Administração e segurança do usuário user-administration-and-security

Este capítulo descreve como configurar e manter a autorização do usuário e também descreve a teoria por trás de como a autenticação e a autorização funcionam no AEM.

Usuários e grupos no AEM users-and-groups-in-aem

Esta seção lida com as várias entidades e conceitos relacionados em mais detalhes para ajudar você a configurar um conceito de gerenciamento de usuário fácil de manter.

Usuários users

Os usuários fazem logon no AEM com sua conta. Cada conta de usuário é exclusiva e contém os detalhes básicos da conta, juntamente com os privilégios atribuídos.

Os usuários geralmente são membros de Grupos, o que simplifica a alocação dessas permissões e/ou privilégios.

Grupos groups

Grupos são coleções de usuários, de outros grupos ou de ambos. Todas essas coleções são chamadas de Membros de um grupo.

Seu objetivo principal é simplificar o processo de manutenção, reduzindo o número de entidades a serem atualizadas, já que uma alteração feita em um grupo é aplicada a todos os membros do grupo. Os grupos geralmente refletem:

Portanto, os grupos tendem a permanecer estáveis, enquanto os usuários vêm e vão com mais frequência.

Com um planejamento e uma estrutura limpa, o uso de grupos pode refletir sua estrutura, fornecendo uma visão geral clara e um mecanismo eficiente para atualizações.

Usuários e grupos integrados built-in-users-and-groups

O AEM WCM instala vários usuários e grupos. Essas coleções são vistas quando você acessa o Console de segurança pela primeira vez após a instalação.

As tabelas a seguir listam cada item junto com:

Alterar todas as senhas padrão (se você não excluir a conta em si em determinadas circunstâncias).

Permissões no AEM permissions-in-aem

O AEM usa ACLs para determinar quais ações um usuário ou grupo pode realizar e onde pode realizar essas ações.

Permissões e ACLs permissions-and-acls

As permissões definem quem pode executar quais ações em um recurso. As permissões são o resultado de avaliações de controle de acesso.

Você pode alterar as permissões concedidas/negadas a um determinado usuário marcando ou desmarcando as caixas de seleção de ações do AEM individuais. Uma marca de seleção indica que uma ação é permitida. Nenhuma marca de seleção indica que uma ação foi negada.

O local em que a marca de seleção está na grade também indica quais permissões os usuários têm em quais locais dentro do AEM (ou seja, quais caminhos).

Ações actions

As ações podem ser executadas em uma página (recurso). Para cada página na hierarquia, você pode especificar qual ação o usuário tem permissão para realizar nessa página. As permissões permitem que você permita ou negue uma ação.

Listas de controle de acesso e como são avaliadas access-control-lists-and-how-they-are-evaluated

O AEM WCM usa Listas de controle de acesso (ACLs) para organizar as permissões que estão sendo aplicadas às várias páginas.

As Listas de controle de acesso são compostas por permissões individuais e são usadas para determinar a ordem em que essas permissões são aplicadas. A lista é formada de acordo com a hierarquia das páginas consideradas. Essa lista é então digitalizada de baixo para cima até que a primeira permissão apropriada para aplicar a uma página seja encontrada.

Estados de permissão permission-states

As permissões também são aplicadas a qualquer página secundária.

Se uma permissão não for herdada do nó principal, mas tiver pelo menos uma entrada local para ela, os símbolos a seguir serão anexados à caixa de seleção. Uma entrada local é aquela criada na interface do CRX 2.2 (atualmente, ACLs curingas só podem ser criadas no CRX.)

Para uma ação em um determinado caminho:

Quando você passa o mouse sobre o asterisco ou ponto de exclamação, uma dica de ferramenta fornece mais detalhes sobre as entradas declaradas. A dica de ferramenta é dividida em duas partes:

Veja a seguir recomendações sobre o gerenciamento de listas de controle de acesso:

Antes de modificar qualquer uma das permissões, compreenda como elas funcionam e se relacionam entre si. Consulte a documentação do CRX que ilustra como o AEM WCM avalia os direitos de acesso, além de exemplos sobre a configuração de listas de controle de acesso.

Permissões permissions

As permissões dão aos usuários e grupos acesso à funcionalidade AEM em páginas AEM.

As permissões são pesquisadas por caminho, expandindo/recolhendo os nós, e é possível rastrear a herança de permissões até o nó raiz.

