[AEM Assets]{class="badge positive" title="適用於AEM Assets)。"}
屬性型存取控制 attribute-based-access-control
屬性型存取控制(ABAC)可讓Content Hub管理員定義中繼資料型規則，這些規則可控制Content Hub中可用資產的存取層級。 ABAC不會依賴資產的儲存位置，而是根據附加到每個資產的屬性來管理存取權。
組織的管理員會為對應至 群組識別碼 的使用者群組定義規則。 規則是邏輯運運算元和比較運運算元的組合，管理員可視需要定義任意數量的規則，以管理Content Hub中的資產存取許可權。
規則是以 中繼資料 為基礎。 當規則中定義的條件符合資產中繼資料時，Content Hub會將資產顯示給使用者群組。 因此，存取權是由中繼資料本身動態決定，而非由資產的儲存位置決定。 Content Hub會針對 所有Assets 和 集合 內可用的所有資產，掃描資產中繼資料（包括自訂中繼資料），以向使用者群組顯示結果。
例如，當資產中繼資料符合「品牌=品牌X」和「地區=歐洲、中東和非洲地區」時，允許存取具有 群組識別碼= 1011 的使用者群組。 Content Hub接著會向使用者群組顯示ID = 1011的資產，僅限於「Brand = Brand X」和「Region = EMEA或美洲」的資產。
Content Hub中的ABAC規則可使用以下方法設定：
透過Content Hub中的AI助理，管理員可使用中繼資料和自然語言定義和管理ABAC規則。 如此可加快規則設定，並減少手動支援工作流程的相依性，因此管理員可以直接調整存取原則，而非透過支援票證路由每個變更。
屬性式存取控制的一些主要優點包括：
- 消除對許可權之資料夾結構的相依性，將存取控制與儲存位置分離
- 可讓系統管理員上傳資產並回溯決定許可權結構，以便在資產已進入系統後套用許可權
- 減少重複資產的數目並改善資產完整性，因為單一資產可由規則管理，而非針對每個群組複製。 當相同的資產必須與其他群組共用時，資料夾型許可權需要重複專案。
- 啟用由特定中繼資料屬性驅動的細微規則型存取
- 支援跨品牌與地區的可擴充控管，因此存取原則可隨著組織成長
- 集中處理中繼資料的存取決定，以改進資產管理
如何啟用以屬性為基礎的存取控制 enable-attribute-based-access-control
Content Hub中基於屬性的存取控制(ABAC)會根據定義的規則評估屬性（例如使用者、資源和內容屬性），以管理存取，允許除了簡單角色指派以外的微調許可權。 管理員可使用下列兩種方法之一在Content Hub中啟用和設定ABAC規則：
-
使用Content Hub中的AI助理的自助設定（由AEM Governance Agent提供技術支援）
管理員直接使用Content Hub中的自然語言定義和管理ABAC規則。 這可以在沒有外部票證的情況下快速建立自助式規則，對於想要直接在Content Hub中迭代存取原則的團隊而言，這可是最快的方法。 -
透過Adobe支援的試算表式組態
管理員會在試算表中定義ABAC規則，並透過Adobe支援提交以進行設定。 此方法適合大型或大量規則集，這些規則集可在套用Adobe支援前，從結構化的離線準備和檢閱中獲益。
使用Content Hub中的AI助理設定ABAC （屬性型存取控制）
透過Content Hub中的AI小幫手 （由 AEM治理代理程式 支援），您可以使用自然語言直接在Content Hub中建立和管理 ABAC （屬性型存取控制） 規則。
ABAC （以屬性為基礎的存取控制）會根據屬性（例如使用者角色、資產中繼資料和內容相關條件）來管理內容的存取，而非固定的預先定義許可權清單。 此屬性導向模型可讓存取原則更精細，並更能適應不斷變化的組織需求。
您可以做什麼 what-you-can-do-ai-assistant
使用AI Assistant，管理員可以直接透過對話提示管理ABAC規則的完整生命週期：
