Guide d'utilisation Annuler

Configuration d’identité

Rechercher

Dernière mise à jour le Jun 23, 2022 01:41:30 PM GMT | S'applique également à Creative Cloud for enterprise, Document Cloud for enterprise

Adobe Entreprise et Équipes : Guide de l’administrateur
Planification de votre déploiement
1. Concepts de base
2. Guides de déploiement
3. Déploiement de Creative Cloud abonnement Éducation
Configuration de votre organisation
1. Configuration des identités
  1. Types d’identités | Présentation
  2. Configuration d’une organisation avec Enterprise ID
  3. Configuration d’une organisation avec Federated ID
    1. Présentation de l’authentification unique (SSO)
    2. Configuration et synchronisation d’Azure Connector
    3. Configuration et synchronisation de la fédération Google
    4. SAML générique
    5. Authentification unique pour le secteur de l’éducation
      1. Configuration de l’authentification unique pour les portails de district et les LMS
      2. Questions fréquentes
  4. Vérification de la propriété d’un domaine
  5. Ajout et gestion de domaines
  6. Association de domaines aux répertoires
  7. Gestion des domaines et répertoires existants
  8. Ajout de domaines prédéposés à l’aide de l’approbation de répertoires
  9. Migration vers un nouveau fournisseur d’authentification
2. Paramètres des actifs
3. Paramètres d’authentification
4. Confidentialité et contacts de sécurité
5. Paramètres de la console
6. Gestion du chiffrement
Gestion des produits et des autorisations
1. Gestion des utilisateurs
2. Gestion des produits et des profils de produit
3. Gestion des licences de périphériques partagés
Gestion des actifs et des espaces de stockage
1. Stockage
2. Migration des actifs
3. Récupération des actifs d’un utilisateur
4. Migration des actifs des étudiants | Établissements scolaires uniquement
  1. Migration automatique des actifs des étudiants
  2. Migration de vos actifs
Gestion des services
1. Adobe Stock
2. Polices personnalisées
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud abonnement Entreprise – abonnement gratuit
  1. Présentation
  2. Prise en main
Déploiement des applications et des mises à jour
1. Présentation
2. Création de packs
3. Personnalisation des packs
  1. Personnalisation de l’application de bureau Creative Cloud
  2. Ajout d’extensions dans un pack
4. Déploiement de packs
5. Gestion des mises à jour
  1. Gestion des changements pour les clients des abonnements Entreprise et Équipe d’Adobe
  2. Déploiement de mises à jour
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
8. Résolution des problèmes
9. Création de packs à l’aide de l’outil Creative Cloud Packager (applications CC 2018 ou antérieures)
Gestion de votre compte
Rapports et journaux
Obtenir de l’aide

Configurer l’identité et l’authentification unique (SSO) | Vidéo YouTube

Configuration de répertoires : pour utiliser des Enterprise ID ou des Federated ID, commencez par configurer un répertoire auquel vous pourrez lier un ou plusieurs domaines. En savoir plus >

Configuration de domaines : les utilisateurs finaux s’authentifient sur des domaines que vous devez configurer dans le portail Admin Console. En savoir plus >

Association de domaines aux répertoires : une fois les domaines et les répertoires configurés, groupez les domaines en les liant aux répertoires.
En savoir plus >

Mandat de répertoire : utilisez des mandats de répertoire pour approuver les administrateurs système d’autres organisations.
En savoir plus >

Migration vers un nouveau fournisseur d’authentification : migrez les répertoires établis vers un nouveau fournisseur d’authentification au sein du portail Adobe Admin Console.
En savoir plus >

Déplacement de domaines entre les répertoires : structurez les répertoires en déplaçant les domaines entre les différents répertoires dans le portail Admin Console.
En savoir plus >

En tant qu’administrateur système sur le portail Admin Console, l’une de vos premières tâches consiste à définir et à configurer un système d’identités qui déterminera le mode d’authentification de vos utilisateurs finaux. Chaque fois que votre organisation achète des licences pour des produits et services Adobe, vous devez les provisionner pour vos utilisateurs finaux. Pour cela, vous avez besoin d’une méthode pour authentifier ces utilisateurs.

Adobe propose les types d’identité suivants, que vous pouvez utiliser pour authentifier vos utilisateurs finaux :

Business ID
Enterprise ID
Federated ID
Adobe ID

Si vous souhaitez avoir des comptes distincts détenus et contrôlés par votre organisation pour les utilisateurs de votre domaine, vous devez avoir recours aux types d’identité Enterprise ID ou Federated ID (pour l’authentification unique).

Remarque :

Afin de vous faire bénéficier d’avantages tels que le stockage professionnel et d’autres fonctionnalités de niveau entreprise, nous migrons tous les Adobe ID existants vers des Business ID. Tous les nouveaux clients professionnels utiliseront des Business ID pour les membres de leur équipe.

Vous recevrez un communiqué préalable lorsque votre organisation sera sur le point de bénéficier de cette mise à niveau. Pour en savoir plus, reportez-vous à la section Présentation des Business ID et des nouvelles fonctionnalités de stockage. En attendant la migration de votre organisation, vous continuerez à utiliser des Adobe ID pour accéder aux contenus. Par la suite, les Adobe ID seront exclusivement réservés aux clients individuels.

Cet article explique en détail comment configurer le système d’identité dont vous aurez besoin si vous prévoyez d’utiliser des Enterprise ID ou des Federated ID pour authentifier vos utilisateurs finaux.

Remarque :

Les procédures de configuration du répertoire et configuration du domaine décrites dans ce document sont totalement individualisées. Cela signifie que vous pouvez les exécuter dans l’ordre qui vous convient ou en parallèle. En revanche, la procédure permettant d’associer des domaines de courrier électronique aux répertoires ne pourra être réalisée qu’une fois que vous aurez effectué les deux premières.

Termes et concepts clés

Avant de nous intéresser aux procédures, voyons ensemble les concepts et termes que vous devez impérativement connaître.

Dans le portail Admin Console, un répertoire est une entité qui contient des ressources (comme des utilisateurs) et des règles (comme l’authentification). Ces répertoires sont semblables aux annuaires LDAP ou Active Directory.

