Auf dieser Seite
- Schlüsselbegriffe und Konzepte
- Verzeichnisse erstellen
- Domänen einrichten
- Domänen mit Verzeichnissen verknüpfen
- Bevollmächtigte für Verzeichnisse
- Verschlüsselungsschlüssel verwalten
- Zu einem neuen Authentifizierungsanbieter migrieren
- Domänen zwischen Verzeichnissen verschieben
- Verzeichnisse löschen und Domänen entfernen
某些 Creative Cloud 应用程序、服务和功能在中国不可用。
Hinweis:
Wenn Ihre Organisation noch über Verzeichnisse mit SHA-1-Authentifizierung verfügt, führen Sie nahtlos ein Update in der Admin Console auf das SHA-2-Zertifikat durch, das eine höhere Sicherheit bietet. Fügen Sie innerhalb Ihres bestehenden Verzeichnisses ein neues Authentifizierungsprofil hinzu und aktivieren Sie es, um ohne Ausfallzeiten von SHA-1 zu SHA-2 zu migrieren. Weitere Informationen finden Sie unter Zu einem neuen Authentifizierungsanbieter migrieren.
Beachten Sie, dass die SHA-2-Authentifizierung standardmäßig für alle neu erstellten Verzeichnisse aktiviert ist.
Verzeichnisse einrichten: Richten Sie zum Verwenden von Enterprise IDs oder Federated IDs zunächst ein Verzeichnis ein, das Sie mit mindestens einer Domäne verknüpfen können.
Weitere Informationen >
Domänen einrichten: Ihre Endanwender werden anhand der von Ihnen in der Admin Console eingerichteten Domänen authentifiziert.
Weitere Informationen >
Domänen mit Verzeichnissen verknüpfen: Nachdem Sie Ihre Verzeichnisse und Domänen eingerichtet haben, gruppieren Sie die Domänen, indem Sie sie mit Verzeichnissen verknüpfen.
Weitere Informationen >
Bevollmächtigte für Verzeichnisse: Erteilen Sie Vollmachten für Verzeichnisse, um Systemadministratoren anderer Organisationen als vertrauenswürdig festzulegen.
Weitere Informationen >
Migrieren von SHA-1-Verzeichnissen zu SHA-2: Führen Sie für alte Verzeichnisse mit SHA-1-Authentifizierung ein Update auf das SHA-2-Profil durch.
Weitere Informationen >
Domänen zwischen Verzeichnissen verschieben: Strukturieren Sie Verzeichnisse, indem Sie Domänen in der Admin Console zwischen Verzeichnissen verschieben.
Weitere Informationen >
Als Systemadministrator ist es eine Ihrer ersten Aufgaben, in der Admin Console ein Identitätssystem zu definieren und einzurichten, über das die Endanwender authentifiziert werden. Nachdem Ihre Organisation Lizenzen für Adobe-Produkte und -Dienste erworben hat, müssen Sie diese Lizenzen für Ihre Endanwender bereitstellen. Hierzu müssen die Benutzer authentifiziert werden.
Adobe bietet folgende Identitätstypen an, mit denen Sie Ihre Endanwender authentifizieren können:
- Adobe ID:
- Enterprise ID:
- Federated ID:
Wenn Sie für die Benutzer in Ihrer Domäne separate, von Ihrer Organisation kontrollierte Konten wünschen, müssen Sie einen der Identitätstypen „Enterprise ID“ oder „Federated ID“ (für Single Sign-on) verwenden.
In diesem Artikel finden Sie eine Anleitung zum Einrichten eines Identitätssystems, das erforderlich ist, um Endanwender mit Enterprise ID oder Federated ID zu authentifizieren.
In diesem Artikel finden Sie eine Anleitung zum Einrichten eines Identitätssystems, das erforderlich ist, um Endanwender mit Enterprise ID oder Federated ID zu authentifizieren.
Hinweis:
Das in diesem Dokument beschriebenen Verfahren zum Einrichten eines Verzeichnisses sowie zum Einrichten der Domäne sind vollständig unabhängig voneinander. Das heißt, Sie können diese beiden Vorgänge in beliebiger Reihenfolge oder parallel ausführen. Allerdings wird das Verfahren zum Verknüpfen von E-Mail-Domänen mit Verzeichnissen erst nach Abschluss dieser beiden Vorgänge durchgeführt.
Bevor Sie sich mit den eigentlichen Verfahren befassen, sollten Sie einige Konzepte und Begriffe kennen:
Identitätsanbieter für Organisationen wie Active Directory, Azure, Ping, Okta, InCommon oder Shibboleth.