- 搜尋現有規則 — 快速找到並檢閱目前的存取原則。
- 建立規則 — 使用純語言指示定義新的存取控制。
- 更新規則 — 修改現有原則，無需導覽複雜的組態介面。
- 刪除規則 — 移除過時或不必要的存取控制項。
為什麼這很重要 why-this-matters-ai-assistant
AI Assistant可讓管理員獨立建立和管理存取規則，而不需依賴支援工作流程。 由於規則是以自然語言表示，因此管理員不需要掌握專門的語法，或透過支援團隊路由請求。 這可縮短存取變更的週轉時間，最大程度減少對外部支援的依賴，並讓治理團隊在Content Hub中直接、自助地控制內容的存取和保護方式。
開始之前 before-you-begin-ai-assistant
在Content Hub中使用AI助理進行屬性式存取控制(ABAC)規則設定之前，請確認下列先決條件。 必須符合以下每個要求，才能確保AI Assistant在您的環境中可以使用和運作：
- 授權給Adobe Experience Manager (AEM) as a Cloud Service — 需要有效的AEM as a Cloud Service授權才能存取AI助理功能。
- 由AEM Governance代理程式提供支援的 AI小幫手 已啟用並可供您的組織使用 — 此代理程式可支援ABAC規則設定輔助工作流程。
- 如果尚未提供存取權，請聯絡您的Adobe代表並完成必要的授權步驟，因為權益是在AI助理可用之前在組織層級布建的。
- try-buy方案不需要generative AI (GenAI)附加程式，可讓組織評估AI Assistant，而不需要額外的授權元件。
使用AI助理設定以屬性為基礎的存取控制(ABAC)規則的步驟 steps-ai-assistant
以屬性為基礎的存取控制(ABAC)管理誰能根據使用者群組和產品 中繼資料 等屬性來存取資產，而非使用靜態的手動維護許可權清單。 在Content Hub中，AI Assistant可讓您使用純 自然語言 指示建立這些規則，然後在套用任何內容之前產生結構化預覽以供檢閱。
-
在Content Hub中開啟AI助理。
-
從簡單的指示開始。
以寬泛的提示開始，告訴AI助理您想達成的目標。 例如：
Create a new rule in Content HubAI Assistant接著會引導您完成建立規則所需的資訊，提示您輸入任何遺漏的詳細資訊。
-
以 自然語言 定義規則。
以簡單語言說明存取條件，指定使用者群組、資產和決定存取的屬性。 例如：
Frescopa Web Marketers user group should have access to assets where product equals Frescopa -
選取必須套用 ABAC 規則的環境。
選擇正確的環境可確保規則範圍僅限於預期目標，不會影響其他環境。
-
在套用規則之前，請先檢閱規則。
AI助理會產生規則的結構化預覽。 不會自動套用任何專案。 您可以檢閱產生的規則，視需要加以調整，或在套用之前取消動作。 此預覽步驟可讓您完全控制並防止意外的存取變更。
-
儲存並套用規則。
儲存後，規則會以動態方式強制執行，在每次要求存取時即時評估資產中繼資料。 由於執行是中繼資料導向，規則會在相符資產新增或更新時自動套用至相符資產，而不需要手動重新指派許可權。
此強制檢閱步驟可確保套用規則之前的準確性，降低不正確地授予或拒絕存取許可權的風險。
使用提示管理ABAC規則 manage-abac-rules-using-prompts
開始使用AI小幫手之後，您會使用純語言提示而不是導覽組態功能表，以對話方式管理 以屬性為基礎的存取控制(ABAC) 規則。 ABAC管理可根據使用者群組、區域或其他中繼資料屬性存取資產的使用者，而AI助理可以讓您透過自然對話探索、建立、更新及刪除這些規則。 這種對話式方法可簡化存取管理、降低記憶規則語法的需求，並隨著團隊和內容的發展更輕鬆地保持許可權的正確性。
