Opmerking:

Als uw organisatie nog steeds directory's met SHA-1-verificatie gebruikt, kunt u in de Admin Console naadloos overstappen op de verbeterde beveiliging van het SHA-2-certificaat. Voeg een nieuw verificatieprofiel toe in uw bestaande directory en activeer dit om zonder downtime te migreren van SHA-1 naar SHA-2. Zie Migreren naar een nieuwe verificatieprovider voor meer informatie.

Merk op dat voor alle nieuwe directory's die u maakt, SHA-2-verificatie standaard is ingeschakeld.

setup-dir

Directory's configureren: Als u Enterprise ID's of Federated ID's wilt gebruiken, begint u met het configureren van een directory waaraan u een of meer domeinen kunt koppelen.
Meer informatie >


setup-domains

Domeinen instellen: Uw eindgebruikers worden geverifieerd met domeinen die u moet instellen in de Admin Console.
Meer informatie >


link-domains-to-dirs

Domeinen koppelen aan directory's: Nadat u uw directory's en domeinen hebt ingesteld, moet u de domeinen groeperen door ze aan directory's te koppelen.
Meer informatie >


dir-trusting

Directory's vertrouwen: Gebruik vertrouwde directory's om systeembeheerders van andere organisaties te vertrouwen.
Meer informatie >


cq5dam_web_1280_1280

SHA-1-diretory's migreren naar SHA-2: Werk oude directory's met SHA-1-verificatie bij naar het SHA-2-profiel.
Meer informatie >


move-domains

Domeinen tussen directory's verplaatsen: Structureer directory's door domeinen te verplaatsen tussen directory's in de Admin Console.
Meer informatie >


Als systeembeheerder in de Admin Console bestaat een van uw eerste taken eruit een identiteitssysteem te definiëren en te beheren dat wordt gebruikt om uw eindgebruikers te verifiëren. Wanneer uw organisatie licenties koopt voor Adobe-producten en -services, moet u die licenties inrichten voor uw eindgebruikers. Daarvoor hebt u een manier nodig om deze gebruikers te verifiëren.

Adobe biedt u de volgende identiteitstypen die u kunt gebruiken om uw eindgebruikers te verifiëren:

  • Adobe ID
  • Enterprise ID
  • Federated ID

Als u afzonderlijke accounts wilt die eigendom zijn van uw organisatie en die door de organisatie worden beheerd voor gebruikers in uw domein, moet u het identiteitstype Enterprise ID of Federated ID (voor eenmalige aanmelding) gebruiken.

Dit artikel biedt de benodigde informatie voor het opzetten van het identiteitssysteem dat u nodig hebt als u Enterprise ID of Federated ID wilt gaan gebruiken om eindgebruikers te verifiëren.

Dit artikel biedt de benodigde informatie voor het opzetten van het identiteitssysteem dat u nodig hebt als u Enterprise ID of Federated ID wilt gaan gebruiken om eindgebruikers te verifiëren.

Opmerking:

De procedures om de directory te configureren en het domein te configureren die in dit document worden beschreven, zijn volledig losgekoppeld. Dit betekent dat u deze procedures in willekeurige volgorde of parallel kunt uitvoeren. De procedure om e-maildomeinen te koppelen aan directory's kan echter pas worden uitgevoerd nadat u deze twee procedures hebt voltooid.

Belangrijke termen en concepten

Voordat we ingaan op de procedures, zijn er enkele concepten en termen die u moet kennen:

Een directory in de Admin Console is een entiteit waarin resources zoals gebruikers en beleidsregels zoals verificatie worden opgeslagen. Deze directory's zijn vergelijkbaar met LDAP of Active Directory.

De identiteitsprovider van een organisatie zoals Active Directory, Azure, Ping, Okta, InCommon of Shibboleth.

Als u meer wilt weten over het instellen van SSO voor Creative Cloud met enkele veelgebruikte IdP's, raadpleegt u Verwante informatie aan het einde van dit artikel.

Wordt gemaakt en beheerd door en is eigendom van de organisatie. Adobe host de Enterprise ID en voert de verificatie uit, maar de organisatie onderhoudt de Enterprise ID. Eindgebruikers kunnen geen Enterprise ID registreren en maken en kunnen zich ook niet inschrijven voor extra producten en services van Adobe met een Enterprise ID.

Beheerders maken een Enterprise ID en verstrekken deze aan een gebruiker. Beheerders kunnen gebruikers de toegang tot producten en services ontzeggen door het account over te nemen of door de Enterprise ID te verwijderen om de toegang tot gekoppelde gegevens permanent te blokkeren.

