Let op:

Vanaf 31 oktober 2020 zal Adobe de ondersteuning van verouderde SHA-1 en SHA-256 Pilot-certificaten beëindigen voor federatieve directory's in de Adobe Admin Console. Een directory met een waarschuwingspictogram moet worden gemigreerd. Selecteer eenvoudig de directory, klik op Bewerken en volg de migratieprocedure om de directory te migreren.

Merk op dat voor alle nieuwe directory's die u maakt, SHA-2-verificatie standaard is ingeschakeld.

setup-dir

Directory's configureren: Als u Enterprise ID's of Federated ID's wilt gebruiken, begint u met het configureren van een directory waaraan u een of meer domeinen kunt koppelen.
Meer informatie >


setup-domains

Domeinen instellen: Uw eindgebruikers worden geverifieerd met domeinen die u moet instellen in de Admin Console.
Meer informatie >


link-domains-to-dirs

Domeinen koppelen aan directory's: Nadat u uw directory's en domeinen hebt ingesteld, moet u de domeinen groeperen door ze aan directory's te koppelen.
Meer informatie >


dir-trusting

Directory's vertrouwen: Gebruik vertrouwde directory's om systeembeheerders van andere organisaties te vertrouwen.
Meer informatie >


cq5dam_web_1280_1280

SHA-1-diretory's migreren naar SHA-2: Werk oude directory's met SHA-1-verificatie bij naar het SHA-2-profiel.
Meer informatie >


move-domains

Domeinen tussen directory's verplaatsen: Structureer directory's door domeinen te verplaatsen tussen directory's in de Admin Console.
Meer informatie >


Als systeembeheerder in de Admin Console bestaat een van uw eerste taken eruit een identiteitssysteem te definiëren en te beheren dat wordt gebruikt om uw eindgebruikers te verifiëren. Wanneer uw organisatie licenties koopt voor Adobe-producten en -services, moet u die licenties inrichten voor uw eindgebruikers. Daarvoor hebt u een manier nodig om deze gebruikers te verifiëren.

Adobe biedt u de volgende identiteitstypen die u kunt gebruiken om uw eindgebruikers te verifiëren:

  • Adobe ID
  • Enterprise ID
  • Federated ID

Als u afzonderlijke accounts wilt die eigendom zijn van uw organisatie en die door de organisatie worden beheerd voor gebruikers in uw domein, moet u het identiteitstype Enterprise ID of Federated ID (voor eenmalige aanmelding) gebruiken.

Dit artikel biedt de benodigde informatie voor het opzetten van het identiteitssysteem dat u nodig hebt als u Enterprise ID of Federated ID wilt gaan gebruiken om eindgebruikers te verifiëren.

Dit artikel biedt de benodigde informatie voor het opzetten van het identiteitssysteem dat u nodig hebt als u Enterprise ID of Federated ID wilt gaan gebruiken om eindgebruikers te verifiëren.

Opmerking:

De procedures om de directory te configureren en het domein te configureren die in dit document worden beschreven, zijn volledig losgekoppeld. Dit betekent dat u deze procedures in willekeurige volgorde of parallel kunt uitvoeren. De procedure om e-maildomeinen te koppelen aan directory's kan echter pas worden uitgevoerd nadat u deze twee procedures hebt voltooid.

Belangrijke termen en concepten

Voordat we ingaan op de procedures, zijn er enkele concepten en termen die u moet kennen:

Een directory in de Admin Console is een entiteit waarin resources zoals gebruikers en beleidsregels zoals verificatie worden opgeslagen. Deze directory's zijn vergelijkbaar met LDAP of Active Directory.

De identiteitsprovider van een organisatie zoals Active Directory, Microsoft Azure, Ping, Okta, InCommon of Shibboleth.

Als u meer wilt weten over het instellen van SSO voor Creative Cloud met enkele veelgebruikte IdP's, raadpleegt u Verwante informatie aan het einde van dit artikel.

Wordt gemaakt en beheerd door en is eigendom van de organisatie. Adobe host de Enterprise ID en voert de verificatie uit, maar de organisatie onderhoudt de Enterprise ID. Eindgebruikers kunnen geen Enterprise ID registreren en maken en kunnen zich ook niet inschrijven voor extra producten en services van Adobe met een Enterprise ID.

Beheerders maken een Enterprise ID en verstrekken deze aan een gebruiker. Beheerders kunnen gebruikers de toegang tot producten en services ontzeggen door het account over te nemen of door de Enterprise ID te verwijderen om de toegang tot gekoppelde gegevens permanent te blokkeren.

In de volgende gevallen wordt het gebruik van Enterprise ID's aanbevolen:

  • Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
  • Als u in geval van nood toegang wilt hebben tot bestanden en gegevens die aan een ID zijn gekoppeld.
  • Als u de mogelijkheid wilt hebben om een gebruikersaccount volledig te blokkeren of te verwijderen.

Wordt gemaakt door en is eigendom van een organisatie en is via federatie gekoppeld aan de directory van de onderneming. De organisatie beheert de aanmeldingsgegevens en verwerkt eenmalige aanmelding via een SAML2-identiteitsprovider (IdP).

