Utenti, gruppi e autorizzazioni di AEM aem-users-groups-and-permissions
Adobe Experience Manager si basa sugli utenti, i gruppi di utenti e i profili di prodotto di Adobe IMS per consentire agli utenti di accedere ad AEM con autorizzazioni personalizzabili. Scopri come definire i gruppi e le autorizzazioni di AEM, che si basano sui gruppi di utenti forniti da AEM, e come funzionano insieme alle astrazioni di Adobe IMS per fornire un accesso semplice e personalizzabile ad AEM.
Autorizzazioni di AEM Assets e controllo degli accessi assets-permissions-and-access-control
L’accesso a Adobe Experience Manager (AEM) Assets è controllato da due livelli indipendenti che devono essere configurati correttamente:
- Profili prodotto Adobe Admin Console: concede il diritto tecnico per raggiungere un ambiente AEM, ad esempio Power User, Collaborator, Limited User e Administrators.
- Appartenenza a un gruppo locale AEM e ACL: controlla ciò che è possibile fare una volta all’interno di tale ambiente, ad esempio caricare, modificare, eliminare, approvare e configurare.
L’assegnazione di un profilo di prodotto in Admin Console è necessaria ma non sufficiente: un utente può essere un utente avanzato con licenza completa in Admin Console e continuare a essere bloccato da ogni operazione di risorsa se non viene inserito anche nel gruppo locale di AEM corretto. Al contrario, l’iscrizione corretta al gruppo locale di AEM non ha alcun effetto se all’utente non è mai stato concesso un profilo di prodotto Admin Console per l’ambiente.
Autorizzazioni necessarie per le operazioni comuni permissions-required-for-common-operations
Operazione
Autorizzazione o gruppo richiesto
Note
Carica una risorsa in /content/dam
rep:write sul percorso target /content/dam
L’appartenenza al gruppo non garantisce di per sé che questo venga ereditato a livello di utente. Se i caricamenti non riescono per utenti specifici mentre altri nello stesso gruppo riescono, verifica che rep:write sia effettivamente presente nell’ACL effettivo dell’utente e non solo presunto dall’iscrizione al gruppo.
Cercare o visualizzare le risorse nell’interfaccia utente di Digital Asset Management (DAM)
Accesso in lettura a /content/dam (in genere tramite utenti dam) e jcr:read in /conf/global/settings/dam/adminui-extension/metadataschema.
L’interfaccia utente di Assets risolve le definizioni dello schema metadati da /conf per riprodurre i risultati. Se un gruppo dispone dell’accesso completo /content/dam ma non dell’accesso in lettura al percorso di configurazione dello schema, l’interfaccia utente genera un errore di NullPointerException e di ricerca/esplorazione. Non si tratta di un problema di autorizzazione /content/dam anche se è simile a uno.
Creare o modificare un profilo cartella
Appartenenza al gruppo Administrators locale.
Un’assegnazione Admin Console Administrator non è la stessa cosa, il pulsante Create per i profili cartella viene eseguito solo per gli account che sono anche membri del gruppo di amministratori locali di AEM.
Creare o modificare uno schema di metadati personalizzato
jcr:read ricorsivo in /conf, /conf/global/settings/dam/adminui-extension/metadataschema e jcr:write in /conf/global/settings/dam/adminui-extension e nel relativo sottonodo di metadataschema.
L’accesso in scrittura al solo nodo metadataschema non è sufficiente. Per eseguire correttamente il rendering, l’editor schema deve inoltre leggere l’albero padre /conf.
Modificare i campi di metadati delle risorse (ad esempio, esaminare lo stato delle risorse acquisite da Content Hub)
dam-users appartenenza al gruppo.
Si applica anche alle risorse acquisite tramite Content Hub. L’autorizzazione di modifica sottostante è ancora il modello di gruppo DAM standard di AEM.
