注意:

支持 SHA-2 身份验证:以前,目录始终基于 SHA-1 协议。现在,任何新创建的目录都将使用安全性更高的 SHA-2 协议。

另外,SHA-2 身份验证默认开启,您无需启用。

setup-dir

设置目录:如需使用 Enterprise ID 或 Federated ID,请先设置一个可与一个或多个域链接的目录。
了解更多 >


setup-domains

设置域:根据您需要在 Admin Console 中设置的域,对您的最终用户进行身份验证。
了解更多 >


link-domains-to-dirs

将域链接至目录:完成目录和域的设置后,将域链接至目录从而对域进行分组。
了解更多 >


dir-trusting

目录信任:使用目录信任功能可信任其他组织的系统管理员。
了解更多 >


manage-enc-keys

管理加密密钥:让 Adobe 为您创建的目录中的帐户生成专用加密密钥
了解更多 >


move-domains

在各个目录之间移动域:在 Admin Console 中,通过在各个目录之间移动域来构建目录。
了解更多 >


作为 Admin Console 上的系统管理员,您的首要任务之一便是定义并设置一个用于对您的最终用户进行身份验证的身份系统。在您的组织购买了 Adobe 产品和服务的许可证后,您需要为您的最终用户提供这些许可证。为此,您需要一种用于对这些用户进行身份验证的方法。

Adobe 为您提供以下可用于对您的最终用户进行身份验证的身份类型:

  • Adobe ID
  • Enterprise ID
  • Federated ID

如果您希望您的域中的用户使用由您的组织拥有和控制的单独帐户,您必须使用 Enterprise ID 或 Federated ID(用于单点登录)身份类型。

本文提供了设置在您计划使用 Enterprise ID 或 Federated ID 对您的最终用户进行身份验证时需要使用的身份系统所需的详细信息。

注意:

本文档中介绍的设置目录设置域程序完全是相互独立的。这意味着,您可以以任意顺序或同时执行这些程序。但是,您必须先完成这两个步骤,然后才能执行将电子邮件域链接到目录的程序。

主要术语和概念

在我们开始执行这些程序之前,您需要了解下列概念和术语:

Admin Console 中的目录是一个包含用户和策略(如身份验证)等资源的实体。这些目录类似于 LDAP 或 Active Directory。

组织身份提供程序,如 Active Directory、Azure、Ping、Okta、InCommon 或 Shibboleth。

要了解通过常用 IdP 为 Creative Cloud 设置 SSO 的更多信息,请参阅本文结尾的更多此类内容

由最终用户创建、拥有和管理。Adobe 负责执行身份验证,最终用户负责管理身份。用户保留对与其 ID 关联的文件和数据的完全控制权。用户可以从 Adobe 购买其他产品和服务。管理员可以邀请用户加入组织,也可以删除他们。但是,无法阻止用户使用其 Adobe ID 帐户。管理员无法删除或接管这些帐户。在开始使用 Adobe ID 之前,不需要进行任何设置。

存在以下需求或遇到以下情况时,建议使用 Adobe ID:

  • 您想要让用户能够创建、拥有和管理其身份。
  • 您想要允许用户购买或注册其他 Adobe 产品和服务。
  • 用户应使用当前不支持 Enterprise ID 或 Federated ID 的其他 Adobe 服务。
  • 用户已拥有 Adobe ID 和关联的数据(如文件、字体或设置)。 
  • 在可让学生在毕业后保留其 Adobe ID 的教育设置中。
  • 您拥有不使用由您控制的域上的电子邮件地址的承包商和自由职业者。
  • 如果您拥有 Adobe 团队合同,则您需要使用此身份类型。

由组织创建、拥有和管理。Adobe 负责托管 Enterprise ID 和执行身份验证,而组织负责维护 Enterprise ID。最终用户无法注册和创建 Enterprise ID,也无法使用 Enterprise ID 从 Adobe 注册更多产品和服务。

管理员创建 Enterprise ID 并将其分发给用户。管理员可通过接管帐户或删除 Enterprise ID 以永久阻止对关联数据的访问来撤销对产品和服务的访问权。

存在以下需求或遇到以下情况时,建议使用 Enterprise ID:

  • 您需要严格控制用户可用的应用程序和服务。
  • 您需要对与 ID 关联的文件和数据的紧急访问权。
  • 您需要能够完全阻止或删除用户帐户。

组织创建和拥有,并通过联盟与企业目录关联。组织通过 SAML2 身份提供程序 (IdP) 管理凭据和处理单点登录。

以下是建议使用 Federated ID 的一些要求和情景:

  • 您想要基于所在组织的企业目录来配置用户。
  • 您想要管理用户的身份验证。
  • 您需要严格控制用户可用的应用程序和服务。
  • 您想要允许用户使用相同的电子邮件地址来注册 Adobe ID。

注意:

身份提供程序必须符合 TLS 1.2。

电子邮件地址中 @ 符号后的部分。如需将域和 Enterprise 或 Federated ID 结合使用,您必须先验证您对该域的所有权。

例如,如果组织拥有多个域(geometrixx.comsupport.geometrixx.comcontact.geometrixx.com),但其员工要通过 geometrixx.com 进行身份验证。在这种情况下,该组织将在 Admin Console 上使用 geometrixx.com 域设置其身份。

系统管理员

  • 与 IdP 目录管理器和 DNS 管理员一同在 Admin Console 中设置身份。本文的目标读者为有权访问 Admin Console 的系统管理员。该人员应与(通常情况下)无权访问 Admin Console 的其他人员合作。

DNS 管理员

  • 更新 DNS 令牌以验证域所有权

身份提供程序 (IdP) 目录管理员

  • 在 IdP 中创建连接器

根据身份验证源验证用户身份。要使用 Enterprise ID 或 Federated ID,请通过添加域来设置您自己的身份验证源。例如,如果您的电子邮件地址是 john@example.com,则 example.com 是您的域名。利用已添加的域,可以使用该域中的电子邮件地址创建 Enterprise ID 或 Federated ID。Enterprise ID 或 Federated ID 均可以使用域,但是二者不可以同时使用同一域。不过,您可以添加多个域。

组织必须验证其是否拥有对某个域的控制权。组织也可以添加多个域。但是,一个域只能被添加一次。无法添加已知的公共域和通用域(如 gmail.com 或 yahoo.com)。

要了解有关身份类型的更多信息,请参阅管理身份类型

创建目录

如需使用 Enterprise ID 或 Federated ID,请先创建可与一个或多个域链接的目录。

注意:

Adobe 目前不支持 IdP 发起的工作流程。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 导航到“目录”选项卡,单击“创建目录”

  3. “创建目录”屏幕中,输入该目录的名称。

  4. 选择 Enterprise ID 并单击“创建目录”,或选择 Federated ID 并单击“下一步”,然后转到第 5 步。

    如果您选择的是创建 Enterprise ID 目录,那么您已完成该项操作。请继续操作 - 在 Admin Console 中设置您的域

  5. (仅限 Federated ID)从提供的选项中选择您的 IdP,然后:

    • 要使用 SAML 配置身份提供程序 (IdP),请单击“下一步”,找到“其他 SAML 提供程序”
    • 单击“下一步”,找到“Microsoft Azure”,然后按照“设置 Azure AD 连接器”“创建目录”部分下的步骤进行操作。
    • 单击“下一步”,找到“Google”,并按照“设置 Google 联盟”“创建目录”部分中的步骤进行操作。

    注意:

    仅在选择“其他 SAML 提供程序”时需要执行此过程中的其余步骤。

  6. “添加 SAML 配置文件”屏幕中,创建您的 SAML 配置文件。

    一些身份提供程序 (IdP) 接受您可以上传的元数据文件。而其他身份提供程序可能需要 ACS URL实体 ID。根据您的 IdP,选择以下选项之一。例如:

    • 对于 Azure:上传元数据文件
    • 对于 Google:复制 ACS URL实体 ID,然后在“Google IdP 软件”中使用。
    • 对于 SalesForce:下载元数据文件,从文件中提取证书信息,然后在“SalesForce IdP 软件”中使用证书信息。

    选项 1

    单击“下载 Adobe 元数据文件”

    将元数据文件下载到您的本地磁盘。使用此文件可配置您与身份提供程序之间的 SAML 集成。

    选项 2

    复制 ACS URL实体 ID

    添加 SAML 配置文件

    注意:

    如果您拥有“CA 签名证书”,请在 Admin Console 中导航至“支持”>“支持摘要”,然后创建支持案例。

  7. 切换到您的 IdP 应用程序窗口,然后上传元数据文件或指定 ACS URL 以及实体 ID。完成后,下载 IdP 元数据文件

  8. 返回 Adobe Admin Console,在“添加 SAML 配置文件”窗口中上传 IdP 元数据文件,然后单击“完成”。

目录创建完毕。

如果您选择的是使用“其他 SAML 提供程序”选项创建目录,则此目录使用 SHA-2 身份验证。但是,以前创建的目录使用 SHA-1 身份验证。

您现在可继续操作 - 在 Admin Console 中设置您的域

设置域

根据您需要在 Admin Console 中设置的域,对您的最终用户进行身份验证。

设置域:

  1. 将域添加至 Admin Console
  2. 通过添加特殊 DNS 记录来准备验证域所有权
  3. 验证域

您添加至 Admin Console 的域不需要在相同的 IdP 中注册。但是,在将这些域链接到目录时,您需要将来自不同的 IdP 的域链接到不同的目录。

如果某域已被添加至另一个组织的 Admin Console,则您无法将其添加至 Admin Console。但是,您可以请求访问该域

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 在“域”选项卡中,单击“添加域”

  3. “输入域”屏幕中,输入最多包含 15 个域的列表,然后单击“添加域”

  4. “添加域”屏幕中,验证该域列表,然后单击“添加域”

    确认要添加的域

现在您的域已被添加至 Admin Console。但是,您仍然需要证明这些域的所有权。

组织必须证明其拥有对域的所有权。组织可以根据需要将多个域添加至 Admin Console。

Admin Console 允许一个组织使用一个 DNS 令牌来证明其对其全部域的所有权。此外,Admin Console 不要求对子域进行 DNS 验证。这意味着,当您使用 DNS 令牌并证明了某个域的所有权时,该域的所有子域都会在其被添加至 Admin Console 后立即通过验证。

  1. 登录 Admin Console,然后导航至“设置”>“身份”,最后访问“域”选项卡。

  2. 在下拉列表中单击并选择“访问 DNS 令牌”

  3. 与您的 DNS 管理员合作,为您添加的域添加特殊 DNS 记录。

  4. 要证明您拥有该域,您必须添加带有生成的 DNS 令牌的 TXT 记录。具体的操作说明取决于您的域主机。关于通用方法,请参阅验证域的所有权

  5. 要完成此步骤,请将信息添加到您的 DNS 服务器。提前通知您的 DNS 管理员,确保可及时完成此步骤。

    Adobe 会定期检查您的域的 DNS 记录。如果这些记录正确,那么域会自动通过验证。如果您想立即验证域,则可登录 Admin Console,然后手动进行验证。请参阅域验证

Admin Console 会在一天内多次尝试验证您添加的域,因此在正确配置 DNS 记录后,您无需通过任何操作来验证域。

手动验证域

如果您需要立即验证您的域,您可以在 Admin Console 上执行此操作。手动验证您的域:

  1. 登录 Admin Console。

  2. 导航至“设置”>“身份”,然后转到“域”选项卡。

  3. 单击“验证”

    验证域
  4. “验证域所有权”屏幕中,单击“立即验证”

尝试验证时可能会收到错误消息,因为 DNS 更改最多可能需要 72 个小时才能生效。要了解更多信息,请参阅与 DNS 记录相关的常见问题

验证域的所有权后,您可以在 Admin Console 中将经验证的域链接到所需的目录。

在 Admin Console 中设置您的目录之后,您需要将域链接到目录。

您可以将多个域链接到同一目录。但是,您链接到单个目录的所有域必须具备相同的 SSO 设置。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“域”选项卡。

  3. 单击域名左侧的复选框,然后单击“链接到目录”

    如需将多个域链接到同一目录,请选择这些域对应的多个复选框。

    将域链接到目录
  4. “链接到目录”屏幕中,从下拉列表中选择目录,然后单击“链接”

如需使您的最终用户能够开始使用您的组织已经许可的 Adobe 产品和服务,请添加最终用户用户组,并将其分配至产品配置

目录托管

一个域的所有权只能被一个单独的组织申请。请考虑以下情景:

Geometrixx 公司有多个部门,每个部门都有自己独特的 Admin Console。同时,每个部门都想使用 Federated 用户 ID,且都想使用 geometrixx.com 域。在这种情况下,这些部门的系统管理员都会想要申请将此域用于身份验证。Admin Console 不允许将某一域添加到多个不同组织的 Admin Console。然而,在一个单独的部门添加域后,其他部门可以代表其组织的 Admin Console 请求访问该域已链接到的目录。

目录托管允许目录所有者委托其他系统管理员(受托人)进行管理。之后,Admin Console 中的受托人组织可以将用户添加到受托目录内的任何域。

总结。如果您计划在 Admin Console 上使用 Enterprise ID 或 Federated ID,则必须添加与您的组织相关联的域。如果此域之前已被另一个组织添加,则您需要以受托人的身份请求对包含该域的目录的访问权限。

如需请求访问目录,请参阅上述设置域中的“添加域”过程中的步骤。

注意:

作为目录的所有者,如果您批准对该目录的访问请求,则受托人组织将有权访问已链接到该目录的所有域以及未来将链接到该目录的任何域。因此,在组织中设置身份系统时,规划好域到目录的链接非常重要。

域受托人

如果您将现有域添加到 Admin Console,那么您会收到以下消息:

请求访问

如果您请求访问此域,则系统会在请求中将您的名字、电子邮件和组织名称告知所有者组织的系统管理员。

目录的类型(Enterprise 或 Federated)取决于所有者组织如何进行设置。这意味着,您必须使用所有者组织选择的任何目录类型。

由于域已被所有者设置(如需详细信息,请参阅设置域中的“证明域的所有权”),因此,作为受托人,您无需采取任何其他操作。在访问请求被所有者接受后,您的组织将有权按照所有者组织配置的方式访问该目录及其所有域。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“访问请求”选项卡,然后对照您已请求访问权限的每个目录,检查状态。

  3. 您还可以单击访问请求列表中的行项目,然后单击“重新发送请求”“取消请求”

如果您对目录的请求访问被所有者组织接受,您会收到电子邮件通知。您的托管请求会消失,相反,受托目录及其域将您的目录和域列表中显示,且其状态为“活动”(受托)。

请继续操作 — 添加最终用户用户组并将其分配到产品配置

作为受托人组织,如果您不再需要访问受托目录,您可以随时撤销受托人状态。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. “目录”选项卡中,单击要从中撤销访问权限的共享目录。

  3. 在目录详细信息抽屉中,单击“撤销”

如果您撤销对受托目录的访问权限,则系统会从您的组织中移除属于该目录中的域的所有 Enterprise ID 或 Federated ID 用户(即,使用该域的凭据进行登录的用户)。此外,这些用户会失去您的组织向其授予的所有软件访问权限。

域所有者

作为所有者组织的系统管理员,您可以选择接受或拒绝对自己拥有的目录的访问请求。 

在收到请求对您拥有的目录的访问权限的电子邮件时,您可以在电子邮件内选择接受或拒绝该请求。您也可以进入“访问请求”选项卡来管理申请请求。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“访问请求”选项卡。

  3. 要接受所有请求,请单击“全部接受”

    或者,要接受特定申请的请求,请单击每行左侧的复选框并单击“接受”

  4. “接受访问请求”屏幕中,单击“接受”

系统会向受托人组织的系统管理员发送电子邮件通知。

您也可以选择拒绝对自己拥有的目录的访问请求。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“访问请求”选项卡

  3. 单击每行左侧的复选框并单击“拒绝”

  4. “拒绝访问请求”屏幕中,输入拒绝该请求的原因,然后单击“拒绝”

系统会通过电子邮件将您提供的原因发送给提出请求的组织。但您的电子邮件、姓名和组织信息会被隐藏。

您可以撤销之前授予受托人组织的访问权限。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“受托人”选项卡。

  3. 单击每行左侧的复选框并单击“撤销”

  4. “撤销受托人”屏幕中,单击“撤销”

如果您撤销受托人组织的访问权限,则系统会从受托人的组织中移除该目录中任何域上的具有 Enterprise ID 或 Federated ID 帐户的用户。此外,这些用户会失去受托人的组织向其授予的所有软件或服务访问权限。

