Problemas de acesso e visibilidade do fluxo de trabalho do AEM causados pela configuração da ACL
No AEM, os usuários podem perder acesso a modelos de fluxo de trabalho, ver fluxos de trabalho que não devem ver ou falhar ao iniciar fluxos de trabalho quando o controle de acesso for aplicado incorretamente. Esses problemas geralmente são causados por ACLs em nós de tempo de execução de fluxo de trabalho em /var/workflow/models, regras de negação muito amplas, restrições rep:glob ausentes ou solicitações que ainda fazem referência a caminhos /etc/workflow/models herdados. A associação de grupo também pode afetar se os usuários veem somente seus próprios workflows ou todos os workflows. Corrija o escopo da ACL, valide o caminho do modelo de fluxo de trabalho e revise as permissões efetivas para que a visibilidade e a execução do fluxo de trabalho correspondam ao acesso pretendido.
Descrição description
Ambiente
- Adobe Experience Manager as a Cloud Service
- AEM Managed Services
- Software Adobe Experience Manager no local
Problema/Sintomas
- Os usuários não podem ver modelos de fluxo de trabalho no Console de Fluxo de Trabalho, mesmo que pertençam a
workflow-usersouworkflow-administrators. - Os usuários ainda verão modelos de fluxo de trabalho padrão, como
InboxRequest, após a aplicação das regras de negação. - Os usuários podem acionar fluxos de trabalho que não deveriam ser usados.
- Falha nas solicitações de API com
400 Bad RequesteUnknown workflow model with id /etc/workflow/models/.... - Os modelos de fluxo de trabalho não aparecem nos seletores de permissão quando os administradores tentam direcioná-los nas entradas de controle de acesso.
Causa
A visibilidade e o acesso do fluxo de trabalho são controlados por ACLs nos nós de tempo de execução do modelo de fluxo de trabalho em /var/workflow/models. Problemas ocorrem quando ACLs são aplicadas ao local errado, quando rep:glob restrições estão ausentes ou são muito amplas, quando as regras de negação substituem as regras de permissão pretendidas ou quando as solicitações de fluxo de trabalho ainda fazem referência a /etc/workflow/models em vez do caminho de tempo de execução. Em alguns casos, os administradores também esperam que as permissões de fluxo de trabalho sejam aplicadas por modelo sem adicionar restrições baseadas em caminho.
Resolução resolution
Para resolver problemas de acesso e visibilidade do workflow causados pela configuração da ACL:
- Determine qual problema de acesso ao workflow se aplica: visibilidade ausente, visibilidade não intencional, acesso de execução inesperado, falha de API ou falha de aplicativo de ACL.
- Verifique se o modelo de fluxo de trabalho existe em
/var/workflow/modelse não somente em/etc. - Revise a associação de grupo do usuário afetado e confirme se o usuário está atribuído ao grupo de workflow apropriado para o nível de acesso necessário.
- Verifique se há entradas
jcr:readnegadas em/var/workflow/modelsou caminhos pai e remova ou restrinja qualquer regra que bloqueie o modelo de fluxo de trabalho necessário involuntariamente. - Para ocultar um modelo de fluxo de trabalho específico de um grupo, adicione um ACE
jcr:readde negação em/var/workflow/modelscom uma restriçãorep:globdirecionada a esse modelo de fluxo de trabalho, por exemplo/InboxRequest. - Para permitir somente modelos de fluxo de trabalho selecionados, aplique regras de permissão específicas com restrições
rep:globapropriadas em vez de usar permissões amplas. - Se uma solicitação de API falhar com um erro de modelo de fluxo de trabalho desconhecido, atualize a solicitação para que ela aponte para o caminho de modelo correto em
/var/workflow/models. - Se as ACLs forem aplicadas por meio de código, verifique se a pasta de destino existe antes de aplicar a ACL, de modo que a implantação não falhe em um caminho inexistente.
- Teste novamente como o usuário afetado e confirme se os modelos de fluxo de trabalho desejados estão visíveis, ocultos ou executáveis, conforme esperado.
- Se o modelo de fluxo de trabalho existir em
/var/workflow/models, os grupos e ACLs corretos estão em vigor e os usuários ainda não poderão ver, iniciar ou restringir os modelos de fluxo de trabalho pretendidos conforme esperado, envie um caso para o Suporte da Adobe e inclua o caminho do modelo de fluxo de trabalho afetado, o grupo de usuários, o comportamento esperado e qualquer erro comoUnknown workflow model with id /etc/workflow/models/....