Обединен достъп за гости

Общ преглед

Функцията Федериран гостов достъп на Adobe позволява на корпоративни клиенти да включат външни агенции, доставчици или консултантски служители в екосистемата на Adobe със същите стандарти за сигурност и удостоверяване като вътрешните служители.

Преди това създаването на потребител с Федериран ID изискваше собственост върху домейна.Това изискване не позволяваше на организациите да добавят потребители с външни домейни, включително домейни, които не могат да бъдат заявени като gmail.com, и домейни, които могат да бъдат заявени, но са собственост на друга организация.

Функцията Федериран гостов достъп позволява на корпоративни клиенти да добавят потребител с всеки имейл адрес като свой собствен федериран потребител.Тя осигурява последователно прилагане на SSO както за вътрешни служители, така и за външни партньори.

Функцията в момента поддържа Workfront и AEM Assets as a Cloud Service, с планове за разширяване на поддръжката за други продукти.

Предимства на Обединения достъп за гости

Ето предимствата на функцията Федериран гостов достъп:

• Безпроблемно сътрудничество: Външните партньори получават достъп до инструментите на Adobe без затруднения.
• Единна сигурност: Корпорациите могат да прилагат последователни политики за SSO и удостоверяване за всички потребители.
• Оперативна ефективност: Елиминира необходимостта от заобиколни решения, използвани преди това за включване на доставчици.
• Контролиран достъп: Обединените акаунти за гости са изолирани от вътрешните акаунти, което гарантира, че правата и ресурсите остават разделени.

Бизнес сценарии и случаи на употреба

Федерираният гостов достъп е особено ценен в сценарии, където корпорациите разчитат на външен експертен опит.Маркетингови екипи, работещи с агенции, IT отдели, наемащи консултанти, или големи организации, които си сътрудничат с множество компании, могат да интегрират външни партньори без да компрометират сигурността.

Например, представете си компания, която наема Мария от vendor.com за краткосрочен проект.Мери може вече да има федериран акаунт при работодателя си. Преди това наемащата компания можеше да включи Мери в средата си на Adobe само чрез съществуващия ѝ федериран акаунт, чието удостоверяване се контролира от работодателя ѝ.

С Federated Guest Access наемащата компания може да добави Мери като федериран гост в директорията си. В този случай тя може да влезе, използвайки SSO на наемащата компания, за да получи достъп до инструменти като Workfront или AEM Assets. Не се изисква отделен имейл адрес в домейна на наемащата компания.

Федерираният гостов акаунт на Мери е напълно независим от акаунта, притежаван от работодателя ѝ, с отделни права и активи, което гарантира чисто разделение на организационните данни. Тя може да превключва между акаунтите, използвайки инструмент за превключване на акаунти.Всеки път, когато превключва акаунти, Мери трябва да излезе и след това да се удостовери отново, използвайки метода за влизане на другия акаунт. Този процес гарантира, че разделението между акаунтите се поддържа.

За наемащата компания външни партньори като Мери могат да бъдат включени и управлявани чрез същите контроли за удостоверяване и достъп, използвани за вътрешните служители. За работодателя на Мери Federated Guest Access не изисква промени. Акаунтът, правата и активите ѝ остават незасегнати и нито една от организациите няма видимост към акаунтите на другата.

Обединени акаунти за гости

Федерираният гостов достъп въвежда нова концепция за акаунт за федерирани гости. Федерираните гости са нова вариация на съществуващия тип акаунт Federated ID, разширена, за да поддържа имейл домейни, които не са собственост на корпорацията или не са заявени от нея.

Позволява на корпорациите да включат външни партньори в своята федерирана директория и да ги удостоверят чрез IdP на организацията, без да се изисква собственост върху имейл домейна на федерирания гост. Както всички акаунти с федеративен идентификатор, всеки гост акаунт от този тип принадлежи към организацията, която го е създала, и разполага със собствени отделни права за достъп, ресурси и настройки за обединение.Остава напълно отделен от всички други акаунти, които използват същия имейл адрес в други организации.

Управление на домейни

Администраторите на наемащата корпорация могат да добавят външни домейни чрез нов раздел Домейни гости в Аdmin console. Това им позволява да добавят потребители с външни имейл домейни като отделни акаунти Federated ID, собственост на тяхната организация.

За разлика от заявените домейни, гостовите домейни не изискват доказателство за собственост. Можете да добавите както домейни, които могат да бъдат заявени, така и такива, които не могат. За домейни, които са заявени от друга организация на Adobe, собствениците на домейни могат да контролират дали техният домейн може да се използва като гостов домейн.

Ако собственикът на домейна е поискал заявеният му домейн да бъде блокиран от използване като гост домейн, няма да можете да добавите този домейн като гост домейн. Ако вече сте добавили този гостов домейн, не можете да добавите нов федериран гост с този домейн. Всички съществуващи обединени гости с този гост-домейн няма да могат да влязат в системата, докато собственикът на домейна не разреши отново използването на гост-домейна.

За да добавите гостуващи домейни директно към директория в Admin Console, изпълнете следните стъпки.

По подразбиране всички заявени домейни са конфигурирани да разрешават използването на гостуващ домейн за обединен гостуващ достъп.