In de volgende gevallen wordt het gebruik van Enterprise ID's aanbevolen:

  • Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
  • Als u in geval van nood toegang wilt hebben tot bestanden en gegevens die aan een ID zijn gekoppeld.
  • Als u de mogelijkheid wilt hebben om een gebruikersaccount volledig te blokkeren of te verwijderen.

Wordt gemaakt door en is eigendom van een organisatie en is via federatie gekoppeld aan de directory van de onderneming. De organisatie beheert de aanmeldingsgegevens en verwerkt eenmalige aanmelding via een SAML2-identiteitsprovider (IdP).

Hier volgen enkele vereisten voor Federated ID's en wordt aangegeven in welke gevallen het gebruik ervan wordt aanbevolen:

  • Als u gebruikers toegang wilt geven tot apps en services op basis van de ondernemingsdirectory van uw organisatie.
  • Als u de verificatie van gebruikers wilt beheren.
  • Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
  • Als u gebruikers wilt toestaan hetzelfde e-mailadres te gebruiken als voor een Adobe ID.

Opmerking:

De identiteitsprovider moet voldoen aan TLS 1.2.

Wordt gemaakt en beheerd door de eindgebruiker en is eigendom van de eindgebruiker. Adobe voert de verificatie uit en de eindgebruiker beheert de identiteit. Gebruikers behouden de volledige controle over bestanden en gegevens die zijn gekoppeld aan hun ID. Gebruikers kunnen extra producten en services kopen bij Adobe. Beheerders nodigen gebruikers uit om zich aan te sluiten bij de organisatie en kunnen ook gebruikers verwijderen. Beheerders kunnen gebruikers de toegang tot hun Adobe ID-accounts echter niet ontzeggen. De beheerder kan de accounts niet verwijderen of overnemen. U hoeft niets in te stellen om Adobe ID's te kunnen gebruiken.

In de volgende gevallen wordt het gebruik van Adobe ID's aanbevolen:

  • Als u wilt dat gebruikers hun eigen identiteit maken, beheren en eigenaar zijn van hun identiteit.
  • Als u gebruikers wilt toestaan om andere producten en services van Adobe te kopen of zich hiervoor aan te melden.
  • Als u verwacht dat gebruikers andere services van Adobe zullen gebruiken, die momenteel nog geen Enterprise ID of Federated ID ondersteunen.
  • Als gebruikers al beschikken over Adobe ID's en over aan deze ID's gekoppelde gegevens, zoals bestanden, lettertypen of instellingen. 
  • Voor onderwijsinstellingen waar studenten hun Adobe ID kunnen behouden nadat ze zijn afgestudeerd.
  • Als u contractanten en freelancers hebt die geen gebruikmaken van e-mailadressen in domeinen die u beheert.
  • Als u een Adobe-teamcontract hebt, moet u dit identiteitstype gebruiken.

Het gedeelte van een e-mailadres na het symbool @. Als u een domein wilt gebruiken met Enterprise of Federated ID, moet u eerst bewijzen dat u de eigenaar van dat domein bent.

Stel, een organisatie bezit meerdere domeinen (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), maar de werknemers worden geverifieerd met geometrixx.com. In dit geval gebruikt de organisatie het domein geometrixx.com om de identiteit in te stellen in de Admin Console.

Systeembeheerder

  • Werkt met IdP-directorybeheerders en DNS-beheerders om de identiteit in te stellen in de Admin Console. Dit document is bedoeld voor systeembeheerders die toegang hebben tot de Admin Console. De persoon moet samenwerken met andere personen die (gewoonlijk) geen toegang hebben tot de Admin Console.

DNS-beheerder

  • Werkt DNS-tokens bij om het eigendom van het domein te valideren

Directorybeheerder van identiteitsprovider (IdP)

  • Maakt connectors in de IdP

Gebruikersidentiteiten worden geverifieerd met behulp van een verificatiebron. Als u een Enterprise ID of een Federated ID wilt gebruiken, stelt u uw eigen verificatiebron in door een domein toe te voegen. Als uw e-mailadres bijvoorbeeld johan@voorbeeld.com is, is voorbeeld.com uw domein. Als u een domein toevoegt, kunnen er Enterprise ID's of Federated ID's worden gemaakt met e-mailadressen uit het domein. Een domein kan worden gebruikt met Enterprise ID's of met Federated ID's, maar niet met beide. U kunt echter meerdere domeinen toevoegen.

Een organisatie moet bewijzen dat deze beheer heeft over een domein. Een organisatie kan ook meerdere domeinen toevoegen. Een domein kan echter slechts eenmaal worden toegevoegd. Bekende openbare en algemene domeinen, zoals gmail.com of yahoo.com, kunnen helemaal niet worden toegevoegd.

Zie Identiteitstypen beheren als u meer wilt weten over de identiteitstypen.

