ユーザー管理とセキュリティ user-administration-and-security

ここでは、ユーザー認証を設定および維持管理する方法について説明し、AEM における認証機能と承認機能の背景にある理論についても説明します。

AEM のユーザーとグループ users-and-groups-in-aem

この節では、維持管理しやすいユーザー管理の概念の設定に役立つ様々なエンティティと、関連する概念について詳しく説明します。

ユーザー users

ユーザーは、自分のアカウントを使用して AEM にログオンします。 各ユーザーアカウントは一意であり、アカウントの基本的な詳細と、割り当てられた権限を保持します。

多くの場合、ユーザーはグループのメンバーであり、グループ化することでこれらの権限の割り当てが簡略化されます。

グループ groups

グループは、ユーザー、その他のグループ、またはその両方のコレクションです。 このようなコレクションはすべて、グループのメンバーと呼ばれます。

グループの主な目的は、更新するエンティティの数を減らしてメンテナンスプロセスを簡略化することです。グループに対する変更がそのグループのすべてのメンバーに適用されるからです。 多くの場合、グループには次の項目が反映されています。

そのため、グループは安定した状態を維持する傾向がありますが、ユーザーはより頻繁にサイトにアクセスおよび移動します。

クリーンな設計の下で計画を立てることで、グループを利用して構造を反映し、明確な概要と効率的な更新方法を得ることができます。

ビルトインのユーザーとグループ built-in-users-and-groups

AEM WCM では複数のユーザーとグループがインストールされます。 これらが表示されるのは、インストール後に初めてセキュリティコンソールにアクセスしたときです。

各ユーザーおよびグループと、それぞれの次の情報を以下の表に示します。

デフォルトのパスワードはすべて変更してください（特定の状況下でアカウント自体を削除しない場合）。

AEM の権限 permissions-in-aem

AEM では、ACL を使用して、ユーザーまたはグループが実行できるアクションとそのアクションを実行できる場所を決定します。

権限と ACL permissions-and-acls

権限では、リソースに対してどのユーザーがどのようなアクションを実行できるかを定義します。 権限は、アクセス制御の評価の結果です。

個々のAEM ​ アクション ​のチェックボックスをオンまたはオフにすることで、特定のユーザーに対して付与/拒否された権限を変更できます。 チェックマークは、アクションが許可されていることを示します。 アクションが拒否されたことを示すチェックマークはありません。

また、グリッド内のチェックマークは、AEM 内のどの場所（パス）でどのような権限がユーザーに付与されているかを示します。

アクション actions

アクションは、ページ（リソース）で実行できます。 階層内の各ページで、ユーザーがそのページに対して実行できるアクションを指定できます。 権限を使用してアクションを許可または拒否できます。

アクセス制御リストとその評価方法 access-control-lists-and-how-they-are-evaluated

AEM WCM は、アクセス制御リスト（ACL）を使用して、様々なページに適用される権限を整理します。

アクセス制御リストは、個々の権限で構成され、これらの権限の適用順を決定するために使用されます。 リストは、検討中のページの階層に従って作成されます。 次に、ページに適用する最初の適切な権限が見つかるまで、このリストが下から順にスキャンされます。

権限の状態 permission-states

この権限は子ページにも適用されます。

権限が親ノードから継承されていないが、少なくとも1つのローカルエントリがある場合、次の記号がチェックボックスに追加されます。 ローカルエントリは、CRX 2.2 インターフェイスで作成されるものです（現在、ワイルドカード ACLはCRXでのみ作成できます）。

特定のパスにおけるアクションには次の記号が表示されます。

アスタリスクまたは感嘆符の上にポインタを合わせると、宣言されたエントリの詳細を示すツールチップが表示されます。 ツールチップは 2 つの部分に分割されています。

アクセス制御リストの管理に関するレコメンデーションを次に示します。

いずれの権限を変更する場合でも、事前にその権限の仕組みと相互関係を理解しておく必要があります。 AEM WCM におけるアクセス権限の評価方法とアクセス制御リストの設定例については、CRX のドキュメントを参照してください。

