[AEM Assets]{class="badge positive" title="AEM Assetsに適用）。"}
属性ベースのアクセス制御 attribute-based-access-control
属性ベースのアクセス制御（ABAC）を使用すると、Content Hub管理者は、Content Hubで使用可能なアセットへのアクセスのレベルを制御する メタデータベースのルール を定義できます。 ABACでは、アセットの保存場所に依存するのではなく、各アセットに添付された属性に従ってアクセスを管理します。
組織の管理者は、ユーザーグループのルールを定義します。このルールは、グループ IDにマッピングされます。 ルールは論理演算子と比較演算子を組み合わせたもので、管理者はContent Hub内でのアセットアクセスを管理するために必要な数のルールを定義できます。
ルールは メタデータ に基づいています。 ルールで定義された条件がアセットのメタデータと一致すると、Content Hubはアセットをユーザーグループに表示します。 その結果、アセットが保存される場所ではなく、メタデータ自体によってアクセスが動的に決定されます。 Content Hubは、すべてのAssetsおよび コレクション 内で利用可能なすべてのアセットについて、カスタムメタデータを含むアセットのメタデータをスキャンし、結果をユーザーグループに表示します。
例えば、アセットメタデータが「Brand = Brand X」および「Region = EMEA OR Americas」と一致する場合、Group ID = 1011のユーザーグループへのアクセスを許可します。 次に、Content Hubは、「Brand = Brand X」および「Region = EMEAまたはAmericas」のアセットのみがID = 1011のユーザーグループに表示されます。
CONTENT HUBのABAC ルールは、次の方法で設定できます。
- AEM Governance Agentを活用したContent Hub🔗のAI アシスタントを使用して、設定をセルフサービスで実行
- スプレッドシートベースの設定 ～ Adobe サポート
Content HubのAI アシスタントなら、管理者はメタデータと自然言語を使用してABAC ルールを定義および管理できます。 これにより、ルール設定の高速化と、手作業によるサポートワークフローへの依存の軽減が可能になり、管理者はサポートチケットを通じてすべての変更をルーティングするのではなく、アクセスポリシーを直接調整できます。
属性ベースのアクセス制御の主なメリットには、次のようなものがあります。
- 権限のフォルダー構造への依存を排除、アクセス制御をストレージの場所から分離
- 管理者がアセットをアップロードし、権限の構造を過去にさかのぼって決定できるようにします。これにより、アセットが既にシステム内に存在した後で権限を適用できます
- 単一のアセットは、グループごとにコピーするのではなくルールによって管理できるため、重複アセットの数を減らし、アセットの整合性を向上させます。 同じアセットを異なるグループで共有する必要がある場合、フォルダーベースの権限では重複が必要です。
- 特定のメタデータ属性による詳細なルールベースのアクセスを有効にします
- ブランドと地域をまたいだスケーラブルなガバナンスをサポートしているので、組織に合わせてアクセスポリシーを拡張できます
- メタデータに関するアクセス決定を一元化することで、アセット管理を改善します
属性ベースのアクセス制御の有効化 enable-attribute-based-access-control
Content Hubの 属性ベースのアクセス制御（ABAC） は、定義されたルールに対して、ユーザー、リソース、コンテキストプロパティなどの属性を評価することでアクセスを管理し、シンプルなロール割り当てを超えた詳細な権限を可能にします。 管理者は、次の2つのアプローチのいずれかを使用して、Content HubでABAC ルールを有効にして設定します。
-
Content HubのAI アシスタントを使用したセルフサービスの設定（AEM Governance Agentを活用）
管理者は、Content Hub内で自然言語を使用して、ABAC ルールを直接定義および管理できます。 これにより、外部チケットを使用せずに、迅速なセルフサービスのルール作成が可能になり、Content Hub内で直接アクセスポリシーを繰り返し適用したいチームにとって、最も迅速なアプローチになります。 -
Adobe サポートによるスプレッドシートベースの設定
管理者は、スプレッドシートでABAC ルールを定義し、Adobe サポートを通じて送信して設定を行います。 このアプローチは、Adobe サポートが適用する前に、構造化されたオフラインの準備とレビューを行うことでメリットを得られる、大規模または一括のルールセットに適しています。
Content HubのAI アシスタントを使用してABAC （属性ベースのアクセス制御）を設定する
AEM Governance Agentを活用したContent Hubの AI Assistant を使用すると、自然言語を使用してABAC （属性ベースのアクセス制御） ルールをContent Hubで直接作成および管理できます。
ABAC （属性ベースのアクセス制御）は、固定された定義済み権限リストではなく、ユーザーの役割、アセットのメタデータ、コンテキスト条件などの属性に基づいてコンテンツへのアクセスを管理します。 この属性駆動モデルにより、アクセスポリシーがより詳細になり、変化する組織ニーズに対応することができます。
作業できる内容 what-you-can-do-ai-assistant
AI アシスタントを使用することで、管理者は会話型プロンプトを通じて、ABAC ルールのライフサイクル全体を直接管理できます。
