用户管理和安全性 user-administration-and-security

本章介绍如何配置和维护用户授权，还描述了在AEM中如何进行身份验证和授权的理论基础。

AEM中的用户和组 users-and-groups-in-aem

本节将更详细地介绍各种实体和相关概念，以帮助您配置易于维护的用户管理概念。

用户 users

用户使用其帐户登录AEM。 每个用户帐户都是唯一的，包含基本帐户详细信息以及分配的权限。

用户通常是组的成员，这简化了权限和/或权限的分配。

组 groups

组是用户集合或其他组，或同时是两者。 这些集合均称为组的成员。

它们的主要目的是通过减少要更新的实体数量来简化维护过程，因为对组所做的更改将应用于组的所有成员。 群组通常反映：

因此，群组倾向于保持稳定，而用户更频繁地来来往。

有了规划和干净的结构，组的使用可以反映您的结构，为您提供清晰的概述和有效率的更新机制。

内置用户和组 built-in-users-and-groups

AEM WCM安装了多个用户和组。 在安装后首次访问Security Console时，将会看到这些集合。

下表列出了每个项目以及：

更改所有默认密码（如果在某些情况下不删除帐户本身）。

AEM中的权限 permissions-in-aem

AEM使用ACL来确定用户或组可以执行的操作以及在何处可以执行这些操作。

权限和ACL permissions-and-acls

权限定义谁可以对资源执行哪些操作。 权限是访问控制评估的结果。

通过选中或清除各个AEM 操作的复选框，可以更改授予/拒绝给给定用户的权限。 复选标记表示允许执行某个操作。 无复选标记表示操作被拒绝。

选中标记在网格中的位置还指示用户在AEM中的哪些位置（即哪些路径）具有哪些权限。

操作 actions

可以对页面（资源）执行操作。 对于层级中的每个页面，您可以指定允许用户在该页面上执行的操作。 权限允许您允许或拒绝操作。

访问控制列表及其评估方式 access-control-lists-and-how-they-are-evaluated

AEM WCM使用访问控制列表(ACL)来组织应用于各种页面的权限。

访问控制列表由各个权限组成，用于确定应用这些权限的顺序。 根据所考虑页面的层次结构形成列表。 然后自下而上扫描此列表，直到找到应用于页面的第一个相应权限为止。

权限状态 permission-states

这些权限也将应用于任何子页面。

如果权限不是从父节点继承，而是至少具有一个本地条目，则以下符号将附加到复选框。 本地条目是在CRX 2.2界面中创建的条目(当前只能在CRX中创建通配符ACL。)

对于给定路径下的操作：

当您将鼠标悬停在星号或感叹号上时，工具提示会提供有关已声明条目的更多详细信息。 工具提示分为两部分：

以下是有关管理访问控制列表的建议：

在修改任一权限之前，请确保您了解它们的工作方式和相互关系。 请参阅说明AEM WCM 如何评估访问权限的CRX文档，以及有关设置访问控制列表的示例。

权限 permissions

通过权限，用户和组可以访问AEM页面上的AEM功能。

您可以通过展开/折叠节点来按路径浏览权限，并且一直跟踪到根节点的权限继承。

通过选中或清除相应的复选框，您可以允许或拒绝权限。

查看详细的权限信息 viewing-detailed-permission-information

与网格视图一起，AEM提供给定路径下选定用户/组的权限的详细视图。 详细信息视图提供其他信息。

除了查看信息之外，您还可以包括或排除组中的当前用户或组。 请参阅添加权限时添加用户或组。 此处所做的更改会立即反映在详细视图的上部。

要访问“详细信息”视图，请在​ 权限 ​选项卡中，单击任何选定组/用户和路径的​ 详细信息。

详细信息分为两个部分：

模拟其他用户 impersonating-another-user

通过模拟功能，用户可以代表其他用户工作。

也就是说，用户帐户可以指定可以与其帐户一起操作的其他帐户。 例如，如果允许用户B模拟用户A，则用户B可以使用用户A的完整帐户详细信息执行操作。

此功能允许模拟者帐户完成任务，就像他们使用自己所模拟的帐户一样。 例如，在缺勤期间或短期共用过度负荷。

最佳实践 best-practices

下面描述了使用权限和特权时的最佳实践：

管理用户和组 managing-users-and-groups

用户包括使用系统的人员和向系统发出请求的外部系统。

组是一组用户。

两者都可以使用安全控制台中的用户管理功能进行配置。

使用安全控制台访问用户管理 accessing-user-administration-with-the-security-console

您可以使用“安全”控制台访问所有用户、组和关联的权限。 在此窗口中执行本节中介绍的所有过程。

要访问AEM WCM安全性，请执行以下操作之一：

将显示以下窗口：

左边的树状结构列出了系统中当前的所有用户和组。 您可以选择要显示的列，对列内容进行排序，甚至通过将列标题拖到新位置来更改列的显示顺序。

通过选项卡可访问各种配置：

筛选用户和组 filtering-users-and-groups

您可以通过输入过滤表达式来过滤列表，该表达式将隐藏所有与表达式不匹配的用户和组。 您还可以使用隐藏用户和隐藏组按钮来隐藏用户和组。

要筛选用户或组，请执行以下操作：

隐藏用户和组 hiding-users-and-groups

隐藏用户或组是筛选系统中所有用户和组列表的另一种方法。 有两种切换机制。 单击“隐藏用户”可隐藏视图中的所有用户，单击“隐藏组”可隐藏视图中的所有组（不能同时隐藏用户和组）。 若要使用筛选器表达式筛选列表，请参阅筛选用户和组。