SHA-1 en SHA-2 zijn certificaatmodellen die verantwoordelijk zijn voor de beveiliging van de verificatieprofielen van uw directory. Aangezien SHA-2 een betere beveiliging biedt dan de oudere SHA-1-certificaten, gebruiken alle nieuwe en gemigreerde verificatieprofielen het SHA-2-certificaat.

Directory's maken

Als u Enterprise ID's of Federated ID's wilt gebruiken, maakt u eerst een directory waaraan u een of meer domeinen kunt koppelen.

Opmerking:

Momenteel biedt Adobe geen ondersteuning voor door de IdP gestarte workflows.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Navigeer naar het tabblad Directory's en klik op Directory maken.

  3. Voer in het scherm Een directory maken een naam voor de directory in.

  4. Kies Enterprise ID en klik op Directory maken of kies Federated ID en klik op Volgende en ga naar stap 5.

    Als u ervoor hebt gekozen een directory voor Enterprise ID's te maken, bent u klaar. U kunt nu uw domeinen instellen in de Admin Console.

  5. (Alleen Federated ID) Kies uw IdP uit de aangeboden opties en daarna:

    • Klik op Volgende bij Andere SAML-providers om een identiteitsprovider (IdP) met SAML te configureren.
    • Klik op Volgende voor Microsoft Azure en volg de stappen in het gedeelte Een directory maken in Azure AD Connector instellen.
    • Klik op Volgende voor Google en volg de stappen in het gedeelte Een directory maken in Google-federatie instellen.

    Opmerking:

    De rest van de stappen in deze procedure zijn alleen vereist als u Andere SAML-providers kiest.

  6. Gebruik het scherm SAML-profiel toevoegen om de instellingsgegevens voor uw identiteitsprovider toe te voegen.

    Sommige identiteitsproviders (IdP) accepteren een metagegevensbestand dat u kunt uploaden, terwijl anderen mogelijk de ACS-URL en de Entiteits-ID willen hebben. Bijvoorbeeld:

    • Voor Azure Active Directory: upload het metagegevensbestand.
    • Voor Google: Kopieer de ACS-URL en entiteits-ID, en gebruik deze in de IdP-software van Google.
    • Voor SalesForce: download het metagegevensbestand, pak de certificaatgegevens uit het bestand uit en gebruik die certificaatgegevens in de IdP-software van SalesForce.

    Kies een van de onderstaande methoden.

    Methode 1:

    Klik op Metagegevensbestand van Adobe downloaden.

    Het metagegevensbestand wordt gedownload naar de lokale schijf. Gebruik dit bestand om uw SAML-integratie met de identiteitsprovider te configureren.

    Methode 2:

    Kopieer de ACS-URL en de entiteits-ID.

    SAML-profiel toevoegen
  7. Schakel over naar het venster van de IdP-applicatie en upload het metagegevensbestand of geef de ACS-URL en entiteits-ID op. Download vervolgens het IdP-metagegevensbestand.

  8. Keer terug naar de Adobe Admin Console, upload het IdP-metagegevensbestand in het venster SAML-profiel toevoegen en klik op Gereed.

De directory wordt gemaakt.

  • Als u ervoor hebt gekozen een directory met het identiteitstype Enterprise ID te maken, is de configuratie klaar.
  • Als u ervoor hebt gekozen om een directory te maken met de optie Andere SAML-providers, gebruikt deze directory automatisch SHA-2-verificatie. Eerder gemaakte directory's met SHA-1-verificatie kunnen nu worden bijgewerkt naar SHA-2 en worden gemigreerd naar een andere identiteitsprovider. Zie Migreren naar een nieuwe verificatieprovider voor meer informatie.

Daarna kunt u domeinen instellen in de Admin Console.

Domeinen instellen

Opmerking:

U hoeft domeinen niet handmatig toe te voegen als de directory van uw organisatie is ingesteld via synchronisatie met Microsoft Azure AD Connector of Google-federatie. Geselecteerde domeinen die zijn gevalideerd in de instellingen van uw identiteitsprovider, worden automatisch gesynchroniseerd met de Adobe Admin Console.

Uw eindgebruikers worden geverifieerd met domeinen die u moet instellen in de Admin Console.

Domeinen instellen:

  1. Voeg domeinen toe aan de Admin Console
  2. Bereid de validatie van domeineigendom voor door een speciale DNS-record toe te voegen
  3. Valideer de domeinen

De domeinen die u toevoegt in de Admin Console, hoeven niet bij dezelfde IdP te zijn geregistreerd. Wanneer u deze domeinen echter koppelt aan een directory, moet u domeinen van verschillende IdP's koppelen aan verschillende directory's.