- 既存のルールを検索 – 現在のアクセス ポリシーをすばやく見つけて確認します。
- ルールを作成 – 平易な言語の指示を使用して、新しいアクセス制御を定義します。
- ルールを更新 – 複雑な設定インターフェイスを操作せずに既存のポリシーを変更します。
- ルールを削除 – 古いアクセス制御または不要なアクセス制御を削除します。
これが重要な理由 why-this-matters-ai-assistant
AI アシスタントにより、管理者はサポートワークフローに頼ることなく、アクセスルールを独自に作成および管理できます。 ルールは自然言語で表現されるため、管理者は専門的な構文を習得したり、サポートチームを通じてリクエストをルーティングしたりする必要がありません。 これにより、アクセス変更のターンアラウンドタイムが短縮され、外部サポートへの依存が最小限に抑えられ、ガバナンス部門はContent Hub内のコンテンツへのアクセスと保護を直接セルフサービスで制御できるようになります。
始める前に before-you-begin-ai-assistant
Content HubのAI アシスタントを使用して、属性ベースのアクセス制御（ABAC）ルール設定を行う前に、次の前提条件を確認してください。 AI アシスタントが環境内で利用でき、機能することを確認するには、次の各要件を満たす必要があります。
- Adobe Experience Manager（AEM）as a Cloud Service用にライセンス済み — AI アシスタント機能にアクセスするには、有効なAEM as a Cloud Service ライセンスが必要です。
- AEM Governance Agent を活用した AI アシスタントが有効になっており、お客様の組織で利用できます。このエージェントは、アシスト ABAC ルール設定ワークフローを支えます。
- アクセスがまだ利用できない場合は、Adobe担当者にお問い合わせいただき、必要なライセンス手順を完了してください。AI アシスタントが使用できるようになる前に、組織レベルで使用権限がプロビジョニングされます。
- 体験版プログラムに生成AI （GenAI）ライダーは必要ありません。追加のライセンスコンポーネントを使用せずにAI アシスタントを評価できます。
AI アシスタントを使用して属性ベースのアクセス制御（ABAC）ルールを設定する手順 steps-ai-assistant
属性ベースのアクセス制御（ABAC）は、静的で手動で管理される権限リストではなく、ユーザーグループや製品 メタデータ などの属性に基づいてアセットにアクセスできるユーザーを管理します。 Content Hubでは、AI アシスタントを利用して、これらのルールを 自然言語 の平易な指示を使用して作成し、何かが適用される前にレビュー用の構造化プレビューを生成できます。
-
Content HubのAI アシスタントを開きます。
-
簡単な指示から始めます。
まず、AI アシスタントに達成したい目標を伝える、広範なプロンプトを作成します。 次に例を示します。
Create a new rule in Content Hub次に、AI アシスタントが、ルールの作成に必要な情報を提供し、欠けている詳細の確認を求めます。
-
ルールを 自然言語 で定義します。
アクセス条件を平易な言語で説明し、アクセスを決定するユーザーグループ、アセット、属性を指定します。 次に例を示します。
Frescopa Web Marketers user group should have access to assets where product equals Frescopa -
ABAC ルールを適用する必要がある環境を選択します。
適切な環境を選択することで、ルールが目的のターゲットにのみスコープ付けされ、他の環境に影響を与えないことが保証されます。
-
ルールを適用する前に、ルールを確認します。
AI アシスタントが、ルールの構造化プレビューを生成します。 自動的に適用されるものはありません。 生成されたルールを確認したり、必要に応じて調整したり、アクションをキャンセルしてから適用したりできます。 このプレビュー手順により、完全に制御でき、意図しないアクセス変更を防ぐことができます。
-
ルールを保存して適用します。
保存されると、ルールは動的に適用され、アクセスが要求されるたびにリアルタイムでアセット メタデータが評価されます。 適用はメタデータに基づいているため、ルールは一致するアセットが追加または更新されるときに、権限の手動による再割り当てなしに自動的に適用されます。
この必須のレビュー手順は、ルールが適用される前に正確性を確保し、アクセスを誤って許可または拒否するリスクを低減します。
プロンプトを使用したABAC ルールの管理 manage-abac-rules-using-prompts
AI アシスタントを使用し始めると、設定メニューを移動する代わりに、平易な言語プロンプトを使用して、属性ベースのアクセス制御（ABAC） ルールを会話形式で管理できます。 ABACは、ユーザーグループ、地域、その他のメタデータプロパティなどの属性に基づいてアセットにアクセスできるユーザーを管理します。AI アシスタントを使用すると、自然な会話を通じてこれらのルールを検索、作成、更新、削除できます。 この会話型アプローチにより、アクセス管理が合理化され、ルール構文を覚える必要性が減少し、チームやコンテンツの進化に合わせて権限を正確に保つことが容易になります。
ルールの検索
これらのプロンプトを使用して、変更を加える前に既に設定されているアクセスルールを確認します。
- 既存のすべてのContent Hub ABAC ルールを表示
ルールの作成
これらのプロンプトを使用して、アセットへのグループのアクセス権を広く付与するか、地域などの特定のメタデータ値を対象に設定します。