管理加密密钥

在 Creative Cloud 和 Document Cloud 中的所有数据均已加密后,您可以选择让 Adobe 为您创建的域中的帐户生成专用加密密钥。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. “目录”选项卡中,单击您需要启用加密的目录的名称。

  3. 单击“设置”

  4. 在“专用加密密钥”部分中,单击“启用”

    启用加密密钥
  5. “启用专用加密密钥”对话框中,单击“启用”

您可以选择撤销某个域的专用加密密钥。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. “目录”选项卡中,单击您需要撤销加密的目录的名称。

  3. 在“详细信息”屏幕中,单击“设置”

  4. 在“专用加密密钥”部分中,单击“撤销”

    撤销加密密钥
  5. “撤销专用加密密钥”对话框中,单击 “撤销”

在不同目录之间移动域

如今,组织可以通过将域从源目录移至 Admin Console 中的目标目录来构建目录。您可以根据组织的需要重新组织域到目录的链接,而不会让最终用户失去对其产品、服务或存储资产的访问权限。将为同一身份提供程序配置的域合并到一个目录中可简化 IT 团队的管理工作。

注意:

  • 请勿通过下述流程将域从 SHA-1 目录移入 SHA-2 目录,因为当前不支持此操作。关于此迁移,可通过在 Admin Console 中创建支持案例联系 Adobe Enterprise 支持
  • 用户从其帐户注销,无法在域转移期间登录新会话。建议您在非高峰时段编辑目录,以尽量减少最终用户中断。

为什么要移动域

您可以在以下情况受益于此功能:

  • 您拥有可信关系中的目录或希望共享目录以建立信任,而无需允许访问可信目录中的所有域。
  • 您必须根据组织团队和部门对目录进行分组。
  • 您有许多链接到单个域并希望合并的目录。
  • 您意外将域链接到了不正确的目录。
  • 您希望通过自助方式将域从 Enterprise ID 移动至 Federated ID,或从 Federated ID 移动至 Enterprise ID。

处理加密或可信目录

如果源目录或目标目录已加密或处于可信关系中,则您无法直接移动域。在以下情况下,请按照已有说明移动域:

使用案例

建议的方法

将域在不同 Admin Console 组织之间移动

请联系 Adobe 客户关怀部门

在彼此处于可信关系的目录之间移动域

请按以下流程操作

在处于可信关系、但彼此之间没有可信关系的目录之间移动域

撤回可信关系移动域,然后重新建立可信关系。

注意:

当前不支持将域移入或移出加密目录。

移动域

按照以下步骤将域从源目录转移到目标目录:

  1. 登录 Adobe Admin Console,然后转到“设置”

  2. 导航至“域”,并选择要将其移动到目标目录的域。然后,单击“编辑目录”

    编辑目录
  3. 使用“编辑目录”屏幕的下拉菜单中的“选择目录”。使用页面底部的切换按钮打开或关闭完成通知。然后,单击“保存”。

    选择目录

您将访问“设置”>“身份”下方的“域”部分。页面将列出所有域及其状态。

您将域成功转移后,系统管理员会收到有关域转移的电子邮件。接下来,您可以编辑目录名称,并按要求删除空目录

删除目录和域

您可以从 Admin Console 中删除不再使用的目录和域。

注意:

您无法删除包含以下内容的目录:

  • 活动用户
  • 链接的域
  • 受托人

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“目录”选项卡。

  3. 单击一个或多个目录名称左侧的复选框,然后单击“删除目录”

  4. 在“删除目录”屏幕中,单击“删除”

注意:

如果 Admin Console 中存在具有一个域的用户或该域已链接到一个或多个目录,则您无法删除该域。

  1. 登录 Admin Console,然后导航至“设置”>“身份”

  2. 转到“域”选项卡。

  3. 单击一个或多个域名左侧的复选框,然后单击“删除”

  4. “删除域”屏幕中,单击“删除”

本产品经 Creative Commons Attribution-Noncommercial-Share Alike 3.0 Unported License 许可  Twitter™ 与 Facebook 中的内容不在 Creative Commons 的条款约束之下。

法律声明   |   在线隐私策略