本記事では、AEM Assets におけるグループベースの権限がデジタルアセットのフォルダーのセキュリティ確保、管理の効率化、ブランドの一貫性、法令遵守、運用管理に重要な役割を果たすことを強調しています。また、データセキュリティとシステムの安定性を維持するためのユーザーグループと権限の設定および運用に関するベストプラクティスも紹介します。
ユーザーグループと権限のはじめに
AEM Assetsの導入にあたってのベストプラクティスとヒントやフォルダー構造& 命名について学んだ今、本記事ではこれらのベストプラクティスをさらに活用し、ユーザーと権限に焦点を当てて解説します。
異なるユーザーグループごとに異なるデジタルアセットへのアクセス権限を管理する必要がある組織では、権限によってデジタルアセットのフォルダーを保護することが不可欠です。
AEM Assetsでは、 ユーザー はAEM Assetsインスタンスにログインする個別のアカウントであり、グループはユーザーやグループを論理的にまとめた集まりです。
グループは安定している傾向がある一方、ユーザーは頻繁に入れ替わります。
ユーザーグループと権限を利用する理由
権限によって、誰がアセットを閲覧・編集・管理できるかを制御します。
グループ単位の権限設定は管理を簡素化し、安全なアクセスを実現します。
グループを活用することで、権限やアクセス管理が効率化され、グループに対する変更はそのメンバー全員に適用されます。グループは、次のような特徴を持っています。
- アプリケーション内の役割―例えば、コンテンツの閲覧が許可された方や、コンテンツの投稿が許可された方など。
- 組織のコンテンツアクセス制御のニーズ―部門ごとに投稿者を区別し、それぞれがアクセスできる範囲や操作内容を管理できます。
ユーザーグループと権限によって可能になること：
- データセキュリティ―機密性の高い資産や重要な情報を保護します。
- ブランド一貫性―承認されたユーザーのみが資産へアクセスし、公開できるようにします。
- 規制遵守（Regulatory compliance）―著作権、ライセンス、デジタル権利管理、プライバシー法（例：GDPR）への対応をサポートします。
- 運用管理―無権限のアクセスや変更、削除を防止します。
各グループごとに、AEM Assets内のコンテンツへのアクセス、閲覧、編集権限を定義する特定の権限や権限設定が構成されます。権限はAEMでアクセス制御リスト（ACL）を用いて設定されます。
- フォルダーやアセット、ノードに適用されるルールです。
- 各グループに対して、ユーザーがさまざまな機能にアクセスできるか否かを設定します。
- 優先順位の高い項目から順に並べて設定します。
AEM Assets は階層型のフォルダー構造を活用しており、親フォルダーに設定した権限は自動的に子フォルダーやその中のアセットへ継承されます。この組み込みの継承機能によってアクセス管理が効率化され、管理業務の負担が軽減されるため、大規模なコンテンツツリー全体で権限の一貫した適用が実現します。
- Deepak Khetawat（Palo Alto Networks プリンシパルエンジニア ソフトウェア、AEM チャンピオン）
グループと権限の設定に関するベストプラクティス
-
役割に基づいてユーザーグループを作成する - たとえば、著者、マーケター、クリエイター、代理店などです。
-
権限は必ずグループに割り当てる（個人ではなく） - これにより、拡張性が向上し、監査も簡単になります。
-
過度な設計は避ける - 許可ベースのシンプルな構造は、保守やトラブルシューティングが容易です。
-
システムまたはデフォルトのグループを活用する - たとえば、著者や dam-users は AEM にあらかじめ組み込まれています。必要に応じて、マーケティング承認者や法務レビュアーなどのカスタムグループを作成し、役割に応じたアクセス権を設定してください。
-
最小権限の付与 - ユーザーやグループには、その役割に必要な権限のみを付与し、それ以上は与えないようにします。
-
「許可中心」のモデルを目指す - たとえば、「編集できる」「閲覧できる」などです。「拒否」を使用する場合は、上位レベルやグループメンバーシップからの「許可」を上書きする必要があるときに限定し、その「拒否」設定はできる限り具体的にしてください。
-
権限はアクセス制御リスト（ACL）で上位から順に定義する - リスト内の項目の順序を必ず考慮してください。評価順で最初に明示的に一致した ACL が適用されます。
「AEM Assets の権限は、個々のユーザーに直接付与するのではなく、必ずグループ単位で割り当ててください。このグループベースの方法により、スケーラビリティが向上し、権限監査が簡素化され、エンタープライズのアクセス管理におけるベストプラクティスにも適合します。たとえグループにユーザーが1人しかいない場合でも、権限をグループに割り当てておけば、ユーザーの追加・削除や役割変更の際も、既存のグループへのユーザーの再割り当てだけで済み、 権限の変更作業が不要になります。」
- Deepak Khetawat（Palo Alto Networks プリンシパルソフトウェアエンジニア、AEM チャンピオン）
グループと権限の運用ベストプラクティス
ユーザーグループや権限の設定は、一度きりの作業ではありません。組織の変化に応じて、ユーザーグループや権限を定期的に見直し、監査する必要があります。保守やガバナンスのために、定期的な運用サイクルを確立しましょう。
- 定期的な監査の実施 - 特に機密性の高いフォルダーの権限を定期的に確認し、コンプライアンスを確保してください。
- 環境の整合性の維持 - 開発、ステージング、本番環境で権限構造を統一し、デプロイ時の予期せぬ問題を防ぎます。
- 権限マトリックスの管理 - グループの役割やアクセスレベルを文書化し、透明性やオンボーディング、コンプライアンスを高め、必要に応じてAEM Assetsユーザー以外の関係者とも権限情報を共有できるようにします。
- レプリケーションの影響を考慮 - アセットへのアクセスが公開サイトに影響する場合は、権限変更が公開インスタンスに確実に反映されるようにしてください。
お試しください
ユーザーグループや権限の設定に関するベストプラクティスを身につけた今、 AEMでグループや権限の操作を実際に行ってみましょう。
- グループの作成・管理：Assets → ツール → セキュリティ → ユーザー& グループへ移動します。このインターフェースを使ってユーザーを管理し、役割に応じて適切なグループへ割り当てることができます。
- フォルダー単位の権限設定：AEM Assets内で目的のDAMフォルダーへ移動し、プロパティ→権限タブを開きます。
- レポートの活用：ユーザーの最終ログイン履歴を記録できます。アクセス権の確認だけでなく、一定期間ログインしていないユーザーや、もうアクセスが不要なユーザーを削除する監査にもご活用ください。
追加学習リソース
より深く理解するために、Adobe Experience Makers: The Skill Exchange セッション「 AEM Masterclass: Asset Workflows、権限& 統合」をご覧ください。さらに、以下のリソースはAEM Assetsにおけるユーザーグループや権限の設定に役立ちます。
- ユーザー& 権限（AEM as a Cloud Service ドキュメント）
- ユーザー管理とセキュリティ（AEM 6.5 ドキュメント）
- ユーザー、グループ、アクセス権管理（AEM 6.5 ドキュメント）
- ユーザー レポートの生成（コミュニティ投稿）
次に取り組むこと
ユーザーグループや権限を活用したアクセス制御のベストプラクティスに関する本記事は、AEM Assetsの導入に役立つ基礎ガイダンス、ベストプラクティス、Adobe Championによるヒントを含む一連の記事の一部です。次回は、シリーズの続きとしてメタデータに焦点を当てます。
AEM Assetsの基礎シリーズ全記事をご覧になりたい場合は、以下をご参照ください。