Като собственик на домейн може да не искате други организации да използват заявените ви домейни като гостуващ домейн.Въпреки че използването на гостуващ домейн не засяга собствеността ви върху домейна и потребителите ви, можете да прегледате как се използват заявените ви домейни и да решите дали искате да спрете такова използване.

За да прегледате кои други организации в Adobe използват заявените ви домейни като гостуващ домейн

За да блокирате или разрешите на всички организации да използват заявения ви домейн като гостуващ домейн, свържете се с поддръжката на Adobe, за да подадете заявката си. Тази промяна ще се прилага за всеки домейн поотделно.

Когато блокирате използването на гостуващ домейн, никоя друга организация в Adobe не може да добави този домейн като гостуващ домейн. Организациите, които вече са добавили гостуващия домейн, ще видят, че достъпът им до него е блокиран. Освен това не могат да създават нови федерирани гости с този домейн. Всички съществуващи обединени гостови акаунти с гостуващия домейн ще бъдат блокирани от влизане в такива акаунти.

Сигурност и предпазни мерки

Вашият IdP винаги е източникът на истината. За да бъдат включени външни партньори като федерирани гости, те трябва вече да имат акаунт във вашия IDP. Това имитира начина, по който обикновено бихте включили вътрешните си служители като потребители с Federated ID.

Всички федерирани гости трябва да завършат еднократна процедура по проверка преди първоначалното си влизане.Adobe ще изпрати код за верификация на имейла на федерирания гост и от федерирания гост ще се поиска да прегледа и даде съгласие за присъединяване към поканващата организация като федериран гост. Ако потокът не бъде завършен, от федерираните гости ще се поиска да го завършат, преди да могат да влязат за първи път.

Опит на администратора

От гледна точка на администратора включването на федерирани гости отразява процеса за обикновени федерирани потребители.

• Настройка: Администраторите конфигурират домейни за гости в Admin Console.
• Осигуряване: Федерираните гости се добавят по същия начин като обикновените федерирани потребители.
• Присвояване на продукти: Продуктите се присвояват по същия начин като при обикновените федерирани потребители.В момента е ограничено до Workfront и AEM Assets as a Cloud Service.Присвояването на неподдържани продукти (напр. Photoshop) ще се провали, без да консумира лицензи.
• Покани за сътрудничество: Имейлите вече включват името на организацията, която притежава актива или инстанцията, намалявайки объркването при превключване между профили или акаунти.

Потребителско преживяване

За крайните потребители процесът е създаден да бъде ясен, но сигурен.При първоначалното влизане Adobe ще поиска от крайните потребители да завършат еднократен процес на верификация.Федерираните гости трябва да верифицират имейла си и да се съгласят да се присъединят към поканващата организация.След завършване обединените гости могат да влязат в акаунта чрез IdP на наемащата компания, точно като вътрешните служители.Обединените гости могат да влязат във обединения гост акаунт чрез IdP-initiated login също така.

Не е възможно директно влизане във федерирания гост акаунт чрез въвеждане на имейла ви на страницата за влизане.Вместо това трябва да използвате IdP-initiated login или връзките за влизане, които вашият администратор може да предостави.Връзките за влизане са специфични за директорията и можете да ги отворите чрез Admin Console:

Връзките за влизане могат да се използват от всички потребители в същата директория, независимо дали са федерирани гости или не.

Ако имейлът ви е свързан с множество акаунти в Adobe, можете да използвате превключвател на акаунти, за да намерите всички акаунти, които споделят същия имейл.След като влезете в някой акаунт, ще видите списъка с акаунти, към които можете да превключите. 

Новият превключвател на акаунти позволява на потребителите да превключват между федерирани акаунти, свързани със същия имейл адрес.За разлика от превключването на профили, превключването на акаунти изисква повторно удостоверяване, тъй като всеки акаунт има своя собствена федерация и/или метод за удостоверяване.Администраторите могат също да предоставят специални връзки за влизане, свързани с конкретни директории, гарантирайки, че потребителите са насочени към правилния IdP.

Global Admin Console йерархия

Йерархията на Global Admin Console установява как домейните за гости се управляват и споделят между организациите.Само организации с активирана функция Federated Guest Access могат да добавят домейни за гости.След като родителска организация добави такъв, той става видим за всички дъщерни организации в йерархията и в цялата конзола, гарантирайки последователно въвеждане на външни потребители и федерирани гости.

Собственичката организация може да формира доверителни отношения с други организации в йерархията, за да използва домейна като всеки друг заявен домейн. Централизираното identity management може да се поддържа на основно ниво, тъй като не всяка организация се нуждае от активиран Federated Guest Access. Гостуващ домейн може да бъде добавен само от една директория в рамките на йерархията, а организациите извън йерархията не могат да виждат или използват гостуващи домейни, дори ако съществуват доверителни отношения, което гарантира контролирана видимост. В такива случаи потребителите се добавят като бизнес идентификатори, управлявани от Adobe или собственика на домейна. Ако един и същ имейл адрес е регистриран в множество организации, се създават отделни федерирани гостуващи акаунти, което изисква от потребителите да превключват между акаунтите.

Често задавани въпроси