Fournisseur d’identité de l’organisation, par exemple Active Directory, Microsoft Azure, Ping, Okta, InCommon ou Shibboleth.

Pour en savoir plus sur la configuration de l’authentification unique pour Creative Cloud avec certains IdP courants, consultez la section Articles connexes à la fin de l’article.

Créé et détenu par une entreprise. Géré par l’utilisateur final. Un Business ID (et tous les actifs associés à cet ID) appartient à l’entreprise. Les utilisateurs finaux ne peuvent pas s’abonner avec un Business ID personnel, en créer un, ni souscrire à des produits et services supplémentaires auprès d’Adobe avec un Business ID.

Vous pouvez commencer à utiliser les Business ID directement, sans configuration particulière. Les administrateurs peuvent inviter des utilisateurs à devenir membre d’une organisation, mais aussi les supprimer à tout moment. Les administrateurs ne peuvent pas prendre le pouvoir sur les comptes ni les supprimer. Seuls les administrateurs peuvent créer un Business ID, puis l’attribuer à un utilisateur. Ils peuvent révoquer l’accès aux produits et services en prenant le contrôle du compte, ou bien supprimer définitivement le Business ID afin de bloquer l’accès aux données qui y sont associées.

Voici quelques conditions et situations pour lesquelles des Business ID sont recommandés :

Si vous souhaitez que l’administrateur crée et détienne les identités des utilisateurs.
Si les utilisateurs sont amenés à utiliser d’autres services Adobe, qui ne prennent actuellement pas en charge les Enterprise ID ou Federated ID.
Si les utilisateurs ont déjà des Adobe ID, ainsi que des données associées à l’entreprise telles que des fichiers, des polices ou des paramètres.
Dans le cadre universitaire, où les étudiants peuvent conserver leur Adobe ID après avoir terminé leurs études.
Si vous souhaitez que l’administrateur crée et gère les comptes des sous-traitants et des indépendants.
Si vous utilisez un contrat Adobe abonnement Équipe.
Si vous avez besoin d’un accès d’urgence aux fichiers et données de l’utilisateur.
Si vous devez avoir la possibilité de bloquer ou de supprimer complètement le compte d’un utilisateur.

Remarque :

Créé, détenu et géré par une organisation. Adobe héberge l’Enterprise ID et effectue l’authentification, mais c’est l’organisation qui le met à jour. Les utilisateurs finaux ne peuvent pas s’abonner avec un Enterprise ID, en créer un, ni souscrire à des produits et services supplémentaires auprès d’Adobe avec un Enterprise ID.

Seul un administrateur peut créer un Enterprise ID, puis l’attribuer à un utilisateur. Il peut révoquer l’accès aux produits et services en prenant le contrôle du compte, ou bien supprimer définitivement l’Enterprise ID afin de bloquer l’accès aux données qui y sont associées.

Voici quelques conditions et situations pour lesquelles un Enterprise ID est recommandé :

Si vous devez conserver une maîtrise totale des applications et services mis à la disposition d’un utilisateur.
Si vous avez besoin d’un accès en urgence aux fichiers et données associés à un ID.
Si vous devez avoir la possibilité de bloquer ou de supprimer entièrement un compte utilisateur.

Créé et détenu par une organisation, et lié au répertoire de l’entreprise via la fédération. L’organisation gère les informations d’identification et traite l’authentification unique via un fournisseur d’identité (IdP) SAML2.

Voici quelques conditions et situations pour lesquelles un Federated ID est recommandé :

Si vous souhaitez provisionner des utilisateurs selon l’annuaire d’entreprise de votre organisation.
Si vous souhaitez gérer l’authentification des utilisateurs.
Si vous devez conserver une maîtrise totale des applications et services mis à la disposition d’un utilisateur.

Remarque :

Le fournisseur d’identité doit être conforme au protocole TLS 1.2.

Créé, détenu et géré par l’utilisateur final. Adobe se charge de l’authentification, tandis que l’utilisateur final gère l’identité proprement dite. Les utilisateurs gardent un contrôle total sur les données et les fichiers associés à leur ID. Ils peuvent également acheter des produits et services supplémentaires auprès d’Adobe. Les administrateurs peuvent inviter des utilisateurs à devenir membre d’une organisation, mais aussi les supprimer à tout moment. Néanmoins, un utilisateur ne peut pas être exclu de son compte Adobe ID. L’administrateur ne peut pas prendre le pouvoir sur les comptes ni les supprimer. Vous pouvez commencer à utiliser les Adobe ID directement, sans configuration particulière.

Voici quelques conditions et situations pour lesquelles un Adobe ID est recommandé :

Si vous souhaitez permettre aux utilisateurs de créer, posséder et gérer leur propre identité.
Si vous souhaitez permettre aux utilisateurs d’acheter d’autres produits et services Adobe ou de s’y abonner.
Si les utilisateurs sont amenés à utiliser d’autres services Adobe, qui ne prennent actuellement pas en charge les Enterprise ID ou Federated ID.
Si les utilisateurs ont déjà des Adobe ID, ainsi que des données associées telles que des fichiers, des polices ou des paramètres.
Dans le cadre universitaire, où les étudiants peuvent conserver leur Adobe ID après avoir terminé leurs études.
Si vous avez des sous-traitants ou des indépendants qui n’utilisent pas des adresses électroniques relatives aux domaines que vous contrôlez.
Si vous disposez d’un contrat d’équipe Adobe, vous devrez utiliser ce type d’identité.

Partie d’une adresse électronique placée après le symbole @. Pour utiliser un domaine avec un Enterprise ID ou un Federated ID, vous devez d’abord confirmer que vous en êtes le propriétaire.

Par exemple, une organisation possède plusieurs domaines (geometrixx.com, support.geometrixx.com, contact.geometrixx.com) mais ses employés s’authentifient sur geometrixx.com. Dans ce cas, l’organisation utilise le domaine geometrixx.com pour configurer l’identité des utilisateurs dans Admin Console.