Weitere Informationen zum Einrichten von SSO für Creative Cloud mit einigen der am häufigsten verwendeten IdPs finden Sie unter Mehr am Ende des Artikels.
Wird von einer Organisation erstellt und verwaltet, die auch Eigentümer ist. Adobe hostet die Enterprise ID und führt die Authentifizierung durch, verwaltet wird die Enterprise ID jedoch von der Organisation. Endanwender können sich nicht registrieren und keine Enterprise ID erstellen und sie können sich nicht mit einer Enterprise ID für zusätzliche Produkte und Dienste von Adobe registrieren.
Administratoren erstellen eine Enterprise ID und geben sie an einen Benutzer aus. Administratoren können den Zugriff auf Produkte und Dienste sperren, indem sie das Konto übernehmen, oder sie können die Enterprise ID löschen, um den Zugriff auf die zugehörigen Daten dauerhaft zu sperren.
Nachfolgend werden einige Anforderungen und Szenarien aufgeführt, in denen Enterprise IDs empfohlen werden:
- Sie müssen genau steuern, welche Programme und Services für einen Benutzer verfügbar sind.
- Sie benötigen im Notfall Zugriff auf Dateien und Daten, die einer ID zugeordnet sind.
- Sie müssen Benutzerkonten vollständig sperren oder löschen können.
Wird von einer Organisation erstellt, die auch Eigentümer ist, und per Verbund mit dem Unternehmensverzeichnis verknüpft. Die Organisation verwendet zum Verwalten der Anmeldeinformationen und zum Verarbeiten von Single Sign-on einen SAML2-Identitätsanbieter (IdP).
Nachfolgend werden einige Anforderungen oder Szenarien aufgeführt, in denen Federated IDs empfohlen werden:
- Sie möchten die Bereitstellung für Benutzer auf Grundlage des Unternehmensverzeichnisses Ihrer Organisation ausführen.
- Sie möchten die Authentifizierung von Benutzern verwalten.
- Sie müssen genau steuern, welche Programme und Services für einen Benutzer verfügbar sind.
- Sie möchten es Benutzern ermöglichen, die gleiche E-Mail-Adresse als Adobe ID zu verwenden.
Hinweis:
Der Identitätsanbieter muss mit TLS 1.2 kompatibel sein.
Wird vom Endanwender erstellt und verwaltet, der auch Eigentümer ist. Adobe führt die Authentifizierung durch und der Endanwender verwaltet die Identität. Die Benutzer behalten die vollständige Kontrolle über die Dateien und Daten, die der ID zugeordnet sind. Sie können weitere Produkte und Dienste von Adobe erwerben. Administratoren laden Benutzer ein, der Organisation beizutreten, und können Benutzer entfernen. Die Adobe ID-Konten der Benutzer können jedoch nicht für diese gesperrt werden. Die Konten können vom Administrator nicht gelöscht oder übernommen werden. Für die Verwendung von Adobe IDs ist keine vorherige Einrichtung erforderlich.
Nachfolgend werden einige Anforderungen und Szenarien aufgeführt, in denen Adobe IDs empfohlen werden:
- Sie möchten es Benutzern ermöglichen, ihre Identitäten zu erstellen, zu kontrollieren und zu verwalten.
- Sie möchten es Benutzern ermöglichen, weitere Produkte und Dienste von Adobe zu erwerben oder sich für diese zu registrieren.
- Sie gehen davon aus, dass Benutzer weitere Adobe-Dienste verwenden, die momentan keine Enterprise IDs oder Federated IDs unterstützen.
- Benutzer verfügen bereits über Adobe IDs und zugehörige Daten, z. B. Dateien, Schriften oder Einstellungen.
- Es handelt sich um eine Bildungseinrichtung, deren Schüler oder Studenten ihre Adobe ID nach dem Abschluss behalten können.
- Sie beschäftigen Auftragnehmer oder Freiberufler, die keine E-Mail-Adressen der von Ihnen kontrollierten Domänen verwenden.
- Wenn Sie über einen Adobe-Teams-Vertrag verfügen, müssen Sie diesen Identitätstyp verwenden.
Der Teil einer E-Mail-Adresse nach dem @-Symbol. Um eine Domäne mit Enterprise ID oder Federated ID verwenden zu können, müssen Sie zunächst bestätigen, dass Sie Eigentümer der Domäne sind.
Beispiel: Eine Organisation verfügt über mehrere Domänen (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), die Mitarbeiter werden jedoch über geometrixx.com authentifiziert. In diesem Fall verwendet die Organisation die Domäne geometrixx.com, um ihre Identität in der Admin Console einzurichten.