- すべてのアセットに対するプロダクトマーケティンググループのアクセス権を与えるルールを作成する
- 地域がEMEAに等しい場合、セールスグループにアセットへのアクセス権を付与する
ルールの更新
これらのプロンプトを使用して、既存のルールを拡張または変更します。例えば、グループが到達できる領域を広げます。
- APACを含めるようにEMEA マーケティンググループのルールを更新
ルールを削除
不要になったアクセス ルールを削除するには、次のプロンプトを使用します。
- 製品マーケティンググループのルールの削除
メタデータとグループの探索
これらのプロンプトを使用して、新しいルールを定義する前に使用可能なグループとメタデータプロパティを確認し、条件で有効な属性を参照できるようにします。
- 使用可能なグループとメタデータプロパティを表示してルールを設定する
スプレッドシートを使用したABACの設定
組織でAI アシスタントが有効になっていない場合は、スプレッドシート ベースのワークフローを使用して属性ベースのアクセス制御（ABAC）ルールを設定できます。 ABACでは、ユーザー、リソース、環境の属性を評価することで、Adobe Experience Manager Assetsへのアクセスを管理します。スプレッドシート方式は、AI アシスタントの代替手段として、これらのルールを定義します。
ABAC ルールを定義して送信するには、次の手順に従います。
- 「スプレッドシートをダウンロード」をクリックしてテンプレートをダウンロードし、スプレッドシートでルールを定義します。
- この記事で説明するガイドラインを使用して、スプレッドシートのルールを定義します。
- Adobe サポートチケットを作成し、スプレッドシートで定義されたルールをAdobeに提供します。
[スプレッドシートをダウンロード]{class="badge informative"}
この記事で説明されているガイドラインを使用して、スプレッドシートでルールを定義します。
スプレッドシートを使用したABAC ルールの設定手順 steps-spreadsheet
次の手順を順番に実行して、スプレッドシート ワークフローで属性ベースのアクセス制御（ABAC） ルールを設定します。
- ABAC スプレッドシート テンプレートをダウンロードします。 このテンプレートは、Adobeがアクセスルールの解釈と適用に使用する標準化された構造を提供します。
- メタデータベースの条件 – 個々のアセットではなく、タグ、プロパティ、分類などのコンテンツ属性に基づいてアクセスを許可または制限する条件を使用して、スプレッドシートでアクセスルールを定義します。 この属性駆動型アプローチにより、これらの属性に一致する新しいコンテンツが追加されると、ルールを自動的に拡張できます。
- 各ルールを適切な IMS （Identity Management System） グループ ID にマッピングします。 正確なマッピングにより、各ルールが意図したユーザーグループに適用され、間違ったオーディエンスにアクセスが許可されたり拒否されたりするのを防ぐことができます。
- コメントフィールドで各ルールのビジネスインテントをキャプチャします。 これにより、Adobeがあらゆる条件の背後にある目的を明確に理解し、アクセスを正確に設定して、誤解を招くリスクを低減できます。
- Adobe サポートチケットを送信し、完成したスプレッドシートをAdobeと共有します。 完成したテンプレートを添付することで、Adobeチームはルールのレビューと実装に必要なあらゆる情報を入手できます。
- Adobeは、送信されたスプレッドシートに基づいて組織のルールを設定し、定義されたABAC条件を環境に適用します。
属性ベースのアクセス制御の使用例 example-metadata-based-rules
大規模なマーケティング展開をサポートするには、複数の地域とブランドのチームメンバーが共有されたデジタルアセットにアクセスする必要があり、各ペルソナには地域とブランドによって定義された特定の範囲が付与されます。 属性ベースのアクセス制御（ABAC）は、手動で管理される権限リストに頼るのではなく、各アセットに添付されたregion属性やbrand属性など、アセットメタデータを評価することで、これらのアクセスルールを自動的に適用します。 アクセスは、ユーザーに割り当てられた属性と各アセットのメタデータを照合することで決定されるため、アセットライブラリの拡大に伴い、権限は一貫性を維持し、最新の状態に保たれます。 次の表に、この使用例のペルソナと適用されるルールを示します。
これらのルールを使用すると、Content Hub管理者は次のメリットを得られます。
- きめ細かいルールベースのアクセス：ユーザーには、地域とブランドに関連するアセットのみが表示されます。 ABAC ルールではメタデータが自動的に評価されるため、この範囲を設定する際に手動による権限の割り当てが必要ないため、管理のオーバーヘッドが削減され、設定ミスによるアクセスのリスクが低減されます。
- シームレスなグローバルコラボレーション：地域チームとブランドチームは、アクセスの競合なしで並行して作業できます。各チームの可視性は、独自のメタデータ駆動型ルールによって正確に制限されます。
- スケーラブルで将来性のある権限：新しい地域またはブランドが追加されると、管理者は、ユーザーごとに権限を再割り当てするのではなく、基になるメタデータに対してルールを直接更新します。 これにより、アクセスモデルの拡張が容易になり、権限の構造が組織の成長に沿って維持され、手戻りを必要としません。
ABACが有用な追加のシナリオ additional-scenarios-abac