Hier volgen enkele vereisten voor Federated ID's en wordt aangegeven in welke gevallen het gebruik ervan wordt aanbevolen:

  • Als u gebruikers toegang wilt geven tot apps en services op basis van de ondernemingsdirectory van uw organisatie.
  • Als u de verificatie van gebruikers wilt beheren.
  • Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
  • Als u gebruikers wilt toestaan hetzelfde e-mailadres te gebruiken als voor een Adobe ID.

Opmerking:

De identiteitsprovider moet voldoen aan TLS 1.2.

Wordt gemaakt en beheerd door de eindgebruiker en is eigendom van de eindgebruiker. Adobe voert de verificatie uit en de eindgebruiker beheert de identiteit. Gebruikers behouden de volledige controle over bestanden en gegevens die zijn gekoppeld aan hun ID. Gebruikers kunnen extra producten en services kopen bij Adobe. Beheerders nodigen gebruikers uit om zich aan te sluiten bij de organisatie en kunnen ook gebruikers verwijderen. Beheerders kunnen gebruikers de toegang tot hun Adobe ID-accounts echter niet ontzeggen. De beheerder kan de accounts niet verwijderen of overnemen. U hoeft niets in te stellen om Adobe ID's te kunnen gebruiken.

In de volgende gevallen wordt het gebruik van Adobe ID's aanbevolen:

  • Als u wilt dat gebruikers hun eigen identiteit maken, beheren en eigenaar zijn van hun identiteit.
  • Als u gebruikers wilt toestaan om andere producten en services van Adobe te kopen of zich hiervoor aan te melden.
  • Als u verwacht dat gebruikers andere services van Adobe zullen gebruiken, die momenteel nog geen Enterprise ID of Federated ID ondersteunen.
  • Als gebruikers al beschikken over Adobe ID's en over aan deze ID's gekoppelde gegevens, zoals bestanden, lettertypen of instellingen. 
  • Voor onderwijsinstellingen waar studenten hun Adobe ID kunnen behouden nadat ze zijn afgestudeerd.
  • Als u contractanten en freelancers hebt die geen gebruikmaken van e-mailadressen in domeinen die u beheert.
  • Als u een Adobe-teamcontract hebt, moet u dit identiteitstype gebruiken.

Het gedeelte van een e-mailadres na het symbool @. Als u een domein wilt gebruiken met Enterprise of Federated ID, moet u eerst bewijzen dat u de eigenaar van dat domein bent.

Stel, een organisatie bezit meerdere domeinen (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), maar de werknemers worden geverifieerd met geometrixx.com. In dit geval gebruikt de organisatie het domein geometrixx.com om de identiteit in te stellen in de Admin Console.

Systeembeheerder

  • Werkt met IdP-directorybeheerders en DNS-beheerders om de identiteit in te stellen in de Admin Console. Dit document is bedoeld voor systeembeheerders die toegang hebben tot de Admin Console. De persoon moet samenwerken met andere personen die (gewoonlijk) geen toegang hebben tot de Admin Console.

DNS-beheerder

  • Werkt DNS-tokens bij om het eigendom van het domein te valideren

Directorybeheerder van identiteitsprovider (IdP)

  • Maakt connectors in de IdP

Gebruikersidentiteiten worden geverifieerd met behulp van een verificatiebron. Als u een Enterprise ID of een Federated ID wilt gebruiken, stelt u uw eigen verificatiebron in door een domein toe te voegen. Als uw e-mailadres bijvoorbeeld johan@voorbeeld.com is, is voorbeeld.com uw domein. Als u een domein toevoegt, kunnen er Enterprise ID's of Federated ID's worden gemaakt met e-mailadressen uit het domein. Een domein kan worden gebruikt met Enterprise ID's of met Federated ID's, maar niet met beide. U kunt echter meerdere domeinen toevoegen.

Een organisatie moet bewijzen dat deze beheer heeft over een domein. Een organisatie kan ook meerdere domeinen toevoegen. Een domein kan echter slechts eenmaal worden toegevoegd. Bekende openbare en algemene domeinen, zoals gmail.com of yahoo.com, kunnen helemaal niet worden toegevoegd.

Zie Identiteitstypen beheren als u meer wilt weten over de identiteitstypen.

SHA-1 en SHA-2 zijn certificaatmodellen die verantwoordelijk zijn voor de beveiliging van de verificatieprofielen van uw directory. Aangezien SHA-2 een betere beveiliging biedt dan de oudere SHA-1-certificaten, gebruiken alle nieuwe en gemigreerde verificatieprofielen het SHA-2-certificaat.

Directory's maken

Als u Enterprise ID's of Federated ID's wilt gebruiken, maakt u eerst een directory waaraan u een of meer domeinen kunt koppelen.

Opmerking:

Momenteel biedt Adobe geen ondersteuning voor door de IdP gestarte workflows.

Als uw organisatie Microsoft Azure als SSO-provider heeft ingesteld (of van plan is dat te doen), raden we u aan onze Azure-connector te gebruiken. Volg ook de stappen die worden beschreven in Azure Connector instellen: Een directory maken.

Als uw organisatie Google-federatie als SSO-provider heeft ingesteld (of van plan is dat te doen), raden we u aan onze Google-connector te gebruiken. Volg ook de stappen die worden beschreven in Google-federatie instellen: Een directory maken in de Adobe Admin Console.