- Arbeitet mit den Verzeichnis- und DNS-Managern des IdP zusammen, um die Identität in der Admin Console einzurichten. Dieses Dokument richtet sich an Systemadministratoren mit Zugriff auf die Admin Console. Die Rolle muss mit den anderen Personen zusammenarbeiten, die (in der Regel) über keinen Zugriff auf die Admin Console verfügen.
Benutzeridentitäten werden anhand einer Authentifizierungsquelle überprüft. Richten Sie zum Verwenden einer Enterprise ID oder Federated ID eine eigene Authentifizierungsquelle ein, indem Sie eine Domäne hinzufügen. Wenn Ihre E-Mail-Adresse beispielsweise „jan@beispiel.de“ lautet, ist der Name Ihrer Domäne „beispiel.de“. Das Hinzufügen einer Domäne ermöglicht die Erstellung von Enterprise IDs oder Federated IDs mit E-Mail-Adressen in der Domäne. Eine Domäne kann entweder mit Enterprise IDs oder mit Federated IDs, aber nicht mit beiden gleichzeitig verwendet werden. Sie können jedoch mehrere Domänen hinzufügen.
Eine Organisation muss bestätigen, dass sie die Kontrolle über eine Domäne besitzt. Eine Organisation kann auch mehrere Domänen hinzufügen. Eine Domäne kann jedoch nur einmal hinzugefügt werden. Bekannte öffentliche und generische Domänen, z. B. „gmail.com“ oder „yahoo.com“, können überhaupt nicht hinzugefügt werden.
Weitere Informationen über die Identitätstypen finden Sie unter Verwalten von Identitätstypen.
Erstellen Sie zum Verwenden von Enterprise IDs oder Federated IDs zunächst ein Verzeichnis, das Sie mit mindestens einer Domäne verknüpfen können.
Hinweis:
IdP-initiierte Workflows werden derzeit von Adobe nicht unterstützt.
-
Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.
-
Wählen Sie „Enterprise ID“ und klicken Sie auf Verzeichnis erstellen oder wählen Sie „Federated ID“, klicken Sie auf Weiter und fahren Sie mit Schritt 5 fort.
Wenn Sie sich für ein Verzeichnis mit dem Identitätstyp Enterprise ID entschieden haben, ist der Vorgang hiermit abgeschlossen. Nun können Sie in der Admin Console Domänen einrichten.
-
(Nur Federated ID) Wählen Sie mit einer der angegebenen Optionen den IdP aus und gehen Sie dann wie folgt vor:
- Um einen Identitätsanbieter (Identity Provider, IdP) mit SAML zu konfigurieren, klicken Sie auf Weiter für Andere SAML-Anbieter.
- Klicken Sie für Microsoft Azure auf Weiter und führen Sie die im Abschnitt Erstellen eines Verzeichnisses in Einrichten von SSO mit dem Azure AD-Connector beschriebenen Schritte aus.
- Klicken Sie für Google auf Weiter und führen Sie die im Abschnitt Erstellen eines Verzeichnisses in Einrichten des Google-Verbunds beschriebenen Schritte aus.
Hinweis:
Die verbleibenden Schritte in diesem Verfahren müssen nur ausgeführt werden, wenn Sie Andere SAML-Anbieter auswählen.
-
Auf der Seite SAML-Profil hinzufügen finden Sie die Einrichtungsinformationen für Ihren Identitätsanbieter.
Einige Identitätsanbieter (IdP) akzeptieren eine Metadatendatei, die Sie hochladen können, für andere benötigen Sie eine ACS URL und die Entity ID. Beispiel:
- Für Azure Active Directory: Laden Sie die Metadatendatei hoch.
- Für Google: Kopieren Sie die ACS-URL und die Entity ID und verwenden Sie diese in der Google-IdP-Software.
- Für SalesForce: Laden Sie die Metadatendatei herunter, extrahieren Sie die Zertifikatinformationen aus der Datei und verwenden Sie die Zertifikatinformationen in der SalesForce-IdP-Software.
Wählen Sie eine der folgenden Methoden:
Methode 1:
Klicken Sie auf Adobe-Metadatendatei herunterladen.
Die Metadaten-Datei wird auf Ihre lokale Festplatte heruntergeladen. Verwenden Sie diese Datei, um die SAML-Integration mit dem Identitätsanbieter zu konfigurieren.
Methode 2:
Kopieren Sie die ACS-URL und die Entity ID.
- Für Azure Active Directory: Laden Sie die Metadatendatei hoch.
Das Verzeichnis wird erstellt.
- Wenn Sie sich für ein Verzeichnis mit dem Identitätstyp Enterprise ID entscheiden haben, ist die Einrichtung abgeschlossen.