探索規則
在進行變更之前，使用這些提示來檢閱已存在的存取規則：
- 顯示所有現有Content Hub ABAC規則
建立規則
使用這些提示來授予群組資產存取權，可以是廣泛的，也可以限定為特定中繼資料值的範圍，例如區域：
- 建立可讓產品行銷群組存取所有資產的規則
- 讓銷售群組存取地區等於EMEA的資產
更新規則
使用這些提示來延伸或修改現有規則，例如擴大群組可觸及的區域：
- 更新EMEA行銷群組規則以包含APAC
刪除規則
使用這些提示來移除不再需要的存取規則：
- 刪除產品行銷群組的規則
探索中繼資料和群組
在定義新規則之前，使用這些提示來檢視可用的群組和中繼資料屬性，以便您的條件參考有效屬性：
- 顯示可用群組和中繼資料屬性以設定規則
使用試算表設定ABAC
如果您的組織未啟用AI助理，您可以使用試算表式工作流程來設定以屬性為基礎的存取控制(ABAC)規則。 ABAC會透過評估使用者、資源和環境屬性來管理Adobe Experience Manager Assets的存取權，試算表方法則提供AI助理的替代方式來定義這些規則。
請依照下列步驟定義並提交ABAC規則：
- 按一下下載試算表，即可下載範本並在試算表中定義規則。
- 使用本文所述的准則，在試算表中定義規則。
- 建立Adobe支援票證，並將試算表中定義的規則提供給Adobe。
[下載試算表]{class="badge informative"}
使用本文所述的准則，在試算表中定義規則。
使用試算表設定ABAC規則的步驟 steps-spreadsheet
透過試算表工作流程設定 以屬性為基礎的存取控制(ABAC) 規則，依序完成下列步驟：
- 下載ABAC試算表範本。 此範本提供Adobe用來解譯和套用存取規則的標準化結構。
- 在試算表中使用 中繼資料型條件 定義存取規則 — 這些條件會根據內容屬性（例如標籤、屬性或分類）來授與或限制存取，而不是根據個別資產。 這個屬性驅動方法可讓規則在新增符合這些屬性的新內容時自動縮放。
- 將每個規則對應到適當的IMS （Identity Management系統）群組識別碼。 精確的對應可確保每個規則都套用至預期的使用者群組，防止存取許可權被授予或拒絕給錯誤的對象。
- 在註解欄位中擷取每個規則的商業目的。 這可確保Adobe清楚瞭解每個條件背後的目的，並準確設定存取權，減少誤解的風險。
- 提交Adobe支援票證，並與Adobe共用完成的試算表。 附加已完成範本為Adobe團隊提供檢閱及實施您的規則所需的一切。
- Adobe會根據提交的試算表設定組織的規則，將定義的ABAC條件套用至您的環境。
以屬性為基礎的存取控制使用案例範例 example-metadata-based-rules
為了支援大規模的行銷推出，跨多個地區和品牌的團隊成員需要存取共用的數位資產，而每個角色都被授予由地區和品牌定義的特定範圍。 以屬性為基礎的存取控制(ABAC)會透過評估資產中繼資料 （例如附加至每個資產的region和brand屬性）來自動強制這些存取規則，而不是依賴手動維護的許可權清單。 由於存取權是以比對使用者指派的屬性與每個資產的中繼資料來決定，因此許可權會隨著資產庫的擴展保持一致和最新狀態。 下表說明此使用案例的角色以及套用的規則：
使用這些規則，Content Hub管理員將獲得：
- 精細、規則型存取：使用者只會看到與其地區和品牌相關的資產。 由於ABAC規則會自動評估中繼資料，此範圍設定不需要手動指派許可權，因此可減少管理開銷及存取權設定錯誤的風險。
- 緊密的全球共同作業：區域與品牌團隊並行運作，不會發生存取衝突，因為每個團隊的可見度都嚴格受限於其自己的中繼資料導向規則。
- 可擴充且符合未來的校訂許可權：隨著新地區或品牌的新增，管理員會直接根據基礎中繼資料更新規則，而非依使用者重新指派許可權。 這可讓存取模式直接擴充，確保許可權結構能跟上組織成長的腳步，且不會造成工作中斷。
ABAC有用的其他案例 additional-scenarios-abac