権限 permissions

権限を付与されたユーザーやグループは、AEM ページの AEM 機能にアクセスできます。

パス別の権限を参照するには、ノードを展開したり折りたたんだりします。権限の継承はルートノードまで追跡できます。

権限を許可または拒否するには、対応するチェックボックスをオンまたはオフにします。

権限の詳細情報の表示 viewing-detailed-permission-information

AEM には、グリッドビューだけでなく、特定のパスで選択されたユーザー／グループの権限の詳細ビューが用意されています。 詳細ビューには、追加情報が表示されます。

情報の表示だけでなく、ユーザー／グループをグループに追加したり、グループから除外したりすることもできます。 詳しくは、権限を追加する際のユーザーまたはグループの追加を参照してください。 ここで行った変更は、詳細表示の上部にすぐに反映されます。

詳細表示にアクセスするには、「権限」タブで、選択したグループ／ユーザーおよびパスの「詳細」をクリックします。

詳細は 2 つの部分に分かれています。

他のユーザーへのなりすまし impersonating-another-user

別のユーザーとして実行する機能では、ユーザーは別のユーザーに成り代わって作業を行うことができます。

つまり、ユーザーアカウントは、自分のアカウントで操作できる他のアカウントを指定できます。 例えば、ユーザー B がユーザー A としての実行を許可されている場合、ユーザー B はユーザー A のアカウントの詳細をすべて使用してアクションを実行できます。

この機能を使用すると、偽装アカウントは、別のユーザーのアカウントを使用しているかのようにタスクを完了できます。 例えば、ユーザーの不在時や過剰な量の作業を短期間だけ分担する場合などに便利です。

ベストプラクティス best-practices

次に権限と特権を使用する場合のベストプラクティスを説明しています。

ユーザーとグループの管理 managing-users-and-groups

ユーザーには、システムを使用する人々と、そのシステムに対する要求を行う外部システムを使用する人々が含まれます。

グループはユーザーの集合です。

どちらも、セキュリティコンソール内のユーザー管理機能を使用して設定できます。

セキュリティコンソールを使用したユーザー管理へのアクセス accessing-user-administration-with-the-security-console

すべてのユーザー、グループおよび関連付けられている権限にアクセスするには、セキュリティコンソールを使用します。 ここで説明する手順はすべて、このウィンドウで実行されます。

AEM WCM セキュリティにアクセスするには、次のいずれかの操作を行います。

次のウィンドウが表示されます。

左側のツリーには、現在システムに存在するすべてのユーザーとグループが一覧表示されます。 表示する列を選択したり、列の内容を並べ替えたりできます。また、列ヘッダーを新しい位置にドラッグして列の表示順序を変更することもできます。

タブを使用すると、様々な設定にアクセスできます。

ユーザーとグループのフィルタリング filtering-users-and-groups

フィルター式を入力してリストをフィルタリングできます。これにより、式に一致しないすべてのユーザーとグループが非表示になります。 また、ユーザー非表示とグループ非表示の各ボタンを使用してユーザーとグループを非表示にすることもできます。

ユーザーまたはグループをフィルターするには、次の手順に従います。

ユーザーとグループの非表示 hiding-users-and-groups

ユーザーやグループを非表示にする方法も、システム内のすべてのユーザーやグループのリストをフィルタリングする方法の 1 つです。 切り替えメカニズムは 2 つあります。 「ユーザーを非表示」をクリックすると、すべてのユーザーが表示から非表示になり、「グループを非表示」をクリックすると、すべてのグループが表示から非表示になります（ユーザーとグループの両方を同時に非表示にすることはできません）。 フィルター式を使用してリストをフィルターする方法について詳しくは、ユーザーとグループのフィルタリングを参照してください。