Administrateur système

Collabore avec les managers de répertoire IdP et les managers DNS pour configurer les identités dans le portail Admin Console. Ce document s’adresse aux administrateurs système qui ont accès à Admin Console. Ces personnes sont amenées à travailler avec d’autres qui (généralement) n’ont pas accès à Admin Console.

Manager DNS

Met à jour les jetons DNS pour valider la propriété d’un domaine.

Manager de répertoire du fournisseur d’identité (IdP)

Crée des connecteurs dans l’IdP.

L’identité de chaque utilisateur est vérifiée par rapport à une source d’authentification. Pour utiliser des Enterprise ID ou des Federated ID, configurez votre propre source d’authentification en ajoutant un domaine. Par exemple, si votre adresse électronique est antoine@exemple.com, exemple.com correspond à votre domaine. Le fait d’ajouter un domaine permet de créer des Enterprise ID ou Federated ID dotés d’adresses e-mail sur le domaine. Un domaine peut être utilisé avec des Enterprise ID ou des Federated ID, mais pas avec les deux. Vous pouvez toutefois ajouter plusieurs domaines.

Une organisation doit prouver qu’elle contrôle un domaine. Elle peut également ajouter plusieurs domaines. En revanche, un domaine ne peut être ajouté qu’une seule fois. Les domaines publics connus et généraux, comme gmail.com ou yahoo.com, ne peuvent pas être ajoutés.

Pour en savoir plus sur les types d’identité, consultez la section Gestion des types d’identité.

Création d’un répertoire

Pour utiliser des Enterprise ID ou des Federated ID, commencez par créer un répertoire auquel vous pouvez associer un ou plusieurs domaines. Par défaut, votre organisation dispose d’un répertoire Business ID qui ne nécessite aucune configuration.

Remarque :

Actuellement, Adobe ne prend pas en charge les workflows initiés depuis l’IdP.

Si votre organisation a configuré (ou prévoit de le faire) Microsoft Azure comme fournisseur d’authentification unique, nous vous recommandons d’utiliser l’authentification avec Azure Federation. Suivez également les étapes détaillées dans la section Authentifier vos utilisateurs avec Microsoft Azure : Création d’un répertoire.

Si votre organisation a configuré (ou prévoit de le faire) la fédération Google comme fournisseur d’authentification unique, nous vous recommandons d’utiliser l’authentification avec la fédération Google. Suivez également les étapes détaillées dans la section Authentifier vos utilisateurs avec la fédération Google : Création d’un répertoire dans Adobe Admin Console.

Utilisez la procédure ci-dessous si votre organisation utilise au moins l’une des méthodes suivantes :

Enterprise ID
Fournisseur SAML autre que Azure ou Google
Microsoft Azure ou Fédération Google via SCIM.

Connectez-vous au portail Admin Console, puis accédez à la section Paramètres > Identité.

Accédez à l’onglet Répertoires, puis cliquez sur Créer un répertoire.

Dans l’écran Créer un répertoire, attribuez un nom au répertoire.

Sélectionnez Federated ID, cliquez sur Suivant et passez à l’étape 5.

Sélectionnez Enterprise ID, puis cliquez sur Créer un répertoire.

Si vous créez un répertoire Enterprise ID, cette procédure de répertoire est terminée.

Passez à la configuration de vos domaines.

(Federated ID uniquement) Choisissez Autres fournisseurs SAML et cliquez sur Suivant.

Utilisez l’écran Ajouter un profil SAML pour obtenir les informations de configuration de votre fournisseur d’identité.

Certains fournisseurs d’identité (IdP) acceptent un fichier de métadonnées que vous pouvez transférer, tandis que d’autres peuvent demander l’URL ACS et l’ID d’entité. Par exemple :

Pour Azure Active Directory : téléchargez le fichier de métadonnées.
Pour Google : copiez l’URL ACS, ainsi que l’ID d’entité et collez-les dans le logiciel de gestion des identités de Google.
Pour SalesForce : téléchargez le fichier de métadonnées, extrayez les informations relatives au certificat et indiquez ces dernières dans le logiciel de gestion des identités de SalesForce.

Remarque :

Les options Azure et Google ci-dessus sont requises si vous avez choisi de ne pas utiliser Azure ou la fédération Google, respectivement.

Si vous utilisez Azure AD avec OIDC (Open ID Connect), suivez les étapes détaillées dans l’article Authentifier vos utilisateurs avec Microsoft Azure.
Si vous avez configuré Azure AD avec SAML à l’aide de l’option Autres fournisseurs SAML, suivez les étapes de l’article Intégration avec authentification unique Azure AD avec Adobe Identity Management (SAML).
Si vous utilisez la fédération Google, suivez les étapes détaillées dans l’article Authentifier vos utilisateurs avec la fédération Google.

Choisissez l’une des méthodes proposées au-dessous des options.

Méthode 1 :

Cliquez sur Télécharger le fichier de métadonnées Adobe.

Le fichier de métadonnées est téléchargé sur votre disque dur local. Utilisez ce fichier pour configurer votre intégration SAML avec le fournisseur d’identité.

Méthode 2 :

Copiez l’URL ACS et l’ID d’entité.

Basculez vers la fenêtre de l’application de votre fournisseur d’identité et chargez le fichier de métadonnées ou entrez l’URL ACS et l’ID d’entité. Une fois que vous avez terminé, téléchargez le fichier de métadonnées de votre fournisseur d’identité.

Retournez dans le portail Adobe Admin Console et téléchargez le fichier de métadonnées du fournisseur d’identité dans la fenêtre Ajouter un profil SAML, puis cliquez sur Terminé.

Configuration de domaines

Remarque :

Vous n’avez pas besoin d’ajouter de domaines manuellement si le répertoire de votre organisation est configuré à l’aide de Microsoft Azure AD ou de la fédération Google. Les domaines sélectionnés qui ont été validés dans la configuration de votre fournisseur d’identité sont automatiquement synchronisés avec le portail Adobe Admin Console.

Vos utilisateurs finaux s’authentifient sur des domaines que vous devez configurer dans le portail Admin Console.

