viene determinato dinamicamente dai metadati stessi anziché dalla posizione in cui è memorizzata una risorsa. Content Hub analizza i metadati delle risorse, inclusi i metadati personalizzati, per tutte le risorse disponibili in All Assets e Collections per visualizzare i risultati ai gruppi di utenti.
Ad esempio, CONSENTI l’accesso a un gruppo di utenti con ID gruppo = 1011 quando i metadati della risorsa corrispondono a “Brand = Brand X” E “Region = EMEA OR Americas”. Content Hub visualizza quindi al gruppo di utenti con ID = 1011 solo le risorse in cui “Brand = Brand X” e “Region = EMEA or Americas”.
Le regole ABAC in Content Hub possono essere configurate utilizzando i seguenti approcci:
- Configurazione self-service con Assistente IA in Content Hub, con tecnologia AEM Governance Agent
- Configurazione basata su foglio di calcolo tramite Supporto Adobe
Con AI Assistant in Content Hub, gli amministratori definiscono e gestiscono le regole ABAC utilizzando metadati e linguaggio naturale. Questo consente una configurazione più rapida delle regole e riduce la dipendenza dai flussi di lavoro di supporto manuali, consentendo agli amministratori di regolare direttamente i criteri di accesso anziché instradare ogni modifica tramite una richiesta di assistenza.
Alcuni dei vantaggi principali del controllo degli accessi basato su attributi includono:
- Elimina la dipendenza dalla struttura di cartelle per le autorizzazioni, separando il controllo degli accessi dal percorso di archiviazione
- Consente agli amministratori di caricare le risorse e di determinare retroattivamente le strutture delle autorizzazioni, in modo che le autorizzazioni possano essere applicate dopo che le risorse sono già nel sistema
- Riduce il numero di risorse duplicate e migliora l’integrità delle risorse, perché una singola risorsa può essere gestita da regole anziché essere copiata per ogni gruppo. I duplicati sono necessari nelle autorizzazioni basate su cartelle quando le stesse risorse devono essere condivise con gruppi diversi.
- Abilita l’accesso granulare basato su regole basato su attributi di metadati specifici
- Supporta la governance scalabile tra marchi e aree geografiche, in modo che i criteri di accesso possano crescere insieme all’organizzazione
- Migliora la gestione delle risorse centralizzando le decisioni di accesso relative ai metadati
Come abilitare il controllo degli accessi basato su attributi enable-attribute-based-access-control
Il controllo degli accessi basato su attributi (ABAC) in Content Hub gestisce l’accesso valutando gli attributi, ad esempio le proprietà utente, risorsa e contestuale, in base a regole definite, consentendo autorizzazioni dettagliate oltre alla semplice assegnazione dei ruoli. Gli amministratori abilitano e configurano le regole ABAC in Content Hub utilizzando uno dei due approcci seguenti:
-
Configurazione self-service tramite l’Assistente all’intelligenza artificiale in Content Hub (con tecnologia AEM Governance Agent)
Gli amministratori definiscono e gestiscono le regole ABAC direttamente utilizzando il linguaggio naturale in Content Hub. Ciò consente di creare regole in modo rapido e autonomo senza ticket esterni, rendendolo l’approccio più veloce per i team che desiderano iterare i criteri di accesso direttamente all’interno di Content Hub. -
Configurazione basata su foglio di calcolo tramite il supporto Adobe
Gli amministratori definiscono le regole ABAC in un foglio di calcolo e le inviano tramite il supporto Adobe per la configurazione. Questo approccio è adatto a set di regole di grandi dimensioni o in blocco che traggono vantaggio da una preparazione e una revisione strutturate e offline prima che il supporto Adobe li applichi.
Configurare ABAC (Attribute-Based Access Control) utilizzando l’Assistente IA in Content Hub
Con Assistente AI in Content Hub, basato su Agente di governance AEM, è possibile creare e gestire le regole ABAC (Attribute-Based Access Control) direttamente in Content Hub utilizzando il linguaggio naturale.
ABAC (Attribute-Based Access Control) regola l’accesso al contenuto in base agli attributi, ad esempio i ruoli utente, i metadati delle risorse e le condizioni contestuali, anziché a elenchi di autorizzazioni predefiniti e fissi. Questo modello basato su attributi rende i criteri di accesso più granulari e adattabili alle esigenze aziendali in continua evoluzione.
Che cosa puoi fare? what-you-can-do-ai-assistant
Utilizzando l’Assistente AI, gli amministratori possono gestire l’intero ciclo di vita delle regole ABAC direttamente tramite i prompt conversazionali:
- Cerca le regole esistenti — individua ed esamina rapidamente i criteri di accesso correnti.
- Crea regole — definisci nuovi controlli di accesso utilizzando istruzioni in linguaggio semplice.
- Aggiorna regole — modifica i criteri esistenti senza esplorare interfacce di configurazione complesse.
- Elimina regole: rimuovere i controlli di accesso obsoleti o non necessari.
Perché è importante why-this-matters-ai-assistant
L’Assistente AI consente agli amministratori di creare e gestire le regole di accesso in modo indipendente, senza ricorrere ai flussi di lavoro di supporto. Poiché le regole sono espresse in linguaggio naturale, gli amministratori non devono padroneggiare la sintassi specializzata o instradare le richieste tramite i team di supporto. Questo riduce i tempi di risposta per le modifiche di accesso, riduce al minimo la dipendenza dal supporto esterno e offre ai team di governance un controllo diretto e autonomo sul modo in cui i contenuti vengono accessibili e protetti all’interno di Content Hub.