属性ベースのアクセス制御（ABAC）では、ブランド、市場、チーム機能、地域などのユーザー属性にもとづいてアクセスを許可または制限する、次のシナリオにも対応しています。
- グローバルなブランドと地域へのアクセス：チームには、ブランドと市場に関連するアセットのみが表示されます。 これにより、ブランドの一貫性を維持し、意図しないクロスブランドまたはクロスマーケットのアセット露出のリスクを軽減することができます。
- 代理店とパートナーのコラボレーション：外部の代理店とパートナーは、関連するキャンペーンアセットのみにアクセスできます。 これにより、無関係な社内アセットへのサードパーティの露出を制限し、集中的なコラボレーションを可能にします。
- 様々なチームに対する役割ベースのアクセス: マーケティング、営業、法務などのチームは、各部門が自身の役割に関連するアセットにアクセスできるため、各チームが自身の責任に関連するコンテンツのみを使用して作業できるようになります。
- 地域固有の法的コンプライアンス：特定の規制または地域の要件に対して承認されたアセットにユーザーを制限できるため、コンプライアンスの境界を適用し、特定の法域での未承認コンテンツの使用を防ぐことができます。
サポートされているルール構成 supported-rule-constructs
ルールは、複数の条件を組み合わせる 論理演算子 と、個々のユーザーまたはアセット属性を値に対してテストする 比較演算子 の2つのカテゴリの構成から構築されます。 これらの構成を組み合わせることで、アクセスが許可または拒否されるタイミングを正確に定義できます。
-
論理演算子 （条件を1つの評価に組み合わせる）:
- AND：ルールが一致するには、すべての条件をtrueに評価する必要があります。 すべての句は保持する必要があり、ANDはルールの範囲を絞り込み、より厳格なアクセス要件を適用します。
- OR：ルールが一致するには、少なくとも1つの条件をtrueに評価する必要があります。 1つの満たされた句で十分であるため、ORはルールの範囲を広げ、複数の適格なケースをカバーします。
-
比較演算子 （1つの属性を値に対してテストします）:
- 次と等しい（=）: ユーザーまたはアセット属性 が指定された値と が一致するかどうかを確認します。 これにより、属性がターゲット値に正確に対応する場合にのみ、アクセス決定が適用されます。
- 次と等しくない（!=）: ユーザーまたはアセット属性 が指定された値 と一致しないかどうかを確認します。 これにより、属性がターゲット値と異なるエンティティをルールから除外できます。
配列値のメタデータの動作: アセットメタデータフィールドに複数の地域や複数のタグなどの配列が含まれている場合、比較演算子はset-membership セマンティクスに移行します。 この場合、Equalsはcontains logicに解決します。指定された値が配列内のどこかに存在する場合に一致し、Not Equalsはnot Equalsに解決します。これは logicに解決され、指定された値が配列から完全に存在しない場合にのみ一致します。 この完全な定義は、アクセス決定時に複数の値を持つ属性がどのように評価されるかを決定するため、重要です。
これらの演算子はきれいに組み合わされているため、シンプルでありながら表現力豊かなルールを作成でき、ほとんど平易な言語のように読めます。 例えば、ルール ALLOW if region = emea （Europe, Middle East, and Africa） AND assetType != prototype AND tags != confidentialは、EMEA地域にあるアセットのみにアクセス権を付与し、プロトタイプとしてマークされたアセットを除外し、タグ配列にconfidentialの値が含まれるアセットを除外します。 その結果、単一の読み取り可能なステートメントは、正確な多条件アクセスポリシーを表します。
ガイドライン guidelines-attribute-based-access-control
次のガイドラインは、属性ベースのアクセス制御（ABAC） ルールのAI アシスタントベースの設定とスプレッドシートベースの設定の両方に適用されます。
- ABAC ルールは、Content Hub用に承認されたアセットにのみ適用されます。 詳しくは、コンテンツハブ向けアセットの承認を参照してください。
- 拒否ルールを定義しません。 常に拒否ルールを許可ルールに変換します。 CONTENT HUBのABAC評価は許可ベースのロジックを中心に構築されているため、すべての条件をALLOW ルールとして表現すると、除外から推測するのではなく、明示的かつ予測的にアクセスが許可されます。 例えば、
ALLOW if region = user-region DENY if assetType = prototype AND confidential = yesは、ALLOW if region = user-region AND (assetType != prototype OR confidential != yes)に変換できます。 - ABAC ルールは、Admin Consoleで利用可能なIdentity Management System （IMS） Group IDを使用して、ユーザーグループに適用されます。 IMS グループ IDを使用すると、ルールが正しいグループ IDに一貫してバインドされます。
- AEM as a Cloud Service オーサー環境を使用して、アセットのApproval Targetを設定できます。 ABAC ルールは、Approval Target = Content Hubで承認されたアセットに適用されます。 対照的に、Approval Target = Deliveryは、DeliveryとContent Hubの両方で利用できるアセット用です。 Approval Target = Deliveryとしてマークされたアセットは、Content Hubのすべてのユーザーに表示されるため、ABAC制限によって表示が制限されることはありません。
