Configuration d’identité

Dans le portail Admin Console, un répertoire est une entité qui contient des ressources (comme des utilisateurs) et des règles (comme l’authentification). Ces répertoires sont semblables aux annuaires LDAP ou Active Directory.

Fournisseur d’identité de l’organisation, par exemple Active Directory, Azure, Ping, Okta, InCommon ou Shibboleth.

Pour en savoir plus sur la configuration de l’authentification unique pour Creative Cloud avec certains IdP courants, consultez la section Articles connexes à la fin de l’article.

Créé, détenu et géré par une organisation. Adobe héberge l’Enterprise ID et effectue l’authentification, mais c’est l’organisation qui le met à jour. Les utilisateurs finaux ne peuvent pas s’abonner avec un Enterprise ID, en créer un, ni souscrire à des produits et services supplémentaires auprès d’Adobe avec un Enterprise ID.

Seul un administrateur peut créer un Enterprise ID, puis l’attribuer à un utilisateur. Il peut révoquer l’accès aux produits et services en prenant le contrôle du compte, ou bien supprimer définitivement l’Enterprise ID afin de bloquer l’accès aux données qui y sont associées.

Voici quelques conditions et situations pour lesquelles un Enterprise ID est recommandé :

• Si vous devez conserver une maîtrise totale des applications et services mis à la disposition d’un utilisateur.
• Si vous avez besoin d’un accès en urgence aux fichiers et données associés à un ID.
• Si vous devez avoir la possibilité de bloquer ou de supprimer entièrement un compte utilisateur.

Créé et détenu par une organisation, et lié au répertoire de l’entreprise via la fédération. L’organisation gère les informations d’identification et traite l’authentification unique via un fournisseur d’identité (IdP) SAML2.

Voici quelques conditions et situations pour lesquelles un Federated ID est recommandé :

• Si vous souhaitez fournir des utilisateurs suivant l’annuaire d’entreprise de votre organisation.
• Si vous souhaitez gérer l’authentification des utilisateurs.
• Si vous devez conserver une maîtrise totale des applications et services mis à la disposition d’un utilisateur.
• Si vous souhaitez permettre aux utilisateurs d’utiliser la même adresse e-mail pour ajouter un Adobe ID.

Créé, détenu et géré par l’utilisateur final. Adobe se charge de l’authentification, tandis que l’utilisateur final gère l’identité proprement dite. Les utilisateurs gardent un contrôle total sur les données et les fichiers associés à leur ID. Ils peuvent également acheter des produits et services supplémentaires auprès d’Adobe. Les administrateurs peuvent inviter des utilisateurs à devenir membre d’une organisation, mais aussi les supprimer à tout moment. Néanmoins, un utilisateur ne peut pas être exclu de son compte Adobe ID. L’administrateur ne peut pas prendre le pouvoir sur les comptes ni les supprimer. Vous pouvez commencer à utiliser les Adobe ID directement, sans configuration particulière.

Voici quelques conditions et situations pour lesquelles un Adobe ID est recommandé :

• Si vous souhaitez permettre aux utilisateurs de créer, posséder et gérer leur propre identité.
• Si vous souhaitez permettre aux utilisateurs d’acheter d’autres produits et services Adobe ou de s’y abonner.
• Si les utilisateurs sont amenés à utiliser d’autres services Adobe, qui ne prennent actuellement pas en charge les Enterprise ID ou Federated ID.
• Si les utilisateurs ont déjà des Adobe ID, ainsi que des données associées telles que des fichiers, des polices ou des paramètres. 
• Dans le cadre universitaire, où les étudiants peuvent conserver leur Adobe ID après avoir terminé leurs études.
• Si vous avez des sous-traitants ou des indépendants qui n’utilisent pas des adresses électroniques relatives aux domaines que vous contrôlez.
• Si vous disposez d’un contrat d’équipe Adobe, vous devrez utiliser ce type d’identité.

Partie d’une adresse électronique placée après le symbole @. Pour utiliser un domaine avec un Enterprise ID ou un Federated ID, vous devez d’abord confirmer que vous en êtes le propriétaire.

Par exemple, une organisation possède plusieurs domaines (geometrixx.com, support.geometrixx.com, contact.geometrixx.com) mais ses employés s’authentifient sur geometrixx.com. Dans ce cas, l’organisation utilise le domaine geometrixx.com pour configurer l’identité des utilisateurs dans le portail Admin Console.

• Collabore avec les managers de répertoire IdP et les managers DNS pour configurer les identités dans le portail Admin Console. Ce document s’adresse aux administrateurs système qui ont accès au portail Admin Console. Ces personnes sont amenées à travailler avec d’autres qui (généralement) n’ont pas accès au portail Admin Console.

• Met à jour les jetons DNS pour valider la propriété d’un domaine.

• Crée des connecteurs dans l’IdP.

L’identité de chaque utilisateur est vérifiée par rapport à une source d’authentification. Pour utiliser des Enterprise ID ou des Federated ID, configurez votre propre source d’authentification en ajoutant un domaine. Par exemple, si votre adresse électronique est antoine@exemple.com, exemple.com correspond à votre domaine. Le fait d’ajouter un domaine permet de créer des Enterprise ID ou Federated ID dotés d’adresses e-mail sur le domaine. Un domaine peut être utilisé avec des Enterprise ID ou des Federated ID, mais pas avec les deux. Vous pouvez toutefois ajouter plusieurs domaines.

Une organisation doit prouver qu’elle contrôle un domaine. Elle peut également ajouter plusieurs domaines. En revanche, un domaine ne peut être ajouté qu’une seule fois. Les domaines publics connus et généraux, comme gmail.com ou yahoo.com, ne peuvent pas être ajoutés.

Pour en savoir plus sur les types d’identité, consultez la section Gestion des types d’identité.