以屬性為基礎的存取控制(ABAC)也會處理下列案例，根據使用者屬性（例如品牌、市場、團隊職能和區域）來授與或限制存取權：
- 全球品牌和區域存取：團隊只會看到與其品牌和市場相關的資產。 這可維持品牌一致性，並降低意外跨品牌或跨市場資產曝光的風險。
- 代理與合作夥伴共同作業：外部代理與合作夥伴只能存取與其相關的行銷活動資產。 如此一來，協力廠商就能在啟用重點共同作業的同時，限制不相關的內部資產接觸風險。
- 不同團隊的角色型存取權：行銷、銷售和法務等團隊可以存取與其職能相關的資產，確保每個團隊只能使用與其職責相關的內容。
- 特定區域的法規遵循：使用者可以限製為符合特定法規或區域要求的核准資產，這有助於強制遵守法規界限，並防止在指定管轄區使用未經核准的內容。
支援的規則建構 supported-rule-constructs
規則是由兩種類別的建構所建置： 邏輯運運算元 （結合多個條件）和比較運運算元 （針對某個值測試個別使用者或資產屬性）。 這些建構會共同定義存取權被授予或拒絕的確切時間。
-
邏輯運運算元 （將條件合併為單一評估）：
- AND：所有條件都必須評估為true，才會符合規則。 因為每個子句都必須保留，所以AND會縮小規則的範圍，並強制實行更嚴格的存取需求。
- OR：要符合規則，至少必須有一個條件評估為true。 因為任何單一滿足條款就足夠了，OR會擴大規則的範圍，並涵蓋多個合格案例。
-
比較運運算元 （測試單一屬性與值）：
- 等於(=)：檢查使用者或資產屬性 是否符合 指定的值。 這可確保只有在屬性完全對應到目標值時才套用存取決策。
- 不等於(!=)：檢查使用者或資產屬性 是否不符合 指定的值。 這可確保規則會排除其屬性與目標值不同的實體。
陣列值中繼資料行為：當資產中繼資料欄位包含陣列（例如，多個區域或多個標籤）時，比較運運算元會移至設定成員資格語意。 在此案例中，Equals解析為 包含 邏輯，當指定的值出現在陣列中的任何位置時比對，而Not Equals解析為 不包含 邏輯，只有在陣列中完全不存在指定的值時比對。 這個完整的定義很重要，因為它決定在存取決定期間如何評估多值屬性。
由於這些運運算元能完美結合，因此可讓您撰寫簡單但表達力強的規則，讀起來幾乎像是簡單的語言。 例如，規則 ALLOW if region = emea （歐洲、中東和非洲） AND assetType != prototype AND tags != confidential 僅授予位於EMEA區域之資產的存取權，排除任何標示為原型的資產，並排除其標籤陣列包含值confidential的任何資產。 因此，單一可讀陳述式會表示精確的多條件存取原則。
准則 guidelines-attribute-based-access-control
下列准則同時適用於 屬性型存取控制(ABAC) 規則的AI助理與試算表型設定：
- ABAC規則僅適用於核准用於Content Hub的資產。 如需詳細資訊，請參閱核准Content Hub的Assets。
- 不定義DENY規則。 一律將DENY規則轉換為ALLOW規則。 Content Hub中的ABAC評估是圍繞允許型邏輯建置的，因此以 ALLOW 規則表示每個條件可確保明確且可預測地授與存取權，而不是從排除中推斷。 例如，
ALLOW if region = user-region DENY if assetType = prototype AND confidential = yes可以轉換為ALLOW if region = user-region AND (assetType != prototype OR confidential != yes)。 - ABAC規則已使用Identity Management System (IMS)群組ID套用至使用者群組，可在Admin Console中使用。 使用IMS群組ID可確保規則會一致地繫結到正確的群組身分。