Gebruik de onderstaande procedure als uw organisatie een of meer van de volgende opties gebruikt:

  • Enterprise ID's
  • Een andere SAML-provider dan Azure of Google
  • Microsoft Azure of Google-federatie, maar u gebruikt onze connectoren niet.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Navigeer naar het tabblad Directory's en klik op Directory maken.

  3. Voer in het scherm Een directory maken een naam voor de directory in.

  4. Kies Federated ID, klik op Volgende en ga verder met stap 5.

    Kies Enterprise ID en klik op Directory maken.

    Als u een Enterprise ID-directory maakt, bent u klaar met deze procedure.

    Ga verder en stel uw domeinen in.

  5. (Alleen Federated ID) Kies Andere SAML-providers en klik op Volgende.

  6. Gebruik het scherm SAML-profiel toevoegen om de instellingsgegevens voor uw identiteitsprovider toe te voegen.

    Sommige identiteitsproviders (IdP) accepteren een metagegevensbestand dat u kunt uploaden, terwijl anderen mogelijk de ACS-URL en de Entiteits-ID willen hebben. Bijvoorbeeld:

    • Voor Azure Active Directory: upload het metagegevensbestand.
    • Voor Google: kopieer de ACS-URL en entiteits-ID en gebruik deze in de IdP-software van Google.
    • Voor SalesForce: download het metagegevensbestand, pak de certificaatgegevens uit het bestand uit en gebruik die certificaatgegevens in de IdP-software van SalesForce.

    Opmerking:

    De bovenstaande opties voor Azure en Google zijn vereist als u ervoor hebt gekozen om onze Azure- of Google-connector niet te gebruiken.

    Kies een van de onderstaande methoden.

    Methode 1:

    Klik op Metagegevensbestand van Adobe downloaden.

    Het metagegevensbestand wordt gedownload naar de lokale schijf. Gebruik dit bestand om uw SAML-integratie met de identiteitsprovider te configureren.

    Methode 2:

    Kopieer de ACS-URL en de entiteits-ID.

    SAML-profiel toevoegen
  7. Schakel over naar het venster van de IdP-applicatie en upload het metagegevensbestand of geef de ACS-URL en entiteits-ID op. Download vervolgens het IdP-metagegevensbestand.

  8. Keer terug naar de Adobe Admin Console, upload het IdP-metagegevensbestand in het venster SAML-profiel toevoegen en klik op Gereed.

De directory wordt gemaakt.

  • Als u ervoor hebt gekozen een directory met het identiteitstype Enterprise ID te maken, is de configuratie klaar.
  • Als u ervoor hebt gekozen om een directory te maken met de optie Andere SAML-providers, gebruikt deze directory automatisch SHA-2-verificatie. Eerder gemaakte directory's met SHA-1-verificatie kunnen nu worden bijgewerkt naar SHA-2 en worden gemigreerd naar een andere identiteitsprovider. Zie Migreren naar een nieuwe verificatieprovider voor meer informatie.

Daarna kunt u domeinen instellen in de Admin Console.

Domeinen instellen

Opmerking:

U hoeft domeinen niet handmatig toe te voegen als de directory van uw organisatie is ingesteld via synchronisatie met Microsoft Azure AD Connector of Google-federatie. Geselecteerde domeinen die zijn gevalideerd in de instellingen van uw identiteitsprovider, worden automatisch gesynchroniseerd met de Adobe Admin Console.

Uw eindgebruikers worden geverifieerd met domeinen die u moet instellen in de Admin Console.

Domeinen instellen:

  1. Voeg domeinen toe aan de Admin Console
  2. Bereid de validatie van domeineigendom voor door een speciale DNS-record toe te voegen
  3. Valideer de domeinen

De domeinen die u toevoegt in de Admin Console, hoeven niet bij dezelfde IdP te zijn geregistreerd. Wanneer u deze domeinen echter koppelt aan een directory, moet u domeinen van verschillende IdP's koppelen aan verschillende directory's.

U kunt een domein niet toevoegen aan de Admin Console als het domein al is toegevoegd aan de Admin Console van een andere organisatie. U kunt echter wel toegang tot dat domein aanvragen.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Klik op het tabblad Domeinen op Domeinen toevoegen.

  3. Voer in het scherm Domeinen toevoegen een of meer domeinen in en klik op Domeinen toevoegen. U kunt slechts 15 domeinen tegelijk claimen en valideren en vervolgens de resterende domeinen toevoegen.

  4. Controleer de lijst met domeinen in het scherm Domeinen toevoegen en klik op Domeinen toevoegen.

    Toe te voegen domeinen bevestigen

Uw domeinen worden nu toegevoegd aan de Admin Console. Toon vervolgens het eigendom van deze domeinen aan.

Een organisatie moet aantonen dat deze de eigenaar is van een domein. Een onderneming kan zoveel domeinen aan de Admin Console toevoegen als nodig is.

De Admin Console staat toe dat een organisatie één DNS-token gebruikt om het eigendom van alle domeinen aan te tonen. De Admin Console vereist bovendien geen DNS-validatie voor subdomeinen. Dit betekent dat wanneer u het DNS-token gebruikt en het eigendom van een domein aantoont, alle subdomeinen van dat domein direct worden gevalideerd wanneer ze worden toegevoegd aan de Admin Console.