U kunt een domein niet toevoegen aan de Admin Console als het domein al is toegevoegd aan de Admin Console van een andere organisatie. U kunt echter wel toegang tot dat domein aanvragen.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Klik op het tabblad Domeinen op Domeinen toevoegen.

  3. Voer in het scherm Domeinen toevoegen een of meer domeinen in en klik op Domeinen toevoegen. U kunt slechts 15 domeinen tegelijk claimen en valideren en vervolgens de resterende domeinen toevoegen.

  4. Controleer de lijst met domeinen in het scherm Domeinen toevoegen en klik op Domeinen toevoegen.

    Toe te voegen domeinen bevestigen

Uw domeinen worden nu toegevoegd aan de Admin Console. U moet echter nog steeds aantonen dat u eigenaar van deze domeinen bent.

Een organisatie moet aantonen dat deze de eigenaar is van een domein. Een onderneming kan zoveel domeinen aan de Admin Console toevoegen als nodig is.

De Admin Console staat toe dat een organisatie één DNS-token gebruikt om het eigendom van alle domeinen aan te tonen. De Admin Console vereist bovendien geen DNS-validatie voor subdomeinen. Dit betekent dat wanneer u het DNS-token gebruikt en het eigendom van een domein aantoont, alle subdomeinen van dat domein direct worden gevalideerd wanneer ze worden toegevoegd aan de Admin Console.

  1. Meld u aan bij de Admin Console, navigeer naar Instellingen > Identiteit en ga naar het tabblad Domeinen.

  2. Klik op en kies Toegang tot DNS-token in de vervolgkeuzelijst.

  3. Werk samen met uw DNS-beheerder om een speciale DNS-record toe te voegen voor de domeinen die u hebt toegevoegd.

  4. U moet een TXT-record met de gegenereerde DNS-token toevoegen om te bevestigen dat u de eigenaar van het domein bent. De exacte instructies hangen af van uw domeinhost. Zie Het eigendom van een domein verifiëren voor algemene richtlijnen.

  5. Voeg informatie aan uw DNS-servers toe om deze stap te voltooien. Laat dit van tevoren weten aan uw DNS-beheerder, zodat deze stap snel kan worden voltooid.

    Adobe controleert regelmatig de DNS-records voor uw domein. Als ze correct zijn, wordt het domein automatisch gevalideerd. Als u het domein direct wilt valideren, kunt u zich aanmelden bij de Admin Console en het domein handmatig valideren. Zie Domein valideren.

De Admin Console probeert domeinen die u hebt toegevoegd, meerdere malen per dag te valideren. U hoeft dus niets te doen om een domein te valideren nadat de DNS-records correct zijn geconfigureerd.

Domeinen handmatig valideren

Als u uw domein direct wilt valideren, kunt u dit doen in de Admin Console. Uw domeinen handmatig valideren:

  1. Meld u aan bij de Admin Console.

  2. Ga naar Instellingen > Identiteit en ga naar het tabblad Domeinen.

  3. Klik op Valideren.

    Domeinen valideren
  4. Klik in het scherm Domeineigendom valideren op Nu valideren.

U krijgt mogelijk foutmeldingen wanneer u probeert te valideren, aangezien het tot 72 uur kan duren voordat DNS-wijzigingen van kracht zijn. Raadpleeg de veelgestelde vragen over DNS-records voor meer informatie.

Nadat u het eigendom van het domein hebt geverifieerd, koppelt u de gevalideerde domeinen aan de gewenste directory's in de Admin Console.

Nadat u uw directory's en domeinen hebt ingesteld in de Admin Console, moet u de domeinen aan de directory's koppelen.

U kunt meerdere domeinen aan dezelfde directory koppelen. Alle domeinen die u aan één directory koppelt, moeten echter dezelfde SSO-instellingen hebben.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Domeinen.

  3. Klik op het selectievakje links van de domeinnaam en klik op Koppelen aan directory.

    Als u meerdere domeinen aan dezelfde directory wilt koppelen, schakelt u de selectievakjes voor deze domeinen in.

    Domeinen aan directory koppelen
  4. In het scherm Koppelen aan directory kiest u de directory in de vervolgkeuzelijst en klik u op Koppelen.

U zorgt ervoor dat uw eindgebruikers de Adobe-producten en -services waarvoor uw organisatie een licentie heeft, kunnen gaan gebruiken door eindgebruikers en gebruikersgroepen toe te voegen en deze toe te wijzen aan productprofielen.