- Wenn Sie das Verzeichnis mit der Option Andere SAML-Anbieter erstellt haben, verwendet dieses Verzeichnis automatisch die SHA-2-Authentifizierung. Zuvor mit SHA-1-Authentifizierung erstellte Verzeichnisse können jetzt auf SHA-2 aktualisiert und zu einem anderen Identitätsanbieter migriert werden. Weitere Informationen finden Sie unter Zu einem neuen Authentifizierungsanbieter migrieren.
Anschließend können Sie in der Admin Console Domänen einrichten.
Hinweis:
Sie müssen Domänen nicht manuell hinzufügen, wenn das Verzeichnis Ihrer Organisation über die Synchronisation mit dem Microsoft Azure AD-Connector oder dem Google-Verbund eingerichtet wurde. Die ausgewählten Domänen, die im Setup Ihres Identitätsanbieters bestätigt wurden, werden automatisch mit der Adobe Admin Console synchronisiert.
Ihre Endanwender werden anhand der von Ihnen in der Admin Console eingerichteten Domänen authentifiziert.
So richten Sie Domänen ein:
- Fügen Sie Domänen zur Admin Console hinzu.
- Zur Vorbereitung der Bestätigung des Eigentums an der Domäne müssen Sie einen speziellen DNS-Eintrag hinzufügen.
- Bestätigen Sie die Domänen.
Die Domänen, die Sie in der Admin Console hinzufügen, müssen nicht beim selben IdP registriert sein. Wenn Sie diese Domänen jedoch mit einem Verzeichnis verknüpfen, müssen Domänen verschiedener IdPs mit unterschiedlichen Verzeichnissen verknüpft werden.
Sie können eine Domäne der Admin Console nicht hinzufügen, wenn diese bereits der Admin Console einer anderen Organisation hinzugefügt wurde. Allerdings ist es möglich, den Zugriff auf diese Domäne anzufordern.
-
Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.
Eine Organisation muss nachweisen, dass sie Eigentümer einer Domäne ist. Eine Organisation kann der Admin Console beliebig viele Domänen hinzufügen.
Über die Admin Console können Organisationen mit einem einzelnen DNS-Token das Eigentum an allen Domänen nachweisen. Zudem erfordert die Admin Console keine DNS-Überprüfung von Unterdomänen. Wenn Sie mit einem DNS-Token nachweisen, dass Sie Eigentümer einer Domäne sind, werden daher alle Unterdomänen dieser Domäne direkt beim Hinzufügen zur Admin Console bestätigt.
-
Melden Sie sich bei der Admin Console an, navigieren Sie zu Einstellungen > Identität und wechseln Sie zur Registerkarte „Domänen“.
-
Um zu bestätigen, dass Sie Eigentümer der Domäne sind, müssen Sie einen TXT-Eintrag mit dem generierten DNS-Token hinzufügen. Die genauen Anweisungen hängen vom Domänenhost ab. Allgemeine Richtlinien finden Sie unter Eigentum an einer Domäne bestätigen.
-
Fügen Sie Ihren DNS-Servern Informationen hinzu, um diesen Schritt abzuschließen. Informieren Sie Ihren DNS-Manager vorab, damit dieser Schritt zügig abgeschlossen werden kann.
Die DNS-Einträge für Ihre Domäne werden regelmäßig von Adobe überprüft. Wenn sie korrekt sind, wird die Domäne automatisch bestätigt. Wenn Sie die Domäne sofort bestätigen möchten, können Sie sich bei der Admin Console anmelden und eine manuelle Prüfung durchführen. Siehe Domänenbestätigung.
und wählen Sie in der Dropdown-Liste Auf DNS-Token zugreifen aus.Die Admin Console versucht mehrmals täglich, die hinzugefügten Domänen zu prüfen. Daher müssen Sie nach dem ordnungsgemäßen Konfigurieren der DNS-Einträge keine weiteren Schritte zum Bestätigen einer Domäne durchführen.
Wenn Sie Ihre Domäne sofort bestätigen müssen, können Sie dies über die Admin Console durchführen. So bestätigen Sie Ihre Domänen manuell:
Bei der Überprüfung werden möglicherweise Fehlermeldungen angezeigt, da es bis zu 72 Stunden dauern kann, bis die DNS-Änderungen wirksam werden. Weitere Informationen finden Sie in den häufigen Fragen zum DNS-Eintrag.
Nach der Bestätigung der Eigentümerschaft an Ihrer Domäne können Sie nun die bestätigten Domänen mit den erforderlichen Verzeichnissen in der Admin Console verknüpfen.
Nachdem Sie Ihre Verzeichnisse und Domänen in der Admin Console eingerichtet haben, müssen Sie die Domänen mit den Verzeichnissen verknüpfen.