- 您可以使用AEM as a Cloud Service作者環境設定資產的核准目標。 ABAC規則已套用至核准目標= Content Hub的核准資產。 相對地，核准目標=傳遞適用於傳遞和Content Hub都可用的資產。 由於標示為 核准目標=傳送 的資產對Content Hub中的所有使用者可見，因此ABAC限制不會限制其可見性。
- 請確定ABAC規則中使用的中繼資料結構已正確定義，並可在AEM中使用。 提供AEM中定義在ABAC規則中參考之屬性的中繼資料結構或結構的完整路徑。 或者，建立測試資料夾，其中包含符合ABAC條件的範例資產，以驗證規則行為並準確評估存取權。
- 擷取註解中規則的商業目的，即使條件已正確寫入，因為記錄的目的有助於驗證及修正邏輯（若有需要）。
- 確保用於存取規則的中繼資料值（例如品牌、區域和產品）在各資產間維持一致。 一致的中繼資料值可防止規則無法比對應由規則控管的資產。
- 從主要使用案例開始，例如 品牌型 或 地區型 存取，因為這些案例代表最常見且最直接的存取控制案例。
- 使用AI助理定義規則時，請使用清除提示。 使用商業語言描述意圖，讓AI助理可以準確地將其轉換為結構化規則。
- 授權為 Digital Rights Management (DRM) 設定的 可攜式檔案格式(PDF) 檔案必須對所有使用者可見，以便使用者在使用其授權下載資產時可以檢閱授權資訊。
常見問題 faqs-attribute-based-access-control-content-hub
什麼是屬性型存取控制(ABAC)？
以屬性為基礎的存取控制(ABAC)是一種授權模型，會藉由評估 屬性 來授與或拒絕對資源的存取權，而非只評估固定角色。 在ABAC中，存取決策是在要求時透過比較使用者、資源、動作和周圍環境的屬性與一組定義的 原則 來動態決定。 由於這些決定是從屬性值而不是靜態許可權計算的，因此ABAC支援可跨大型複雜系統進行擴展的微粒化、內容感知存取控制。
ABAC會評估哪些屬性？
ABAC原則通常使用四種屬性類別：
- 主體屬性 — 要求存取權之使用者或實體的特性，例如部門、職稱、許可等級或群組成員資格。
- 資源（物件）屬性 — 正在存取的內容或資產的屬性，例如分類、擁有者、內容型別或敏感度標籤。
- 動作屬性 — 正在要求的作業，例如讀取、編輯、發佈或刪除。
- 環境屬性 — 要求時的內容條件，例如時間、位置、裝置型別或網路。
藉由結合這些屬性，ABAC會根據原則規則評估每個要求，並傳回允許或拒絕決定。 此機制可確儲存取權反映請求的特定情況，而非單一預先定義的角色。
ABAC與角色型存取控制(RBAC)有何不同？
與 角色型存取控制(RBAC) 不同，ABAC會根據使用者指派的角色授與許可權，而會根據一起評估的多個屬性授與許可權。 RBAC會透過相對靜態的角色定義來指派存取權，當角色數量成倍增加時，這種定義會變得難以管理。 相較之下，ABAC會將存取規則表示為參照屬性的原則，讓單一原則涵蓋許多案例，而不會為每個組合建立新角色。 因此，ABAC通常可提供更高的彈性和更精細的粒度，而RBAC通常可更輕鬆設定為直接的許可權結構。 許多組織會結合這兩個模型，在更廣泛的以屬性為基礎的原則中將角色當作一個屬性。
為何要在內容中心使用ABAC？
在內容中樞中，ABAC用來根據屬性控制誰可以檢視、編輯或發佈特定內容專案。 此方法可讓管理員定義一次存取規則，並在大型內容資料庫中一致地套用這些規則，因為存取權是從屬性（例如內容分類和使用者部門）評估的，而不是從每個專案手動指派許可權。 實際優點包括：
- 微調控制項 — 存取權可針對個別內容專案和條件量身打造。
- 擴充性 — 原則會在新增內容和使用者時自動套用，減少手動管理。
- 內容感知 — 存取可回應環境因素，例如位置、時間或裝置。
- 一致性 — 集中式原則會在整個內容中心強制實施統一的存取規則。
如何定義ABAC原則？
ABAC原則定義為規則，指定必須滿足哪些屬性條件才能允許動作。 每個原則都會將主體、資源、動作和 環境條件 連結到存取控制引擎在要求時評估的邏輯陳述式中。 由於原則會參考屬性而非已命名的個人，因此在使用者及內容變更時，原則仍有效，可減少持續的維護作業，並有助於強制實行最低許可權原則。