要隐藏用户和组：

创建用户和组 creating-users-and-groups

要创建用户或组，请执行以下操作：

删除用户和组 deleting-users-and-groups

要删除用户或组，请执行以下操作：

修改用户和组属性 modifying-user-and-group-properties

要修改用户和组属性，请执行以下操作：

更改用户密码 changing-a-user-password

使用以下过程可修改用户的密码。

将用户或组添加到组 adding-users-or-groups-to-a-group

AEM提供了三种将用户或组添加到现有组的方法：

组 — 将用户或组添加到组 groups-adding-users-or-groups-to-a-group

组 ​选项卡显示当前帐户属于哪些组。 您可以使用它来将所选帐户添加到组：

成员 — 将用户或组添加到组 members-adding-users-or-groups-to-a-group

成员 ​选项卡仅适用于组，它会显示哪些用户和组属于当前组。 您可以使用它向组添加帐户：

添加权限时添加用户或组 adding-users-or-groups-while-adding-permissions

要按特定路径将成员添加到所在的组，请执行以下操作：

从组中删除用户或组 removing-users-or-groups-from-groups

AEM提供了三种从组中删除用户或组的不同方式：

组 — 从组中删除用户或组 groups-removing-users-or-groups-from-groups

要从组中删除用户或组帐户，请执行以下操作：

成员 — 从组中移除用户或组 members-removing-users-or-groups-from-groups

要从组中删除帐户，请执行以下操作：

添加权限时删除用户或组 removing-users-or-groups-while-adding-permissions

要从特定路径下的组中删除成员，请执行以下操作：

用户同步 user-synchronization

当部署是发布场时，必须在所有发布节点之间同步用户和组。

要了解用户同步以及如何启用用户同步，请参阅用户同步。

管理权限 managing-permissions

本节介绍如何设置权限，包括复制权限。

设置权限 setting-permissions

权限允许用户对特定路径上的资源执行特定操作。 它还包含创建或删除页面的功能。

要添加、修改或删除权限：

设置复制权限 setting-replication-privileges

复制权限是发布内容的权限，可为组和用户设置此权限。

要设置复制权限，请执行以下操作：

搜索节点 searching-for-nodes

添加或删除权限时，您可以浏览或搜索节点。

有两种不同类型的路径搜索：

在搜索框中，可以执行以下操作：

要对路径或全文执行搜索，请执行以下操作：

模拟用户 impersonating-users

您可以指定一个或多个允许模拟当前用户的用户。 这种能力意味着他们可以将其帐户设置切换到当前用户的并代表此用户执行操作。

使用此功能时请务必谨慎，因为它可能会允许用户执行其自己的用户无法执行的操作。 模拟用户时，系统会通知用户他们未以自己的身份登录。

在多种情况下，您可能希望使用此功能，包括：

模拟现有用户：

设置用户和组首选项 setting-user-and-group-preferences

要设置用户和组首选项，包括语言、窗口管理和工具栏首选项，请执行以下操作：

将用户或管理员设置为具有管理其他用户的权限 setting-users-or-administrators-to-have-the-privilege-to-manage-other-users

要将用户或管理员设置为具有删除/激活/停用其他用户的权限，请执行以下操作：

在项目级别扩展权限 extending-privileges-on-a-project-level

如果您计划实施特定于应用程序的权限，以下信息将描述实施自定义权限所必须了解的信息，以及如何在CQ中实施自定义权限：

jcr-privileges的组合覆盖了层次结构修改权限。 复制权限名为​ crx：replicate，与jcr存储库上的其他权限一起存储/评估。 但是，它不在jcr级别强制执行。

自版本2.4起，自定义权限的定义和注册正式是Jackrabbit API的一部分（另请参阅JCR-2887）。 JCR访问控制管理（如JSR 283定义的）涵盖了其他用法（第16节）。 此外，Jackrabbit API还定义了几个扩展。

权限注册机制反映在​ 存储库配置 ​下的UI中。

新（自定义）权限的注册本身受必须在存储库级别授予的内置权限保护。 在JCR：在ac mgt api中将“null”作为“absPath”参数传递，有关详细信息，请参阅jsr 333 。 默认情况下，admin ​和管理员的所有成员都已获得该权限。