セキュリティ

共通アクセスロールの権限を指定してください

以下の表は、一般的なアクセスロールとそれらが持つ べき権限 を示しています。

役割

許可

Readers

• Readおよび資産検索ページの権限Download。
• 自分のユーザー プロフィール ページへのアクセス。
• Readコレクションページへのアクセス**。**
• ViewNotWatermarked ウォーターマークなしで翻訳を見る許可。

Creators

• Create そしてアセットの権限 Submit 付与し、アセットのアップロードやレビュー用提出を可能にします。
• Update まだ承認されていない自分の資産の許可。

Content 承認者

• Approve 審査対象資産の許可を得て、これらの資産を承認または拒否することができます。
• Read および資産の権限 CreateAnnotations 。

!注これらの役割は通常、ブランド、製品、キャンペーンなどのメタデータに基づいて精細化されます。

!重要重複したルールや権限を作成しないでください。同じユーザーに複数のユーザーグループを割り当てると、複数のグループから同じ権限が付与される可能性があります。同じエンティティのユーザーグループがどのように権限を共有しているかを確認してください。 セキュリティ診断 ツールを使って、同じエンティティに対して同じ権限を与える重複ポリシーを検出できます。

ユーザーグループの定義

ユーザーグループを定義する際は、この推奨ワークフローに従ってください。

!重要

• Sitecore定期的にEveryoneグループなどの標準ユーザーグループを更新し、新しい重要なサイト機能の権限を含んでいます。このため、ほとんどのユーザーに共通権限を適用するためにこれらのグループを使用し、必要な人には特別な権限を適用するためにカスタムグループのみを使用することを推奨します。

• Everyoneユーザーグループの権限を変更することは推奨されません。なぜなら、機能や機能へのアクセスを失う可能性があるからです。

• Everyoneユーザーグループからユーザーを削除しないでください。そうするとシステムにアクセスするために必要な基本権限が失われてしまいます。

ユーザーグループの定義について:

1. 前節で説明したように必要な役割を定義してください。
2. 役割ごとに新しいユーザーグループを作成します。
3. このユーザーグループに関連するモジュールを割り当ててください。
4. 各ユーザーグループがアクセスすべきページを定義します。
5. AssetおよびFile定義のためのアクセスを定義する:
   • 定義が同じ権限を持つ場合、 Asset と File の両方に対して単一のルールを作成します。
   • ドメインモデルの設計に応じて、各ユーザーグループで利用可能な資産を制限する条件を設定しましょう。
6. 他のエンティティ定義のためのユーザーグループ権限を定義してください。
   • ユーザーがアクセス、更新、削除すべき定義を定義します。
   • 分類学の定義を確認しましょう。
   • カスタムエンティティの定義を確認してください。
   • これらの定義に必要な 権限 を定義してください。

!重要ユーザーグループの数は小さく保ちましょう。数百のユーザーグループを持つと、ドメインモデルの変更ごとにメンテナンスが手間がかかります。10人以上のユーザーグループに割り当てないでください。セキュリティチェックは特定の操作を読み込む前やバックグラウンドプロセスを実行する際に行われます。1ユーザーあたり10人以上のユーザーグループを設定するとパフォーマンスに影響があります。これを避けるためにユーザーグループの統合を検討してください。

認証の設定

認証を設定する際は、以下の推奨事項に従ってください。

• 登録をデフォルトで無効にする - これにより不正アクセスを防ぎ、認証されたユーザーだけがコンテンツにアクセスできるようになります。 登録を有効にする のは意図的な行動であり、誰がユーザーアカウントを作成できるかを自分で管理できるようにしましょう。

• メールドメインのホワイトリスト化を実装しましょう。WhiteListedEmailPatternsを有効にしてウェブサイトへのアクセスを厳密に管理できます。これにより他のドメインのユーザーの登録を防ぎ、EnableConfirmationMail=trueと組み合わせて使うのが最適です。

• SAML認証を適切に設定する - 正しく認証を設定するとは、IDPのメタデータをコピーするのではなく、直接IDPを参照することを意味します。これにより、IDPメタデータが変更されても(証明書更新など)成功裏にサインインが保証されます。

  !注IDP側で証明書が更新される場合、Content Hub内で手動操作は不要です。SAML統合の場合、設定時にメタデータが交換されると証明書の更新が自動的に処理されます。Content Hubはこのメタデータを使ってIDPの現在の証明書と同期しています。

• ユーザー登録フローでreCAPTCHAを有効にしましょう。これにより、ユーザーがボットでないことを確認でき、自動攻撃からウェブサイトを守るための追加のセキュリティ層が加わります。

• 標準ユーザーグループの権限を制限する - これにより、不正なユーザーがウェブサイトにアクセスしても、機密データにアクセスできないようにします。新しいユーザーが作成される際は、不要な権限を与えるユーザーグループに割り当てられないように注意してください。すべてのユーザーはEveryoneユーザーグループの一部なので、このグループはすべてのユーザーに与えたい権限のみを持つようにしてください。

• Enable auto-lockout- AttemptsBeforeLockoutを設定することで、誤ったログイン情報を繰り返し入力するユーザーを自動的にロックできます。

• 強力なパスワードを設定したバックアップのローカル管理者アカウントを維持しましょう。これにより、アイデンティティプロバイダーや設定に問題があった場合でも、会社のフェイルセーフContent Hubとなります。