[AEM Assets]{class="badge positive" title="适用于AEM Assets)。"}
基于属性的访问控制 attribute-based-access-control
基于属性的访问控制(ABAC)使Content Hub管理员能够定义基于元数据的规则，这些规则控制对Content Hub中可用资源的访问级别。 ABAC不会依赖资产的存储位置，而是根据附加到每个资产的属性来控制访问。
组织的管理员为映射到 组ID 的用户组定义规则。 规则是逻辑运算符和比较运算符的组合，管理员可以根据需要定义任意数量的规则，以管理Content Hub中的资源访问。
规则基于元数据。 当规则中定义的条件与资源元数据匹配时，Content Hub会将资源显示给用户组。 因此，访问由元数据本身而不是由资源的存储位置动态确定。 Content Hub扫描 所有Assets 和 收藏集 内所有可用资源的资源元数据（包括自定义元数据），向用户组显示结果。
例如，当资产元数据与“Brand = Brand X”和“Region = EMEA或美洲”匹配时，允许访问具有 组ID = 1011 的用户组。 然后，Content Hub只向ID = 1011的用户组显示“Brand = Brand X”和“Region = EMEA或美洲”的资产。
可以使用以下方法配置Content Hub中的ABAC规则：
借助Content Hub中的AI助手，管理员可使用元数据和自然语言定义和管理ABAC规则。 这样可加快规则配置速度并减少对手动支持工作流程的依赖性，因此管理员可以直接调整访问策略，而不是通过支持票证来路由每次更改。
基于属性的访问控制的一些主要优势包括：
- 消除对权限文件夹结构的依赖性，将访问控制与存储位置分离
- 允许管理员上传资源并追溯确定权限结构，以便在资源已存在于系统中后应用权限
- 减少重复资源的数量并提高资源的完整性，因为单个资源可由规则管理，而不是为每个组复制。 当必须与其他组共享相同的资产时，基于文件夹的权限需要重复项。
- 启用由特定元数据属性驱动的基于规则的粒度访问
- 支持跨品牌和区域的可扩展管理，因此访问策略可以随组织一起增长
- 通过集中有关元数据的访问决策改进资源管理
如何启用基于属性的访问控制 enable-attribute-based-access-control
Content Hub中基于属性的访问控制(ABAC)通过针对定义的规则评估属性（如用户、资源和上下文属性）来管理访问，从而允许除简单角色分配之外的细粒度权限。 管理员使用以下两种方法之一在Content Hub中启用和配置ABAC规则：
-
在Content Hub中使用AI助手（由AEM治理代理提供支持）进行自助配置
管理员直接使用Content Hub中的自然语言定义和管理ABAC规则。 这样无需外部票证即可快速创建自助规则，对于希望直接在Content Hub中迭代访问策略的团队而言，这种方法最快。 -
通过Adobe支持基于电子表格的配置
管理员在电子表格中定义ABAC规则，并通过Adobe支持部门提交以进行配置。 此方法适用于大型或批量规则集，这些规则集从结构化、离线准备和审查中获益，然后由Adobe支持部门进行应用。
使用Content Hub中的AI助手配置ABAC（基于属性的访问控制）
通过使用Content Hub中由 AEM治理代理 提供支持的AI助手，您可以使用自然语言直接在Content Hub中创建和管理 ABAC （基于属性的访问控制） 规则。
ABAC （基于属性的访问控制）根据属性（如用户角色、资源元数据和上下文条件）而不是固定的预定义权限列表来管理对内容的访问。 这种属性驱动模型使访问策略更加细化，并适应不断变化的组织需求。
您可以做什么 what-you-can-do-ai-assistant
通过使用AI Assistant，管理员可以通过对话提示直接管理ABAC规则的整个生命周期：