Pour configurer des domaines, il faut :

Ajouter des domaines dans le portail Admin Console
Être prêt à confirmer la propriété des domaines en ajoutant un jeton DNS spécial
Valider les domaines

Les domaines que vous ajoutez à Admin Console ne doivent pas forcément être enregistrés auprès du même IdP. En revanche, lorsque vous associez les domaines à un répertoire, chaque domaine d’un IdP spécifique doit être associé à un répertoire spécifique.

Vous ne pouvez pas ajouter un domaine dans le portail Admin Console s’il a déjà été ajouté dans le portail Admin Console d’une autre organisation. En revanche, vous pouvez demander l’accès à ce domaine.

Connectez-vous au portail Admin Console, puis accédez à la section Paramètres > Identité.

Dans l’onglet Domaines, cliquez sur Ajouter des domaines.

Dans l’écran Ajouter des domaines, saisissez un ou plusieurs domaines, puis cliquez sur Ajouter des domaines. Vous pouvez déposer et valider 15 domaines à la fois au maximum, et ajouter les domaines restants par la suite.

Dans l’écran Ajouter des domaines, vérifiez le contenu de la liste, puis cliquez sur Ajouter des domaines.

Vos domaines sont maintenant ajoutés dans le portail Admin Console. Vous devez à présent prouver la propriété de ces domaines.

Une organisation doit prouver qu’elle possède un domaine. Elle peut ajouter autant de domaines que nécessaire dans le portail Admin Console.

Le portail Admin Console permet à chaque organisation d’utiliser un seul jeton DNS pour prouver la propriété de tous ses domaines. Par ailleurs, le portail Admin Console n’exige pas de validation DNS pour les sous-domaines. Cela signifie que lorsque vous utilisez le jeton DNS et prouvez la propriété d’un domaine, tous les sous-domaines qui lui sont associés sont instantanément validés dès leur ajout dans le portail Admin Console.

Connectez-vous au portail Admin Console, puis accédez à la section Paramètres > Identité et rendez-vous dans l’onglet Domaines.

Cliquez sur et choisissez Accéder au jeton DNS dans la liste déroulante.

Travaillez avec votre manager DNS pour ajouter un enregistrement DNS spécial pour les domaines que vous avez ajoutés.

Pour confirmer que vous possédez le domaine, vous devez ajouter un enregistrement TXT au jeton DNS généré. Les instructions exactes dépendent de votre hôte de domaine. Pour des consignes standard, consultez la section Vérification de la propriété d’un domaine.

Pour effectuer cette étape, vous devez ajouter des informations sur vos serveurs DNS. Informez-en votre manager DNS à l’avance pour être certain d’effectuer cette étape rapidement.

Régulièrement, Adobe vérifie les enregistrements DNS de votre domaine ; s’ils sont corrects, le domaine est automatiquement validé. Si vous souhaitez valider immédiatement un domaine, vous pouvez vous connecter à Admin Console et effectuer l’opération manuellement. Vous devez ensuite valider les domaines.

Plusieurs fois par jour, le portail Admin Console tente de valider les domaines que vous avez ajoutés. Il est donc inutile d’intervenir pour valider un domaine une fois que les jetons DNS sont correctement configurés.

Validation manuelle de domaines

Si vous devez valider votre domaine immédiatement, vous pouvez le faire sur le portail Admin Console. Pour valider manuellement vos domaines :

Connectez-vous à Admin Console.

Cliquez sur Paramètres > Identité, puis accédez à l’onglet Domaines.

Cliquez sur Valider.

Dans l’écran Valider la propriété de domaine, cliquez sur Valider maintenant.

Il se peut que vous receviez des messages d’erreur lorsque vous tentez de valider la propriété de domaine, car il peut s’écouler jusqu’à 72 heures avant que les changements de DNS prennent effet. Pour en savoir plus, consultez la section des questions fréquentes liées aux enregistrements DNS.

Après avoir vérifié la propriété de votre domaine, vous pouvez associer les domaines validés aux répertoires requis dans le portail Admin Console.

Association de domaines aux répertoires

Une fois que vous avez configuré vos répertoires et vos domaines dans le portail Admin Console, vous devez les associer entre eux.

Il est possible d’associer plusieurs domaines à un même répertoire. Toutefois, tous les domaines que vous associez à un même répertoire doivent partager des paramètres SSO identiques.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Domaines.

Cochez la case à gauche du nom de domaine souhaité, puis cliquez sur Associer au répertoire.

Si vous voulez associer plusieurs domaines au même répertoire, cochez toutes les cases correspondantes.

Dans l’écran Associer au répertoire, choisissez le répertoire concerné dans la liste déroulante, puis cliquez sur Associer.

Gestion des utilisateurs

Une fois que vous avez terminé la configuration de votre Enterprise ID ou de votre Federated ID, vous êtes prêt à fournir les produits et services Adobe achetés à vos utilisateurs.

Consultez une présentation des utilisateurs sur le portail Admin Console. Vous pouvez également accéder directement au portail Admin Console et ajouter des utilisateurs à l’aide de l’une des méthodes suivantes :

Si vous avez configuré la fédération Azure, découvrez comment configurer des utilisateurs et des groupes dans Azure AD.
Si vous avez configuré la fédération Google, découvrez comment autoriser et configurer le provisionnement des utilisateurs dans la console d’administration Google.
Sinon, ajoutez des utilisateurs individuels, utilisez le téléchargement massif CSV, l’outil User Sync ou l’API REST User Management.

Une fois les utilisateurs ajoutés à Admin Console, provisionnez-les en les affectant aux Profils de produit.

Mandat de répertoire

La propriété d’un domaine ne peut être revendiquée que par une seule organisation. Par conséquent, imaginez le scénario suivant :

Une société, Geometrixx, comporte plusieurs services, chacun ayant son propre portail Admin Console. En outre, chaque service souhaite utiliser des Federated ID, tous avec le domaine geometrixx.com. Dans ce cas, l’administrateur système de chacun de ces services souhaite déposer ce domaine à des fins d’authentification. Admin Console empêche qu’un domaine soit ajouté à plusieurs portails Admin Console d’une même organisation. Néanmoins, une fois ajouté par un service, d’autres services peuvent demander l’accès au répertoire auquel ce domaine est associé, au nom d’Admin Console de leur organisation.