SHA-1 et SHA-2 sont des modèles de certificat permettant d’assurer la sécurité des profils d’authentification de votre répertoire. Le modèle SHA-2 offrant une plus grande sécurité que les anciens certificats SHA-1, tous les nouveaux profils d’authentification et les profils d’authentification migrés utilisent le certificat SHA-2.

Votre répertoire est créé.

• Si vous avez opté pour un répertoire avec le type d’identité Enterprise ID, la configuration est terminée.
• Si vous avez choisi de créer un répertoire via l’option Autres fournisseurs SAML, celui-ci utilisera automatiquement l’authentification en SHA-2. Les répertoires précédemment créés à l’aide de l’authentification en SHA-1 peuvent désormais être mis à jour vers le modèle SHA-2 et migrés vers un autre fournisseur d’identité. Pour plus d’informations, consultez la section Migration vers un nouveau fournisseur d’authentification.

Ensuite, vous pouvez configurer des domaines dans le portail Admin Console.

Les domaines que vous ajoutez au portail Admin Console ne doivent pas forcément être enregistrés auprès du même IdP. En revanche, lorsque vous associez les domaines à un répertoire, chaque domaine d’un IdP spécifique doit être associé à un répertoire spécifique.

Vous ne pouvez pas ajouter un domaine dans le portail Admin Console s’il a déjà été ajouté dans le portail Admin Console d’une autre organisation. En revanche, vous pouvez demander l’accès à ce domaine.

Vos domaines sont maintenant ajoutés dans le portail Admin Console. Cependant, vous devez encore prouver que vous en êtes le propriétaire.

Une organisation doit prouver qu’elle possède un domaine. Elle peut ajouter autant de domaines que nécessaire dans le portail Admin Console.

Admin Console permet à chaque organisation d’utiliser un seul jeton DNS pour prouver la propriété de tous ses domaines. Par ailleurs, Admin Console n’exige pas de validation DNS pour les sous-domaines. Cela signifie que lorsque vous utilisez le jeton DNS et prouvez la propriété d’un domaine, tous les sous-domaines qui lui sont associés sont instantanément validés dès leur ajout dans le portail Admin Console.

Plusieurs fois par jour, Admin Console tente de valider les domaines que vous avez ajoutés. Il est donc inutile d’intervenir pour valider un domaine une fois que les jetons DNS sont correctement configurés.

Si vous devez valider votre domaine immédiatement, vous pouvez le faire dans le portail Admin Console. Pour valider manuellement vos domaines :

Il se peut que vous receviez des messages d’erreur lorsque vous tentez de valider la propriété de domaine, car il peut s’écouler jusqu’à 72 heures avant que les changements de DNS prennent effet. Pour en savoir plus, consultez la section des questions fréquentes liées aux enregistrements DNS.

Après avoir vérifié la propriété de votre domaine, vous pouvez associer les domaines validés aux répertoires requis dans le portail Admin Console.

Si vous ajoutez des domaines existants dans le portail Admin Console, vous recevez le message suivant :

Si vous demandez l’accès à ce domaine, votre nom, votre adresse e-mail et le nom de votre organisation seront communiqués aux administrateurs système de l’organisation propriétaire.

Le type de répertoire (Enterprise ou Federated) dépend de la façon dont il a été configuré par l’organisation propriétaire. Cela signifie que vous devez, dans tous les cas, utiliser le type de répertoire sélectionné par l’organisation propriétaire.

Dans la mesure où le domaine a déjà été configuré par le propriétaire (voir le paragraphe « Prouver la propriété d’un domaine » dans la section Configuration de domaines), en tant que mandataire, vous n’avez rien à faire de plus. Une fois que la demande d’accès est acceptée par le propriétaire, votre organisation a accès au répertoire et à l’ensemble de ses domaines, tels qu’ils ont été configurés par l’organisation propriétaire.

Si votre demande d’accès au répertoire est acceptée par l’organisation propriétaire, vous recevez une notification par e-mail. Votre demande de mandat disparaît alors, elle est remplacée par le répertoire faisant l’objet du mandat, ainsi que ses domaines, avec le statut Actif (sous mandat) dans vos listes Répertoires et Domaines.

Vous pouvez à présent ajouter des utilisateurs finaux et des groupes d’utilisateurs, puis les affecter à des profils de produit.

En tant qu’organisation mandataire, si vous n’avez plus besoin d’avoir accès au répertoire sous mandat, vous pouvez retirer votre statut de mandataire à tout moment.

Si vous retirez votre droit d’accès à un répertoire sous mandat, les utilisateurs Enterprise ID ou Federated ID qui appartiennent aux domaines de ce répertoire (c’est-à-dire qu’ils se connectent avec les identifiants du domaine) sont également retirés de votre organisation. En outre, ces utilisateurs perdront l’accès à tous les logiciels qui leur sont conférés par votre organisation.

Un e-mail de notification est envoyé aux administrateurs système des organisations mandataires.

Vous pouvez également choisir de refuser la demande d’accès à un répertoire que vous détenez.

Le motif que vous fournissez est transmis par e-mail à l’organisation à l’origine de la demande. Toutefois, votre e-mail, votre nom et les informations sur votre organisation ne sont pas divulgués.

Vous pouvez révoquer l’accès d’une organisation mandataire à laquelle vous avez précédemment donné accès.

Si vous révoquez l’accès d’une organisation mandataire, les utilisateurs dotés de comptes Enterprise ID ou Federated ID associés à un domaine du répertoire concerné sont retirés de l’organisation mandataire. Ces utilisateurs perdent également l’accès à tous les logiciels ou services qui leur sont conférés par l’organisation mandataire.

Vous avez la possibilité de révoquer la clé de chiffrement dédiée d’un répertoire.