Directory's vertrouwen

Het eigendom van een domein kan door slechts één organisatie worden geclaimd. Kijk bijvoorbeeld eens naar het volgende scenario:

Een bedrijf, Geometrixx, heeft meerdere afdelingen. Elke afdeling heeft een unieke eigen Admin Console. Elke afdeling wil Federated ID's gebruiken en het domein geometrixx.com gebruiken. In dit geval wil de systeembeheerder voor elk van deze afdelingen dit domein claimen voor verificatie. In de Admin Console wordt voorkomen dat een domein wordt toegevoegd aan de Admin Console van meer dan één organisatie. Nadat het domein door één afdeling is toegevoegd, kunnen andere afdelingen echter toegang aanvragen tot de directory waaraan dat domein is gekoppeld namens de Admin Console van hun organisatie.

Bij vertrouwde directory's kan de eigenaar van een directory andere systeembeheerders (gemachtigden) vertrouwen. Daarna kunnen beheerorganisaties in de Admin Console gebruikers toevoegen aan elk domein in de vertrouwde directory.

Samenvattend: als u van plan bent om Enterprise ID's of Federated ID's te gebruiken in uw Admin Console, moet u het domein toevoegen dat is gekoppeld aan uw organisatie. Als dit domein eerder is toegevoegd door een andere organisatie, moet u als gemachtigde toegang aanvragen tot de directory met dat domein.

Als u toegang tot een directory wilt aanvragen, raadpleegt u de stappen in de bovenstaande procedure Domeinen instellen.

Let op:

Als u als eigenaar van een directory een toegangsaanvraag voor die directory goedkeurt, heeft de beheerorganisatie toegang tot alle domeinen die zijn gekoppeld aan die directory en tot alle domeinen die in de toekomst aan de directory worden gekoppeld. Het is dus van groot belang dat u de koppeling tussen domeinen en directory's plant wanneer u het identiteitssysteem in uw organisatie configureert.

Domeingemachtigde

Als u bestaande domeinen toevoegt aan de Admin Console, wordt het volgende bericht weergegeven:

Toegang aanvragen

Als u toegang aanvraagt tot dit domein, worden uw naam en e-mailadres en de naam van uw organisatie met de aanvraag gedeeld met de systeembeheerders van de organisatie die het domein bezit.

Het type directory (Enterprise of Federated) hangt af van hoe het domein is opgezet door de organisatie die het domein bezit. Dit betekent dat u het type directory moet gebruiken dat door de eigenaar is gekozen.

Aangezien het domein al is ingesteld door de eigenaar (zie Eigendom van een domein aantonen in Domeinen instellen voor meer informatie), hoeft u, als gemachtigde, geen verdere stappen te ondernemen. Wanneer de toegangsaanvraag door de eigenaar wordt geaccepteerd, heeft uw organisatie toegang tot de directory en alle domeinen erin, zoals geconfigureerd door de eigenaar van het domein.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen en controleer de status van elke directory waartoe u toegang hebt aangevraagd.

  3. U kunt ook klikken op de rij in de lijst met toegangsaanvragen en klikken op Verzoek opnieuw verzenden of Verzoek annuleren.

Als uw aanvraag voor toegang tot de directory wordt geaccepteerd door de eigenaar van de directory, ontvangt u een e-mailmelding. Uw aanvraag verdwijnt en in plaats daarvan worden de vertrouwde directory en de domeinen erin met de status Actief (vertrouwd) weergegeven in de lijsten Directory's en Domeinen.

U kunt nu eindgebruikers en gebruikersgroepen gaan toevoegen en deze toewijzen aan productprofielen.

Als u als beheerorganisatie niet langer toegang nodig hebt tot de vertrouwde directory, kunt u uw status van gemachtigde op elk moment weer intrekken.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Klik op het tabblad Directory's op de gedeelde directory waartoe u geen toegang meer wilt.

  3. Klik op Intrekken in de lade met details over de directory.

Als u uw toegang tot een vertrouwde directory intrekt, worden Enterprise ID- of Federated ID-gebruikers die deel uitmaken van domeinen in die directory (wat betekent dat ze zich aanmelden met de domeinreferenties) verwijderd uit uw organisatie. Deze gebruikers hebben ook niet langer toegang tot software die door uw organisatie aan ze werd verleend.

Domeineigenaar

Als systeembeheerder van een organisatie die eigenaar is van directory's, kunt u ervoor kiezen aanvragen voor toegang tot die directory's te accepteren of te weigeren. 

Wanneer u een e-mailaanvraag krijgt voor toegang tot een directory die uw eigendom is, kunt u ervoor kiezen de aanvraag te weigeren of accepteren in de e-mail zelf. U kunt ook naar het tabblad Toegangsaanvragen gaan om de aanvragen te beheren.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen.

  3. Als u alle aanvragen wilt accepteren, klikt u op Alles accepteren.

    Als u specifieke aanvragen wilt accepteren, schakelt u het selectievakje links van elke gewenste rij in en klikt u op Accepteren.