- 搜索现有规则 — 快速查找并查看当前访问策略。
- 创建规则 — 使用纯语言说明定义新的访问控制。
- 更新规则 — 修改现有策略，而无需导航复杂的配置界面。
- 删除规则 — 删除过时或不必要的访问控制。
为什么这很重要 why-this-matters-ai-assistant
AI Assistant使管理员能够独立创建和管理访问规则，而无需依赖支持工作流。 由于规则以自然语言表示，因此管理员无需掌握专门的语法或经由支持团队路由请求。 这缩短了访问更改的周转时间，最大限度地减少对外部支持的依赖，并使治理团队能够直接、自助地控制如何在Content Hub中访问和保护内容。
开始之前 before-you-begin-ai-assistant
在使用Content Hub中的AI助手进行基于属性的访问控制(ABAC)规则配置之前，请确认以下先决条件。 必须满足以下每个要求，以确保AI Assistant在您的环境中可用并正常工作：
- 已获得Adobe Experience Manager (AEM) as a Cloud Service的许可 — 需要有效的AEM as a Cloud Service许可证才能访问AI助手功能。
- 由AEM治理代理提供支持的 AI助手已启用并且可供您的组织使用 — 此代理支持辅助的ABAC规则配置工作流。
- 如果访问权限尚不可用，请联系您的Adobe代表并完成所需的许可步骤，因为权限是在AI助手可用之前在组织级别配置的。
- try-buy程序不需要生成AI (GenAI)乘客，从而允许组织在没有附加许可组件的情况下评估AI助手。
使用AI助手配置基于属性的访问控制(ABAC)规则的步骤 steps-ai-assistant
基于属性的访问控制(ABAC)管理谁可以根据用户组和产品 元数据 等属性访问资产，而不是手动维护的静态权限列表。 在Content Hub中，AI Assistant允许您使用纯 自然语言 指令创建这些规则，然后生成结构化预览，以供在应用任何内容之前进行审阅。
-
在Content Hub中打开AI助手。
-
从简单的说明开始。
首先给出一个宽泛的提示，告诉AI助手您要完成哪些操作。 例如：
Create a new rule in Content Hub然后，AI Assistant会引导您完成创建规则所需的信息，提示您输入任何缺少的详细信息。
-
以 自然语言 定义规则。
以纯语言描述访问条件，指定用户组、资源和确定访问的属性。 例如：
Frescopa Web Marketers user group should have access to assets where product equals Frescopa -
选择必须应用 ABAC 规则的环境。
选择正确的环境可确保规则仅限定于预期目标，不会影响其他环境。
-
在应用规则之前对其进行检查。
AI Assistant生成规则的结构化预览。 不会自动应用任何内容。 您可以查看生成的规则，根据需要对其进行调整，或者在应用它之前取消操作。 此预览步骤可让您完全控制并防止意外的访问更改。
-
保存并应用规则。
保存后，将动态强制实施规则，在每次请求访问时实时评估资源元数据。 由于实施是元数据驱动的，因此该规则会在添加或更新匹配资产时自动应用于这些资产，而无需手动重新分配权限。
此强制审查步骤可在应用规则之前确保准确性，从而减少错误地授予或拒绝访问权限的风险。
使用提示管理ABAC规则 manage-abac-rules-using-prompts
开始使用AI Assistant后，使用纯语言提示而不是导航配置菜单，以对话方式管理 基于属性的访问控制(ABAC) 规则。 ABAC管理可根据用户组、区域或其他元数据属性访问资源的用户，AI Assistant允许您通过自然对话发现、创建、更新和删除这些规则。 这种对话式方法可简化访问管理，减少记住规则语法的需要，并随着团队和内容的演变更容易保持权限的准确性。
发现规则
