Webコンテンツストラクチャーとテンプレートへのアクセス許可の割り当て
Webコンテンツ構造とテンプレートは、LiferayのAPIへの直接アクセスを提供します。 Liferay DXP機能への不正アクセスや意図しないアクセスを避けるために、Webコンテンツ構造とテンプレートに対するアクセス許可を設定する必要があります。
ベストプラクティスとして、ウェブコンテンツ構造とテンプレートにアクセスできる2つの異なるロールを定義します:
-
コンテンツ開発者: このロールを持つユーザーは、ウェブコンテンツ構造またはテンプレートを作成および編集する権限を持っています。
-
コンテンツ作成者: このロールを持つユーザーは、ウェブコンテンツ構造やテンプレートを閲覧する権限を持っているため、それらを使用してコンテンツを作成することができます。
ロールの作成方法については、 ロールの作成と管理を参照してください。
ウェブコンテンツ構造またはテンプレートに権限を割り当てる場合は、以下の情報を考慮してください:
- Liferay DXPインスタンス全体のすべてのWebコンテンツ構造またはテンプレートに対して、ロールがグローバルな権限を持つ必要があるのか、特定のサイトに対してのみ持つ必要があるのかを決定します。
- Viewパーミッションは、ウェブコンテンツ構造またはテンプレートの閲覧のみを許可します。
- 大半のユーザーは、ウェブコンテンツの構造やテンプレートを編集できないはずだ。
Webコンテンツテンプレートのセキュリティに関する考慮事項
ウェブコンテンツのテンプレートは、デフォルトでFTL(FreeMarker Template Language)を使用しています。 FreeMarkerを使用してテンプレートを作成または編集する権限を持つユーザーは、DXPインスタンス上で任意のコードを実行し、他のユーザーの情報を含む機密情報にアクセスする可能性があります。
FreeMarkerのウェブコンテンツテンプレートの作成または編集を、信頼できるユーザーのみに許可します。
テンプレートの作成を完全に無効にすることができます。 無効にすると、ユーザーはウェブコンテンツテンプレートの作成オプションにアクセスできなくなります。 このアクションは、既存のテンプレートには影響しません。
-
グローバルメニューの [コントロールパネル] タブを開きます。
-
コンフィギュレーション → システム設定 → コンテンツとデータ → ダイナミック・データ・マッピング .
-
[動的データマッピング Web] をクリックします。
-
[テンプレート作成を有効にする] のチェックを外します。
-
Save または Update をクリックする。
権限の割り当て
-
サイトメニュー( ) を開き、 コンテンツ & データ → ウェブコンテンツ に移動する。
-
構造体の権限を設定するには Structures タブを選択し、テンプレートの権限を設定するには Templates タブを選択します。
-
アクセス許可を割り当てるウェブコンテンツテンプレートの アクション( ) をクリックし、 アクセス許可 を選択します。
-
ロールに必要な権限を選択します。
-
[Save] をクリックします。
権限設定の詳細については、 ロール権限の定義 を参照してください。