  4. Klik op Accepteren in het scherm Toegangsaanvraag accepteren.

Er wordt een e-mailmelding verzonden naar de systeembeheerders van de beheerorganisaties.

U kunt een aanvraag voor toegang tot een directory die u bezit, ook weigeren.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen.

  3. Klik op het selectievakje links van elke gewenste rij en klik op Weigeren.

  4. Voer in het scherm Toegangsaanvraag weigeren een reden voor de weigering van de aanvraag in en klik op Weigeren.

De reden die u opgeeft, wordt per e-mail gedeeld met de organisatie die de toegang aanvraagt. Uw e-mailadres, naam en informatie over uw organisatie worden echter niet vermeld.

U kunt de toegang van beheerorganisaties die u toegang hebt gegeven, intrekken.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Beheerorganisaties.

  3. Klik op het selectievakje links van elke gewenste rij en klik op Intrekken.

  4. Klik in het scherm Beheerorganisaties intrekken op Intrekken.

Als u de toegang van een beheerorganisatie intrekt, worden gebruikers met een Enterprise ID- of Federated ID-account in een domein in die directory, verwijderd uit de beheerorganisatie. Deze gebruikers hebben ook geen toegang meer tot software en services die aan hen zijn verleend door de beheerorganisatie.

Versleutelingssleutels beheren

Met Creative Cloud of Document Cloud voor ondernemingen kunnen eindgebruikers bestanden veilig op Creative Cloud opslaan. Gebruikers kunnen ook bestanden delen en samenwerken met anderen. Bestanden zijn toegankelijk voor gebruikers via de Creative Cloud-website, de Creative Cloud desktop-app en mobiele Creative Cloud-apps. Opslagruimte is alleen beschikbaar bij Creative Cloud of Document Cloud voor ondernemingen als opslagruimte deel uitmaakt van de overeenkomst van uw organisatie met Adobe.

Hoewel alle gegevens in Creative Cloud en Document Cloud zijn versleuteld, kunt u Adobe desgewenst een toegewezen versleutelingssleutel laten genereren voor enkele of alle directory's binnen uw organisatie om zo extra controle- en beveiligingslagen aan te brengen. Inhoud wordt vervolgens versleuteld met standaardversleuteling met een speciale versleutelingssleutel. U kunt de versleutelingssleutel indien nodig weer intrekken via de Admin Console.

Toegewezen versleutelingssleutels zijn alleen beschikbaar bij Creative Cloud- of Document Cloud-lidmaatschappen voor ondernemingen met gedeelde services die opslag en services omvatten.

Lees Versleutelingssleutel beheren in de Admin Console voor meer informatie.

Migreren naar een nieuwe verificatieprovider

Als u directory's hebt die SHA-1-verificatie gebruiken, kunt u nu naadloos migreren van SHA-1- naar SHA-2-verificatieprofielen zonder dat u expliciet een nieuwe directory hoeft te maken.

Met de migratie kunt u een bestaande directory bovendien migreren naar een andere identiteitsprovider.

Let op:

Verwijder de bestaande configuratie in uw IdP pas nadat u hebt gecontroleerd of de nieuwe configuratie succesvol is met 2 tot 3 actieve accounts van de directory.

Als u de configuratie vóór de verificatie verwijdert, kun u niet terugkeren naar de vorige configuratie en treedt er downtime op terwijl u de problemen oplost. Zie Migratieprocedure voor meer informatie.

Toegangsvereisten

Als u wilt migreren naar een SHA-2-verificatieprofiel, moet u aan de volgende vereisten voldoen:

  • U moet zich als systeembeheerder aanmelden bij de Admin Console van uw organisatie
  • De bestaande SHA-1-directory moet zijn geconfigureerd voor federatie in de Admin Console
  • U moet de vereiste toegang hebben om de identiteitsprovider van uw organisatie te configureren (bijvoorbeeld Microsoft Azure Portal, Google-beheerdersconsole etc.)

Zie Overwegingen bij de implementatie voor meer informatie over andere zaken waarmee u rekening moet houden bij de implementatie.

Migratieprocedure

Nadat u hebt gecontroleerd dat u voldoet aan de toegangsvereisten en de overwegingen bij de implementatie hebt gelezen, volgt u de onderstaande procedure om uw verificatieprofiel te bewerken en uw directory te migreren:

  1. Ga in de Adobe Admin Console naar Instellingen > Directory's.

  2. Selecteer de actie Bewerken voor de directory. Selecteer vervolgens Nieuwe IdP toevoegen bij de Details van de directory.

  3. Selecteer de identiteitsprovider om het nieuwe verificatieprofiel in te stellen. Kies de identiteitsprovider (IdP) die uw organisatie gebruikt om gebruikers te verifiëren. Klik op Volgende.

