Konfiguriere Federated ID-Konten, um Benutzer durch Single Sign-on-Integration mit deinem Identitätsanbieter zu authentifizieren.
Single Sign-on (SSO) ermöglicht es deinen Anwendern, auf Adobe-Produkte mit denselben Anmeldedaten zuzugreifen, die sie für andere Unternehmensanwendungen verwenden.Anstatt separate Adobe-Kennwörter zu verwalten, authentifizieren sich Anwender über den bestehenden Identitätsanbieter (IdP) deiner Organisation, was den Zugriff vereinfacht und die Sicherheit stärkt.
Die Einrichtung von SSO für Adobe-Produkte erfordert die Konfiguration von Federated ID-Konten, die dein Unternehmensverzeichnis über eine Föderation mit Adobe verknüpfen.Diese Integration gibt deiner Organisation die Kontrolle über die Authentifizierung, während Adobe weiterhin die Identitätsdatensätze hostet.
Die Rolle der Federated ID bei SSO
Federated ID ist der einzige Identitätstyp, der SSO mit Adobe-Produkten unterstützt.Im Gegensatz zu Adobe ID (benutzerverwaltete) oder Enterprise ID (Adobe-authentifiziert) leitet Federated ID alle Authentifizierungsanfragen über den Identitätsanbieter deiner Organisation unter Verwendung des SAML 2.0-Protokolls weiter.
Diese Architektur eignet sich für:
- Bereitstellung von Unternehmensverzeichnissen basierend auf Active Directory oder Azure AD
- Zentrale Kontrolle über Authentifizierungsrichtlinien, einschließlich Multi-Faktor-Authentifizierungsanforderungen
- Strenge Kontrolle über App- und Service-Zugriff
- Regulatorische oder Sicherheitsanforderungen, die organisatorisches Authentifizierungsmanagement vorschreiben
Wenn sich Anwender mit Federated IDs bei Adobe-Anwendungen anmelden, werden sie zu deinem IdP umgeleitet, authentifizieren sich dort und werden mit einem sicheren Token, der ihre Identität bestätigt, zurück zu Adobe geleitet.
SSO-Integrationsansätze
Adobe Admin Console unterstützt drei primäre Integrationspfade, die jeweils für verschiedene Infrastrukturumgebungen geeignet sind.
Azure AD-Integration ist der empfohlene Ansatz für Organisationen, die Microsofts Cloud-Identitätsplattform verwenden.Der Azure AD-Connector vereinfacht die Konfiguration und automatisiert die Benutzersynchronisation zwischen Azure AD und der Admin Console, wodurch der laufende Verwaltungsaufwand reduziert wird.
SAML-basierte IdP-Integration bietet Flexibilität für Organisationen, die andere Identitätsanbieter als Azure AD oder Google verwenden.Jeder SAML 2.0-kompatible IdP, einschließlich Okta, Ping Identity, Shibboleth oder AD FS, kann über diesen Pfad eine Vertrauensstellung mit Adobe herstellen.Du konfigurierst die Integration, indem du SAML-Metadaten zwischen deinem IdP und der Admin Console austauschst.
Google Workspace-Integration spiegelt den Azure AD-Ansatz für Organisationen wider, die auf Googles Identitätsinfrastruktur standardisiert sind.Wie Azure AD unterstützt der Google-Connector sowohl das SSO-Setup als auch die laufende Benutzersynchronisierung.
Jede Integration erfordert, dass du zunächst ein Verzeichnis in der Admin Console anlegst (Einstellungen > Identity > Verzeichnisse), deine E-Mail-Domains beanspruchst und verifizierst und dann die Verbindung zu deinem IdP konfigurierst.Die spezifischen Konfigurationsschritte variieren je nach Anbieter, aber das konzeptionelle Modell bleibt einheitlich: Adobe delegiert die Authentifizierung an deinen IdP und verwaltet gleichzeitig Benutzer- und Berechtigungsdatensätze in der Admin Console.
Identitätsinfrastruktur nach der Einrichtung
Sobald SSO funktioniert, konzentriert sich die laufende Identity Management auf Verzeichnisse, Domains und Verzeichnisvertrauen.
Verzeichnisse dienen als Container für SSO-Konfiguration und Benutzer.Jedes Verzeichnis ist an eine einzige IdP-Konfiguration angebunden, wobei du mehrere Verzeichnisse anlegen kannst, wenn dein Unternehmen mehrere Identitätsanbieter verwendet oder Authentifizierungsrichtlinien nach Geschäftseinheiten segmentieren muss.
Domains bestimmen, welche Benutzer sich über welches Verzeichnis authentifizieren.Wenn du eine Domain wie example.com mit einem Verzeichnis verknüpfst, wird jeder Benutzer mit einer E-Mail-Adresse bei dieser Domain zur Authentifizierung an den IdP dieses Verzeichnisses weitergeleitet.Die Domain-Verwaltung umfasst auch die Verwaltung von Verzeichnisvertrauen, wenn mehrere Adobe-Organisationen dieselbe Domain beanspruchen.
Der Wechsel von Identitätsanbietern erfordert Koordination, um Unterbrechungen beim Benutzerzugriff zu vermeiden.Die Admin Console unterstützt die Migration von Authentifizierungsanbietern, indem sie dir ermöglicht, ein neues Verzeichnis zu konfigurieren, Domains zu verschieben und Benutzer zwischen Verzeichnissen zu übertragen.Du kannst auch Domains zwischen Verzeichnissen verschieben oder Benutzer aus Vorgängerversion-Verzeichnissen entfernen, während sich deine Infrastruktur weiterentwickelt.
Das Verständnis dieser Verwaltungskonzepte hilft dir dabei, eine stabile Authentifizierung aufrechtzuerhalten, wenn sich organisatorische Anforderungen ändern, sei es die Konsolidierung mehrerer IdPs, die Migration von einem Anbieter zu einem anderen oder die Umstrukturierung der Zuordnung von Geschäftseinheiten zu Verzeichnissen.