  1. Meld u aan bij de Admin Console, navigeer naar Instellingen > Identiteit en ga naar het tabblad Domeinen.

  2. Klik op en kies Toegang tot DNS-token in de vervolgkeuzelijst.

  3. Werk samen met uw DNS-beheerder om een speciale DNS-record toe te voegen voor de domeinen die u hebt toegevoegd.

  4. U moet een TXT-record met de gegenereerde DNS-token toevoegen om te bevestigen dat u de eigenaar van het domein bent. De exacte instructies hangen af van uw domeinhost. Zie Het eigendom van een domein verifiëren voor algemene richtlijnen.

  5. Voeg informatie aan uw DNS-servers toe om deze stap te voltooien. Laat dit van tevoren weten aan uw DNS-beheerder, zodat deze stap snel kan worden voltooid.

    Adobe controleert regelmatig de DNS-records voor uw domein. Als de DNS-records correct zijn, wordt het domein automatisch gevalideerd. Als u het domein direct wilt valideren, kunt u zich aanmelden bij de Admin Console en het domein handmatig valideren. Vervolgens moet u domeinen valideren.

De Admin Console probeert domeinen die u hebt toegevoegd, meerdere malen per dag te valideren. U hoeft dus niets te doen om een domein te valideren nadat de DNS-records correct zijn geconfigureerd.

Domeinen handmatig valideren

Als u uw domein direct wilt valideren, kunt u dit doen in de Admin Console. Uw domeinen handmatig valideren:

  1. Meld u aan bij de Admin Console.

  2. Ga naar Instellingen > Identiteit en ga naar het tabblad Domeinen.

  3. Klik op Valideren.

    Domeinen valideren
  4. Klik in het scherm Domeineigendom valideren op Nu valideren.

U krijgt mogelijk foutmeldingen wanneer u probeert te valideren, aangezien het tot 72 uur kan duren voordat DNS-wijzigingen van kracht zijn. Raadpleeg de veelgestelde vragen over DNS-records voor meer informatie.

Nadat u het eigendom van het domein hebt geverifieerd, koppelt u de gevalideerde domeinen aan de gewenste directory's in de Admin Console.

Nadat u uw directory's en domeinen hebt ingesteld in de Admin Console, moet u de domeinen aan de directory's koppelen.

U kunt meerdere domeinen aan dezelfde directory koppelen. Alle domeinen die u aan één directory koppelt, moeten echter dezelfde SSO-instellingen hebben.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Domeinen.

  3. Klik op het selectievakje links van de domeinnaam en klik op Koppelen aan directory.

    Als u meerdere domeinen aan dezelfde directory wilt koppelen, schakelt u de selectievakjes voor deze domeinen in.

    Domeinen aan directory koppelen
  4. In het scherm Koppelen aan directory kiest u de directory in de vervolgkeuzelijst en klik u op Koppelen.

Gebruikers beheren

Nadat u de configuratie van Enterprise ID of Federated ID hebt voltooid, kunt u de gekochte Adobe-producten en -services aan uw gebruikers aanbieden.

Lees de introductie voor gebruikers voor de Admin Console. Of ga direct aan de slag en voeg gebruikers aan de Admin Console toe met behulp van een van deze methoden:

Nadat gebruikers zijn toegevoegd aan de Admin Console, kunt u gebruikers inrichten door ze toe te wijzen aan productprofielen.

Directory's vertrouwen

Het eigendom van een domein kan door slechts één organisatie worden geclaimd. Kijk bijvoorbeeld eens naar het volgende scenario:

Een bedrijf, Geometrixx, heeft meerdere afdelingen. Elke afdeling heeft een unieke eigen Admin Console. Elke afdeling wil Federated ID's gebruiken en het domein geometrixx.com gebruiken. In dit geval wil de systeembeheerder voor elk van deze afdelingen dit domein claimen voor verificatie. In de Admin Console wordt voorkomen dat een domein wordt toegevoegd aan de Admin Console van meer dan één organisatie. Nadat het domein door één afdeling is toegevoegd, kunnen andere afdelingen echter toegang aanvragen tot de directory waaraan dat domein is gekoppeld namens de Admin Console van hun organisatie.

Bij vertrouwde directory's kan de eigenaar van een directory andere systeembeheerders (gemachtigden) vertrouwen. Daarna kunnen beheerorganisaties (vertrouwende organisaties) in de Admin Console gebruikers toevoegen aan elk domein in de vertrouwde directory.

Samenvattend: als u van plan bent om Enterprise ID's of Federated ID's te gebruiken in uw Admin Console, moet u het domein toevoegen dat is gekoppeld aan uw organisatie. Als dit domein eerder is toegevoegd door een andere organisatie, moet u als gemachtigde toegang aanvragen tot de directory met dat domein.

Als u toegang tot een directory wilt aanvragen, raadpleegt u de stappen in de bovenstaande procedure Domeinen instellen.