Le mandat de répertoire permet à un propriétaire de mandater d’autres administrateurs système (les mandataires). À la suite de cela, les organisations mandataires dans le portail Admin Console peuvent ajouter des utilisateurs à n’importe quel domaine du répertoire faisant l’objet du mandat.

En résumé, vous devez ajouter un domaine si vous prévoyez d’utiliser des Enterprise ID ou des Federated ID sur votre portail Admin Console. Si une autre organisation a déjà ajouté ce domaine, vous devez demander un accès mandataire au répertoire contenant ce domaine. Cependant, lorsque l’organisation mandataire ajoute des utilisateurs aux domaines de confiance, ils sont ajoutés en tant qu’utilisateurs Business ID. Même s’ils sont configurés en tant qu’utilisateurs Business ID, ils seront authentifiés par le framework d’authentification de l’organisation propriétaire.

Pour demander l’accès à un répertoire, reportez-vous aux étapes de la procédure « Ajouter des domaines », dans Configuration de domaines.

Attention :

En tant que propriétaire d’un répertoire, si vous approuvez une demande d’accès à un répertoire, l’organisation mandataire aura accès à tous les domaines déjà associés au répertoire, ainsi qu’à tous ceux qui le seront par la suite. Par conséquent, il est essentiel de bien prévoir l’association entre domaines et répertoires lorsque vous configurez le système d’identité de votre organisation.
Avant d’ajouter, de demander, de révoquer ou de retirer une demande de confiance, nous vous recommandons vivement d’exporter une liste d’utilisateurs depuis Admin Console ou les consoles concernées avant toute modification. Cette liste fournira un instantané de toutes les données utilisateur, y compris le nom, l’adresse e-mail, ainsi que les profils de produit et les rôles d’administrateur affectés, dans le cas où vous auriez besoin d’une restauration.
Des étapes spécifiques doivent être effectuées pour migrer un domaine incluant une relation de confiance. Vous ne devez pas révoquer une relation de confiance lors de la migration d’un domaine approuvé pour éviter la perte du compte d’utilisateur et de l’accès au produit dans l’organisation mandataire.
L’approbation de répertoires ne peut pas être configurée entre des organisations qui utilisent des modèles de stockage différents (modèle de stockage par utilisateur et modèle de stockage d’entreprise). Reportez-vous à l’article Problèmes dus à l’accès des utilisateurs à la fois au stockage d’entreprise et au stockage existant par utilisateur.

Mandataire de domaine

Si vous ajoutez des domaines existants dans le portail Admin Console, vous recevez le message suivant :

Si vous demandez l’accès à ce domaine, votre nom, votre adresse e-mail et le nom de votre organisation seront communiqués aux administrateurs système de l’organisation propriétaire.

Le nouveau type de répertoire est Business ID et l’authentification utilisateur dépend de la façon dont elle a été configurée par l’organisation propriétaire.

Dans la mesure où le domaine a déjà été configuré par le propriétaire (voir le paragraphe « Prouver la propriété d’un domaine » dans la section Configuration de domaines), en tant que mandataire, vous n’avez rien à faire de plus. Une fois que la demande d’accès est acceptée par le propriétaire, votre organisation peut accéder au répertoire et à l’ensemble de ses domaines, tels qu’ils ont été configurés par l’organisation propriétaire.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Demandes d’accès, puis vérifiez le statut de chaque répertoire pour lequel vous avez demandé un droit d’accès.

Vous pouvez également cliquer sur une ligne dans la liste des demandes d’accès et cliquer sur Renvoyer la demande ou Annuler la demande.

Si votre demande d’accès au répertoire est acceptée par l’organisation propriétaire, vous recevez une notification par e-mail. Votre demande de mandat disparaît alors, elle est remplacée par le répertoire faisant l’objet du mandat, ainsi que ses domaines, avec le statut Actif (sous mandat) dans vos listes Répertoires et Domaines.

Vous pouvez à présent ajouter des utilisateurs et des groupes d’utilisateurs, puis les affecter à des profils de produit.

En tant qu’organisation mandataire, si vous n’avez plus besoin d’avoir accès au répertoire sous mandat, vous pouvez retirer votre statut de mandataire à tout moment.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Dans l’onglet Répertoires, cliquez sur le répertoire partagé pour lequel vous souhaitez retirer votre droit d’accès.

Dans le volet de détails du répertoire, cliquez sur Retirer.

Si vous retirez votre accès à un répertoire de confiance, tous les utilisateurs associés aux domaines de ce répertoire sont supprimés de votre organisation. Cependant, ces utilisateurs peuvent toujours accéder aux applications, services et stockage qui leur sont attribués.

Pour empêcher des utilisateurs d’utiliser le logiciel, supprimez-les du portail Admin Console > Utilisateurs > Supprimer des utilisateurs. Vous pouvez ensuite récupérer les ressources des utilisateurs supprimés puisque votre organisation est propriétaire de ces ressources.

Propriétaire de domaine

En tant qu’administrateur système d’une organisation propriétaire, vous pouvez choisir d’accepter ou de refuser des demandes d’accès aux répertoires que vous détenez.

Lorsque vous recevez par e-mail une demande d’accès à un répertoire qui vous appartient, vous pouvez choisir d’accepter ou de refuser la demande directement à partir de l’e-mail. Vous pouvez également passer par l’onglet Demandes d’accès pour gérer les demandes.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Demande d’accès.

Pour accepter toutes les demandes, cliquez sur Tout accepter.

Pour accepter des demandes en particulier, cochez la case correspondant à chacune d’elle sur la gauche de la ligne et cliquez sur Accepter.

Dans l’écran Accepter cette demande d’accès, cliquez sur Accepter.

Un e-mail de notification est envoyé aux administrateurs système des organisations mandataires.

Vous pouvez également choisir de refuser la demande d’accès à un répertoire que vous détenez.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Demande d’accès.

Cochez la case sur la gauche de chaque ligne et cliquez sur Refuser.