Usa azione Condividi collegamento
jcr:modifyAccessControl nella cartella e il gruppo non deve essere escluso da Consenti solo per i gruppi
Configurato in Strumenti > Assets > Configurazioni Assets > Condivisione collegamenti. È stato osservato che questo differisce tra gli ambienti (ad esempio, è presente nel server di sviluppo, ma manca nel server di produzione) anche con codice identico, pertanto devi controllare sia l’ACL che questa schermata di configurazione per ogni ambiente.
Ottenere la licenza e salvare una risorsa Adobe Stock
Appartenenza sia al gruppo di licenze Stock che al gruppo di authoring DAM di base (ad esempio, dam-users)
L’appartenenza al gruppo Stock non è sufficiente per il completamento del flusso di lavoro Licenza e salvataggio.
Visualizzazione della larghezza di banda e dello spazio di archiviazione in Dynamic Media Classic
Privilegi di amministratore di sistema.
Privilegi insufficienti emergono dall’errore Scene7 #2046 anziché da un messaggio standard di autorizzazione negata.
Accesso API tramite un token Bearer JSON Web Token (JWT) o un account tecnico
L’utente AEM sottostante dell’account tecnico deve essere aggiunto in modo esplicito al gruppo AEM richiesto, ad esempio un gruppo solo visualizzazione.
Il provisioning di un profilo di prodotto o di un servizio nella console dell’amministratore crea l’utente dell’account tecnico. Questo non gli concede automaticamente ogni gruppo AEM necessario per le risposte API complete, ad esempio gli elenchi di rappresentazioni complete. L’iscrizione al gruppo AEM dell’account necessita ancora di una configurazione separata.
Ereditarietà dei gruppi e valutazione delle autorizzazioni group-inheritance-and-permission-evaluation
- Per impostazione predefinita, le autorizzazioni applicate a una cartella principale si sovrappongono alle cartelle e alle risorse figlie.
- Le regole di negazione esplicita hanno la precedenza sulle regole consentite. È possibile essere membri di un gruppo che ha consentito l’accesso, ma se anche l’utente (direttamente o tramite un altro gruppo) è soggetto a una regola di negazione jcr:read (o di altro tipo) su tale percorso o su un percorso predecessore, la negazione avrà esito positivo, anche se entrambi i casi sembrano avere appartenenze di gruppo identiche nella console dell’amministratore.
- Quando due utenti con autorizzazioni apparentemente identiche si comportano in modo diverso, confronta le ACL effettive (Strumenti > Sicurezza > Autorizzazioni o il Browser dell’archivio), non solo i loro elenchi di appartenenza ai gruppi. Devi cercare specificamente le regole di negazione con ambito in uno dei gruppi.
Tipi di gruppo distinti distinguishing-group-types
AEM non separa visivamente i tipi di gruppo in Strumenti > Sicurezza > Gruppi, rendendo difficili i controlli delle autorizzazioni di grandi dimensioni. Utilizza queste regole per classificare un gruppo:
- I gruppi preconfigurati (OOTB) dispongono di ID di gruppo noti e fissi, ad esempio amministratori, utenti DAM e autori di contenuti.
- gruppi sincronizzati con IMS creati automaticamente dai gruppi utente della console dell’amministratore hanno una proprietà rep:externalId che termina con ;ims.
- I gruppi personalizzati creati direttamente in AEM non hanno proprietà rep:externalId.
Le indicazioni di Adobe consistono nel trattare i gruppi locali personalizzati e OOTB come elementi costitutivi principali delle autorizzazioni e nel trattare i gruppi sincronizzati con IMS puramente come punti di ingresso che mappano le assegnazioni della console dell’amministratore in AEM, non come luoghi per creare livelli di ACL ad hoc aggiuntivi.
Comportamento specifico di Content Hub e Brand Portal content-hub-brand-portal-specific-behavior
- L’accesso a Content Hub non è controllato da gruppi Content Hub dedicati. È controllata dai profili di prodotto della console dell’amministratore specifici dell’ambiente, in genere denominati Utenti limitati AEM Assets - Consegna - Programma - Ambiente .
- L’accesso a ContentHub è concesso solo tramite il profilo di prodotto Utente limitato. Il profilo Power User non concede l’accesso a ContentHub. L’assegnazione di Power User e Limited allo stesso account non comporta il doppio utilizzo delle licenze.
