Användaradministration och -säkerhet user-administration-and-security

I det här kapitlet beskrivs hur du konfigurerar och upprätthåller användarauktorisering och även teorin bakom hur autentisering och auktorisering fungerar i AEM.

Användare och grupper i AEM users-and-groups-in-aem

I det här avsnittet behandlas de olika enheterna och relaterade begreppen mer ingående, så att du kan konfigurera ett enkelt sätt att underhålla användarhanteringskoncept.

Användare users

Användare loggar in på AEM med sitt konto. Varje användarkonto är unikt och innehåller grundläggande kontoinformation tillsammans med de behörigheter som tilldelats.

Användare är ofta medlemmar i grupper, vilket förenklar tilldelningen av dessa behörigheter och/eller behörigheter.

Grupper groups

Grupper är samlingar med användare, andra grupper eller båda. Alla dessa samlingar kallas medlemmar i en grupp.

Deras främsta syfte är att förenkla underhållsprocessen genom att minska antalet enheter som ska uppdateras, eftersom en ändring görs i en grupp tillämpas på alla medlemmar i gruppen. Grupper återspeglar ofta:

Därför tenderar grupperna att förbli stabila, medan användarna kommer och går oftare.

Med planering och en ren struktur kan användningen av grupper återspegla din struktur, vilket ger dig en tydlig översikt och en effektiv mekanism för uppdateringar.

Inbyggda användare och grupper built-in-users-and-groups

AEM WCM installerar flera användare och grupper. Dessa samlingar visas när du först öppnar säkerhetskonsolen efter installationen.

I följande tabeller visas varje objekt tillsammans med:

Ändra alla standardlösenord (om du inte tar bort själva kontot under vissa omständigheter).

Behörigheter i AEM permissions-in-aem

AEM använder åtkomstkontrollistor för att avgöra vilka åtgärder en användare eller grupp kan vidta och var den kan utföra dessa åtgärder.

Behörigheter och åtkomstkontrollistor permissions-and-acls

Behörigheter definierar vem som kan utföra vilka åtgärder på en resurs. Behörigheterna är resultatet av åtkomstkontroll utvärderingar.

Du kan ändra behörigheterna som beviljas/nekas till en viss användare genom att markera eller avmarkera kryssrutorna för den enskilda AEM funktionsmakron. En bock anger att en åtgärd är tillåten. Ingen bock indikerar att en åtgärd nekas.

Där bockmarkeringen är i rutnätet visas även vilka behörigheter användarna har på vilka platser i AEM (d.v.s. vilka sökvägar).

Åtgärder actions

Åtgärder kan utföras på en sida (resurs). För varje sida i hierarkin kan du ange vilken åtgärd användaren får utföra på sidan. Behörigheter kan du tillåta eller neka en åtgärd.

Åtkomstkontrollistor och hur de utvärderas access-control-lists-and-how-they-are-evaluated

AEM WCM använder ACL-listor (Access Control Lists) för att organisera de behörigheter som tillämpas på de olika sidorna.

Åtkomstkontrollistor består av de enskilda behörigheterna och används för att avgöra i vilken ordning dessa behörigheter tillämpas. Listan är uppbyggd enligt hierarkin för de aktuella sidorna. Listan skannas sedan nedifrån och upp tills den första behörigheten som krävs för att tillämpa på en sida hittas.

Behörighetsstater permission-states

Behörigheterna tillämpas även på underordnade sidor.

Om en behörighet inte ärvs från den överordnade noden men har minst en lokal post läggs följande symboler till i kryssrutan. En lokal post skapas i CRX 2.2-gränssnittet (Jokertecken-ACL:er kan för närvarande bara skapas i CRX).

För en åtgärd vid en angiven sökväg:

När du hovrar över asterisken eller utropstecknet visas ett verktygstips med mer information om de deklarerade posterna. Verktygstipset är uppdelat i två delar:

Nedan följer några rekommendationer om hur du hanterar åtkomstkontrollistor:

Innan du ändrar någon av behörigheterna måste du se till att du förstår hur de fungerar och fungerar tillsammans. Se CRX-dokumentationen som visar hur AEM WCM utvärderar åtkomsträttigheteroch exempel på hur du ställer in åtkomstkontrollistor.

Behörigheter permissions

Behörigheter ger användare och grupper åtkomst till AEM på AEM sidor.