Dans l’écran Refuser cette demande d’accès, indiquez le motif du refus, puis cliquez sur Refuser.

Le motif que vous fournissez est transmis par e-mail à l’organisation à l’origine de la demande. Toutefois, votre e-mail, votre nom et les informations relatives à votre organisation sont retenus.

Vous pouvez révoquer l’accès d’une organisation mandataire à laquelle vous avez précédemment donné accès.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Mandataires.

Cochez la case sur la gauche de chaque ligne et cliquez sur Révoquer.

Dans l’écran Révoquer un mandataire, cliquez sur Révoquer.

Si vous révoquez l’accès à un répertoire de confiance, tous les utilisateurs associés aux domaines de ce répertoire sont supprimés du répertoire de confiance. Cependant, ces utilisateurs peuvent toujours accéder aux applications, services et stockage qui leur sont attribués.

Pour empêcher des utilisateurs d’utiliser le logiciel, les administrateurs mandataires peuvent les supprimer du portail Admin Console > Utilisateurs > Supprimer des utilisateurs. Ils peuvent ensuite récupérer les ressources des utilisateurs supprimés puisque l’organisation mandataire est propriétaire de ces ressources.

Mandat de répertoire - Questions fréquentes

Lorsqu’un utilisateur est ajouté à une entreprise mandataire, il est toujours ajouté en tant qu’utilisateur Business ID. Cela reste vrai pour les nouveaux utilisateurs de l’entreprise mandataire ou les utilisateurs existants de l’entreprise propriétaire. Un utilisateur sera disponible en tant que Federated ID ou utilisateur de type Enterprise ID de l’entreprise propriétaire et en tant qu’utilisateurs Business ID de toutes les entreprises mandataires. Cependant, lorsqu’un utilisateur d’une entreprise mandataire se connecte à des applications ou services Adobe, il est invité à se connecter à l’aide du workflow de connexion Federated ID ou Enterprise ID tel qu’il a été configuré dans l’entreprise propriétaire.

De même; l’utilisateur peut recevoir des droits d’accès de la part des entreprises propriétaire ou mandataires. Dans ce cas, nous créerons un profil pour chaque entreprise (mandataire ou propriétaire) à laquelle les utilisateurs appartiennent. Un profil permet de bien séparer les droits et actifs de chaque entreprise. Les actifs créés par un utilisateur sous un profil spécifique appartiennent donc à cette entreprise. Si un utilisateur quitte une entreprise, les actifs sont récupérés par l’administrateur de l’entreprise.

En savoir plus :

Commentgérer les profils Adobe ?
Comment récupérer les actifs ?

Après la migration de votre entreprise mandataire, tous les utilisateurs seront déconnectés de leurs comptes et devront se reconnecter. Comme ces utilisateurs sont aussi utilisateurs de l’entreprise propriétaire, ils peuvent recevoir des droits d’accès de la part des entreprises propriétaire et mandataires. Dans ce cas, nous configurerons des profils pour les utilisateurs. En conséquence, lorsqu’ils se reconnectent à leurs comptes, vos utilisateurs auront accès à un sélecteur de profil.

Si nécessaire, vos utilisateurs peuvent lire l’article relatif à la gestion des profils Adobe.

Gestion des clés de chiffrement

Grâce à Creative Cloud ou Document Cloud abonnement Entreprise, l’utilisateur final peut stocker des fichiers en toute sécurité. Il peut également partager des fichiers et collaborer avec d’autres utilisateurs. Les fichiers sont accessibles via le site web de Creative Cloud, l’application de bureau Creative Cloud et l’application mobile Creative Cloud. Un espace de stockage est disponible avec Creative Cloud ou Document Cloud abonnement Entreprise uniquement s’il fait partie du contrat passé entre votre entreprise et Adobe.

Alors que toutes les données de Creative Cloud et Document Cloud sont chiffrées, pour renforcer la sécurité et les contrôles, vous pouvez spécifier qu’Adobe génère une clé de chiffrement dédiée pour votre entreprise. Le contenu est ensuite chiffré à l’aide d’un protocole de chiffrement standard avec une clé de chiffrement dédiée. Si nécessaire, vous pouvez révoquer la clé de chiffrement depuis Admin Console.

Les clés de chiffrement dédiées sont uniquement disponibles avec les formules Creative Cloud ou Document Cloud abonnement Entreprise avec services partagés, qui incluent un espace de stockage et des services.

Pour plus d’informations, reportez-vous à la section Gestion des clés de chiffrement sur le portail Admin Console.

Migration vers un nouveau fournisseur d’authentification

Une option en libre-service est disponible pour migrer les répertoires établis vers un nouveau fournisseur d’authentification au sein du portail Adobe Admin Console.

Exigences d’accès

Pour migrer vers un nouveau fournisseur d’authentification, vous devez répondre aux exigences suivantes :

Accès au portail Admin Console de votre organisation avec les identifiants de l’administrateur système
Le répertoire existant doit être configuré pour la fédération dans le portail Admin Console
Accès pour configurer le fournisseur d’identité de votre organisation (par exemple, Microsoft Azure Portal, portail Admin Console Google, etc.)

Vous trouverez des informations supplémentaires dans Considérations relatives à l’implémentation.

Procédure de migration

Une fois que vous vous êtes assuré que les exigences d’accès et les considérations de mise en œuvre sont respectées, suivez la procédure ci-dessous pour modifier votre profil d’authentification et migrer votre répertoire :

Dans le portail Adobe Admin Console, accédez à la section Paramètres > Répertoire.

Sélectionnez l’action Modifier pour le répertoire. Sélectionnez ensuite Ajouter un nouveau IdP dans le répertoire détails.

Sélectionnez le fournisseur d’identité pour configurer le nouveau profil d’authentification. Choisissez le fournisseur d’identité (IdP) que votre organisation utilise pour authentifier les utilisateurs. Cliquez sur Suivant.

En fonction de votre choix de fournisseur d’identité, suivez les étapes :

Pour Azure :
Connectez-vous à Azure avec vos identifiants d’administrateur global Microsoft Azure Active Directory et acceptez l’invite d’autorisation. Vous revenez aux détails du répertoire dans le portail Admin Console.