Let op:

  • Als u als eigenaar van een directory een toegangsaanvraag voor die directory goedkeurt, heeft de beheerorganisatie toegang tot alle domeinen die zijn gekoppeld aan die directory en tot alle domeinen die in de toekomst aan de directory worden gekoppeld. Het is dus van groot belang dat u de koppeling tussen domeinen en directory's plant wanneer u het identiteitssysteem in uw organisatie configureert.
  • We raden u ten zeerste aan om, voordat u een vertrouwensaanvraag toevoegt, indient, herroept of intrekt, een gebruikerslijst te exporteren vanuit de desbetreffende Admin Console of Consoles voordat u wijzigingen aanbrengt. Deze lijst vormt een momentopname van alle gebruikersgegevens, inclusief naam, e-mailadres, toegewezen productprofielen en toegewezen beheerdersrollen, voor het geval wijzigingen moeten worden teruggedraaid.
  • U moet specifieke stappen uitvoeren als u een domein wilt migreren dat een vertrouwensrelatie heeft. U mag een vertrouwensrelatie niet intrekken wanneer u een vertrouwd domein migreert om zo verlies van gebruikersaccounts en toegang tot producten in de beheerorganisatie te voorkomen.

Domeingemachtigde

Als u bestaande domeinen toevoegt aan de Admin Console, wordt het volgende bericht weergegeven:

Toegang aanvragen

Als u toegang aanvraagt tot dit domein, worden uw naam en e-mailadres en de naam van uw organisatie met de aanvraag gedeeld met de systeembeheerders van de organisatie die het domein bezit.

Het type directory (Enterprise of Federated) hangt af van hoe het domein is opgezet door de organisatie die het domein bezit. Dit betekent dat u het type directory moet gebruiken dat door de eigenaar is gekozen.

Aangezien het domein al is ingesteld door de eigenaar (zie Eigendom van een domein aantonen in Domeinen instellen voor meer informatie), hoeft u, als gemachtigde, geen verdere stappen te ondernemen. Wanneer de toegangsaanvraag door de eigenaar wordt geaccepteerd, heeft uw organisatie toegang tot de directory en alle domeinen erin, zoals geconfigureerd door de eigenaar van het domein.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen en controleer de status van elke directory waartoe u toegang hebt aangevraagd.

  3. U kunt ook klikken op de rij in de lijst met toegangsaanvragen en klikken op Verzoek opnieuw verzenden of Verzoek annuleren.

Als uw aanvraag voor toegang tot de directory wordt geaccepteerd door de eigenaar van de directory, ontvangt u een e-mailmelding. Uw aanvraag verdwijnt en in plaats daarvan worden de vertrouwde directory en de domeinen erin met de status Actief (vertrouwd) weergegeven in de lijsten Directory's en Domeinen.

U kunt nu eindgebruikers en gebruikersgroepen gaan toevoegen en deze toewijzen aan productprofielen.

Als u als beheerorganisatie niet langer toegang nodig hebt tot de vertrouwde directory, kunt u uw status van gemachtigde op elk moment weer intrekken.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Klik op het tabblad Directory's op de gedeelde directory waartoe u geen toegang meer wilt.

  3. Klik op Intrekken in de lade met details over de directory.

Als u uw toegang tot een vertrouwde directory intrekt, worden Enterprise ID- of Federated ID-gebruikers die deel uitmaken van domeinen in die directory (wat betekent dat ze zich aanmelden met de domeinreferenties) verwijderd uit uw organisatie. Deze gebruikers hebben ook niet langer toegang tot software die door uw organisatie aan ze werd verleend.

Domeineigenaar

Als systeembeheerder van een organisatie die eigenaar is van directory's, kunt u ervoor kiezen aanvragen voor toegang tot die directory's te accepteren of te weigeren. 

Wanneer u een e-mailaanvraag krijgt voor toegang tot een directory die uw eigendom is, kunt u ervoor kiezen de aanvraag te weigeren of accepteren in de e-mail zelf. U kunt ook naar het tabblad Toegangsaanvragen gaan om de aanvragen te beheren.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen.

  3. Als u alle aanvragen wilt accepteren, klikt u op Alles accepteren.

    Als u specifieke aanvragen wilt accepteren, schakelt u het selectievakje links van elke gewenste rij in en klikt u op Accepteren.

  4. Klik op Accepteren in het scherm Toegangsaanvraag accepteren.

Er wordt een e-mailmelding verzonden naar de systeembeheerders van de beheerorganisaties.

U kunt een aanvraag voor toegang tot een directory die u bezit, ook weigeren.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Toegangsaanvragen.

  3. Klik op het selectievakje links van elke gewenste rij en klik op Weigeren.

  4. Voer in het scherm Toegangsaanvraag weigeren een reden voor de weigering van de aanvraag in en klik op Weigeren.

De reden die u opgeeft, wordt per e-mail gedeeld met de organisatie die de toegang aanvraagt. Uw e-mailadres, naam en informatie over uw organisatie worden echter niet vermeld.

U kunt de toegang van beheerorganisaties die u toegang hebt gegeven, intrekken.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Beheerorganisaties.

  3. Klik op het selectievakje links van elke gewenste rij en klik op Intrekken.

  4. Klik in het scherm Beheerorganisaties intrekken op Intrekken.

Als u de toegang van een beheerorganisatie intrekt, worden gebruikers met een Enterprise ID- of Federated ID-account in een domein in die directory, verwijderd uit de beheerorganisatie. Deze gebruikers hebben ook geen toegang meer tot software en services die aan hen zijn verleend door de beheerorganisatie.