在进行更改之前，使用这些提示查看现有的访问规则：
- 显示所有现有的Content Hub ABAC规则
创建规则
使用这些提示可授予组访问资源的权限（范围广泛或范围限于特定元数据值，如区域）：
- 创建规则以授予产品营销组访问所有资产的权限
- 授予销售组访问地区等于EMEA的资产的权限
更新规则
使用这些提示来扩展或修改现有规则，例如，扩大组可以到达的区域：
- 更新要包含APAC的EMEA营销组的规则
删除规则
使用这些提示可删除不再需要的访问规则：
- 删除产品营销组的规则
浏览元数据和组
在定义新规则之前，使用这些提示可查看可用的组和元数据属性，以便您的条件引用有效属性：
- 显示可用组和元数据属性以设置规则
使用电子表格配置ABAC
如果组织未启用AI助手，则可以使用基于电子表格的工作流配置基于属性的访问控制(ABAC)规则。 ABAC通过评估用户、资源和环境属性来控制对Adobe Experience Manager Assets的访问，电子表格方法为AI助手提供了定义这些规则的替代方法。
按照以下步骤定义和提交ABAC规则：
- 单击 下载电子表格 以下载模板并在电子表格中定义规则。
- 使用本文所述的准则，在电子表格中定义规则。
- 创建Adobe支持工单并将电子表格中定义的规则提供给Adobe。
[下载电子表格]{class="badge informative"}
使用本文所述的准则在电子表格中定义规则。
使用电子表格配置ABAC规则的步骤 steps-spreadsheet
通过电子表格工作流配置 基于属性的访问控制(ABAC) 规则，并按顺序完成以下步骤：
- 下载ABAC电子表格模板。 此模板提供了Adobe用于解释和应用访问规则的标准化结构。
- 使用基于 元数据的条件 在电子表格中定义访问规则 — 这些条件根据内容属性（如标记、属性或分类）授予或限制访问权限，而不是根据单个资产授予或限制访问权限。 这种属性驱动方法允许规则在添加与这些属性匹配的新内容时自动缩放。
- 将每个规则映射到相应的IMS (Identity Management System)组ID。 精确的映射可确保每个规则都适用于预期的用户组，从而防止向错误的受众授予或拒绝访问。
- 在注释字段中捕获每个规则的业务意图。 这可确保Adobe清楚地了解每个条件背后的目的，并准确配置访问，减少误解的风险。
- 提交Adobe支持工单并与Adobe共享已完成的电子表格。 附加最终确定的模板将为Adobe团队提供审核和实施规则所需的一切。
- Adobe根据提交的电子表格为您的组织配置规则，并将定义的ABAC条件应用于您的环境。
基于属性的访问控制用例示例 example-metadata-based-rules
为了支持大规模营销推广，跨多个地区和品牌的团队成员需要访问共享的数字资产，其中每个角色都分配了由地区和品牌定义的特定范围。 基于属性的访问控制(ABAC)通过评估资源元数据（例如附加到每个资源的region和brand属性）自动实施这些访问规则，而不是依赖手动维护的权限列表。 由于访问权限是通过将用户的分配属性与每个资源上的元数据匹配来确定的，因此权限会随着资源库的增长保持一致和最新。 下表说明了此用例的角色以及应用的规则：
通过使用这些规则，Content Hub管理员将获得：
- 粒度、基于规则的访问：用户只能看到与其区域和品牌相关的资产。 由于ABAC规则会自动评估元数据，因此此范围设定不需要手动分配权限，这可以降低管理开销和访问配置错误的风险。
- 无缝的全球协作：区域和品牌团队并行工作，不会出现访问冲突，因为每个团队的可见性都完全受其自身元数据驱动的规则的限制。
- 可扩展和未来验证权限：当添加新区域或品牌时，管理员将直接针对基础元数据更新规则，而不是按用户重新分配权限。 这使得访问模型可以直接扩展，从而确保权限结构能够跟上组织增长的步伐，而无需进行中断性的重新工作。
ABAC有用的其他方案 additional-scenarios-abac