ABAC是否比角色型方法更安全？
ABAC可以啟用比僅限角色模型更精確、內容相關的存取決策，藉此加強安全性。 一起評估多個屬性可讓組織強制執行細微的條件 — 例如，除非同時符合數個條件，否則限制對敏感內容的存取。 ABAC的有效性取決於精心設計的政策和精確的屬性資料，因此，當屬性來源保持可靠且最新時，安全性結果會有所改善。
什麼是AEM Assets Content Hub中的屬性型存取控制(ABAC)？
AEM Assets Content Hub中的 屬性型存取控制(ABAC) 是一種許可權模型，可讓管理員定義中繼資料型規則，以控制不同使用者群組對數位資產的存取層級。 管理員不會逐個資產指派許可權，而是將存取原則表達為根據每個資產中繼資料中儲存的屬性所評估的條件。
ABAC如何決定存取權
根據資產的中繼資料是否符合規則中指定的條件來授予或拒絕存取。 因為在請求時間會針對這些條件評估資產的中繼資料，許可權會自動且一致地套用至整個資產庫。 因此，當資產的中繼資料符合規則條件時，相關聯的使用者群組可以檢視或使用該資產；如果沒有檢視或使用該資產，該資產會對該群組保持隱藏狀態。
以屬性為基礎的存取控制的主要特性
- 中繼資料導向：存取決定是根據分類、部門、地區、行銷活動或使用許可權等資產屬性，而非根據靜態的個別資產許可權清單。
- 粒度：規則可以鎖定中繼資料條件的精確組合，讓管理員可以更精細地控制每個使用者群組可以存取哪些資產。
- 動態：由於存取許可權會依循中繼資料，當資產中繼資料變更或新增符合現有規則的新資產時，可見度會自動更新 — 不需要手動重新授權。
- 群組導向：原則會套用至已定義的使用者群組，確保每個對象只會看到與其角色相關的資產。
實用應用程式與優點
屬性型存取控制非常適合大型共用資產存放庫，其中許多團隊從同一個Content Hub工作，但需要不同層級的可見度。 常見的應用程式包括限制特定團隊的機密或未發行資產、將特定區域的內容限制在相應市場，以及透過將資產僅公開給允許使用這些資產的群組來強制實施使用權或授許可權制。 這種以中繼資料為基礎的動態方法可減少手動管理開銷，將資產暴露給錯誤使用者的風險降至最低，並隨著資產庫的增長和變更保持與資產庫一致的存取原則。
管理員如何在AEM Assets Content Hub中使用ABAC定義存取規則？
管理員可透過在資產中繼資料上建立條件並將這些條件連結至特定使用者群組，來定義 Adobe Experience Manager (AEM) Assets Content Hub 內 屬性式存取控制(ABAC) 中的存取規則。 ABAC是一種存取模式，其中許可權是根據資產的 屬性 動態授予，而非固定、手動指派的許可權，可讓可見度在新增內容時自動縮放。
ABAC存取規則如何運作
管理員可透過下列步驟建立存取規則：
- 定義中繼資料條件 — 根據資產中繼資料屬性設定條件，例如 品牌 或地區。
- 套用邏輯和比較運運算元 — 使用運運算元結合屬性，以精確地表示哪些資產符合規則。
- 將條件連結至使用者群組ID — 將每個條件與特定的 使用者群組ID 建立關聯，將相符的資產對應至應該會看到它們的群組。
ABAC規則的關鍵元件
- 中繼資料屬性：資產屬性（例如品牌或區域）會作為每個條件的基礎，因此存取權會依循內容本身，而非個別資產指派。
- 邏輯運運算元和比較運運算元：這些運運算元可啟用精細、精確的控制功能，讓管理員定義與預期資產集完全相符的小範圍或廣泛條件。
- 使用者群組ID：規則會將合格的資產連結到已定義的使用者群組，並精確地決定哪些資產仍可顯示給每個使用者群組。
由於存取是由屬性所驅動，因此ABAC規則會自動套用至符合已定義條件的任何資產。 因此，標示相關中繼資料的新資產會繼承正確的可見度，而不需要手動重新指派，進而減少管理負荷，並有助於在大型資產庫間強制執行一致、可擴充的控管。