- ABAC ルールで使用するメタデータスキーマが正しく定義され、AEM で使用できることを確認します。 ABAC ルールで参照されるプロパティを定義する、AEMのメタデータスキーマまたはスキーマのフルパスを指定します。 オプションで、ABAC条件に一致するサンプルアセットを含むテストフォルダーを作成して、ルールの動作を検証し、アクセスを正確に評価します。
- 文書化されたインテントは、必要に応じてロジックを検証および修正するのに役立つため、条件が正しく記述されている場合でも、ルールのビジネスインテントをコメントでキャプチャします。
- brand、region、productなどのアクセスルールに使用されるメタデータ値が、アセット全体で一貫して維持されていることを確認します。 一貫したメタデータ値により、ルールが、ルールによって管理される必要があるアセットに一致しないことが防がれます。
- ブランドベースや リージョンベース のアクセスなど、重要なユースケースから始めます。これらは、最も一般的でわかりやすいアクセス制御シナリオを表しています。
- AI アシスタントでルールを定義するときは、明確なプロンプトを使用します。 Ai アシスタントが正確に構造化ルールに変換できるように、ビジネス言語で意図を説明します。
- Digital Rights Management （DRM）に設定されているPortable Document Format （PDF） ファイルのライセンスは、すべてのユーザーに表示されたままにする必要があります。これにより、ユーザーはライセンスを含むアセットをダウンロードする際にライセンス情報を確認できます。
よくある質問 faqs-attribute-based-access-control-content-hub
属性ベースのアクセス制御（ABAC）とは何ですか？
属性ベースのアクセス制御（ABAC）は、属性を評価してリソースへのアクセスを許可または拒否する認証モデルです。固定役割だけを評価する必要はありません。 ABACでは、ユーザー、リソース、アクション、および周囲の環境の属性を、定義された ポリシー のセットと比較することで、リクエスト時にアクセス決定を動的に決定します。 これらの決定は静的な権限ではなく属性値から計算されるため、ABACでは、大規模で複雑なシステムをまたいで拡張する、きめ細かくコンテキストに応じたアクセス制御がサポートされます。
ABACではどの属性を評価しますか？
ABAC ポリシーでは通常、次の4つのカテゴリの属性を使用します。
- 件名の属性 – アクセスを要求するユーザーまたはエンティティの特性（部門、役職、クリアランスレベル、グループメンバーシップなど）。
- リソース（オブジェクト）属性 – 分類、所有者、コンテンツタイプ、機密ラベルなど、アクセスされるコンテンツまたはアセットのプロパティ。
- アクション属性 – 読み取り、編集、公開、削除などの操作が要求されています。
- 環境属性 – 時間帯、場所、デバイスタイプ、ネットワークなど、リクエスト時のコンテキスト条件。
これらの属性を組み合わせることで、ABACは各リクエストをポリシールールと比較して評価し、許可または拒否の決定を返します。 このメカニズムにより、アクセスは、事前定義された単一の役割ではなく、リクエストの特定の状況を反映するようになります。
ABACとRBAC （Role-Based Access Control）の違い？
ユーザーが割り当てた役割に基づいて権限を付与する 役割ベースのアクセス制御（RBAC） とは異なり、ABACでは、複数の属性に基づいて権限が付与されます。 RBACでは、比較的静的な役割の定義を通じてアクセスを割り当てますが、役割の数が増えるにつれて管理が困難になる可能性があります。 一方、ABACでは、アクセスルールを属性を参照するポリシーとして表現します。これにより、1つのポリシーで多くのシナリオをカバーでき、組み合わせごとに新しい役割を作成する必要はありません。 その結果、ABACは一般的に、より優れた柔軟性とより細かい粒度を提供し、RBACは多くの場合、簡単な権限構造を設定する方が簡単です。 多くの組織では、両方のモデルを組み合わせ、より広範な属性ベースのポリシー内でひとつの属性として役割を使用します。
コンテンツハブでABACを利用する理由？
コンテンツハブでは、ABACを使用して、特定のコンテンツアイテムを属性にもとづいて表示、編集、公開できるユーザーを制御します。 このアプローチにより、管理者はアクセスルールを1回定義するだけで、大規模なコンテンツライブラリ全体に一貫性のある方法で適用できます。アクセスは、各項目に対して手動で権限を割り当てるのではなく、コンテンツ分類やユーザー部門などの属性から評価されるからです。 具体的なメリットには、次のようなものがあります。
- きめ細かい制御 — アクセスは、個々のコンテンツ項目と条件に合わせてカスタマイズできます。
- スケーラビリティ – 新しいコンテンツとユーザーが追加されると、ポリシーが自動的に適用され、手作業による管理が減少します。
- Context-awareness — アクセスは、場所、時間、デバイスなどの環境要因に対応できます。
- 一貫性 – 一元化されたポリシーにより、コンテンツハブ全体で統一されたアクセスルールが適用されます。
ABAC ポリシーはどのように定義されますか？
ABAC ポリシーは、アクションを許可するために満たす必要がある属性条件を指定するルールとして定義されます。 各ポリシーは、件名、リソース、アクションおよび 環境条件 を、アクセス制御エンジンがリクエスト時に評価する論理ステートメントにリンクします。 ポリシーは名前付き個人ではなく属性を参照するため、ユーザーやコンテンツの変更に伴って引き続き有効になり、継続的なメンテナンスを削減し、最小権限の原則を適用するのに役立ちます。