基于属性的访问控制(ABAC)还处理以下情形，根据用户属性（如品牌、市场、团队职能和区域）来授予或限制访问：
- 全球品牌和区域访问：团队只能看到与其品牌和市场相关的资产。 这可以保持品牌一致性并降低意外跨品牌或跨市场资产敞口的风险。
- 代理和合作伙伴协作：外部代理和合作伙伴只能访问与其相关的营销活动资产。 这限制了第三方接触不相关的内部资产，同时支持有针对性的协作。
- 不同团队基于角色的访问权限：市场营销、销售和法律等团队可以访问与其职能相关的资产，确保每个团队只能使用与其职责相关的内容。
- 特定于区域的法律合规性：可以将用户限制为仅使用针对特定法规或区域要求批准的资产，这有助于强制实施合规性边界并防止在给定司法管辖区使用未经批准的内容。
支持的规则结构 supported-rule-constructs
规则由两种构造类别生成： 逻辑运算符和比较运算符，前者组合多个条件，后者针对一个值测试单个用户或资产属性。 这些结构一起准确地定义了访问被授予或拒绝的时间。
-
逻辑运算符 （将条件合并为单个评估）：
- AND：所有条件都必须评估为true，才能匹配规则。 因为每个子句都必须保留，所以AND会缩小规则的范围并实施更严格的访问要求。
- OR：要匹配规则，必须至少有一个条件的计算结果为true。 由于任何单个满足的条款就足够了，因此OR会扩展规则的范围，并涵盖多个符合条件的案例。
-
比较运算符（针对一个值测试单个属性）：
- 等于(=)：检查用户或资产属性 是否与 指定的值匹配。 这可以确保仅在属性完全对应于目标值时应用访问决策。
- 不等于(!=)：检查用户或资产属性 是否与 指定的值不匹配。 这可以确保规则排除属性与目标值不同的实体。
数组值元数据行为：当资源元数据字段包含数组（例如，多个区域或多个标记）时，比较运算符将转换为设置成员身份语义。 在这种情况下，Equals解析为 包含 个逻辑，当指定的值在数组中的任意位置存在时进行匹配，而Not Equals解析为 不包含 个逻辑，仅当指定的值在数组中完全不存在时进行匹配。 此完整的定义很重要，因为它决定在访问决策期间如何评估多值属性。
因为这些运算子能够完美地结合，它们让你编写简单但表达力强的规则，读起来几乎像通俗的语言。 例如，规则 ALLOW if region = emea （欧洲、中东和非洲） AND assetType != prototype AND tags != confidential 仅授予对EMEA区域资产的访问权限，排除任何标记为原型的资产，并排除其标记数组包含值confidential的任何资产。 因此，单个可读语句表示精确、多条件的访问策略。
准则 guidelines-attribute-based-access-control
以下准则适用于基于AI助理和基于电子表格的 基于属性的访问控制(ABAC) 规则的配置：
- ABAC规则仅适用于为Content Hub批准的资源。 有关详细信息，请参阅批准适用于Content Hub的Assets。
- 不定义DENY规则。 始终将DENY规则转换为ALLOW规则。 Content Hub中的ABAC评估是围绕基于允许的逻辑构建的，因此将每个条件表示为 ALLOW 规则可确保明确且可预测地授予访问权限，而不是从排除中推断。 例如，
ALLOW if region = user-region DENY if assetType = prototype AND confidential = yes可以转换为ALLOW if region = user-region AND (assetType != prototype OR confidential != yes)。 - ABAC规则已使用Identity Management System (IMS)组ID应用于用户组，该ID可在Admin Console中使用。 使用IMS组ID可确保规则始终绑定到正确的组标识。