Sie können mehrere Domänen mit einem Verzeichnis verknüpfen. Allerdings müssen alle mit einem einzelnen Verzeichnis verknüpften Domänen identische SSO-Einstellungen aufweisen.
Damit Ihre Endanwender von Ihrer Organisation lizenzierte Adobe-Produkte und -Dienste verwenden können, fügen Sie Endanwender und Benutzergruppen hinzu und weisen Sie diese Produktprofilen zu.
Das Eigentum an einer Domäne kann nur von einer einzigen Organisation beansprucht werden. Stellen Sie sich folgende Situation vor:
Das Unternehmen Geometrixx hat mehrere Abteilungen, von denen jede eine eigene Admin Console hat. Außerdem möchte jede Abteilung Federated IDs verwenden, die alle die Domäne „geometrixx.com“ nutzen. In diesem Fall möchte der Systemadministrator diese Domäne zur Authentifizierung für jede der Abteilungen beanspruchen. Die Admin Console stellt sicher, dass eine Domäne nur der Admin Console einer einzigen Organisation hinzugefügt wird. Wenn sie jedoch bereits einer einzelnen Abteilung hinzugefügt wurde, können andere Abteilungen den Zugriff auf das Verzeichnis anfordern, mit dem diese Domäne im Namen der Admin Console ihrer Organisation verknüpft ist.
Anhand einer Vollmacht für das Verzeichnis kann ein Verzeichniseigentümer andere Systemadministratoren (Bevollmächtigten) als vertrauenswürdig festlegen. Anschließend können bevollmächtigte Organisationen in der Admin Console beliebigen Domänen im vertrauenswürdigen Verzeichnis Benutzer hinzufügen.
Kurz gesagt: Wenn Sie beabsichtigen, Enterprise IDs oder Federated IDs in Ihrer Admin Console zu verwenden, müssen Sie die Domäne hinzufügen, die Ihrer Organisation zugeordnet ist. Wenn diese Domäne bereits von einer anderen Organisation hinzugefügt wurde, müssen Sie als Bevollmächtigter den Zugriff auf das Verzeichnis anfordern, das die Domäne enthält.
Die Schritte zum Anfordern des Zugriffs auf ein Verzeichnis finden Sie im Verfahren zum Hinzufügen von Domänen unter Domänen einrichten weiter oben.
Vorsicht:
Wenn Sie als Eigentümer eines Verzeichnisses die entsprechende Zugriffsanforderung genehmigen, hat die bevollmächtigte Organisation Zugriff auf alle Domänen, die mit diesem Verzeichnis verknüpft sind. Dies gilt auch für alle Domänen, die zukünftig mit diesem Verzeichnis verknüpft werden. Das Planen der Verknüpfungen von Domänen und Verzeichnissen ist daher beim Einrichten des Identitätssystems für Ihre Organisation unerlässlich.
Wenn Sie der Admin Console vorhandene Domänen hinzufügen, wird folgende Meldung angezeigt:
Wenn Sie den Zugriff auf diese Domäne anfordern, werden Ihr Name, Ihre E-Mail-Adresse und der Name Ihrer Organisation mit der Anforderung an die Systemadministratoren der Eigentümerorganisation weitergegeben.
Der Typ des Verzeichnisses (Enterprise oder Federated) hängt von der Einrichtung der Domäne durch die Eigentümerorganisation ab. Daher müssen Sie jeweils den von der Eigentümerorganisation ausgewählten Verzeichnistyp verwenden.
Da die Domäne bereits vom Eigentümer eingerichtet wurde (siehe die Schritte zum Nachweisen des Eigentums an den Domänen unter Domänen einrichten), müssen Sie als Bevollmächtigter keine weiteren Maßnahmen ergreifen. Wenn die Zugriffsanforderung vom Eigentümer genehmigt wurde, hat Ihre Organisation Zugriff auf das Verzeichnis und alle seine von der Eigentümerorganisation konfigurierten Domänen.
Wenn Ihre Zugriffsanforderung für das Verzeichnis von der Eigentümerorganisation akzeptiert wird, erhalten Sie eine Benachrichtigung per E-Mail. Ihre Vertrauensanforderung wird ausgeblendet und stattdessen werden in den Auflistungen Ihrer Verzeichnisse und Domänen das vertrauenswürdige Verzeichnis und die zugehörigen Domänen mit dem Status „Aktiv“ (vertrauenswürdig) angezeigt.
Nun können Sie Endanwender und Benutzergruppen hinzufügen und diese Produktprofilen zuweisen.
Wenn Sie als bevollmächtigte Organisation keinen Zugriff mehr auf das vertrauenswürdige Verzeichnis benötigen, können Sie Ihren Bevollmächtigtenstatus jederzeit zurückziehen.