ABACはロールベースのアプローチよりも安全ですか？
ABACは、役割のみのモデルよりも正確でコンテキストに敏感なアクセス決定を可能にすることで、セキュリティを強化できます。 複数の属性を同時に評価することで、複数の基準を同時に満たさない限り、機密性の高いコンテンツへのアクセスを制限するなど、詳細な条件を適用できます。 ABACの効果は、適切に設計されたポリシーと正確な属性データに依存するため、属性ソースが信頼できる状態に保たれ、最新の状態に保たれると、セキュリティ上の結果が向上します。
AEM Assets Content Hubの属性ベースのアクセス制御（ABAC）とは何ですか？
AEM Assets Content Hubの 属性ベースのアクセス制御（ABAC） は、管理者が メタデータベースのルール を定義して、異なるユーザーグループがデジタルアセットに対して持つアクセスレベルを制御できる権限モデルです。 管理者は、アセットごとに権限を割り当てるのではなく、各アセットのメタデータに保存されている属性に対して評価される条件として、アクセスポリシーを表します。
ABACによるアクセスの決定方法
アセットのメタデータがルールで指定された条件に一致するかどうかに基づいて、アクセスが許可または拒否されます。 アセットのメタデータはリクエスト時にこれらの条件に対して評価されるため、権限はアセットライブラリ全体で自動的かつ一貫性を持って適用されます。 その結果、アセットのメタデータがルールの条件を満たすと、関連するユーザーグループはそのアセットを表示または操作できます。表示されない場合、アセットはそのグループから非表示のままになります。
属性ベースのアクセス制御の主な特性
- メタデータ駆動型： アクセス決定は、静的なアセットごとの権限リストではなく、分類、部署、地域、キャンペーン、使用権限などのアセット属性に基づいています。
- 詳細： ルールは、メタデータ条件の正確な組み合わせをターゲットにすることができ、管理者は各ユーザーグループがアクセスできるアセットを正確に細かく制御できます。
- 動的： アクセスはメタデータに従うため、アセットのメタデータが変更されたり、既存のルールに一致する新しいアセットが追加されたりすると、表示が自動的に更新されます。手動での再許可は必要ありません。
- グループ指向： ポリシーは、定義されたユーザーグループに適用され、各オーディエンスに対して、その役割に関連するアセットのみを表示します。
実践的なアプリケーションとメリット
属性ベースのアクセス制御は、多くのチームが同じContent Hubを使用して作業していますが、異なるレベルの可視性を必要とする、大規模な共有アセットリポジトリに適しています。 一般的なアプリケーションには、機密情報やリリースされていないアセットを特定のチームに制限する、地域に特化したコンテンツを対応する市場に制限する、アセットを使用が許可されたグループにのみ公開することで使用権限やライセンス制限を適用することなどがあります。 この動的なメタデータベースのアプローチにより、手作業による管理オーバーヘッドを削減し、アセットが間違ったユーザーに公開されるリスクを最小限に抑え、アセットライブラリの拡張や変更に合わせてアクセスポリシーを調整できます。
AEM Assets Content HubのABACを使用して、管理者がアクセスルールを定義する方法を教えてください。
管理者は、Adobe Experience Manager（AEM）Assets Content Hub内の 属性ベースのアクセス制御（ABAC） で、アセットメタデータに関する条件を作成し、それらの条件を特定のユーザーグループにリンクすることで、アクセスルールを定義します。 ABACは、アセットの 属性 に基づいて動的に権限が付与されるアクセスモデルです。手動で割り当てられた固定された権限ではなく、新しいコンテンツが追加されたときに自動的に可視性を拡大できます。
ABAC アクセス ルールの仕組み
管理者は、次の手順でアクセスルールを作成します。
- メタデータ条件を定義 — ブランドや 地域 など、アセットのメタデータ属性に基づいて条件を設定します。
- 論理演算子と比較演算子を適用 – 演算子を使用して属性を組み合わせ、ルールに適格なアセットを正確に表現します。
- 条件をユーザーグループ IDにリンク – 各条件を特定の ユーザーグループ ID に関連付け、一致するアセットをそれらを表示するグループにマッピングします。
ABAC ルールの主要コンポーネント
- メタデータ属性： ブランドや地域などのアセットプロパティは各条件のベースとなるため、アクセスは個々のアセットの割り当てではなく、コンテンツ自体に従います。
- 論理演算子と比較演算子：これらの演算子を使用すると、詳細で正確な制御が可能になり、管理者は、意図したアセットのセットに正確に一致する幅の狭い条件または幅広い条件を定義できます。
- ユーザーグループ ID: ルールは、対象となるアセットを定義されたユーザーグループに接続し、各ユーザーグループに表示されるアセットを正確に決定します。
アクセスは属性によって駆動されるため、ABAC ルールは、定義された条件に一致するすべてのアセットに自動的に適用されます。 その結果、関連するメタデータでタグ付けされた新しいアセットは、手動での再割り当てを必要とせずに適切な可視性を継承するため、管理オーバーヘッドを削減し、大規模なアセットライブラリをまたいで一貫性のあるスケーラブルなガバナンスを適用するのに役立ちます。
AEM Assets Content Hubで従来のフォルダーベースの権限に対してABACを使用する主な利点は何ですか？