- 您可以使用AEM as a Cloud Service创作环境为资源设置批准目标。 ABAC规则应用于批准目标= Content Hub的资源。 相反，审批目标=投放适用于可用于投放和Content Hub的资源。 由于标记为 审批目标=投放 的资源对Content Hub中的所有用户可见，因此ABAC限制不会限制其可见性。
- 确保ABAC规则中使用的元数据架构已正确定义，并且在AEM中可用。 提供AEM中用于定义ABAC规则中所引用属性的元数据架构或架构的完整路径。 或者，创建一个测试文件夹，其中包含与ABAC条件匹配的示例资产，以验证规则行为并准确评估访问权限。
- 在注释中捕获规则的业务意图，即使条件正确写入也是如此，因为记录的意图有助于验证和更正逻辑（如果需要）。
- 请确保用于访问规则的元数据值（如品牌、区域和产品）在所有资产中均得到一致维护。 一致的元数据值可防止规则无法匹配应由其控制的资源。
- 从关键使用案例开始，如 基于品牌的 或基于 区域的 访问，因为它们代表最常见和最直接的访问控制方案。
- 使用AI Assistant定义规则时，使用清除提示。 用商业语言描述意图，以便AI Assistant可以准确地将其转换为结构化规则。
- 为 Digital Rights Management (DRM) 设置的许可证 可移植文档格式(PDF) 文件必须对所有用户保持可见，以便用户在使用其许可证下载资源时可以查看许可证信息。
常见问题解答 faqs-attribute-based-access-control-content-hub
什么是基于属性的访问控制(ABAC)？
基于属性的访问控制(ABAC)是一种授权模型，它通过评估 属性 来授予或拒绝对资源的访问权限，而不是只评估固定角色。 在ABAC中，通过比较用户、资源、操作和周围环境的属性与一组定义的策略，在请求时动态确定访问决策。 由于这些决策是通过属性值而不是静态权限计算的，因此ABAC支持细粒度的上下文感知访问控制，这种访问控制可在大型复杂系统中扩展。
ABAC评估哪些属性？
ABAC策略通常使用四种类型的属性：
- 主题属性 — 请求访问的用户或实体的特性，如部门、职务、许可级别或组成员资格。
- 资源（对象）属性 — 正在访问的内容或资产的属性，如分类、所有者、内容类型或敏感度标签。
- 操作属性 — 正在请求的操作，如读取、编辑、发布或删除。
- 环境属性 — 请求时的上下文条件，如时间、位置、设备类型或网络。
通过组合这些属性，ABAC会根据策略规则评估每个请求，并返回允许或拒绝决策。 此机制可确保访问反映请求的特定情况，而不是单个预定义角色。
ABAC与基于角色的访问控制(RBAC)有何不同？
与 基于角色的访问控制(RBAC) 不同，ABAC根据用户分配的角色授予权限，ABAC根据一起评估的多个属性授予权限。 RBAC通过相对静态的角色定义来分配访问权限，随着角色数量的增加，这种定义将变得难以管理。 相比之下，ABAC将访问规则表示为引用属性的策略，允许单个策略涵盖许多场景，而无需为每个组合创建新的角色。 因此，ABAC通常可提供更高的灵活性和更精细的粒度，而RBAC通常更易于为直接的权限结构配置。 许多组织将这两个模型结合使用，在更广泛的基于属性的策略中将角色用作一个属性。
为什么在内容中心中使用ABAC？
在内容中心中，ABAC用于控制谁可以根据其属性查看、编辑或发布特定内容项目。 此方法使管理员能够定义一次访问规则，并在大型内容库中一致地应用这些规则，因为访问是从诸如内容分类和用户部门等属性评估的，而不是从每个项目上手动分配的权限。 实际好处包括：
- 细粒度控件 — 访问可以针对单个内容项和条件进行定制。
- 可扩展性 — 策略会在添加新内容和用户时自动应用，从而减少手动管理。
- 上下文感知 — 访问可以响应诸如位置、时间或设备等环境因素。
- 一致性 — 集中式策略在整个内容中心强制实施统一访问规则。
如何定义ABAC策略？