  4. Volg de onderstaande stappen op basis van de geselecteerde identiteitsprovider:

    • Voor Azure:
      Meld u aan bij Azure met uw aanmeldingsgegevens als algemene beheerder van Microsoft Azure Active Directory en ga akkoord met de toestemmingsmelding. U keert terug naar de pagina Directorydetails in de Admin Console.

    • Voor Google:

      1. Kopieer de ACS-URL en Entiteits-ID in het scherm SAML-configuratie bewerken.
      2. Meld u in een apart venster aan bij de Google-beheerdersconsole met uw aanmeldingsgegevens als Google-beheerder en navigeer naar Apps > SAML-apps.
      3. Gebruik het +-teken om een nieuwe app toe te voegen en selecteer Adobe-app. Download vervolgens de IDP-metagegevens onder optie 2 en upload deze gegevens naar het venster SAML-configuratie bewerken in de Adobe Admin Console. Klik vervolgens op Opslaan.
      4. Bevestig de Basisinformatie voor Adobe. Voer de eerder gekopieerde ACS-URL en entiteits-ID in bij Gegevens van serviceprovider.
      5. Ga tot slot naar Apps > SAML-apps > Instellingen voor Adobe > Servicestatus. Stel Servicestatus in op AAN voor iedereen en klik op Opslaan.
      Servicestatus
    • Voor Andere SAML-providers:

      1. Meld u in een ander venster aan bij de applicatie van uw identiteitsprovider en maak een nieuwe SAML-app. (Bewerk niet de bestaande SAML-app om zo downtime door de migratie te voorkomen.)
      2. Afhankelijk van de instellingen van uw identiteitsprovider kopieert u het metagegevensbestand of de ACS-URL en entiteits-ID uit de Adobe Admin Console naar de instellingen van uw identiteitsprovider.
      3. Upload het metagegevensbestand van de configuratie van de identiteitsprovider naar de Adobe Admin Console. Klik vervolgens op Opslaan.
  5. In de Adobe Admin Console wordt het nieuwe verificatieprofiel gemaakt onder Directorydetails. Gebruik de functie Testen om te controleren of de configuratie correct is ingesteld en alle eindgebruikers toegang hebben tot SAML-apps.

    De functie Testen controleert of de indeling van de gebruikersnaam voor het nieuwe verificatieprofiel in de IdP overeenkomt met de gebruikersgegevens voor het bestaande profiel voor gebruikersaanmelding.

  6. Klik op Activeren om te migreren naar het nieuwe verificatieprofiel. Als u klaar bent, wordt het nieuwe profiel weergegeven als In gebruik.

    Controleer na de activering of de waarde van het veld Onderwerp in de bevestiging van de nieuwe SAML-configuratie overeenkomt met de indeling voor de gebruikersnaam van bestaande gebruikers in de Admin Console.

    Let op:

    Zodra een nieuwe IdP-configuratie actief is, blijft het SHA-1-profiel van Okta inactief en zeven dagen beschikbaar. Daarna wordt de kaart van het inactieve profiel automatisch verwijderd uit de directory in de Adobe Admin Console. De enige manier om een verwijderd Okta-profiel te herstellen, is door een ondersteuningsaanvraag in te dienen bij Adobe Engineering.

Nadat u uw directory hebt gemigreerd naar de door SHA-2 ondersteunde SAML-provider, kunt u via domeinmigratie domeinen van andere SHA-1-directory's naar de nieuwe directory verplaatsen.

Voor meer informatie over enkele beperkingen en om fouten te voorkomen die u tijdens de configuratie kunt tegenkomen, raadpleegt u Veelgestelde vragen: een directory migreren naar een nieuwe verificatieprovider.

Domeinen tussen directory's verplaatsen

Organisaties kunnen directory's structureren door domeinen in de Admin Console te verplaatsen van brondirectory's naar doeldirectory's. U kunt de koppeling tussen domeinen en directory's aanpassen op basis van de behoeften van uw organisatie zonder dat eindgebruikers de toegang tot hun producten, services of opgeslagen middelen kwijtraken. Door domeinen die voor dezelfde identiteitsprovider zijn geconfigureerd, samen te voegen in één enkele directory vereenvoudigt u het beheer voor uw IT-teams.