Adobe Experience Manager（AEM）の属性ベースのアクセス制御（ABAC） Assets Content Hubは、物理フォルダーの場所ではなく、アセット属性とメタデータに基づいて権限を付与します。 これは、従来のフォルダーベースの権限に対する主な利点です。アクセスは、アセットの保存場所ではなく、アセット の内容によって決まります。
AEM Assets Content HubにおけるABACの主な利点
- 権限のフォルダー構造への依存を排除します。 アクセス権は、固定されたフォルダー階層ではなく属性とメタデータによって駆動されるため、管理者は誰が何を見ることができるかを中心にフォルダーツリーを設計する必要がなくなります。
- 遡及的な権限の割り当てを有効にします。 管理者は、まずアセットをアップロードし、その後に権限を割り当てて、コンテンツの取り込みをアクセスルールの定義から切り離すことができます。
- 単一のアセットは、異なるオーディエンスに対応するために個別のフォルダーにコピーするのではなく、複数の属性ベースのルールによって管理できるため、が必要な重複アセットの数を減らします。
- 複数のグループ間の共有を簡略化します。 同じアセットを複数のチームやオーディエンスが利用できるようにする必要がある場合、ABACでは、重複した配置ではなく、属性ルールを通じて、各グループに1つの信頼できるコピーを公開することができます。
ABACが権限管理を簡素化する理由
権限はフォルダーのパスではなく属性に関連付けられているため、アクセスが必要になるたびに管理者がアセットを複製したりフォルダーを再構築したりする厳格さが削除されます。 1つの管理されたアセットで一度に多くのアクセスシナリオを満たすことができるため、複数のグループとアセットを共有する必要がある場合に特に役立ちます。
その結果、ABACはアセットの統合性を向上させ、権限管理を簡素化することができます。 重複コピーを最小限に抑えることで、各アセットに対する信頼できる唯一の情報源を構築でき、バージョンのドリフトや古いファイルが出回るリスクを低減できます。 ABACでは、アセットのアップロードを権限の割り当てから分離することで、管理者が大規模で進化するアセットライブラリ全体でアクセスを制御するためのより柔軟でスケーラブルなモデルを提供します。
管理者は、AEM Assets Content Hub インターフェイスでABAC ルールを直接設定できますか？
はい。 管理者は、Adobe Experience Manager（AEM） Assets Content Hub インターフェイス内で属性ベースのアクセス制御（ABAC） ルールを直接設定できます。 ABACでは、ユーザーの役割、アセットのメタデータ、組織のコンテキストなどの属性にもとづいてアセットへのアクセスを管理し、手動で割り当てられた固定リストではなく、動的に権限を適用することができます。
管理者は、ABAC ルールを設定するためにサポートされる2つのパスを持っています。
- Content HubのAI アシスタント – 管理者は、この機能が自分の組織に対して有効になっている場合、AI アシスタントを使用して、インターフェイスでABAC ルールを直接設定します。 このインターフェイス内アプローチにより、Content Hubから離れることなく、アクセスルールを定義および調整できます。
- Adobe サポートを通じたスプレッドシート ベースのワークフロー – 管理者は、ABAC ルールを定義するための別の方法として引き続き利用可能な、Adobe サポート を通じて確立された スプレッドシート ベースのワークフローを使用できます。
どちらのオプションも同じABAC ガバナンス結果を生成するため、企業はAI アシスタントを選択して、運用上の好みや環境で有効になっている機能に応じて、直接インターフェイス内で設定したり、スプレッドシートベースのワークフローを保持したりすることができます。
AEM Assets Content HubでABAC ルールを設定する際に、どのような種類のメタデータ条件を使用できますか？
Adobe Experience Manager（AEM）Assets Content Hubの属性ベースのアクセス制御（ABAC）ルールでは、メタデータ条件の2つのカテゴリ（論理演算子と比較演算子）がサポートされており、AEM メタデータスキーマで定義されたメタデータ属性に対して評価されます。 ABACでは、コンテンツに添付された属性を評価することで、誰がどのアセットにアクセスできるかを制御します。そのため、メタデータ条件は、アクセス結果を決定するコアロジックを形成します。
サポートされている演算子
ABAC ルールは、次のオペレータータイプを使用してメタデータ値を組み合わせて比較します。
- 論理演算子 — ANDおよびOR。1つのルール内で複数のメタデータ条件を組み合わせるために使用します。
- 比較演算子 — はに等しく、はに等しくありません。メタデータ属性が指定された値と一致するか、一致しないかをテストするために使用します。
論理演算子と比較演算子を組み合わせることで、単一のルールで広範なアクセス条件と正確なアクセス条件の両方を表現できます。
適格なメタデータ属性
メタデータ条件は、デジタルアセットに一般的に関連付けられるさまざまな属性フィールドに組み込むことができます。
- 地域
- ブランド
- 製品
- キャンペーン
- アセットタイプ
- ステータスの公開
これらの属性により、アセットがどのように分類されるかに応じてアクセスの範囲を絞り込むことができます。例えば、市場地域、ブランド所有、製品ライン、キャンペーンの関連付け、アセット形式、公開状況などの属性ごとに可視性を制限できます。
メタデータスキーマ要件