Você permite ou nega permissões marcando ou desmarcando as caixas de seleção apropriadas.

Exibindo Informações Detalhadas sobre Permissões viewing-detailed-permission-information

Juntamente com a exibição de grade, o AEM fornece uma exibição detalhada das permissões para um usuário/grupo selecionado em um determinado caminho. A visualização detalhada fornece informações adicionais.

Além de visualizar informações, você também pode incluir ou excluir o usuário ou grupo atual de um grupo. Consulte Adicionando usuários ou grupos ao adicionar permissões. As alterações feitas aqui são refletidas imediatamente na parte superior da exibição detalhada.

Para acessar a exibição de Detalhes, na guia Permissões, clique em Detalhes para qualquer grupo/usuário e caminho selecionados.

Os detalhes são divididos em duas partes:

Representar outro usuário impersonating-another-user

Com a funcionalidade de representação, um usuário pode trabalhar em nome de outro usuário.

Ou seja, uma conta de usuário pode especificar outras contas que possam operar com sua conta. Por exemplo, se o usuário-B tiver permissão para representar o usuário-A, ele poderá agir usando os detalhes completos da conta do usuário-A.

Essa funcionalidade permite que contas de representantes concluam tarefas como se estivessem usando a conta que estão representando. Por exemplo, durante uma ausência ou para compartilhar uma carga excessiva a curto prazo.

Práticas recomendadas best-practices

A tabela a seguir descreve as práticas recomendadas ao trabalhar com permissões e privilégios:

Gerenciar usuários e grupos managing-users-and-groups

Os usuários incluem pessoas que usam o sistema e sistemas estrangeiros que fazem solicitações ao sistema.

Um grupo é um conjunto de usuários.

Ambos podem ser configurados usando a funcionalidade Administração de usuários no Console de segurança.

Acesso à Administração do usuário com o Console de segurança accessing-user-administration-with-the-security-console

Você acessa todos os usuários, grupos e permissões associadas usando o console Segurança. Todos os procedimentos descritos nesta seção são executados nesta janela.

Para acessar a segurança WCM do AEM, siga um destes procedimentos:

A janela a seguir é exibida:

A árvore esquerda lista todos os usuários e grupos que estão atualmente no sistema. Você pode selecionar as colunas que deseja exibir, classificar o conteúdo das colunas e até mesmo alterar a ordem em que as colunas são exibidas, arrastando o cabeçalho da coluna para uma nova posição.

As guias fornecem acesso a várias configurações:

Filtrar usuários e grupos filtering-users-and-groups

Você pode filtrar a lista inserindo uma expressão de filtro, que oculta todos os usuários e grupos que não correspondem à expressão. Você também pode ocultar usuários e grupos usando os botões Ocultar Usuário e Ocultar Grupo.

Para filtrar usuários ou grupos:

Ocultar usuários e grupos hiding-users-and-groups

Ocultar usuários ou grupos é outra maneira de filtrar a lista de todos os usuários e grupos em um sistema. Há dois mecanismos de alternância. Clicar em Ocultar usuário oculta todos os usuários da exibição e clicar em Ocultar grupos oculta todos os grupos da exibição (não é possível ocultar usuários e grupos ao mesmo tempo). Para filtrar a lista usando uma expressão de filtro, consulte Filtrando usuários e grupos.

Para ocultar usuários e grupos:

Criar usuários e grupos creating-users-and-groups

Para criar um usuário ou grupo:

Excluir usuários e grupos deleting-users-and-groups

Para excluir um usuário ou grupo:

Modificando Propriedades de Usuários e Grupos modifying-user-and-group-properties

Para modificar propriedades de usuários e grupos:

Alterar a senha de um usuário changing-a-user-password

Use o procedimento a seguir para modificar a senha de um usuário.