Wenn Sie Ihren Zugriff auf ein vertrauenswürdiges Verzeichnis zurückziehen, werden alle zu Domänen in diesem Verzeichnis gehörenden Enterprise ID- oder Federated ID-Benutzer (d. h. Benutzer, die sich mit den Anmeldeinformationen für die Domäne anmelden) aus Ihrer Organisation entfernt. Außerdem verlieren diese Benutzer jeglichen Zugriff auf Software, der von Ihrer Organisation gewährt wird.
Als Systemadministrator einer Eigentümerorganisation können Sie die Anforderungen des Zugriffs auf Verzeichnisse, deren Eigentümer Sie sind, annehmen oder ablehnen.
Wenn Sie eine E-Mail-Anforderung für den Zugriff auf ein Verzeichnis erhalten haben, deren Eigentümer Sie sind, können Sie die Anforderung direkt in der E-Mail annehmen oder ablehnen. Sie können auch zur Registerkarte „Zugriffsanforderungen“ wechseln, um die Beanspruchungsanforderungen zu verwalten.
Sie können den Zugriff einer bevollmächtigten Organisation entziehen, der Sie zuvor Zugriff gewährt haben.
Wenn Sie den Zugriff einer bevollmächtigten Organisation widerrufen, werden Benutzer mit Enterprise ID- oder Federated ID-Konten in beliebigen Domänen dieses Verzeichnisses aus der Organisation des Bevollmächtigten entfernt. Außerdem verlieren diese Benutzer jeglichen Zugriff auf Software und Dienste, der von der bevollmächtigten Organisation gewährt wird.
Endbenutzer können mit Creative Cloud oder Document Cloud für Unternehmen Dateien sicher und geschützt speichern. Außerdem können sie Dateien teilen und mit anderen zusammenarbeiten. Über die Creative Cloud-Website, den Creative Cloud-Client und die mobile Creative Cloud-App haben Sie Zugriff auf Dateien. Speicherplatz ist nur mit Creative Cloud und Document Cloud für Unternehmen verfügbar, wenn er Bestandteil der Vereinbarung Ihrer Organisation mit Adobe ist.
Zwar sind alle Daten in Creative Cloud und Document Cloud bereits verschlüsselt, um zusätzliche Kontroll- und Sicherheitsstufen zu nutzen, können Sie jedoch von Adobe für einige oder alle Verzeichnisse in Ihrer Organisation einen dedizierten Verschlüsselungsschlüssel generieren lassen. Inhalte werden dann unter Verwendung der Standardverschlüsselung mit einem dedizierten Verschlüsselungsschlüssel verschlüsselt. Sie können den Verschlüsselungsschlüssel ggf. in der Admin Console widerrufen.
Dedizierte Verschlüsselungsschlüssel sind nur für Abo-Varianten von Creative Cloud und Document Cloud für Unternehmen mit Shared Services verfügbar, die auch Speicherplatz und Dienste umfassen.
Weitere Einzelheiten finden Sie unter Verwalten der Verschlüsselung in der Admin Console.
Wenn Sie über Verzeichnisse mit SHA-1-Authentifizierung verfügen, können Sie jetzt nahtlos von SHA-1- zu SHA-2-Authentifizierungsprofilen migrieren, ohne eigens ein neues Verzeichnis erstellen zu müssen.
Außerdem können Sie bei der Migration eines bestehenden Verzeichnisses zu einem anderen Identitätsanbieter migrieren.
Vorsicht:
Entfernen Sie das vorhandene Setup bei Ihrem IdP erst, wenn Sie sich anhand von 2 bis 3 aktiven Konten des Verzeichnisses versichert haben, dass die neue Konfiguration erfolgreich ist.
Wenn es vor der Bestätigung entfernt wird, können Sie nicht mehr zur vorherigen Konfiguration zurückkehren, sodass es bei der Behebung von Problemen zu Ausfallzeiten kommt. Weitere Informationen finden Sie unter dem Migrationsvorgang.
Um zu einem SHA-2-Authentifizierungsprofil zu migrieren, müssen die folgenden Anforderungen erfüllt sein:
- Sie haben Zugriff auf die Admin Console Ihrer Organisation mit Systemadministrator-Anmeldedaten.
- Das bestehende SHA-1-Verzeichnis muss in der Admin Console für den Verband konfiguriert sein.
- Sie besitzen Zugriffsrechte zum Konfigurieren des Identitätsanbieters Ihrer Organisation (z. B. Microsoft Azure-Portal, Google Admin-Konsole).