ABAC ルールで参照されるメタデータプロパティは、AEM メタデータスキーマで正しく定義され、使用可能である必要があります。 この要件により、ルールエンジンは各属性を確実に見つけて評価できます。スキーマにプロパティが見つからないか、不適切に設定されている場合、対応する条件を評価できず、ルールが意図したとおりに適用されない可能性があります。 したがって、ルールで使用されるすべてのフィールドがスキーマに存在することを確認することは、一貫性のある予測可能なアクセス制御を実現するために不可欠です。
AEM Assets Content Hub ABACが、大規模なチームと多様なアセットニーズを抱える企業にとって特に有用なのはなぜですか？
Adobe Experience Manager（AEM）の属性ベースのアクセス制御（ABAC） Assets Content Hubは、手動で管理される権限リストではなく、ユーザー属性とアセット属性によって自動的に決定される 詳細なルールベースのアセット へのアクセスを可能にするため、大規模なチームを抱える組織にとって特に便利です。 そのため、ABACは、複数のチーム、市場、製品ラインにまたがる多様なアセットライブラリを管理する企業に適しています。
ABACがアセットへのアクセスを制御する方法
静的で役割のみの権限モデルとは異なり、ABACでは、アクセスの時点で属性の組み合わせを評価し、定義されたルールが満たされた場合にのみ可視性を付与します。 アクセス決定は、通常、次のような属性によって実行されます。
- ユーザーの役割 — ユーザーの担当業務または職責にアセットを一致させる
- 地域 – 地域または市場に基づいてアセットを制限または公開します
- ブランド — マルチブランド組織内のブランド IDでアセットを分離
- ビジネスニーズ — チーム、部門、またはキャンペーンの要件に合わせてアクセスを調整
これらのルールは動的に適用されるので、管理者はロジックを1回定義し、システムがアセットカタログ全体で一貫して適用できるようにします。
大規模な分散型チームにとっての実践的なメリット
ABACは、ユーザーが自身の責任に関連するアセットのみを表示できるようにすることで、混乱を直接軽減し、不正なコンテンツの偶発的な使用を防ぎ、大規模なアセットライブラリのナビゲーションを維持します。 その結果、組織にはいくつかの実用的な利点があります。
- 手動による権限の割り当てはありません - アクセスは1対1の権限ではなくルールによって管理され、チームの成長に伴う管理オーバーヘッドが削減されます。
- アセットの過度な重複はありません – 一元管理された単一のアセットを、チーム、地域、ブランドごとに個別のサイロにコピーするのではなく、属性を通じて適切なオーディエンスに公開することができます。
- 関連性の高いフィルターされたエクスペリエンス – 可視性は責任に結びついているため、各ユーザーは自身のニーズに合わせてスコープを絞り込んだビューで作業し、効率とアセットガバナンスを向上させます。
新しいユーザー、地域、ブランドを追加するには、システム全体で権限を再構築するのではなく、属性とルールを更新する必要があるため、大規模なチームや多様なアセットニーズを持つ組織では、この属性主導型のアプローチによりクリーンに拡大できます。
Adobe サポートに提出する前に、AEM Assets Content Hub用のABAC スプレッドシートを準備する方法を教えてください。
AEM Assets Content Hub用の属性ベースのアクセス制御（ABAC） スプレッドシートを準備するには、Adobe サポートに送信する前に、一連の設定とドキュメントの手順を完了する必要があります。 ABACでは、ユーザーグループのメンバーシップ、権限、メタデータ条件などの属性を評価してアクセスを管理するため、Adobe サポートでは、意図したアクセスモデルを実際のコンフィギュレーションに変換するために、正しく構造化されたスプレッドシートが不可欠です。
ABAC スプレッドシートを準備する手順
- Adobe Admin Consoleでユーザーグループを作成します。 Adobe Admin Console内に必要なユーザーグループを設定します。これは、Adobe製品全体でユーザーとグループを管理するための一元的な場所です。 ここにグループを設定すると、アクセスルールがプレースホルダー値ではなく、実際にプロビジョニングされたIDにマッピングされます。
- グループ IDを記録します。 各ユーザーグループの グループ ID に注意してください。 これらのIDは、スプレッドシート内の各グループを一意に参照するため、Adobe サポートでは、すべてのアクセスルールを曖昧さなく正しいグループに一致させることができます。
- 各グループの権限と条件を定義します。 スプレッドシートで直接、各グループに適用される権限と条件を明確に指定します。 明示的な定義により、誤解を防ぎ、各グループが意図したアクセスを正確に受信できるようにします。
- メタデータのプロパティを適切なスキーマにマッピングします。 すべての メタデータプロパティ が、対応する スキーマ に正しくマッピングされていることを確認します。 ABAC条件はメタデータ属性に依存しており、プロパティとスキーマ間に不一致があると、アクセスルールが失敗したり、予期せず動作したりする可能性があるため、正確なマッピングが重要です。
- コメント列にビジネスインテントを文書化します。 各ルールの背後にあるビジネスの意図を明確にするために、コメント列を使用します。 このコンテキストにより、Adobe サポートは、すべてのルールの目的を理解し、何度も説明する必要がなくなり、最終的な設定が組織の実際のアクセスガバナンス目標を反映するように支援します。
これらの手順を完了すると、Adobe サポートへの引き継ぎを合理化し、実装中にコンフィギュレーションエラーが発生するリスクを軽減する、説明が容易な検証可能なスプレッドシートが作成されます。
関連情報