Prima di iniziare before-you-begin-ai-assistant
Prima di utilizzare l’Assistente IA in Content Hub per la configurazione delle regole ABAC (Attribute-Based Access Control), confermare i seguenti prerequisiti. Per garantire la disponibilità e il funzionamento dell’Assistente IA nell’ambiente in uso, è necessario soddisfare i seguenti requisiti:
- Concesso in licenza per Adobe Experience Manager (AEM) as a Cloud Service. Per accedere alle funzionalità dell’Assistente IA è necessaria una licenza AEM as a Cloud Service valida.
- L’Assistente di IA con tecnologia AEM Governance Agent è abilitato e disponibile per la tua organizzazione. Questo agente è alla base del flusso di lavoro assistito di configurazione delle regole ABAC.
- Se l’accesso non è ancora disponibile, contatta il rappresentante Adobe e completa i passaggi di licenza richiesti, perché l’adesione viene fornita a livello di organizzazione prima che l’Assistente AI diventi utilizzabile.
- Per il programma try-buy non è necessario un driver di IA generativa (GenAI), che consente alle organizzazioni di valutare l’Assistente di IA senza tale componente di licenza aggiuntivo.
Passaggi per configurare le regole ABAC (Attribute-Based Access Control) tramite l’Assistente AI steps-ai-assistant
Il controllo degli accessi basato su attributi (ABAC) regola chi può accedere alle risorse in base ad attributi quali il gruppo utenti e il prodotto metadati, anziché in base a elenchi di autorizzazioni statici e gestiti manualmente. In Content Hub, l’Assistente AI ti consente di creare queste regole utilizzando semplici istruzioni in linguaggio naturale, quindi genera un’anteprima strutturata per la revisione prima di applicare qualsiasi cosa.
-
Apri Assistente IA in Content Hub.
-
Inizia con una semplice istruzione.
Inizia con un prompt ampio che indica all’Assistente AI cosa desideri eseguire. Ad esempio:
Create a new rule in Content HubL’Assistente IA ti guida attraverso le informazioni necessarie per creare la regola, richiedendo eventuali dettagli mancanti.
-
Definisci la regola in linguaggio naturale.
Descrivi la condizione di accesso in linguaggio semplice, specificando il gruppo di utenti, le risorse e l’attributo che determina l’accesso. Ad esempio:
Frescopa Web Marketers user group should have access to assets where product equals Frescopa -
Selezionare l’ambiente in cui applicare la regola ABAC.
La scelta dell’ambiente corretto assicura che la regola abbia ambito solo rispetto alla destinazione prevista e non influisca su altri ambienti.
-
Rivedi la regola prima di applicarla.
L’Assistente IA genera un’anteprima strutturata della regola. Non viene applicato nulla automaticamente. Puoi rivedere la regola generata, modificarla se necessario o annullare l’azione prima di applicarla. Questo passaggio di anteprima offre un controllo completo e impedisce modifiche non desiderate all’accesso.
-
Salva e applica la regola.
Una volta salvata, la regola viene applicata in modo dinamico, valutando la risorsa metadati in tempo reale ogni volta che viene richiesto l’accesso. Poiché l’imposizione è basata sui metadati, la regola si applica automaticamente alle risorse corrispondenti quando vengono aggiunte o aggiornate, senza richiedere la riassegnazione manuale delle autorizzazioni.
Questo passaggio di revisione obbligatorio garantisce l’accuratezza prima dell’applicazione della regola, riducendo il rischio di concedere o negare l’accesso in modo errato.
Gestire le regole ABAC tramite prompt manage-abac-rules-using-prompts
Dopo aver iniziato a utilizzare l’Assistente di intelligenza artificiale, è possibile gestire le regole ABAC (Attribute-Based Access Control) in modo conversazionale, utilizzando prompt in linguaggio normale anziché spostarsi tra i menu di configurazione. ABAC regola chi può accedere alle risorse in base ad attributi quali gruppo di utenti, area geografica o altre proprietà di metadati e l’Assistente AI ti consente di individuare, creare, aggiornare ed eliminare queste regole attraverso una conversazione naturale. Questo approccio conversazionale semplifica la gestione degli accessi, riduce la necessità di memorizzare la sintassi delle regole e semplifica l’accuratezza delle autorizzazioni man mano che i team e i contenuti si evolvono.
Scopri regole
Utilizzare questi prompt per rivedere le regole di accesso già in uso prima di apportare modifiche:
- Mostra tutte le regole ABAC di Content Hub esistenti
Crea regole
Utilizza questi prompt per concedere a un gruppo l’accesso alle risorse, sia in senso lato che nell’ambito di valori di metadati specifici, come area geografica:
- Crea una regola che consenta al gruppo Marketing di prodotto di accedere a tutte le risorse
- Concedi l’accesso al gruppo vendite alle risorse in cui l’area geografica è uguale a EMEA
Aggiorna regole
Utilizzate questi prompt per estendere o modificare una regola esistente, ad esempio per ampliare le aree che un gruppo può raggiungere:
- Aggiorna regola per il gruppo di marketing EMEA in modo da includere APAC
Elimina regole
Per rimuovere una regola di accesso non più necessaria, attenersi alla procedura descritta di seguito.
- Elimina la regola per il gruppo Product Marketing
Esplora metadati e gruppi
Utilizza questi prompt per visualizzare i gruppi e le proprietà dei metadati disponibili prima di definire nuove regole, in modo che le condizioni facciano riferimento ad attributi validi:
- Mostra i gruppi disponibili e le proprietà dei metadati per impostare le regole
Configurare ABAC utilizzando Spreadsheet
Se l’Assistente IA non è abilitato per l’organizzazione, è possibile configurare le regole ABAC (Attribute-Based Access Control) utilizzando il flusso di lavoro basato su foglio di calcolo. ABAC regola l’accesso ad Adobe Experience Manager Assets valutando gli attributi di utenti, risorse e ambienti. Il metodo del foglio di calcolo fornisce un’alternativa all’Assistente IA per la definizione di queste regole.