ABAC策略被定义为规则，用于指定必须满足哪些属性条件才能允许操作。 每个策略都将主体、资源、操作和 环境条件 链接到访问控制引擎在请求时计算的逻辑语句中。 由于策略引用属性而不是指名的个人，因此当用户和内容发生更改时，策略仍然有效，这减少了正在进行的维护，并且有助于强制实施最小权限原则。
ABAC是否比基于角色的方法更安全？
ABAC可以通过实现比仅角色模型更精确、对上下文敏感的访问决策来加强安全性。 将多个属性一起评估允许组织实施细微的条件 — 例如，限制对敏感内容的访问，除非同时满足多个标准。 ABAC的有效性依赖于设计良好的策略和准确的属性数据，因此当属性来源保持可靠和最新的时候，安全结果会得到改善。
AEM Assets Content Hub中基于属性的访问控制(ABAC)是什么？
AEM Assets Content Hub中的 基于属性的访问控制(ABAC) 是一种权限模型，它允许管理员定义 基于元数据的规则 来控制不同用户组对数字资源的访问级别。 管理员不是逐个资源分配权限，而是将访问策略表达为针对每个资源元数据中存储的属性进行评估的条件。
ABAC如何确定访问权限
根据资源的元数据是否与规则中指定的条件匹配来授予或拒绝访问。 由于是在请求时根据这些条件评估资产元数据，因此权限会在资产库中自动且一致地应用。 因此，当资产的元数据满足规则的条件时，关联的用户组可以查看或处理该资产；当元数据不符合条件时，资产将对该组保持隐藏状态。
基于属性的访问控制的关键特性
- 元数据驱动：访问决策基于资产属性，如分类、部门、区域、促销活动或使用权限，而不是基于静态的按资产权限列表。
- 粒度：规则可以定位元数据条件的精确组合，从而让管理员可以更精细地控制每个用户组可以访问的确切资源。
- 动态：由于访问遵循元数据，因此，当资源元数据更改或添加与现有规则匹配的新资源时，可见性会自动更新 — 无需手动重新授权。
- 面向组：策略应用于定义的用户组，确保每个受众只能看到与其角色相关的资产。
实际应用和好处
基于属性的访问控制非常适用于大型共享资源存储库，其中许多团队从同一Content Hub工作，但需要不同级别的可视性。 常见的应用包括将机密或未发布的资产限制在特定团队，将特定于区域的内容限制在相应的市场，以及通过仅将资产公开给允许使用这些资产的组来实施使用权或许可限制。 这种动态、基于元数据的做法减少了手动管理开销，将资产暴露给错误用户的风险降至最低，并随着资产库的增长和变化保持访问策略与资产库一致。
管理员如何在AEM Assets Content Hub中使用ABAC定义访问规则？
管理员在 Adobe Experience Manager (AEM) Assets Content Hub 内的 基于属性的访问控制(ABAC) 中定义访问规则，方法是基于资源元数据构建条件并将这些条件链接到特定用户组。 ABAC是一种访问模型，在该模型中，权限是根据资产的 属性 动态授予的，而不是手动分配的固定权限，从而允许可视性在添加新内容时自动缩放。
ABAC访问规则的工作方式
管理员通过以下步骤创建访问规则：
- 定义元数据条件 — 根据资产元数据属性设置条件，如 品牌 或区域。
- 应用逻辑运算符和比较运算符 — 使用运算符组合属性以精确表示哪些资产符合规则。
- 将条件链接到用户组ID — 将每个条件与特定的 用户组ID 相关联，将匹配的资产映射到应看到它们的组。
ABAC规则的关键组件
- 元数据属性：资源属性（如品牌或区域）用作每个条件的基础，因此访问遵循内容本身，而不是单个资源分配。
- 逻辑运算符和比较运算符：这些运算符支持精细、精确的控制，允许管理员定义与预期资源集完全匹配的窄条件或宽条件。
- 用户组ID：规则将符合条件的资产连接到定义的用户组，从而准确地确定哪些资产对每个用户组可见。
由于访问由属性驱动，因此ABAC规则会自动应用于与定义的条件匹配的任何资产。 因此，标记了相关元数据的新资产将继承正确的可见性，而无需手动重新分配，这减少了管理开销，并有助于在大型资产库之间强制实施一致、可扩展的治理。