Versleutelingssleutels beheren

Lees Versleutelingssleutel beheren in de Admin Console voor meer informatie.

Migreren naar een nieuwe verificatieprovider

Er is een selfservice-optie beschikbaar om ingestelde directory's te migreren naar een nieuwe verificatieprovider binnen de Adobe Admin Console.

Let op:

Verwijder de bestaande configuratie in uw IdP pas nadat u hebt gecontroleerd of de nieuwe configuratie is gelukt met 2 tot 3 actieve accounts in de directory.

Als u de configuratie vóór de verificatie verwijdert, kun u niet terugkeren naar de vorige configuratie en treedt er downtime op terwijl u de problemen oplost. Zie Migratieprocedure voor meer informatie.

Toegangsvereisten

Als u wilt migreren naar een nieuw verificatieprofiel, moet u aan de volgende vereisten voldoen:

  • U moet als systeembeheerder toegang hebben tot de Admin Console van uw organisatie
  • Er moet een bestaande directory zijn geconfigureerd voor federatie in de Admin Console
  • U moet de vereiste toegang hebben om de identiteitsprovider van uw organisatie te configureren (bijvoorbeeld Microsoft Azure Portal, Google-beheerdersconsole etc.)

Aanvullende informatie is te vinden in Overwegingen bij de implementatie.

Migratieprocedure

Nadat u hebt gecontroleerd dat u voldoet aan de toegangsvereisten en de overwegingen bij de implementatie hebt gelezen, volgt u de onderstaande procedure om uw verificatieprofiel te bewerken en uw directory te migreren:

  1. Ga in de Adobe Admin Console naar Instellingen > Directory's.

  2. Selecteer de actie Bewerken voor de directory. Selecteer vervolgens Nieuwe IdP toevoegen bij de Details van de directory.

  3. Selecteer de identiteitsprovider om het nieuwe verificatieprofiel in te stellen. Kies de identiteitsprovider (IdP) die uw organisatie gebruikt om gebruikers te verifiëren. Klik op Volgende.

  4. Volg de onderstaande stappen op basis van de geselecteerde identiteitsprovider:

    • Voor Azure:
      Meld u aan bij Azure met uw aanmeldingsgegevens als algemene beheerder van Microsoft Azure Active Directory en ga akkoord met de toestemmingsmelding. U keert terug naar de pagina Directorydetails in de Admin Console.

      Toestemming van de algemene Microsoft-beheerder

      Opmerking:

      • De aanmeldingsgegevens van de algemene Microsoft-beheerder zijn alleen nodig om een applicatie te maken in de Azure Portal van de organisatie. De aanmeldingsgegevens van de algemene beheerder worden niet opgeslagen en worden alleen gebruikt voor eenmalige toestemming om de applicatie te maken.
      • Wanneer u in stap 3 hierboven de identiteitsprovider selecteert, mag de optie Microsoft Azure niet worden gebruikt als het veld Gebruikersnaam in de Adobe Admin Console niet overeenkomt met het veld UPN in de Azure Portal.
        Als de bestaande directory is geconfigureerd om de gebruikersnaam te gebruiken als gebruikersaanmelding, moet de nieuwe IdP worden ingesteld via de optie Andere SAML-providers. U kunt de aanmeldingsinstelling controleren door de optie Bewerken te selecteren voor de huidige directory onder Gebruikersaanmelding.
      • Als u in stap 3 de optie Microsoft Azure kiest, wordt alleen de identiteitsprovider geconfigureerd. Dit omvat momenteel geen services voor directorysynchronisatie.

    • Voor Google:

      1. Kopieer de ACS-URL en Entiteits-ID in het scherm SAML-configuratie bewerken.
      2. Meld u in een apart venster aan bij de Google-beheerdersconsole met uw aanmeldingsgegevens als Google-beheerder en navigeer naar Apps > SAML-apps.
      3. Gebruik het +-teken om een nieuwe app toe te voegen en selecteer Adobe-app. Download vervolgens de IDP-metagegevens onder optie 2 en upload deze gegevens naar het venster SAML-configuratie bewerken in de Adobe Admin Console. Klik vervolgens op Opslaan.
      4. Bevestig de Basisinformatie voor Adobe. Voer de eerder gekopieerde ACS-URL en entiteits-ID in bij Gegevens van serviceprovider. Denk eraan dat u Gebruikersregistratie niet hoeft in te stellen aangezien dit momenteel niet wordt ondersteund voor bestaande directory's.
      5. Ga tot slot naar Apps > SAML-apps > Instellingen voor Adobe > Servicestatus. Stel Servicestatus in op AAN voor iedereen en klik op Opslaan.
      Servicestatus
    • Voor Andere SAML-providers:

      1. Meld u in een ander venster aan bij de applicatie van uw identiteitsprovider en maak een nieuwe SAML-app. (Bewerk niet de bestaande SAML-app om zo downtime door de migratie te voorkomen.)
      2. Afhankelijk van de instellingen van uw identiteitsprovider kopieert u het metagegevensbestand of de ACS-URL en entiteits-ID uit de Adobe Admin Console naar de instellingen van uw identiteitsprovider.
      3. Upload het metagegevensbestand van de configuratie van de identiteitsprovider naar de Adobe Admin Console. Klik vervolgens op Opslaan.
  5. In de Adobe Admin Console wordt het nieuwe verificatieprofiel gemaakt onder Directorydetails. Gebruik de functie Testen om te controleren of de configuratie correct is ingesteld en alle eindgebruikers toegang hebben tot SAML-apps.