Du bläddrar bland behörigheter genom att utöka/komprimera noderna och du kan spåra behörighetsarvet upp till rotnoden.

Du tillåter eller nekar behörigheter genom att markera eller avmarkera lämpliga kryssrutor.

Visa detaljerad behörighetsinformation viewing-detailed-permission-information

Tillsammans med stödrastervyn AEM en detaljerad vy över behörigheter för en markerad användare/grupp på en viss sökväg. Detaljvyn innehåller ytterligare information.

Förutom att visa information kan du även inkludera eller exkludera den aktuella användaren eller gruppen från en grupp. Se Lägga till användare eller grupper när behörigheter läggs till. Ändringarna som görs här visas omedelbart i den övre delen av den detaljerade vyn.

Du öppnar detaljvyn i dialogrutan Behörigheter flik, klicka Information för alla valda grupper/användare och sökvägar.

Detaljerna delas upp i två delar:

Personifiera en annan användare impersonating-another-user

Med Personifiera funktionalitetkan en användare arbeta för en annan användares räkning.

Det innebär att ett användarkonto kan ange andra konton som kan fungera med deras konto. Om till exempel användare-B tillåts personifiera användare-A kan användare-B agera med hjälp av den fullständiga kontoinformationen för användare-A.

Med den här funktionen kan persondatorkonton slutföra uppgifter som om de använde det konto de personifierar. Exempel: under frånvaro eller för att dela en för stor belastning på kort sikt.

Bästa praxis best-practices

Nedan beskrivs de bästa sätten att arbeta med behörigheter och behörigheter:

Hantera användare och grupper managing-users-and-groups

Användare kan vara personer som använder systemet och utländska system som gör förfrågningar till systemet.

En grupp är en uppsättning användare.

Båda kan konfigureras med funktionen för användaradministration i säkerhetskonsolen.

Åtkomst till användaradministration med säkerhetskonsolen accessing-user-administration-with-the-security-console

Du får åtkomst till alla användare, grupper och tillhörande behörigheter med hjälp av säkerhetskonsolen. Alla procedurer som beskrivs i det här avsnittet utförs i det här fönstret.

Gör något av följande om du vill få åtkomst AEM WCM-säkerhet:

Följande fönster visas:

I det vänstra trädet visas alla användare och grupper som finns i systemet. Du kan markera de kolumner som du vill visa, sortera innehållet i kolumnerna och till och med ändra ordningen som kolumnerna visas i genom att dra kolumnrubriken till en ny position.

Flikarna ger åtkomst till olika konfigurationer:

Filtrera användare och grupper filtering-users-and-groups

Du kan filtrera listan genom att ange ett filteruttryck som döljer alla användare och grupper som inte matchar uttrycket. Du kan även dölja användare och grupper med Dölj användare och dölj grupp knappar.

Så här filtrerar du användare eller grupper:

Dölja användare och grupper hiding-users-and-groups

Att dölja användare eller grupper är ett annat sätt att filtrera listan över alla användare och grupper i ett system. Det finns två växlingsmekanismer. Om du klickar på Dölj användare döljs alla användare och om du klickar på Dölj grupper döljs alla grupper (du kan inte dölja både användare och grupper samtidigt). Information om hur du filtrerar listan med hjälp av ett filteruttryck finns i Filtrera användare och grupper.

Dölj användare och grupper:

Skapa användare och grupper creating-users-and-groups

Så här skapar du en användare eller grupp:

Ta bort användare och grupper deleting-users-and-groups

Så här tar du bort en användare eller grupp:

Ändra användar- och gruppegenskaper modifying-user-and-group-properties

Så här ändrar du användar- och gruppegenskaper:

Ändra ett användarlösenord changing-a-user-password

Använd följande procedur för att ändra en användares lösenord.