Per definire e inviare le regole ABAC, eseguire le operazioni riportate di seguito.
- Fai clic su Scarica foglio di calcolo per scaricare il modello e definire le regole nel foglio di calcolo.
- Definisci le regole nel foglio di calcolo utilizzando le linee guida descritte in questo articolo.
- Crea un ticket di supporto Adobe e fornisci ad Adobe le regole definite nel foglio di calcolo.
[Scarica il foglio di calcolo]{class="badge informative"}
Definisci le regole nel foglio di calcolo utilizzando le linee guida descritte in questo articolo.
Passaggi per configurare le regole ABAC tramite Foglio di calcolo steps-spreadsheet
Configurare le regole di Controllo degli accessi basato su attributi tramite il flusso di lavoro del foglio di calcolo completando i passaggi seguenti nell’ordine indicato:
- Scaricare il modello di foglio di calcolo ABAC. Questo modello fornisce la struttura standardizzata utilizzata da Adobe per interpretare e applicare le regole di accesso.
- Definisci le regole di accesso nel foglio di calcolo utilizzando condizioni basate su metadati, condizioni che concedono o limitano l’accesso in base agli attributi di contenuto come tag, proprietà o classificazioni anziché in base alle singole risorse. Questo approccio basato sugli attributi consente alle regole di scalare automaticamente quando viene aggiunto nuovo contenuto che corrisponde a tali attributi.
- Mappa ogni regola all’ID gruppo IMS (Identity Management System) appropriato. La mappatura accurata assicura che ogni regola si applichi al gruppo di utenti previsto, impedendo che l’accesso venga concesso o negato al pubblico sbagliato.
- Acquisisci le finalità di business di ciascuna regola nel campo dei commenti. In questo modo Adobe comprende chiaramente lo scopo di ogni condizione e configura l’accesso in modo accurato, riducendo il rischio di interpretazioni errate.
- Invia un ticket di supporto Adobe e condividi il foglio di calcolo completato con Adobe. L’allegato del modello finalizzato offre al team di Adobe tutto il necessario per rivedere e implementare le regole.
- Adobe configura le regole per l’organizzazione in base al foglio di calcolo inviato, applicando all’ambiente le condizioni ABAC definite.
Esempio di utilizzo del controllo degli accessi basato su attributi example-metadata-based-rules
Per supportare un rollout di marketing su larga scala, i membri del team in più aree geografiche e marchi devono poter accedere alle risorse digitali condivise; a ogni utente tipo viene concesso un ambito specifico definito per area geografica e marchio. Il controllo degli accessi basato su attributi (ABAC) applica automaticamente queste regole di accesso valutando i metadati delle risorse, ad esempio gli attributi region e brand associati a ciascuna risorsa, anziché affidarsi a elenchi di autorizzazioni gestiti manualmente. Poiché l’accesso è determinato dalla corrispondenza degli attributi assegnati a un utente con i metadati di ciascuna risorsa, le autorizzazioni rimangono coerenti e aggiornate man mano che la libreria di risorse cresce. La tabella seguente illustra gli utenti tipo per questo caso d’uso e le regole applicate:
Utilizzando queste regole, gli amministratori di Content Hub ottengono:
- Accesso granulare basato su regole: gli utenti visualizzano solo le risorse rilevanti per la propria area geografica e il proprio marchio. Poiché la regola ABAC valuta automaticamente i metadati, questo ambito non richiede assegnazioni di autorizzazioni manuali, il che riduce il sovraccarico amministrativo e il rischio di accesso non configurato correttamente.
- Collaborazione globale perfetta: i team regionali e del brand lavorano in parallelo senza conflitti di accesso, perché la visibilità di ogni team è limitata esattamente dalla propria regola basata sui metadati.
- Autorizzazioni scalabili e a prova di futuro: con l’aggiunta di nuove aree geografiche o marchi, gli amministratori aggiornano le regole direttamente in base ai metadati sottostanti, anziché riassegnare le autorizzazioni utente per utente. Questo rende il modello di accesso semplice da estendere, garantendo che la struttura delle autorizzazioni mantenga il passo con la crescita aziendale senza una rielaborazione dirompente.
Scenari aggiuntivi in cui ABAC è utile additional-scenarios-abac
Il controllo degli accessi basato su attributi (Attribute-Based Access Control - ABAC) affronta anche i seguenti scenari, concedendo o limitando l’accesso in base agli attributi utente come marchio, mercato, funzione di team e area geografica:
- Accesso al marchio globale e regionale: i team visualizzano solo le risorse rilevanti per il proprio marchio e il proprio mercato. In questo modo si mantiene la coerenza del marchio e si riduce il rischio di un’esposizione accidentale ad attività cross-brand o cross-market.
- Collaborazione tra agenzie e partner: le agenzie e i partner esterni possono accedere solo alle risorse della campagna pertinenti. Questo limita l’esposizione di terze parti a risorse interne non correlate, consentendo al contempo una collaborazione mirata.
- Accesso basato sui ruoli per i diversi team: i team di marketing, vendite e legali possono accedere alle risorse rilevanti per la propria funzione, garantendo a ogni team di lavorare solo con contenuti pertinenti alle proprie responsabilità.
- Conformità legale specifica dell’area geografica: gli utenti possono essere limitati alle risorse approvate per requisiti normativi o regionali specifici, in modo da rispettare i limiti di conformità e impedire l’utilizzo di contenuto non approvato in una determinata giurisdizione.