    De functie Testen controleert of de indeling van de gebruikersnaam voor het nieuwe verificatieprofiel in de IdP overeenkomt met de gebruikersgegevens voor het bestaande profiel voor gebruikersaanmelding.

  6. Klik op Activeren om te migreren naar het nieuwe verificatieprofiel. Als u klaar bent, wordt het nieuwe profiel weergegeven als In gebruik.

    Voordat u activeert, gaat u naar Directorygebruikers in de Adobe Admin Console en controleert u of de gebruikersnamen van de identiteitsprovider overeenkomen met de gebruikersnamen in de Admin Console.

    Voor SAML controleert u of het veld Onderwerp in de bevestiging van de nieuwe configuratie overeenkomt met de indeling van de gebruikersnamen van bestaande gebruikers in de Admin Console.

    Let op:

    Vanaf 31 oktober 2020 stopt Adobe met de ondersteuning van verouderde SAML-configuraties (inclusief de SHA-256 Pilot) voor federatieve mappen binnen de Adobe Admin Console.

    Zodra een nieuw verificatieprofiel met de SAML-update actief is, wordt het verouderde profiel inactief en is het nog zeven dagen beschikbaar. Na 7 dagen wordt de kaart met het inactieve profiel automatisch verwijderd uit de directory in de Adobe Admin Console. De enige manier om een verwijderd verouderd profiel te herstellen, is door een ondersteuningsaanvraag in te dienen bij Adobe Engineering.

Nadat u de directoryconfiguratie hebt bijgewerkt, kunt u via domeinmigratie domeinen van andere SHA-1-directory's naar de nieuwe directory verplaatsen. Denk eraan dat gebruikers in de gemigreerde domeinen aanwezig moeten zijn in de identiteitsprovider die is geconfigureerd om te werken met de nieuwe doeldirectory.

Voor meer informatie over beperkingen en om fouten te voorkomen die u tijdens de configuratie kunt tegenkomen, raadpleegt u Veelgestelde vragen.

Domeinen tussen directory's verplaatsen

Organisaties kunnen directory's structureren door domeinen in de Admin Console te verplaatsen van brondirectory's naar doeldirectory's. U kunt de koppeling tussen domeinen en directory's aanpassen op basis van de behoeften van uw organisatie zonder dat eindgebruikers de toegang tot hun producten, services of opgeslagen middelen kwijtraken. Door domeinen die voor dezelfde identiteitsprovider zijn geconfigureerd, samen te voegen in één enkele directory vereenvoudigt u het beheer voor uw IT-teams.

Als u van plan bent domeinen te migreren van een directory naar een andere directory die een nieuwe identiteitsprovider (Azure, Google of een andere SAML) met SHA-2-verificatie gebruikt, moet u de nieuwe IdP in beide directory's configureren. Als u de nieuwe IdP configureert, kunt u de aanmelding van gebruikers van alle domeinen binnen de directory testen. Doe het volgende op basis van uw nieuwe identiteitsprovider:

  • Voor Microsoft Azure: Voeg een nieuwe Azure IdP toe aan uw directory en meld u aan bij dezelfde Azure-tenant.
  • Voor andere SAML-providers (inclusief Google): Upload hetzelfde metagegevensbestand dat verwijst naar dezelfde SAML-app van uw IdP.

Nadat de domeinmigratie is voltooid, kunnen gebruikers die deel uitmaken van de nieuwe directory zich nog steeds aanmelden. Zo wordt downtime voorkomen en zorgt u ervoor dat gebruikers direct toegang hebben tot hun toegewezen Adobe-apps en -services.

Let op:

  • Tijdens de domeinoverdracht worden gebruikers afgemeld bij hun account en kunnen ze zich niet aanmelden bij een nieuwe sessie. Het wordt aanbevolen directory's buiten piekuren te bewerken om onderbrekingen voor gebruikers tot het minimum te beperken.
  • U moet specifieke stappen uitvoeren als u een domein wilt migreren dat een vertrouwensrelatie heeft. U mag een vertrouwensrelatie niet intrekken wanneer u een vertrouwd domein migreert om zo verlies van gebruikersaccounts en toegang tot producten in de beheerorganisatie te voorkomen.
  • We raden u ten zeerste aan om, voordat u een domein migreert, een gebruikerslijst te exporteren vanuit de desbetreffende Admin Console of Consoles voordat u wijzigingen aanbrengt. Deze lijst vormt een momentopname van alle gebruikersgegevens, inclusief naam, e-mailadres, toegewezen productprofielen en toegewezen beheerdersrollen, voor het geval wijzigingen moeten worden teruggedraaid.

Waarom domeinen verplaatsen?