Consentement de l’administrateur global Microsoft

Remarque :

La connexion de l’administrateur global Microsoft est uniquement requise pour créer une application dans l’Azure Portal de l’organisation. Les informations de connexion de l’administrateur global ne sont pas stockées. Elles sont utilisées uniquement pour l’autorisation unique de création de l’application.
Lors de la sélection du fournisseur d’identité pour l’étape 3 ci-dessus, l’option Microsoft Azure ne doit pas être utilisée si le champ Nom d’utilisateur dans le portail Adobe Admin Console ne correspond pas au champ UPN dans Azure Portal.
Si le répertoire existant est configuré pour transmettre le nom d’utilisateur en tant que paramètre d’identifiant utilisateur, le nouveau fournisseur d’identité doit être établi sous l’option Autres fournisseurs SAML. Le paramètre de connexion peut être confirmé en sélectionnant l’option Modifier dans le répertoire actuel sous Paramètre d’identifiant utilisateur.

Si vous sélectionnez l’option Microsoft Azure à l’étape 3, seul le fournisseur d’identité est configuré et les services de synchronisation des répertoires ne sont pas inclus pour le moment.

Pour Google :

Copiez l’URL ACS et l’ID d’entité à partir de l’écran Modifier la configuration SAML.
Dans une autre fenêtre, connectez-vous à Admin Console de Google avec les identifiants Google Admin et accédez à Applications > Applications SAML.
Utilisez le signe + pour ajouter une nouvelle application et sélectionnez l’application Adobe. Ensuite, téléchargez les métadonnées IDP sous l’option 2 et transférez-les vers la fenêtre Modifier la configuration SAML dans Adobe Admin Console. Cliquez ensuite sur Enregistrer.
Confirmez les informations de base pour Adobe. Entrez l’URL ACS et l’ID d’entité copiés précédemment dans le champ Détails du fournisseur de services pour terminer. Veuillez noter qu’il n’est pas nécessaire de configurer le provisionnement des utilisateurs, car celui-ci n’est actuellement pas pris en charge pour les répertoires existants.
Enfin, accédez à Applications > Applications SAML > Paramètres pour Adobe > Statut des services. Définissez le statut des services sur ACTIVÉ pour tout le monde et enregistrez.

Pour les autres fournisseurs SAML :

Connectez-vous à l’application de votre fournisseur d’identité dans une autre fenêtre et créez une nouvelle application SAML. (Ne modifiez pas l’application SAML existante pour éviter les temps d’arrêt dus à la migration.)
En fonction des paramètres de votre fournisseur d’identité, copiez le fichier de métadonnées ou l’URL ACS et l’ID d’entité du portail Adobe Admin Console dans les paramètres du fournisseur d’identité.
Transférez le fichier de métadonnées depuis la configuration du fournisseur d’identité vers Adobe Admin Console. Cliquez ensuite sur Enregistrer.

Dans Adobe Admin Console > Détails du répertoire, le nouveau profil d’authentification est créé. Utilisez le test pour vérifier si la configuration est configurée correctement pour s’assurer que tous les utilisateurs finaux ont accès aux applications SAML.

La fonction de test garantit que le format du nom d’utilisateur pour le nouveau profil d’authentification de son IdP correspond aux informations utilisateur du profil existant de connexion utilisateur.

Cliquez sur Activer pour migrer vers le nouveau profil d’authentification. Une fois terminé, le nouveau profil indique En cours d’utilisation.

Avant de l’activer, accédez à la section Utilisateurs du répertoire dans le portail Adobe Admin Console > vérifiez que les noms d’utilisateur des fournisseurs d’identité correspondent aux noms d’utilisateur dans Admin Console.

Pour SAML, assurez-vous que la valeur du champ Sujet dans l’assertion de la nouvelle configuration SAML correspond au format du nom d’utilisateur de l’utilisateur existant dans le portail Admin Console.

Une fois que vous avez mis à jour votre configuration de répertoire, vous pouvez déplacer des domaines depuis des répertoires existants vers le nouveau répertoire à l’aide de la migration des domaines. Veuillez noter que les utilisateurs des domaines migrés doivent se trouver dans le fournisseur d’identité configuré pour fonctionner avec le nouveau répertoire cible.

Pour en savoir plus sur les limitations et éviter les erreurs que vous pourriez rencontrer lors de la configuration, consultez la section Questions courantes.

Déplacement de domaines entre les répertoires

Les organisations peuvent structurer les répertoires en déplaçant les domaines de répertoires source vers des répertoires cible dans le portail Admin Console. Vous pouvez réorganiser la liaison domaine-répertoire en fonction des besoins de votre organisation, sans que les utilisateurs finaux ne perdent l’accès à leurs produits, leurs services ou leurs actifs stockés. La consolidation dans un seul répertoire des domaines configurés pour le même fournisseur d’identité simplifie la gestion de vos équipes informatiques.

Si vous envisagez de migrer des domaines d’un répertoire vers un autre répertoire contenant un nouveau fournisseur d’identité (Azure, Google ou autre SAML) avec authentification en SHA-2, vous devez répliquer la nouvelle configuration IdP dans les deux répertoires. La nouvelle configuration IdP active la connexion test pour les utilisateurs de tous les domaines du répertoire. Procédez comme suit en fonction de votre nouveau fournisseur d’identité :

Pour Microsoft Azure : ajoutez un nouvel IdP Azure à votre répertoire et connectez-vous au même environnement client Azure.
Pour les autres fournisseurs SAML (y compris Google) : transférez le même fichier de métadonnées qui indique la même application SAML sur votre IdP.

Une fois la migration de domaine terminée, les utilisateurs qui font partie du nouveau répertoire auront toujours la possibilité de se connecter. Cela élimine les temps d’interruption et garantit un accès immédiat aux applications et services Adobe qui leur sont attribués.