Costrutti di regole supportati supported-rule-constructs
Le regole sono create da due categorie di costrutti: operatori logici, che combinano più condizioni, e operatori di confronto, che sottopongono a test gli attributi di singoli utenti o risorse rispetto a un valore. Insieme, questi costrutti definiscono esattamente quando l’accesso viene concesso o negato.
-
Operatori logici (combinare le condizioni in un’unica valutazione):
- AND: affinché la regola corrisponda, tutte le condizioni devono restituire true. Poiché ogni clausola deve contenere, AND restringe l’ambito di una regola e applica requisiti di accesso più severi.
- OR: affinché la regola corrisponda, almeno una condizione deve restituire true. Poiché è sufficiente una singola clausola soddisfatta, OR amplia l’ambito di applicazione di una regola e copre più casi ammissibili.
-
Operatori di confronto (verificare un singolo attributo rispetto a un valore):
- È uguale a (=): controlla se l’attributo di un utente o di una risorsa corrisponde a un valore specificato. In questo modo una decisione di accesso viene applicata solo quando l’attributo corrisponde esattamente al valore di destinazione.
- Not Equals (!=): controlla se un utente o un attributo di risorsa non corrisponde a un valore specificato. In questo modo, una regola esclude le entità il cui attributo è diverso dal valore di destinazione.
Comportamento dei metadati con valori di array: quando i campi dei metadati delle risorse contengono array, ad esempio più aree geografiche o più tag, gli operatori di confronto passano alla semantica di appartenenza ai set. In questo caso, Equals viene risolto in contains logic, che corrisponde quando il valore specificato è presente in un punto qualsiasi dell’array, e Not Equals viene risolto in non contiene logic, che corrisponde solo quando il valore specificato è completamente assente dall’array. Questa definizione completa è importante perché determina il modo in cui gli attributi con più valori vengono valutati durante le decisioni di accesso.
Poiché questi operatori si combinano in modo pulito, ti permettono di scrivere regole semplici ma espressive che si leggono quasi come un linguaggio semplice. Ad esempio, la regola CONSENTI se area geografica = area geografica EMEA (Europa, Medio Oriente e Africa) AND assetType != prototipo AND tags != confidenziale concede l’accesso solo alle risorse che si trovano nell’area EMEA, esclude qualsiasi risorsa contrassegnata come prototipo ed esclude qualsiasi risorsa la cui matrice di tag contiene il valore confidential. Di conseguenza, un’unica istruzione leggibile esprime un criterio di accesso preciso e a più condizioni.
Linee guida guidelines-attribute-based-access-control
Le seguenti linee guida si applicano sia alla configurazione basata su Assistente di IA che a quella basata su foglio di calcolo di regole di controllo di accesso basate su attributi (ABAC):
- Le regole ABAC si applicano solo alle risorse approvate per Content Hub. Per ulteriori informazioni, vedere Approvare Assets for Content Hub.
- Non definire regole di NEGAZIONE. Converti sempre le regole DENY in regole ALLOW. La valutazione ABAC in Content Hub si basa su una logica basata su allow, pertanto l’espressione di ogni condizione come regola ALLOW garantisce che l’accesso sia concesso in modo esplicito e prevedibile anziché dedotto dalle esclusioni. Ad esempio,
ALLOW if region = user-region DENY if assetType = prototype AND confidential = yespuò essere convertito inALLOW if region = user-region AND (assetType != prototype OR confidential != yes). - Le regole ABAC vengono applicate ai gruppi di utenti che utilizzano l’ID gruppo di Identity Management System (IMS), disponibile in Admin Console. L’utilizzo dell’ID gruppo IMS garantisce che le regole vengano associate in modo coerente all’identità del gruppo corretta.
- È possibile impostare Target di approvazione per le risorse utilizzando l’ambiente di authoring AEM as a Cloud Service. Le regole ABAC vengono applicate alle risorse approvate con Target di approvazione = Content Hub. Al contrario, Target di approvazione = Consegna è per le risorse disponibili sia per Consegna che per Content Hub. Poiché le risorse contrassegnate come Destinazione approvazione = Consegna sono visibili a tutti gli utenti in Content Hub, le restrizioni ABAC non ne limitano la visibilità.
- Assicurati che gli schemi di metadati utilizzati nelle regole ABAC siano correttamente definiti e disponibili in AEM. Fornisci il percorso completo dello schema di metadati o degli schemi in AEM che definiscono le proprietà a cui si fa riferimento nelle regole ABAC. Facoltativamente, crea una cartella di test con risorse di esempio che corrispondano alle condizioni ABAC per verificare il comportamento delle regole e valutare l’accesso in modo accurato.
- Acquisisci l’intento di business della regola nei commenti, anche quando la condizione è scritta correttamente, perché l’intento documentato aiuta a convalidare e correggere la logica, se necessario.
- Assicurati che i valori dei metadati utilizzati per le regole di accesso, come brand, region e product, siano mantenuti in modo coerente tra le risorse. I valori di metadati coerenti impediscono che le regole corrispondano alle risorse che dovrebbero essere governate da loro.
- Inizia con casi d’uso chiave come l’accesso basato su brand o basato su area geografica, in quanto rappresentano gli scenari di controllo degli accessi più comuni e semplici.
- Utilizza i prompt di cancellazione quando definisci le regole con l’Assistente IA. Descrivi l’intento in linguaggio aziendale in modo che l’Assistente AI possa tradurlo con precisione in una regola strutturata.
- I file con licenza Portable Document Format (PDF) impostati per Digital Rights Management (DRM) devono rimanere visibili a tutti gli utenti, in modo che gli utenti possano esaminare le informazioni sulla licenza quando scaricano la risorsa con la relativa licenza.