U kunt deze functie gebruiken in de volgende scenario's:

  • U hebt domeinen in oude door SHA-1 ondersteunde directory's en u wilt ze verplaatsen naar door SHA-2 ondersteunde directory's.
  • U wilt een bestaande directory migreren naar een andere identiteitsprovider met een SHA-2-verificatieprofiel.
  • U hebt directory's in een vertrouwensrelatie of wilt directory's delen met vertrouwde partijen zonder toegang te geven tot alle domeinen binnen de vertrouwde directory.
  • U moet directory's groeperen op basis van organisatieteams en afdelingen.
  • U hebt een aantal directory's die aan één domein zijn gekoppeld en u wilt deze samenvoegen.
  • U hebt per ongeluk een domein gekoppeld aan een onjuiste directory.
  • U wilt een domein verplaatsen van Enterprise ID naar Federated ID of van Federated ID naar Enterprise ID via selfservice.

Omgaan met versleutelde of vertrouwde directory's

Als de bron- of doeldirectory's zijn versleuteld of een vertrouwensrelatie hebben, kunt u domeinen niet rechtstreeks verplaatsen. Volg de instructies om domeinen in deze gevallen te verplaatsen:

Gebruiksscenario

Voorbeeld

Voorgestelde benadering

Domeinen verplaatsen tussen directory's in dezelfde vertrouwensrelatie
Directory 1 en Directory 2 zijn geconfigureerd in Console A en beide hebben een vertrouwensrelatie met Console B.
Volg de stappen voor het verplaatsen van domeinen.

Domeinen verplaatsen tussen directory's in vertrouwensrelaties

* Zie afbeelding A voor diagrammen van dit proces

Directory 1 is geconfigureerd in Console A en heeft een vertrouwensrelatie met Console B.

In Console A moet een domein in Directory 1 (Domein X) worden verplaatst naar Directory 2.

  1. Exporteer een gebruikerslijst van de console die eigenaar is van de vertrouwensrelatie en van alle vertrouwde consoles voordat u wijzigingen aanbrengt.
  2. Breng een vertrouwensrelatie tot stand tussen alle vertrouwde directory's en de doeldirectory (Directory 2) in Console A.
  3. Verplaats domeinen van de huidige directory (Directory 1) naar de doeldirectory (Directory 2) in Console A.
  4. Trek de vertrouwensrelatie in van vertrouwde directory's in Directory 1 in Console A.
  5. De gemachtigde verwijdert het ingetrokken domein uit Console B (herhaal deze stap voor andere vertrouwde directory's).
  6. Wanneer Directory 1 leeg is zonder domeinen of vertrouwensrelaties, kunt u de lege directory verwijderen.

Een domein of directory met meerdere domeinen verplaatsen naar een andere Admin Console in uw organisatie

Directory 1 is geconfigureerd in Console A. Directory 1 en de geclaimde domeinen erin moeten echter worden verplaatst naar Console B die het eigendom krijgt.

Neem contact op met de klantenservice van Adobe.

Domeinen verplaatsen van of naar een versleutelde directory binnen dezelfde Admin Console

Voor Directory 1 is versleuteling ingeschakeld en een domein uit Directory 2 in dezelfde Admin Console moet worden gemigreerd naar Directory 1.

Het verplaatsen van domeinen naar of vanuit een versleutelde directory wordt momenteel niet ondersteund.

Originele staat

Originele staat

Vertrouwende staat

Vertrouwende staat

Gemigreerde staat

Gemigreerde staat

Afbeelding A

Domeinen verplaatsen

Volg de onderstaande stappen om domeinen over te zetten van een brondirectory naar een doeldirectory:

  1. Meld u aan bij de Adobe Admin Console en ga naar Instellingen.

  2. Navigeer naar Domeinen en selecteer de domeinen die u naar de doeldirectory wilt verplaatsen. Klik vervolgens op Directory bewerken.

    Directory bewerken
  3. Selecteer een directory in de vervolgkeuzelijst in het scherm Directory bewerken. Gebruik de schakeloptie onderaan om meldingen over de voltooiing in of uit te schakelen. Klik vervolgens op Opslaan.

    Directory selecteren

U gaat naar het gedeelte Domeinen onder Instellingen > Identiteit. Alle domeinen met hun status worden weergegeven.

Nadat de domeinen zijn overgezet, ontvangen de systeembeheerders een e-mail over de domeinoverdracht. Vervolgens kunt u desgewenst directorynamen bewerken en lege directory's verwijderen.

Directory's en domeinen verwijderen

U kunt directory's en domeinen die niet meer in gebruik zijn, verwijderen uit de Admin Console.

Opmerking:

U kunt geen directory verwijderen die het volgende bevat:

  • Actieve gebruikers
  • Gekoppelde domeinen
  • Beheerorganisaties

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Directory's.

  3. Klik op het selectievakje links van een of meer directorynamen en klik op Directory's verwijderen.

  4. Klik in het scherm Directory's verwijderen op Verwijderen.

Opmerking:

U kunt een domein niet verwijderen als er gebruikers met dat domein in de Admin Console zijn of als het domein is gekoppeld aan een of meer directory's.

  1. Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.

  2. Ga naar het tabblad Domeinen.

  3. Klik op het selectievakje links van een of meer domeinnamen en klik op Verwijderen.

  4. Klik in het scherm Domeinen verwijderen op Verwijderen.