在AEM Assets Content Hub中使用ABAC与传统基于文件夹的权限相比有何主要好处？
Adobe Experience Manager (AEM) Assets Content Hub中的 基于属性的访问控制(ABAC) 根据资产属性和元数据而不是物理文件夹位置授予权限。 与传统基于文件夹的权限相比，这是主要优势：访问权限由资产 是 而不是存储在何处决定。
AEM Assets Content Hub中ABAC的主要优势
- 消除对权限文件夹结构的依赖性。 访问权限由属性和元数据而不是固定的文件夹层次结构驱动，因此管理员不再被迫围绕谁可以查看哪些内容来设计文件夹树。
- 启用追溯权限分配。 管理员可以先上传资源，然后再分配权限，从而将内容的摄取与访问规则的定义分离。
- 减少所需的重复资产数量，因为单个资产可以由多个基于属性的规则管理，而不是复制到单独的文件夹中以服务于不同的受众。
- 简化多个组之间的共享。 当同一资产必须可供多个团队或受众使用时，ABAC允许通过属性规则而不是重复投放位置向每个组公开一个权威副本。
为什么ABAC简化权限管理
由于权限是附加到属性而不是文件夹路径，因此ABAC消除了强制管理员在访问需要更改时复制资产或重构文件夹的刚性。 当资产需要与多个组共享时，这一点尤其重要，因为一个受管理的资产可以同时满足多个访问方案。
因此，ABAC提高了资产完整性并简化了权限管理。 维护较少的重复副本意味着每个资产都有一个真实来源，这减少了版本漂移和过时文件循环的风险。 通过将资产上传与权限分配分开，ABAC为管理员提供了一个更灵活、可扩展的模型来控制大型且不断发展的资产库的访问。
管理员能否直接在AEM Assets Content Hub界面中设置ABAC规则？
是。 管理员可以直接在 Adobe Experience Manager (AEM) Assets Content Hub 界面中配置 基于属性的访问控制(ABAC) 规则。 ABAC根据用户角色、资产元数据和组织上下文等属性管理资产访问，允许动态应用权限，而不是通过手动分配的固定列表来应用。
管理员有两个受支持的设置ABAC规则的路径：
- Content Hub中的AI助手 — 管理员可以使用 AI助手 直接在界面中配置ABAC规则，前提是为其组织启用了此功能。 这种界面内方法使团队无需离开Content Hub即可定义和调整访问规则。
- 通过Adobe支持提供的基于电子表格的工作流 — 管理员可以通过Adobe支持继续使用已建立的基于电子表格的工作流，该工作流仍可用作定义ABAC规则的替代方法。
由于这两个选项产生相同的ABAC治理结果，因此组织可以选择AI Assistant进行直接的界面内配置，也可以根据操作偏好和为其环境启用的功能保留基于电子表格的工作流。
在AEM Assets Content Hub中设置ABAC规则时，可以使用哪些类型的元数据条件？
Adobe Experience Manager (AEM) Assets Content Hub中基于属性的访问控制(ABAC)规则支持两类元数据条件：逻辑运算符和比较运算符，它们针对在AEM元数据架构中定义的元数据属性进行计算。 ABAC通过评估附加到内容的属性来控制谁可以访问哪些资源，因此元数据条件构成了决定访问结果的核心逻辑。
支持的运算符
ABAC规则使用以下运算符类型组合和比较元数据值：
- 逻辑运算符 — AND和OR，用于在单个规则中组合多个元数据条件。
- 比较运算符 — 等于且不等于，用于测试元数据属性是否与指定的值匹配。
结合逻辑运算符和比较运算符，允许使用一条规则来表示广泛而准确的访问条件。
符合条件的元数据属性
元数据条件可以基于通常与数字资源关联的一系列属性字段构建，包括：
- 地区
- 品牌
- 产品
- 营销活动
- 资源类型
- 发布状态
这些属性允许组织根据资产的分类方式设置访问范围 — 例如，按市场区域、品牌所有权、产品线、活动关联、资产格式或发布状态限制可见性。
元数据架构要求