Domande frequenti faqs-attribute-based-access-control-content-hub
Che cos’è il controllo degli accessi basato su attributi (Attribute-Based Access Control - ABAC)?
Controllo degli accessi basato su attributi è un modello di autorizzazione che concede o nega l’accesso alle risorse valutando attributi anziché ruoli fissi. In ABAC, le decisioni di accesso vengono determinate dinamicamente al momento della richiesta confrontando gli attributi dell’utente, della risorsa, dell’azione e dell’ambiente circostante con un set di criteri definiti. Poiché queste decisioni vengono calcolate in base ai valori degli attributi anziché alle autorizzazioni statiche, ABAC supporta un controllo degli accessi dettagliato e in base al contesto, scalabile tra sistemi complessi e di grandi dimensioni.
Quali attributi valuta ABAC?
I criteri ABAC in genere si basano su quattro categorie di attributi:
- Attributi oggetto: caratteristiche dell’utente o dell’entità che richiede l’accesso, ad esempio reparto, qualifica, livello di autorizzazione o appartenenza al gruppo.
- Attributi della risorsa (oggetto): proprietà del contenuto o della risorsa a cui si accede, ad esempio classificazione, proprietario, tipo di contenuto o etichetta di riservatezza.
- Attributi azione: l’operazione richiesta, ad esempio lettura, modifica, pubblicazione o eliminazione.
- Attributi ambientali: condizioni contestuali al momento della richiesta, ad esempio ora del giorno, posizione, tipo di dispositivo o rete.
Combinando questi attributi, ABAC valuta ogni richiesta in base alle regole dei criteri e restituisce una decisione di autorizzazione o negazione. Questo meccanismo garantisce che l’accesso rifletta le circostanze specifiche di una richiesta, anziché un singolo ruolo predefinito.
Quali sono le differenze tra ABAC e RBAC (Role-Based Access Control)?
A differenza di RBAC (Role-Based Access Control), che concede le autorizzazioni in base al ruolo assegnato a un utente, ABAC concede le autorizzazioni in base a più attributi valutati insieme. RBAC assegna l’accesso tramite definizioni di ruolo relativamente statiche, che possono diventare difficili da gestire con il moltiplicarsi del numero di ruoli. ABAC, al contrario, esprime le regole di accesso come criteri che fanno riferimento ad attributi, consentendo a un singolo criterio di coprire più scenari senza creare un nuovo ruolo per ogni combinazione. Di conseguenza, ABAC offre in genere maggiore flessibilità e una granularità più fine, mentre RBAC è spesso più semplice da configurare per strutture di autorizzazioni semplici. Molte organizzazioni combinano entrambi i modelli, utilizzando i ruoli come un unico attributo all’interno di un criterio basato su attributi più ampio.
Perché utilizzare ABAC in un hub di contenuti?
In un hub di contenuti, ABAC viene utilizzato per controllare chi può visualizzare, modificare o pubblicare elementi di contenuto specifici in base ai loro attributi. Questo approccio consente agli amministratori di definire le regole di accesso una volta e di applicarle in modo coerente nelle librerie di contenuto di grandi dimensioni, in quanto l’accesso viene valutato da attributi quali la classificazione del contenuto e il reparto utente anziché in base alle autorizzazioni assegnate manualmente a ogni elemento. I vantaggi pratici includono:
- Controllo granulare: l’accesso può essere personalizzato in base a singoli elementi e condizioni di contenuto.
- Scalabilità: i criteri vengono applicati automaticamente quando vengono aggiunti nuovi contenuti e utenti, riducendo l’amministrazione manuale.
- Consapevolezza del contesto: l’accesso può rispondere a fattori ambientali quali posizione, ora o dispositivo.
- Coerenza: i criteri centralizzati impongono regole di accesso uniformi sull’intero hub di contenuti.
Come vengono definiti i criteri ABAC?
I criteri ABAC sono definiti come regole che specificano quali condizioni di attributo devono essere soddisfatte affinché un’azione sia consentita. Ogni criterio collega soggetti, risorse, azioni e condizioni ambientali in istruzioni logiche valutate dal motore di controllo degli accessi al momento della richiesta. Poiché i criteri fanno riferimento ad attributi anziché a singoli utenti denominati, rimangono validi in caso di modifica degli utenti e dei contenuti, il che riduce la manutenzione corrente e consente di applicare il principio del privilegio minimo.
ABAC è più sicuro degli approcci basati sui ruoli?
ABAC può rafforzare la sicurezza consentendo decisioni di accesso più precise e sensibili al contesto rispetto ai modelli di solo ruolo. La valutazione congiunta di più attributi consente alle organizzazioni di applicare condizioni sfumate, ad esempio limitare l’accesso a contenuti sensibili a meno che non vengano soddisfatti più criteri contemporaneamente. L’efficacia di ABAC dipende da criteri ben progettati e da dati di attributi accurati, pertanto i risultati di sicurezza migliorano quando le origini degli attributi vengono mantenute affidabili e aggiornate.
Cos’è il controllo degli accessi basato su attributi (Attribute-based Access Control - ABAC) in AEM Assets Content Hub?
Il controllo degli accessi basato su attributi in AEM Assets Content Hub è un modello di autorizzazione che consente agli amministratori di definire regole basate su metadati per controllare il livello di accesso alle risorse digitali dei diversi gruppi di utenti. Anziché assegnare le autorizzazioni risorsa per risorsa, gli amministratori esprimono i criteri di accesso come condizioni valutate in base agli attributi memorizzati nei metadati di ciascuna risorsa.