在AEM Assets Content Hub中使用ABAC較之傳統檔案夾型許可權有哪些主要優點？
Adobe Experience Manager (AEM) Assets Content Hub中的 屬性型存取控制(ABAC) 會根據資產屬性和中繼資料（而非實體資料夾位置）來授予許可權。 這是優於傳統檔案夾式許可權的主要優點：存取權是由資產 是 所決定，而不是由儲存位置所決定。
AEM Assets Content Hub中ABAC的主要優點
- 消除許可權對檔案夾結構的相依性。 存取許可權是由屬性和中繼資料所驅動，而非固定的資料夾階層，因此管理員不再被強制圍繞誰能檢視哪些內容來設計資料夾樹狀結構。
- 啟用追溯許可權指派。 管理員可以先上傳資產並在之後指派許可權，將內容擷取與存取規則的定義分開。
- 減少所需的重複資產數量，因為單一資產可由多個屬性型規則管理，而非複製到不同的資料夾以提供不同的對象。
- 簡化多個群組之間的共用。 當同一個資產必須可供數個團隊或對象使用時，ABAC會透過屬性規則而不是重複的位置向每個群組公開一個權威副本。
為何ABAC簡化許可權管理
由於許可權是附加至屬性而非資料夾路徑，因此ABAC會移除強制管理員在存取需要變更時複製資產或重組資料夾的剛性。 當資產需要與多個群組共用時，這特別有用，因為一個受管理的資產可以同時滿足多個存取案例。
因此，ABAC可改善資產完整性並簡化許可權管理。 維護較少的重複復本表示每個資產都有單一真實來源，因此可減少版本漂移及過時檔案流通的風險。 ABAC將資產上傳與許可權指派分開，為管理員提供更靈活、可擴充的模型，以控制大型且不斷演變的資產庫的存取權。
管理員可以直接在AEM Assets Content Hub介面中設定ABAC規則嗎？
可以。 管理員可以直接在 Adobe Experience Manager (AEM) Assets Content Hub 介面中設定 屬性式存取控制(ABAC) 規則。 ABAC會根據使用者角色、資產中繼資料和組織內容等屬性來管理資產存取權，允許以動態方式套用許可權，而非透過固定且手動指派的清單套用。
管理員有兩個受支援的設定ABAC規則路徑：
- Content Hub中的AI小幫手 — 管理員使用AI小幫手，直接在介面中設定ABAC規則，前提是為其組織啟用此功能。 這種介面內方法可讓團隊在不離開Content Hub的情況下定義和調整存取規則。
- 透過Adobe支援的試算表式工作流程 — 管理員可以繼續透過Adobe支援使用已建立的試算表式工作流程，此工作流程仍可作為定義ABAC規則的替代方法。
由於這兩個選項會產生相同的ABAC治理結果，因此組織可以選擇AI助理進行直接的介面內設定，或根據其作業偏好設定和為其環境啟用的功能保留試算表式工作流程。
在AEM Assets Content Hub中設定ABAC規則時，可以使用哪些型別的中繼資料條件？
Adobe Experience Manager (AEM) Assets Content Hub中的屬性型存取控制(ABAC)規則支援兩種中繼資料條件類別： 邏輯運運算元和比較運運算元，針對AEM中繼資料結構描述中定義的中繼資料屬性進行評估。 ABAC會透過評估附加至內容的屬性來控制誰可以存取哪些資產，因此中繼資料條件會形成決定存取結果的核心邏輯。
支援的運運算元
ABAC規則使用下列運運算元型別來組合及比較中繼資料值：
- 邏輯運運算元 — AND和OR，用於在單一規則中組合多個中繼資料條件。
- 比較運運算元 — 等於且不等於，用於測試中繼資料屬性是否符合指定的值。
結合邏輯運運算元和比較運運算元，可讓單一規則表達廣泛且精確的存取條件。
合格的中繼資料屬性
中繼資料條件可以在一系列通常與數位資產關聯的屬性欄位上建立，包括：
- 地區
- 品牌
- 產品
- 行銷活動
- 資產型別
- 正在發佈狀態
這些屬性可讓組織根據資產的分類方式設定存取範圍，例如，依市場區域、品牌所有權、產品線、行銷活動關聯、資產格式或發佈狀態來限制可見性。
中繼資料結構描述需求