ABAC规则中引用的元数据属性必须正确定义，并且在AEM元数据架构中可用。 此要求可确保规则引擎可靠地定位和评估每个属性；如果架构中缺少属性或配置不正确，则无法评估相应的条件，并且规则可能无法按预期应用。 因此，确认架构中存在规则中使用的每个字段，对于一致且可预测的访问控制至关重要。
为什么AEM Assets Content Hub ABAC对于拥有大型团队和多种资源需求的组织特别有用？
Adobe Experience Manager (AEM) Assets Content Hub中的 基于属性的访问控制(ABAC) 对于拥有大型团队的组织特别有用，因为它允许对资源进行粒度、基于规则的访问，该访问由用户和资源属性自动确定，而不是手动维护的权限列表。 这使得ABAC非常适合于跨多个团队、市场和产品线管理各种资产库的企业。
ABAC如何控制资源访问
与静态、仅角色权限模型不同，ABAC在访问时评估属性组合，仅在满足定义的规则时才授予可见性。 访问决策通常由以下属性驱动：
- 用户角色 — 将资源与人员的工作职能或职责相匹配
- 地区 — 根据地理或市场限制或公开资产
- 品牌 — 在多品牌组织中按品牌标识区分资产
- 业务需求 — 根据团队、部门或营销活动要求调整访问权限
由于这些规则是动态应用的，因此管理员只定义逻辑一次，然后让系统在整个资产目录中始终一致地强制实施逻辑。
大型分布式团队的实际优势
ABAC可确保用户仅看到与其职责相关的资产，这直接减少了混乱，防止意外使用未经授权的内容，并使大型资产库保持可导航性。 因此，组织获得了几项实际优势：
- 无手动权限分配 — 访问受规则控制，而不是逐个授予控制，从而随着团队的增长减少管理开销。
- 资产没有过度重复 — 单个集中管理的资产可以通过属性向正确的受众公开，而不是复制到每个团队、区域或品牌的单独思洛存储器中。
- 相关、经过筛选的体验 — 由于可见性与责任相关联，因此每个用户都从属于其需求的视图工作，从而提高效率和资产治理。
这种属性驱动的方法可以针对拥有大型团队和多种资产需求的组织进行简洁的扩展，因为添加新用户、地区或品牌需要更新属性和规则，而不是在整个系统中重建权限。
在将ABAC电子表格提交到AEM Assets Content Hub支持之前，管理员应该如何为Adobe准备该电子表格？
要为 AEM Assets Content Hub 准备 基于属性的访问控制(ABAC) 电子表格，管理员必须先完成一系列配置和文档步骤，然后才能将其提交到Adobe支持部门。 ABAC通过评估属性（如用户组成员资格、权限和元数据条件）来控制访问，因此，结构正确的电子表格对于Adobe支持部门将预期访问模型转换为工作配置至关重要。
准备ABAC电子表格的步骤
- 在Adobe Admin Console中创建用户组。 在 Adobe Admin Console 中设置所需的用户组，该位置是跨Adobe产品管理用户和组的中心位置。 在此处建立组可确保访问规则映射到实际配置的身份而不是占位符值。
- 记录组ID。 记下每个用户组的组ID。 这些标识符唯一地引用电子表格中的每个组，从而允许Adobe支持将每个访问规则与正确的组进行匹配，并且不会产生歧义。
- 为每个组定义权限和条件。 在电子表格中明确指定直接应用于每个组的权限和条件。 明确的定义可防止误解，并确保每个组都能准确地获得其预期访问权限。
- 将元数据属性映射到相应的架构。 确认所有 元数据属性 都已正确映射到其对应的架构。 准确映射至关重要，因为ABAC条件依赖于元数据属性，并且属性和架构之间的任何不匹配都可能导致访问规则失败或出现意外行为。
- 在评论列中记录业务意图。 使用 注释列 阐明每个规则背后的业务意图。 此上下文可帮助Adobe支持人员了解每个规则的用途，减少反复说明并确保最终配置反映组织的实际访问治理目标。
完成这些步骤会生成一个可验证的自解性电子表格，它会简化向Adobe支持的移交并降低实施期间配置错误的风险。
另请参阅