ユーザーおよびグループを非表示にするには、次の手順に従います。

ユーザーとグループの作成 creating-users-and-groups

ユーザーまたはグループを作成するには、次の手順に従ってください。

ユーザーとグループの削除 deleting-users-and-groups

ユーザーまたはグループを削除するには、次の手順に従ってください。

ユーザーおよびグループのプロパティの変更 modifying-user-and-group-properties

ユーザーおよびグループのプロパティを変更するには、次の手順に従います。

ユーザーパスワードの変更 changing-a-user-password

以下の手順を使用して、ユーザーのパスワードを変更します。

グループへのユーザーまたはグループの追加 adding-users-or-groups-to-a-group

AEM では、次の 3 つの方法で既存のグループにユーザーまたはグループを追加できます。

グループ - グループへのユーザーまたはグループの追加 groups-adding-users-or-groups-to-a-group

「グループ」タブには、現在のアカウントが属するグループが表示されます。 これを使用して、選択したアカウントをグループに追加できます。

メンバー - グループへのユーザーまたはグループを追加 members-adding-users-or-groups-to-a-group

「メンバー」タブはグループに対してのみ機能し、現在のグループに属するユーザーおよびグループが表示されます。 これを使用して、アカウントをグループに追加できます。

権限を追加する際のユーザーまたはグループの追加 adding-users-or-groups-while-adding-permissions

特定のパスのグループにメンバーを追加するには：

グループからのユーザーまたはグループの削除 removing-users-or-groups-from-groups

AEM では、次の 3 つの方法でユーザーまたはグループをグループから削除します。

グループ - グループからのユーザーまたはグループの削除 groups-removing-users-or-groups-from-groups

グループからユーザーまたはグループアカウントを削除するには：

メンバー - グループからのユーザーまたはグループの削除 members-removing-users-or-groups-from-groups

グループからアカウントを削除するには：

権限を追加する際のユーザーまたはグループの削除 removing-users-or-groups-while-adding-permissions

特定のパスにあるグループからメンバーを削除するには：

ユーザー同期 user-synchronization

デプロイメントがパブリッシュファームであるとき、ユーザーとグループをすべてのパブリッシュノード間で同期する必要があります。

ユーザー同期と有効化の方法について詳しくは、ユーザーの同期を参照してください。

権限の管理 managing-permissions

ここでは、権限（レプリケーション権限を含む）を設定する方法について説明します。

権限の設定 setting-permissions

権限を使用すると、ユーザーは特定のパスのリソースに対して特定のアクションを実行できます。 また、ページを作成または削除する機能も含まれます。

権限を追加、変更または削除するには：

レプリケーション権限の設定 setting-replication-privileges

レプリケーション権限は、コンテンツを公開する権利で、グループとユーザーに対して設定できます。

レプリケーション権限を設定するには、次の手順に従います。

ノードの検索 searching-for-nodes

権限を追加または削除する際に、ノードを参照または検索できます。

パス検索には、次の 2 つの異なるタイプがあります。

検索ボックスでは以下の操作を行うことができます。

パスまたはフルテキストに対して検索を実行するには：

別のユーザーとして実行 impersonating-users

現在のユーザーとしての実行を許可する 1 人以上のユーザーを指定できます。 つまり、指定されたユーザーは現在のユーザーのアカウント設定に切り替えて、そのユーザーの代理として操作を行うことができます。

元のユーザーが実行できないアクションが許可される可能性があるので、この機能を使用する際は注意が必要です。 別のユーザーとして実行する場合は、元のユーザーとしてログインしていないと通知されます。

以下に示す様々なシナリオでこの機能を使用できます。

既存のユーザーとして実行するには：

ユーザーとグループの環境設定の指定 setting-user-and-group-preferences

ユーザーとグループの環境設定（言語、ウィンドウ管理、ツールバーの環境設定を含む）を指定するには：

ユーザーまたは管理者に他のユーザーの管理権限を付与するための設定 setting-users-or-administrators-to-have-the-privilege-to-manage-other-users

ユーザーまたは管理者が他のユーザーを削除／アクティベート／アクティベート解除する権限を付与するための設定を行うには：

プロジェクトレベルでの権限の拡張 extending-privileges-on-a-project-level

アプリケーション専用の権限を実装する場合に、カスタム権限を実装するために確認しておく必要のある情報および CQ 全体でその権限を適用する方法を以下に示します。

階層の変更権限は JCR 権限の組み合わせによってカバーされます。 レプリケーション権限は​ crx:replicate ​という名前で、jcr リポジトリ上の他の権限と一緒に保存または評価されます。 ただし、この権限は JCR レベルでは適用されません。

カスタム権限の定義と登録は、公式には Jackrabbit API（バージョン 2.4 以降）の一部です（JCR-2887 も参照）。 その他の使用方法は、JSR 283（Section 16）で定義されているとおり、JCR アクセス制御管理によってカバーされます。 また、Jackrabbit API では複数の拡張機能を定義します。

権限の登録メカニズムは、リポジトリ設定​の下の UI に反映されます。

新しい（カスタム）権限の登録は、リポジトリレベルで付与する必要がある組み込み権限によって保護されます。 JCRで、「null」をac mgt apiの「absPath」パラメーターとして渡します。詳しくは、jsr 333を参照してください。 デフォルトでは、admin と administrators のすべてのメンバーにこの権限が付与されています。