Attention :

Les utilisateurs sont déconnectés de leurs comptes et ne peuvent pas se connecter à une nouvelle session pendant le transfert du domaine. Il est recommandé de modifier les répertoires pendant les heures creuses afin de minimiser les perturbations pour les utilisateurs finaux.
Des étapes spécifiques doivent être effectuées pour migrer un domaine incluant une relation de confiance. Vous ne devez pas révoquer une relation de confiance lors de la migration d’un domaine approuvé pour éviter la perte du compte d’utilisateur et de l’accès au produit dans l’organisation mandataire.
Avant toute migration de domaine, nous vous recommandons vivement d’exporter une liste d’utilisateurs depuis Admin Console ou les consoles concernées avant toute modification. Cette liste fournira un instantané de toutes les données utilisateur, y compris le nom, l’adresse e-mail, les profils de produit affectés et les rôles d’administrateur affectés dans le cas où une restauration doit être effectuée.
Actuellement, vous ne pouvez déplacer des domaines entre répertoires que lorsque les répertoires source et cible s’appuient sur le modèle de stockage par utilisateur d’Adobe.

Pourquoi déplacer des domaines

Vous pouvez bénéficier de cette fonctionnalité dans les scénarios suivants :

Vous souhaitez migrer un répertoire existant vers un autre fournisseur d’identité avec un profil d’authentification SHA-2.
Vous avez des répertoires dans une relation de confiance ou souhaitez partager des répertoires en confiance, sans permettre l’accès à tous les domaines de ces répertoires de confiance.
Vous devez regrouper les répertoires en fonction des équipes et des départements de l’organisation.
Vous avez un certain nombre de répertoires liés à des domaines uniques et que vous souhaitez consolider.
Vous avez accidentellement lié un domaine à un répertoire incorrect.
Vous souhaitez créer vous-même un transfert de domaine depuis l’Enterprise ID vers le Federated ID ou depuis le Federated ID vers l’Enterprise ID.

Gestion des répertoires chiffrés ou de confiance

Si les répertoires sources ou cibles sont chiffrés ou sont dans une relation de confiance, vous ne pouvez pas déplacer les domaines directement. Suivez les instructions données pour déplacer des domaines dans les cas suivants :

Exemple d’utilisation	Exemple	Approche suggérée
Pour déplacer des domaines entre des répertoires au sein d’une même relation de confiance	Le Répertoire 1 et le Répertoire 2 sont configurés dans la Console A et tous deux ont une relation de confiance établie avec la Console B.	Suivez la procédure de migration de domaine.
Pour déplacer des domaines entre des répertoires au sein de relations de confiance * Voir la figure A pour les diagrammes de processus	Le Répertoire 1 est configuré dans la Console A et a une relation de confiance établie avec la Console B. Dans la Console A, un domaine dans le Répertoire 1 (domaine X) doit être déplacé vers le Répertoire 2.	Avant toute modification, exportez une liste d’utilisateurs à partir de la console propriétaire de l’approbation et de toutes les consoles mandataires. Établissez la confiance entre tous les mandataires et le répertoire de destination (Répertoire 2) dans la Console A. Déplacez des domaines à partir du répertoire actuel (Répertoire 1) vers le répertoire de destination (Répertoire 2) dans la Console A. Révoquez la relation de confiance des mandataires du Répertoire 1 dans la Console A. Le mandataire supprime le domaine révoqué de la Console B (répétez cette étape pour les mandataires supplémentaires). Si le Répertoire 1 est vide, sans domaine ni approbation, vous pouvez supprimer le répertoire vide.
Déplacer un domaine ou un répertoire contenant plusieurs domaines vers un autre portail Admin Console de votre organisation	Le Répertoire 1 est configuré dans la Console A. Toutefois, le Répertoire 1 et ses domaines déclarés doivent être déplacés vers la Console B pour la propriété.	Contactez l’assistance clientèle Adobe.
Déplacer des domaines vers ou depuis un répertoire chiffré dans le même portail Admin Console	Dans le Répertoire 1 le chiffrement est activé et un domaine du Répertoire 2 dans le même portail Admin Console nécessite une migration vers le Répertoire 1.	Déplacer des domaines vers ou depuis un répertoire chiffré n’est pas possible pour le moment.

État d’origine

État de confiance

État migré

Figure A

Déplacement des domaines

Suivez la procédure ci-dessous pour transférer des domaines d’un répertoire source vers un répertoire cible :

Connectez-vous au portail Adobe Admin Console, puis accédez à la section Paramètres.

Sous Domaines, sélectionnez les domaines que vous souhaitez déplacer vers le répertoire cible. Cliquez ensuite sur Modifier le répertoire.

Sélectionnez un répertoire dans la liste déroulante sur l’écran Modifier le répertoire. Utilisez le bouton à bascule situé au bas de l’écran pour activer ou désactiver les notifications informant que l’opération a été effectuée. Cliquez ensuite sur Enregistrer.

La section Domaines s’affiche sous Paramètres> Identité. Tous les domaines sont répertoriés avec leur statut.

Une fois les domaines transférés, les administrateurs système reçoivent un e-mail concernant le transfert des domaines. Ensuite, vous pouvez modifier les noms de répertoire et, le cas échéant, supprimer les répertoires vides.

Suppression de répertoires et de domaines

Dans le portail Admin Console, vous pouvez supprimer les répertoires et les domaines qui ne sont plus utilisés.

Remarque :

Il n’est pas possible de supprimer un répertoire comportant les éléments suivants :

Utilisateurs actifs
Domaines associés
Mandataires
Répertoires Business ID par défaut

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Répertoires.

Cochez la case sur la gauche du ou des noms de répertoire concernés, puis cliquez sur Supprimer les répertoires.

Dans l’écran de suppression des répertoires, cliquez sur Supprimer.

Remarque :

Il n’est pas possible de supprimer un domaine s’il comporte des utilisateurs dans le portail Admin Console ou s’il est associé à un ou plusieurs répertoires.

Connectez-vous à Admin Console, puis accédez à la section Paramètres > Identité.

Ouvrez l’onglet Domaines.

Cochez la case sur la gauche du ou des noms de domaine concernés, puis cliquez sur Supprimer.

Dans l’écran Supprimer des domaines, cliquez sur Supprimer.

Articles connexes

Accéder à votre compte

Informations juridiques | Politique de confidentialité en ligne