Modalità di determinazione dell’accesso da parte di ABAC
L’accesso viene concesso o negato a seconda che i metadati di una risorsa corrispondano alle condizioni specificate nelle regole. Poiché i metadati della risorsa vengono valutati in base a queste condizioni al momento della richiesta, le autorizzazioni vengono applicate in modo automatico e coerente in tutta la libreria di risorse. Di conseguenza, quando i metadati di una risorsa soddisfano le condizioni di una regola, il gruppo di utenti associato può visualizzare o lavorare con tale risorsa; in caso contrario, la risorsa rimane nascosta a tale gruppo.
Caratteristiche chiave del controllo degli accessi basato su attributi
- Basate sui metadati: Le decisioni di accesso si basano su attributi di risorse quali classificazione, reparto, regione, campagna o diritti di utilizzo, anziché su elenchi di autorizzazioni statici per risorsa.
- Granulare: Le regole possono eseguire il targeting di combinazioni precise di condizioni di metadati, fornendo agli amministratori un controllo dettagliato sulle risorse a cui ogni gruppo di utenti può accedere.
- Dinamico: Poiché l’accesso segue i metadati, la visibilità viene aggiornata automaticamente quando i metadati delle risorse vengono modificati o vengono aggiunte nuove risorse che corrispondono alle regole esistenti. Non è richiesto alcun nuovo controllo manuale delle autorizzazioni.
- Orientati al gruppo: i criteri vengono applicati a gruppi di utenti definiti, garantendo che ogni pubblico visualizzi solo le risorse rilevanti per il proprio ruolo.
Applicazioni pratiche e vantaggi
Il controllo degli accessi basato su attributi è adatto a archivi di risorse condivise di grandi dimensioni in cui molti team lavorano dallo stesso Content Hub ma richiedono livelli di visibilità diversi. Le applicazioni comuni includono la limitazione delle risorse riservate o non rilasciate a team specifici, la limitazione dei contenuti specifici per regione ai mercati corrispondenti e l’applicazione dei diritti di utilizzo o dei vincoli di licenza, esponendo le risorse solo ai gruppi autorizzati a utilizzarle. Questo approccio dinamico basato su metadati riduce il sovraccarico amministrativo manuale, riduce il rischio che le risorse vengano esposte agli utenti errati e mantiene i criteri di accesso allineati alla libreria di risorse man mano che cresce e cambia.
In che modo gli amministratori definiscono le regole di accesso utilizzando ABAC in AEM Assets Content Hub?
Gli amministratori definiscono le regole di accesso in Attribute-Based Access Control (ABAC) all’interno di Adobe Experience Manager (AEM) Assets Content Hub creando condizioni sui metadati delle risorse e collegandole a gruppi di utenti specifici. ABAC è un modello di accesso in cui le autorizzazioni vengono concesse in modo dinamico in base agli attributi di una risorsa anziché alle autorizzazioni fisse e assegnate manualmente, consentendo la scalabilità automatica della visibilità all’aggiunta di nuovo contenuto.
Funzionamento delle regole di accesso ABAC
Gli amministratori creano le regole di accesso procedendo come segue:
- Definisci le condizioni dei metadati — Imposta le condizioni in base agli attributi dei metadati delle risorse, ad esempio brand o region.
- Applicare operatori logici e di confronto. Combinare gli attributi utilizzando gli operatori per esprimere con precisione quali risorse sono idonee per una regola.
- Collega condizioni agli ID gruppo utenti - Associa ogni condizione a ID gruppo utenti specifici, mappando le risorse corrispondenti ai gruppi che dovrebbero visualizzarle.
Componenti chiave delle regole ABAC
- Attributi dei metadati: Le proprietà delle risorse, ad esempio il marchio o l’area geografica, fungono da base per ogni condizione. Pertanto, l’accesso segue il contenuto stesso e non le singole assegnazioni di risorse.
- Operatori logici e di confronto: Questi operatori consentono un controllo granulare e preciso, consentendo agli amministratori di definire condizioni strette o ampie che corrispondono esattamente al set di risorse previsto.
- ID gruppo utenti: Le regole collegano le risorse qualificate a gruppi di utenti definiti, determinando con precisione quali risorse rimangono visibili a ciascun gruppo di utenti.
Poiché l’accesso è guidato dagli attributi, le regole ABAC si applicano automaticamente a qualsiasi risorsa che corrisponda alle condizioni definite. Di conseguenza, le nuove risorse con i relativi metadati ereditano la visibilità corretta senza richiedere una riassegnazione manuale, riducendo il sovraccarico amministrativo e garantendo una governance coerente e scalabile nelle librerie di risorse di grandi dimensioni.
Quali sono i principali vantaggi dell’utilizzo di ABAC rispetto alle autorizzazioni tradizionali basate su cartelle in AEM Assets Content Hub?
Controllo degli accessi basato su attributi in Adobe Experience Manager (AEM) Assets Content Hub concede le autorizzazioni in base agli attributi delle risorse e ai metadati anziché alla posizione della cartella fisica. Questo è il vantaggio principale rispetto alle autorizzazioni tradizionali basate su cartelle: l’accesso è determinato da ciò che una risorsa è, non da dove è memorizzata.
Vantaggi chiave di ABAC in AEM Assets Content Hub
- Elimina la dipendenza dalle strutture di cartelle per le autorizzazioni. I diritti di accesso sono guidati da attributi e metadati anziché da una gerarchia di cartelle fissa, pertanto gli amministratori non sono più costretti a progettare strutture di cartelle intorno a chi può vedere cosa.
- Abilita l’assegnazione delle autorizzazioni retroattive. Gli amministratori possono caricare prima le risorse e successivamente assegnare le autorizzazioni, separando l’acquisizione dei contenuti dalla definizione delle regole di accesso.