Lägga till användare eller grupper i en grupp adding-users-or-groups-to-a-group

AEM erbjuder tre olika sätt att lägga till användare eller grupper i en befintlig grupp:

Grupper - lägga till användare eller grupper i en grupp groups-adding-users-or-groups-to-a-group

The Grupper visas vilka grupper det aktuella kontot tillhör. Du kan använda den för att lägga till det valda kontot i en grupp:

Medlemmar - Lägga till användare eller grupper i en grupp members-adding-users-or-groups-to-a-group

The Medlemmar Fliken fungerar bara för grupper och visar vilka användare och grupper som tillhör den aktuella gruppen. Du kan använda den för att lägga till konton i en grupp:

Lägga till användare eller grupper när behörigheter läggs till adding-users-or-groups-while-adding-permissions

Så här lägger du till medlemmar i en grupp på en viss sökväg:

Ta bort användare eller grupper från grupper removing-users-or-groups-from-groups

AEM erbjuder tre olika sätt att ta bort användare eller grupper från en grupp:

Grupper - Tar bort användare eller grupper från grupper groups-removing-users-or-groups-from-groups

Så här tar du bort en användare eller ett gruppkonto från en grupp:

Medlemmar - Tar bort användare eller grupper från grupper members-removing-users-or-groups-from-groups

Så här tar du bort konton från en grupp:

Ta bort användare eller grupper när behörigheter läggs till removing-users-or-groups-while-adding-permissions

Så här tar du bort medlemmar från en grupp på en viss sökväg:

Användarsynkronisering user-synchronization

När distributionen är en publicera servergrupp, användare och grupper måste synkroniseras mellan alla publiceringsnoder.

Mer information om användarsynkronisering och hur du aktiverar den finns i Användarsynkronisering.

Hantera behörigheter managing-permissions

I det här avsnittet beskrivs hur du anger behörigheter, inklusive replikeringsbehörigheter.

Ange behörigheter setting-permissions

Med behörigheter kan användare utföra vissa åtgärder på resurser på vissa sökvägar. Den innehåller även funktioner för att skapa eller ta bort sidor.

Så här lägger du till, ändrar eller tar bort behörigheter:

Ange replikeringsbehörighet setting-replication-privileges

Replikeringsprivilegium är rätten att publicera innehåll, och det kan anges för grupper och användare.

Så här anger du replikeringsbehörighet:

Söker efter noder searching-for-nodes

När du lägger till eller tar bort behörigheter kan du antingen bläddra eller söka efter noden.

Det finns två olika typer av sökvägar:

I sökrutan kan du göra följande:

Så här söker du efter banor eller fulltext:

Personifiera användare impersonating-users

Du kan ange en eller flera användare som får personifiera den aktuella användaren. Detta innebär att de kan ändra sina kontoinställningar till den aktuella användarens och agera för den här användarens räkning.

Använd den här funktionen med försiktighet eftersom den kan tillåta användare att utföra åtgärder som deras egen användare inte kan. När en användare personifieras meddelas användaren om att han/hon inte är inloggad som sig själv.

Det finns olika scenarier när du kanske vill använda den här funktionen, bland annat:

Så här personifierar du en befintlig användare:

Ange inställningar för användare och grupper setting-user-and-group-preferences

Så här anger du användar- och gruppinställningar, inklusive språk, fönsterhantering och verktygsfältsinställningar:

Ange att användare eller administratörer ska ha behörighet att hantera andra användare setting-users-or-administrators-to-have-the-privilege-to-manage-other-users

Så här anger du att användare eller administratörer ska ha behörighet att ta bort/aktivera/inaktivera andra användare:

Utöka behörigheter på projektnivå extending-privileges-on-a-project-level

Om du tänker implementera programspecifika behörigheter beskriver följande information vad du måste känna till för att implementera ett anpassat privilegium och hur du tillämpar det i CQ:

Privilegiet för att ändra hierarkin täcks av en kombination av jcr-privilegier. Replikeringsprivilegiet är namngivet crx:replikera som lagras/utvärderas tillsammans med andra behörigheter i jcr-databasen. Den tillämpas dock inte på jcr-nivån.

Definitionen och registreringen av anpassade behörigheter är officiellt en del av Jackrabbit API från version 2.4 (se även JCR-2887). Ytterligare användning täcks av JCR Access Control Management som definieras av JSR 283 (avsnitt 16). API:t Jackrabbit definierar dessutom ett par tillägg.

Behörighetsregistreringsmekanismen återspeglas i användargränssnittet under Databaskonfiguration.

Registreringen av nya (anpassade) behörigheter skyddas av ett inbyggt privilegium som måste beviljas på databasnivån. I JCR: skicka 'null' som 'absPath'-parameter i ac mgt api finns mer information i jsr 333. Som standard admin och alla administratörer har denna behörighet.