Adicionar usuários ou grupos a um grupo adding-users-or-groups-to-a-group

O AEM oferece três maneiras diferentes de adicionar usuários ou grupos a um grupo existente:

Grupos - Adicionando usuários ou grupos a um grupo groups-adding-users-or-groups-to-a-group

A guia Grupos mostra a você a quais grupos a conta atual pertence. Você pode usá-la para adicionar a conta selecionada a um grupo:

Membros - Adicionando Usuários ou Grupos a um Grupo members-adding-users-or-groups-to-a-group

A guia Membros só funciona para grupos e mostra a você quais usuários e grupos pertencem ao grupo atual. Você pode usá-la para adicionar contas a um grupo:

Adicionar usuários ou grupos ao adicionar permissões adding-users-or-groups-while-adding-permissions

Para adicionar membros a um grupo em em um determinado caminho:

Removendo usuários ou grupos de grupos removing-users-or-groups-from-groups

O AEM oferece três maneiras diferentes de remover usuários ou grupos de um grupo:

Grupos - Removendo usuários ou grupos de grupos groups-removing-users-or-groups-from-groups

Para remover uma conta de usuário ou de grupo de um grupo:

Membros - Removendo Usuários ou Grupos de Grupos members-removing-users-or-groups-from-groups

Para remover contas de um grupo:

Removendo usuários ou grupos ao adicionar permissões removing-users-or-groups-while-adding-permissions

Para remover membros de um grupo em um determinado caminho:

Sincronização de usuário user-synchronization

Quando a implantação é um farm de publicação, os usuários e grupos devem ser sincronizados entre todos os nós de publicação.

Para saber mais sobre a sincronização de usuários e como habilitá-la, consulte Sincronização de Usuários.

Gerenciamento de permissões managing-permissions

Esta seção descreve como definir permissões, incluindo privilégios de replicação.

Definição de permissões setting-permissions

As permissões permitem que os usuários executem determinadas ações nos recursos em determinados caminhos. Também inclui a capacidade de criar ou excluir páginas.

Para adicionar, modificar ou excluir permissões:

Definindo Privilégios de Replicação setting-replication-privileges

O privilégio de replicação é o direito de publicar conteúdo e pode ser definido para grupos e usuários.

Para definir privilégios de replicação:

Procurando nós searching-for-nodes

Ao adicionar ou remover permissões, você pode procurar ou procurar o nó.

Há dois tipos diferentes de pesquisa de caminho:

Na caixa de pesquisa, é possível fazer o seguinte:

Para executar uma pesquisa em caminhos ou texto completo:

Representação de usuários impersonating-users

Você pode especificar um ou mais usuários que podem representar o usuário atual. Essa capacidade significa que eles podem alternar as configurações da conta para o usuário atual e agir em nome desse usuário.

Use essa função com cuidado, pois ela pode permitir que os usuários executem ações que seus próprios usuários não podem executar. Ao representar um usuário, os usuários são notificados de que não estão conectados como eles mesmos.

Há vários cenários em que você pode querer usar essa funcionalidade, incluindo:

Para representar um usuário existente:

Configurando as preferências do usuário e do grupo setting-user-and-group-preferences

Para definir preferências de usuário e grupo, incluindo idioma, gerenciamento de janelas e preferências de barra de ferramentas:

Configurar usuários ou administradores para terem o privilégio de gerenciar outros usuários setting-users-or-administrators-to-have-the-privilege-to-manage-other-users

Para definir usuários ou administradores com privilégios para excluir/ativar/desativar outros usuários:

Estendendo Privilégios no Nível do Projeto extending-privileges-on-a-project-level

Se você planeja implementar privilégios específicos do aplicativo, as informações a seguir descrevem o que você deve saber para implementar um privilégio personalizado e como aplicá-lo em todo o CQ:

O privilégio de modificação de hierarquia é coberto por uma combinação de privilégios jcr. O privilégio de replicação é denominado crx:replicate, que é armazenado/avaliado juntamente com outros privilégios no repositório jcr. No entanto, não é aplicado no nível do jcr.

A definição e o registro de privilégios personalizados fazem parte oficialmente da API Jackrabbit a partir da versão 2.4 (consulte também JCR-2887). O uso adicional é coberto pelo Gerenciamento de controle de acesso JCR, como definido pela JSR 283 (seção 16). Além disso, a API Jackrabbit define algumas extensões.

O mecanismo de registro de privilégio é refletido na interface em Configuração do Repositório.

O registro de novos privilégios (personalizados) é protegido por um privilégio incorporado que deve ser concedido no nível do repositório. No JCR: transmitindo 'null' como o parâmetro 'absPath' na api ac mgt, consulte jsr 333 para obter detalhes. Por padrão, admin e todos os membros de administradores têm esse privilégio concedido.