- Riduce il numero di risorse duplicate necessarie, perché una singola risorsa può essere gestita da più regole basate su attributi anziché essere copiata in cartelle separate per servire tipi di pubblico diversi.
- Semplifica la condivisione tra più gruppi. Quando la stessa risorsa deve essere resa disponibile a più team o tipi di pubblico, ABAC consente di esporre una copia autorevole a ciascun gruppo tramite regole per attributi anziché posizionamenti duplicati.
Perché ABAC semplifica la gestione delle autorizzazioni
Poiché le autorizzazioni sono associate agli attributi anziché ai percorsi delle cartelle, ABAC rimuove la rigidità che costringe gli amministratori a duplicare le risorse o ristrutturare le cartelle ogni volta che le esigenze di accesso cambiano. Questa funzione è particolarmente utile quando le risorse devono essere condivise con più gruppi, in quanto una risorsa gestita può soddisfare più scenari di accesso alla volta.
Di conseguenza, ABAC migliora l’integrità delle risorse e semplifica la gestione delle autorizzazioni. Mantenere un numero inferiore di copie duplicate significa disporre di un’unica fonte di verità per ogni risorsa, riducendo la deviazione delle versioni e il rischio di circolazione di file obsoleti. Separando il caricamento delle risorse dall’assegnazione delle autorizzazioni, ABAC offre agli amministratori un modello più flessibile e scalabile per controllare l’accesso a librerie di risorse di grandi dimensioni e in continua evoluzione.
Gli amministratori possono impostare le regole ABAC direttamente nell’interfaccia Content Hub di AEM Assets?
Sì. Gli amministratori possono configurare le regole di Controllo degli accessi basato su attributi direttamente nell’interfaccia di Adobe Experience Manager (AEM) Assets Content Hub. ABAC regola l’accesso alle risorse in base ad attributi quali ruoli utente, metadati di risorse e contesto organizzativo, consentendo l’applicazione dinamica delle autorizzazioni anziché tramite elenchi fissi e assegnati manualmente.
Gli amministratori dispongono di due percorsi supportati per la configurazione delle regole ABAC:
- Assistente AI in Content Hub: gli amministratori configurano le regole ABAC direttamente nell’interfaccia utilizzando Assistente AI, purché questa funzionalità sia abilitata per l’organizzazione. Questo approccio nell’interfaccia consente ai team di definire e regolare le regole di accesso senza uscire da Content Hub.
- Flusso di lavoro basato su foglio di calcolo tramite il supporto Adobe: gli amministratori possono continuare a utilizzare il flusso di lavoro basato su foglio di calcolo stabilito tramite il supporto Adobe, che rimane disponibile come metodo alternativo per la definizione delle regole ABAC.
Poiché entrambe le opzioni producono lo stesso risultato di governance ABAC, le organizzazioni possono scegliere l’Assistente all’intelligenza artificiale per la configurazione diretta nell’interfaccia o mantenere il flusso di lavoro basato su foglio di calcolo in base alle loro preferenze operative e alle funzioni abilitate per il proprio ambiente.
Quali tipi di condizioni di metadati possono essere utilizzati durante la configurazione delle regole ABAC in AEM Assets Content Hub?
Le regole ABAC (Attribute-Based Access Control) in Adobe Experience Manager (AEM) Assets Content Hub supportano due categorie di condizioni di metadati: operatori logici e operatori di confronto, valutati in base agli attributi di metadati definiti negli schemi di metadati di AEM. ABAC definisce chi può accedere a determinate risorse valutando gli attributi associati al contenuto; le condizioni dei metadati formano quindi la logica di base che determina i risultati dell’accesso.
Operatori supportati
Le regole ABAC combinano e confrontano i valori dei metadati utilizzando i seguenti tipi di operatori:
- Operatori logici - AND e OR, utilizzati per combinare più condizioni di metadati all’interno di una singola regola.
- Operatori di confronto — uguale a e diverso da, utilizzati per verificare se un attributo di metadati corrisponde o meno a un valore specificato.
La combinazione di operatori logici e di confronto consente a una singola regola di esprimere condizioni di accesso sia ampie che precise.
Attributi metadati idonei
Le condizioni dei metadati possono essere create su una serie di campi attributo comunemente associati alle risorse digitali, tra cui:
- Area
- Marchio
- Prodotto
- Campagna
- Tipo risorsa
- Stato pubblicazione
Questi attributi consentono alle organizzazioni di definire l’accesso in base alla classificazione delle risorse, ad esempio limitando la visibilità in base all’area di mercato, alla proprietà del brand, alla linea di prodotti, all’associazione alla campagna, al formato delle risorse o allo stato di pubblicazione.
Requisito schema metadati
Le proprietà dei metadati a cui si fa riferimento nelle regole ABAC devono essere definite correttamente e disponibili negli schemi di metadati di AEM. Questo requisito assicura che il motore delle regole possa individuare e valutare in modo affidabile ogni attributo; se una proprietà manca o non è configurata correttamente nello schema, la condizione corrispondente non può essere valutata e la regola potrebbe non essere applicata come previsto. Per un controllo degli accessi coerente e prevedibile, è quindi essenziale confermare che ogni campo utilizzato in una regola esista nello schema.
Perché AEM Assets Content Hub ABAC è particolarmente utile per le organizzazioni con team di grandi dimensioni e diverse esigenze di risorse?
Il controllo degli accessi basato su attributi (ABAC) in Adobe Experience Manager (AEM) Assets Content Hub è particolarmente utile per le organizzazioni con team di grandi dimensioni, in quanto consente l’accesso granulare basato su regole alle risorse, determinato automaticamente dagli attributi degli utenti e delle risorse, anziché gestire manualmente gli elenchi di autorizzazioni. Questo rende ABAC adatto alle aziende che gestiscono librerie di risorse diverse tra più team, mercati e linee di prodotti.