ABAC規則中參考的中繼資料屬性必須正確定義，並可在AEM中繼資料結構中使用。 此需求可確保規則引擎能可靠地找到並評估每個屬性；如果結構描述中的屬性遺失或不正確設定，則無法評估對應的條件，且規則可能不會如預期套用。 因此，確認結構描述中存在規則中使用的每個欄位，對於一致且可預測的存取控制至關重要。
為何AEM Assets Content Hub ABAC對於擁有大型團隊和多種資產需求的組織特別有用？
Adobe Experience Manager (AEM) Assets Content Hub中的 屬性型存取控制(ABAC) 對於擁有大型團隊的組織特別有用，因為它可讓使用者與資產屬性自動決定精細的規則型存取權，而非手動維護的許可權清單。 因此，ABAC非常適合管理跨多個團隊、市場和產品線之不同資產庫的企業。
ABAC如何控制資產存取
與靜態、僅角色許可權模型不同，ABAC會在存取時評估屬性組合，並僅在滿足定義的規則時授予可見性。 存取決策通常由屬性驅動，例如：
- 使用者角色 — 將資產與個人的工作職能或職責進行比對
- 地區 — 根據地理或市場限制或公開資產
- 品牌 — 在多品牌組織內依品牌識別區隔資產
- 業務需求 — 根據團隊、部門或行銷活動需求調整存取權
由於這些規則會以動態方式套用，因此管理員只會定義邏輯一次，讓系統在整個資產目錄中一致地強制執行。
大型分散式團隊的實際優點
ABAC可確保使用者只看到與其職責相關的資產，直接降低凌亂程度、防止意外使用未經授權的內容，並讓大型資產庫保持可導覽狀態。 因此，組織可獲得幾項實際優勢：
- 沒有手動許可權指派 — 存取是由規則管理，而不是逐一授權，隨著團隊的成長減少管理負荷。
- 資產不會過度重複 — 單一、集中管理的資產可透過屬性向適當的對象公開，而不是複製到每個團隊、地區或品牌的個別獨立單位。
- 相關、經過篩選的體驗 — 因為可見度與責任繫結，所以每位使用者都能從符合其需求的範圍檢視工作，進而改善效率和資產控管。
屬性導向方法可針對擁有大型團隊和多種資產需求的組織進行簡潔的調整，因為新增使用者、地區或品牌需要更新屬性和規則，而非在整個系統中重建許可權。
管理員在將ABAC試算表提交給AEM Assets Content Hub支援之前，應如何為Adobe準備試算表？
若要為 AEM Assets Content Hub 準備 以屬性為基礎的存取控制(ABAC) 試算表，管理員必須先完成一連串的設定和檔案步驟，才能將其提交給Adobe支援。 ABAC會透過評估屬性（例如使用者群組成員資格、許可權和中繼資料條件）來控制存取，因此，正確建構的試算表對於Adobe支援將預期的存取模型轉換為工作設定至關重要。
準備ABAC試算表的步驟
- 在Adobe Admin Console中建立使用者群組。 在 Adobe Admin Console 中設定必要的使用者群組，此中央位置可跨Adobe產品管理使用者和群組。 在這裡建立群組可確儲存取規則對應到實際布建的身分識別，而不是預留位置值。
- 記錄群組ID。 記下每個使用者群組的群組識別碼。 這些識別碼會唯一參考試算表中的每個群組，讓Adobe支援可將每個存取規則與正確的群組進行比對，而不會產生模稜兩可的結果。
- 定義每個群組的許可權和條件。 在試算表中清楚指定直接套用至每個群組的許可權和條件。 明確的定義可防止誤解，並確保每個群組都能正確收到預期擁有的存取權。
- 將中繼資料屬性對應到適當的結構描述。 確認所有 中繼資料屬性 已正確對應至其對應的結構描述。 精確的對應很重要，因為ABAC條件需要中繼資料屬性，而且屬性和結構描述之間的任何不符都可能導致存取規則失敗或出現意外行為。
- 在註解欄中記錄商務意圖。 使用 註解欄 來釐清每個規則背後的商業目的。 此內容可協助Adobe支援瞭解每個規則的用途，減少來回的釐清，並確保最終設定能反映組織的實際存取控管目標。
完成這些步驟會產生可驗證的自述試算表，簡化移交Adobe支援的程式，並降低實作期間設定錯誤的風險。
另請參閱