Als u van plan bent domeinen te migreren van een directory naar een andere directory die een nieuwe identiteitsprovider (Azure, Google of een andere SAML) met SHA-2-verificatie gebruikt, moet u de nieuwe IdP in beide directory's configureren. Als u de nieuwe IdP configureert, kunt u de aanmelding van gebruikers van alle domeinen binnen de directory testen. Doe het volgende op basis van uw nieuwe identiteitsprovider:

  • Voor Microsoft Azure: Voeg een nieuwe Azure IdP toe aan uw directory en meld u aan bij dezelfde Azure-tenant.
  • Voor andere SAML-providers (inclusief Google): Upload hetzelfde metagegevensbestand dat verwijst naar dezelfde SAML-app van uw IdP.

Nadat de domeinmigratie is voltooid, kunnen gebruikers die deel uitmaken van de nieuwe directory zich nog steeds aanmelden. Zo wordt downtime voorkomen en zorgt u ervoor dat gebruikers direct toegang hebben tot hun toegewezen Adobe-apps en -services.

Opmerking:

Tijdens de domeinoverdracht worden gebruikers afgemeld bij hun account en kunnen ze zich niet aanmelden bij een nieuwe sessie. Het wordt aanbevolen directory's buiten piekuren te bewerken om onderbrekingen voor gebruikers tot het minimum te beperken.

Waarom domeinen verplaatsen?

U kunt deze functie gebruiken in de volgende scenario's:

  • U hebt domeinen in oude door SHA-1 ondersteunde directory's en u wilt ze verplaatsen naar door SHA-2 ondersteunde directory's.
  • U wilt een bestaande directory migreren naar een andere identiteitsprovider met een SHA-2-verificatieprofiel.
  • U hebt directory's in een vertrouwensrelatie of wilt directory's delen met vertrouwde partijen zonder toegang te geven tot alle domeinen binnen de vertrouwde directory.
  • U moet directory's groeperen op basis van organisatieteams en afdelingen.
  • U hebt een aantal directory's die aan één domein zijn gekoppeld en u wilt deze samenvoegen.
  • U hebt per ongeluk een domein gekoppeld aan een onjuiste directory.
  • U wilt een domein verplaatsen van Enterprise ID naar Federated ID of van Federated ID naar Enterprise ID via selfservice.

Omgaan met versleutelde of vertrouwde directory's

Als de bron- of doeldirectory's zijn versleuteld of een vertrouwensrelatie hebben, kunt u domeinen niet rechtstreeks verplaatsen. Volg de instructies om domeinen in deze gevallen te verplaatsen:

Gebruiksscenario

Voorgestelde benadering

Een domein verplaatsen van de ene Admin Console-organisatie naar de andere

Neem contact op met de klantenservice van Adobe

Domeinen verplaatsen tussen directory's die een vertrouwensrelatie met elkaar hebben

Volg de onderstaande stappen

Domeinen verplaatsen tussen directory's die een vertrouwensrelatie hebben, maar niet met elkaar

Verbreek de vertrouwensrelatie, verplaats de domeinen en stel vervolgens de vertrouwensrelatie opnieuw in.

Let op:

Domeinen verplaatsen naar of vanuit een versleutelde directory wordt momenteel niet ondersteund.

Domeinen verplaatsen

Volg de onderstaande stappen om domeinen over te zetten van een brondirectory naar een doeldirectory:

  1. Meld u aan bij de Adobe Admin Console en ga naar Instellingen.

  2. Navigeer naar Domeinen en selecteer de domeinen die u naar de doeldirectory wilt verplaatsen. Klik vervolgens op Directory bewerken.

    Directory bewerken
  3. Selecteer een directory in de vervolgkeuzelijst in het scherm Directory bewerken. Gebruik de schakeloptie onderaan om meldingen over de voltooiing in of uit te schakelen. Klik vervolgens op Opslaan.

    Directory selecteren

U gaat naar het gedeelte Domeinen onder Instellingen > Identiteit. Alle domeinen met hun status worden weergegeven.

Nadat de domeinen zijn overgezet, ontvangen de systeembeheerders een e-mail over de domeinoverdracht. Vervolgens kunt u desgewenst directorynamen bewerken en lege directory's verwijderen.

Directory's en domeinen verwijderen

U kunt directory's en domeinen die niet meer in gebruik zijn, verwijderen uit de Admin Console.

Opmerking:

U kunt geen directory verwijderen die het volgende bevat:

  • Actieve gebruikers
  • Gekoppelde domeinen
  • Beheerorganisaties

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Directory's.

  3. Klik op het selectievakje links van een of meer directorynamen en klik op Directory's verwijderen.

  4. Klik in het scherm Directory's verwijderen op Verwijderen.

Opmerking:

U kunt een domein niet verwijderen als er gebruikers met dat domein in de Admin Console zijn of als het domein is gekoppeld aan een of meer directory's.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Domeinen.

  3. Klik op het selectievakje links van een of meer domeinnamen en klik op Verwijderen.

  4. Klik in het scherm Domeinen verwijderen op Verwijderen.