Weitere Informationen zu den Aspekten, die bei der Implementierung zu berücksichtigen sind, finden Sie unter Häufige Fragen: Migrieren eines Verzeichnisses zu einem neuen Authentifizierungsanbieter.
Nachdem Sie sichergestellt haben, dass die Zugriffsanforderungen erfüllt sind und die Überlegungen zur Implementierung berücksichtigt wurden, führen Sie die folgenden Schritte aus, um Ihr Authentifizierungsprofil zu bearbeiten und Ihr Verzeichnis zu migrieren:
-
-
- Kopieren Sie die ACS-URL und die Entitäts-ID von der Seite SAML-Konfiguration bearbeiten.
- Melden Sie sich in einem separaten Fenster bei der Google Admin-Konsole mit Google Admin-Anmeldeinformationen an und navigieren Sie zu Apps > SAML-Apps.
- Fügen Sie mit dem +-Symbol eine neue App hinzu und wählen Sie die Adobe-App aus. Laden Sie dann die IdP-Metadaten unter Option 2 herunter und laden Sie sie auf der Seite SAML-Konfiguration bearbeiten in der Adobe Admin Console hoch. Klicken Sie anschließend auf Speichern.
- Bestätigen Sie die grundlegenden Informationen für Adobe. Geben Sie die zuvor kopierte ACS-URL und Entitäts-ID in die Details zum Dienstanbieter ein.
- Rufen Sie schließlich „Apps“ > SAML-Apps > „Einstellungen für Adobe“ > „Dienststatus“ auf. Aktivieren Sie den Dienststatus mit Für alle aktivieren und Speichern.
-
Andere SAML-Anbieter:
- Melden Sie sich in einem anderen Fenster beim Programm Ihres Identitätsanbieters an und erstellen Sie eine neue SAML-App. (Bearbeiten Sie die vorhandene SAML-App nicht, um Ausfallzeiten bei der Migration zu verhindern.)
- Kopieren Sie je nach Einstellungen Ihres Identitätsanbieters die Metadatendatei oder die ACS-URL und die Entitäts-ID aus der Adobe Admin Console in die Einstellungen des Identitätsanbieters.
- Laden Sie die Metadatendatei vom Identitätsanbieter in die Adobe Admin Console hoch. Klicken Sie anschließend auf Speichern.
-
Das neue Authentifizierungsprofil wird unter Adobe Admin Console > „Verzeichnisdetails“ erstellt. Überprüfen Sie mit dem Test, ob die Konfiguration korrekt eingerichtet ist, um sicherzustellen, dass alle Endbenutzer Zugriff auf SAML-Apps haben.
Die Funktion Test stellt sicher, dass das Benutzernamenformat für das neue Authentifizierungsprofil in ihrem IdP mit den Benutzerinformationen des bestehenden Profils für die Benutzeranmeldung übereinstimmt.
-
Klicken Sie auf Aktivieren, um zum neuen Authentifizierungsprofil zu migrieren. Anschließend wird für das neue Profil Wird verwendet angezeigt.
Stellen Sie nach der Aktivierung sicher, dass der Wert des Felds Subject in der Assertion aus der neuen SAML-Konfiguration mit dem Benutzernamenformat der vorhandenen Benutzer in der Admin Console übereinstimmt.
Vorsicht:
Sobald eine neue IdP-Konfiguration aktiv ist, bleibt das Okta-SHA-1-Profil inaktiv und sieben Tage lang verfügbar. Danach wird die inaktive Profilkarte automatisch aus dem Verzeichnis in der Adobe Admin Console entfernt. Die einzige Möglichkeit, ein entferntes Okta-Profil wiederherzustellen, besteht darin, eine Supportanfrage an Adobe Engineering zu senden.
Nachdem Sie Ihr Verzeichnis zu einem SAML-Anbieter mit SHA-2-Unterstützung migriert haben, können Sie Domänen aus anderen SHA-1-Verzeichnissen mithilfe der Domänenmigration in das neue Verzeichnis verschieben.
Weitere Informationen zu einigen Einschränkungen und wie Sie Fehler bei der Konfiguration vermeiden finden Sie unter Häufige Fragen: Migrieren eines Verzeichnisses zu einem neuen Authentifizierungsanbieter.
Organisationen können Verzeichnisse anordnen, indem sie Domänen innerhalb der Admin Console aus Quellverzeichnissen in Zielverzeichnisse verschieben. Sie können die Verknüpfungen von Domänen mit Verzeichnissen entsprechend den jeweiligen Anforderungen der Organisation neu organisieren, ohne dass Endanwender den Zugriff auf ihre Produkte, Dienste und gespeicherten Elemente verlieren. Durch Konsolidieren von Domänen, die für denselben Identitätsanbieter konfiguriert wurden, in einem einzigen Verzeichnis wird die Verwaltung für Ihre IT-Teams optimiert.