Controllo di ABAC sull’accesso alle risorse
A differenza dei modelli di autorizzazione statici di solo ruolo, ABAC valuta una combinazione di attributi al momento dell’accesso e concede visibilità solo quando le regole definite vengono soddisfatte. Le decisioni di accesso sono in genere guidate da attributi quali:
- Ruoli utente: corrispondenza delle risorse alle mansioni o responsabilità di una persona
- Aree geografiche: limitazione o esposizione di risorse in base alla posizione geografica o al mercato
- Marchi: separazione delle risorse per identità del marchio in un’organizzazione multimarca
- Esigenze aziendali: allineamento dell’accesso ai requisiti di team, reparto o campagna
Poiché queste regole vengono applicate in modo dinamico, gli amministratori definiscono la logica una volta e consentono al sistema di applicarla in modo coerente nell’intero catalogo delle risorse.
Vantaggi pratici per i team distribuiti di grandi dimensioni
ABAC garantisce che gli utenti vedano solo le risorse rilevanti per le proprie responsabilità, riducendo direttamente l’ingombro, impedendo l’uso accidentale di contenuti non autorizzati e consentendo la navigazione nelle librerie di risorse di grandi dimensioni. Di conseguenza, le organizzazioni ottengono diversi vantaggi pratici:
- Nessuna assegnazione manuale di autorizzazioni: l’accesso è disciplinato da regole anziché da concessioni individuali, riducendo il sovraccarico amministrativo con l’aumento dei team.
- Nessuna duplicazione eccessiva delle risorse: una singola risorsa gestita a livello centrale può essere esposta al pubblico giusto tramite attributi, anziché copiata in silos separati per ogni team, area geografica o marchio.
- Esperienze rilevanti filtrate: poiché la visibilità è legata alle responsabilità, ogni utente lavora da una visualizzazione definita in base alle proprie esigenze, migliorando l’efficienza e la governance delle risorse.
Questo approccio basato sugli attributi è scalabile in modo ottimale per le organizzazioni con team di grandi dimensioni e diverse esigenze di risorse, poiché l’aggiunta di nuovi utenti, aree geografiche o marchi richiede l’aggiornamento degli attributi e delle regole anziché la ricostruzione delle autorizzazioni nel sistema.
In che modo gli amministratori devono preparare il foglio di calcolo ABAC per AEM Assets Content Hub prima di inviarlo al supporto Adobe?
Per preparare il foglio di calcolo Controllo degli accessi basato su attributi (ABAC) per AEM Assets Content Hub, gli amministratori devono completare una sequenza di passaggi di configurazione e documentazione prima di inviarlo al supporto Adobe. ABAC gestisce l’accesso valutando gli attributi (ad esempio l’iscrizione al gruppo di utenti, le autorizzazioni e le condizioni dei metadati). Per consentire al supporto Adobe di tradurre il modello di accesso previsto in una configurazione funzionante, è quindi essenziale disporre di un foglio di calcolo strutturato correttamente.
Passaggi per preparare il foglio di calcolo ABAC
- Creare gruppi di utenti in Adobe Admin Console. Imposta i gruppi di utenti richiesti all’interno di Adobe Admin Console, la posizione centrale per la gestione di utenti e gruppi tra i prodotti Adobe. La creazione di gruppi assicura che le regole di accesso vengano mappate su identità reali e con provisioning, anziché su valori segnaposto.
- Registra gli ID gruppo. Prendi nota dei ID gruppo per ogni gruppo di utenti. Questi identificatori fanno riferimento in modo univoco a ciascun gruppo nel foglio di calcolo, consentendo al supporto Adobe di far corrispondere ogni regola di accesso al gruppo corretto senza ambiguità.
- Definire le autorizzazioni e le condizioni per ogni gruppo. Specifica chiaramente le autorizzazioni e le condizioni che si applicano a ciascun gruppo direttamente nel foglio di calcolo. Definizioni esplicite impediscono interpretazioni errate e garantiscono che ogni gruppo riceva esattamente l’accesso che si intende avere.
- Mappa le proprietà dei metadati agli schemi appropriati. Verificare che tutte le proprietà metadati siano correttamente mappate ai relativi schemi corrispondenti. La mappatura accurata è fondamentale perché le condizioni ABAC si basano sugli attributi dei metadati e qualsiasi mancata corrispondenza tra proprietà e schemi può causare errori nelle regole di accesso o comportamenti imprevisti.
- Documenta le finalità aziendali nella colonna dei commenti. Utilizza la colonna di commenti per chiarire l’intento di business dietro ogni regola. Questo contesto aiuta il Supporto Adobe a comprendere lo scopo di ogni regola, riducendo il chiarimento avanti e indietro e garantendo che la configurazione finale rifletta gli obiettivi effettivi di governance dell’accesso dell’organizzazione.
Il completamento di questi passaggi genera un foglio di calcolo autoesplicativo e verificabile che semplifica il passaggio al supporto Adobe e riduce il rischio di errori di configurazione durante l’implementazione.
Consulta anche
- Traduci risorse
- API HTTP di Assets
- Formati di file supportati dalle risorse
- Cerca risorse
- Risorse collegate
- Rapporti sulle risorse
- Schemi di metadati
- Scaricare le risorse
- Gestire i metadati
- Gestire i modelli Dynamic Media
- Gestione dei rapporti nella vista Risorse
- Facet di ricerca
- Gestire le raccolte
- Importazione in blocco dei metadati
- Pubblicare risorse in AEM e Dynamic Media