- I diritti di amministratore di Content Hub richiedono l’appartenenza a profili di prodotto specifici (Utenti con limitazioni di AEM Assets - Amministratori di consegna e AEM - Autore produzione). La visibilità della scheda Amministratore nell’interfaccia utente non è di per sé una prova dei diritti di amministratore.
- Se abilitate, le regole di controllo degli accessi basate su attributi (Attribute-Based Access Control - ABAC) sono configurate in modalità self-service tramite l’assistente di intelligenza artificiale o l’agente di governance all’interno di Content Hub; non è disponibile una schermata separata dedicata alle autorizzazioni ABAC. Se gruppi specifici non riescono a visualizzare alcuna risorsa in Content Hub nonostante le assegnazioni corrette dei gruppi o dei profili, prima di presumere un errore di configurazione del gruppo, verifica se i criteri ABAC sono abilitati e se gli attributi utente o i metadati della risorsa soddisfano tali criteri.
- Le modifiche apportate a utenti o gruppi nella console dell’amministratore non vengono riportate in Brand Portal in tempo reale. Un processo di sincronizzazione in background viene eseguito all’incirca ogni 8 ore, quindi attendi 5-10 ore prima di risolvere il problema se un report modifiche non viene visualizzato come bug.
- Una raccolta contrassegnata come pubblica in Brand Portal è ancora inaccessibile agli utenti guest se la cartella Digital Asset Management (DAM) sottostante non è pubblica e le risorse non sono pubblicate da AEM Assets. La visibilità a livello di raccolta non sostituisce la visibilità a livello di cartella.
- Un gruppo utenti chiuso (CUG) applicato a un percorso DAM può bloccare la visibilità lato editore per ambiente anche dopo una replica corretta. Una proprietà cq:lastReplicated mancante è un utile segnale diagnostico per indicare che la risorsa non è mai stata effettivamente pubblicata (diversamente da quanto è stato bloccato dal gruppo utenti chiusi dopo la pubblicazione).
Risoluzione dei problemi relativi a errori di autorizzazione negata troubleshooting-permission-denied-errors
- Conferma l’assegnazione del profilo di prodotto della console dell’amministratore per l’ambiente corretto (istanza Autore e Consegna o Content Hub configurate separatamente; il profilo Utenti limitati in particolare si trova in un’istanza Consegna separata, non nell’istanza Autore principale).
- Conferma l’iscrizione al gruppo locale di AEM corrispondente, non solo il profilo della console dell’amministratore, in quanto sono entrambi necessari.
- Verifica se stai effettuando l’accesso con l’account Adobe della tua organizzazione o società anziché con un Adobe ID personale; l’accesso assegnato all’account organizzazione non viene visualizzato se hai effettuato l’accesso personalmente. Inserimento in whitelist potrebbe essere necessario.
- Esamina l’ACL effettivo nel percorso specifico nel browser dell’archivio o nell’interfaccia utente Sicurezza o Autorizzazioni per le regole di negazione che ignorano la regola di autorizzazione di un gruppo altrimenti corretto.
- In caso di errori di ricerca o sfogliamento DAM con accesso /content/dam corretto, verificare in particolare l’accesso in lettura a /conf/global/settings/dam/adminui-extension/metadataschema. Questo è un bloccante comune, non ovvio.
- Per errori di modifica del profilo di cartella o dello schema metadati, confermare l’appartenenza al gruppo di amministratori locali (profili cartella) o la combinazione completa di lettura e scrittura ricorsiva /conf. Concessioni più ristrette che sembrano corrette sono spesso incomplete.
- L’assegnazione della console dell’amministratore da sola non concede mai funzionalità interne all’applicazione, verifica sempre che esista un gruppo AEM locale o un ACL corrispondente.
Risorse aggiuntive
+ Supporto IMS per Adobe Experience Manager as a Cloud Service
+ Gruppi di utenti forniti da AEM e relative autorizzazioni
recommendation-more-help
experience-manager-learn-help-cloud-service