Wenn Sie Domänen aus einem Verzeichnis in ein anderes migrieren möchten, das einen neuen Identitätsanbieter (Azure, Google oder einen anderen SAML) mit SHA-2-Authentifizierung enthält, müssen Sie die Einrichtung des neuen IdP in beiden Verzeichnissen replizieren. Die Einrichtung des neuen IdP ermöglicht die Testanmeldung für Benutzer aller Domänen innerhalb des Verzeichnisses. Führen Sie die betreffenden Schritte für Ihren neuen Identitätsanbieter durch:
- Microsoft Azure: Fügen Sie Ihrem Verzeichnis einen neuen Azure-IdP hinzu und melden Sie sich bei demselben Azure-Mandanten an.
- Andere SAML-Anbieter (einschließlich Google): Laden Sie die gleiche Metadatendatei hoch, die auf dieselbe SAML-App auf Ihrem IdP verweist.
Nach Abschluss der Domänenmigration können sich Benutzer, die im neuen Verzeichnis enthalten sind, weiterhin anmelden. Dadurch werden Ausfallzeiten vermieden und der sofortige Zugriff auf die zugewiesenen Adobe-Programme und -Services wird sichergestellt.
Hinweis:
Benutzer werden während des Übertragens der Domänen bei ihren Konten abgemeldet und können sich während dieses Zeitraums nicht bei einer neuen Sitzung anmelden. Es wird empfohlen, Verzeichnisse außerhalb der Spitzenzeiten zu bearbeiten, um die Unterbrechung für Endanwender zu minimieren.
Von dieser Funktion können Sie in den folgenden Szenarien profitieren:
- Sie haben Domänen in alten Verzeichnissen mit SHA-1-Unterstützung und möchten zu Verzeichnissen mit SHA-2-Unterstützung wechseln.
- Sie möchten ein bestehendes Verzeichnis mit einem SHA-2-Authentifizierungsprofil zu einem anderen Identitätsanbieter migrieren.
- Sie verfügen über Verzeichnisse in einer Vertrauensbeziehung oder möchten Verzeichnisse als vertrauenswürdig freigeben, ohne dass der Zugriff auf alle Domänen im vertrauenswürdigen Verzeichnis zugelassen wird.
- Sie müssen Verzeichnisse nach Teams und Abteilungen in der Organisation gruppieren.
- Sie verfügen über eine Reihe von Verzeichnissen, die mit einzelnen Domänen verknüpft sind und die Sie konsolidieren möchten.
- Sie haben versehentlich eine Domäne mit einem falschen Verzeichnis verknüpft.
- Sie möchten eine Domäne im Self-Service von Enterprise ID nach Federated ID oder von Federated ID nach Enterprise ID verschieben.
Anwendungsfall |
Vorgeschlagene Vorgehensweise |
So verschieben Sie eine Domäne aus einer Admin Console-Organisation in eine andere |
|
So verschieben Sie Domänen zwischen Verzeichnissen, die sich in einer Vertrauensbeziehung befinden |
|
So verschieben Sie Domänen zwischen Verzeichnissen, die sich in einer Vertrauensbeziehung befinden, jedoch nicht miteinander |
Ziehen Sie die Vertrauensbeziehung zurück, verschieben Sie die Domänen und stellen Sie die Vertrauensbeziehung wieder her. |
Vorsicht:
Ein Verschieben von Domänen aus oder in verschlüsselte Verzeichnisse wird derzeit nicht unterstützt.
Gehen Sie wie folgt vor, um Domänen aus einem Quellverzeichnis in ein Zielverzeichnis zu übertragen:
-
Melden Sie sich bei der Adobe Admin Console an und navigieren Sie zu Einstellungen.
Sie werden zum Abschnitt Domänen unter Einstellungen > Identität weitergeleitet. Alle Domänen werden mit dem zugehörigen Status aufgelistet.
Sobald die Domänen erfolgreich übertragen wurden, erhalten die Systemadministratoren eine E-Mail zur Übertragung der Domänen. Nun können Sie Verzeichnisnamen bearbeiten und ggf. leere Verzeichnisse löschen.
Hinweis:
Verzeichnisse können nicht gelöscht werden, wenn sie Folgendes aufweisen:
- Aktive Benutzer
- Verknüpfte Domänen
- Bevollmächtigte
Hinweis:
Domänen können nicht entfernt werden, wenn diese in der Admin Console über Benutzer verfügen oder wenn sie mit mindestens einem Verzeichnis verknüpft sind.