单点登录常见问题

Adobe 提供以下身份类型：

• Enterprise ID：组织创建并拥有帐户。 在已申请的域上创建帐户。 Adobe 管理凭据并处理登录。
• Federated ID：组织创建并拥有帐户，通过联合身份验证与企业目录相关联，企业公司或学校管理凭据并通过单点登录来处理登录。
• Adobe ID：用户创建并拥有帐户。Adobe 管理凭据并处理登录。 根据存储模型，用户或组织拥有帐户和资源。
  

是的，您可以拥有 Enterprise ID、Federated ID 和 Adobe ID 的组合，但不能在同一申请域内。

Enterprise ID 和 Federated ID 在域级别上是相互排斥的。 因此，您只能选择二者之一。 您可以将 Adobe ID 与 Federated ID 或 Enterprise ID 一起使用。

例如，如果企业仅申请了一个域，则 IT 管理员可以选择 Enterprise ID 或 Federated ID。 如果组织在企业内申请了多个域，则 IT 管理员可以在一个域中使用 Adobe ID 和 Enterprise ID，而在另一个域中使用 Adobe ID 和 Federated ID，等等。 这意味着，对于每个域来说，您可以将 Enterprise ID 或 Federated ID 与 Adobe ID 一起使用。

通过 Federated ID 可以更快、更轻松且更安全地管理 Adobe 许可证。

• IT 管理员控制身份验证和用户生命周期。
• 从企业目录中删除某个用户后，该用户将不再有权访问桌面应用程序、服务或移动应用程序。
• Federated ID 允许组织利用已有的用户身份管理系统。
• 因为您的最终用户会使用您组织的标准身份系统，所以 IT 不必管理单独的密码管理流程。

登录时，您的最终用户将被重定向到您组织标准的（且最终用户熟悉的）单点登录体验。

可以。 您可以使用同一个域从 Enterprise ID 切换到 Federated ID。 如需详细信息，请参阅如何在不同目录之间移动域。

是，您可以使用符合 SAML 2.0 的身份提供者将企业目录及其登录和身份验证基础架构与 Adobe 相联合。

否。 在为 Federated ID 申请一个域后，该域中现有的 Adobe ID 和电子邮件地址不会发生任何变化。 Admin Console 中的现有 Adobe ID 将会保留。

资源迁移是一个自动化流程。 在您启动此流程后，当前存储在您的 Adobe ID 帐户中的所有受支持的内容都会被迁移到您的 Enterprise/Federated ID 帐户。 要了解更多信息，请参阅自动资源迁移。

Adobe 的 Federated ID 实现支持授权；身份验证由您的身份提供者 (IdP) 处理。

作为企业组织，您可以在身份验证服务（利用企业 ID 结构，如 Active Directory）与 Adobe 之间建立联系。这将允许企业组织托管身份验证。Adobe 从不存储密码而且 IT 管理员无法通过 Adobe Admin Console 为 Federated ID 重置密码或编辑用户名。

是。 您可以通过任何可用的批量操作或用户同步方法添加多个用户。添加用户的不同方式通常基于：

• 您的用户管理策略（例如：CSV 批量上传、用户同步工具）
• 身份标识提供商功能（例如：Azure Sync、Google Sync）

查看添加多个用户 Helpx，了解有关不同用户管理技术的更多信息。

不会。 您必须将您的 Adobe Admin Console 目录连接到您的身份提供商（例如：Microsoft Azure、Google 等）以同步 IdP 用户。有关更多信息，请参阅将 Microsoft Azure Sync 添加到目录或将 Google Sync 添加到联合目录。

或者，查看添加多个用户 Helpx，了解有关不同用户管理技术的更多信息。

Adobe 建议所有企业管理员将其 Adobe ID 用户切换为 Federated ID。 您可以按照这些步骤从 Adobe ID 迁移到 Federated ID。

Adobe 使用安全且广泛采用的行业标准安全断言标记语言 (SAML)，这意味着实施 SSO 时，您可以与任何支持 SAML 2.0 的身份提供者轻松集成。

以下列出了一些符合 SAML 2.0 的 IdP：

• Okta
• Oracle Identity Federation
• Microsoft ADFS
• Microsoft Azure AD^#
• Google 联合身份验证^# 
• Ping Federate
• 带有外部签名证书的 Salesforce IdP
• CA Federation
• ForgeRock OpenAM
• Shibboleth
• NetIQ Access Manager
• OneLogin
• Novell Access Manager

是，只要该流程符合 SAML 2.0 协议即可。

是，而且身份提供者必须符合 SAML 2.0。

您的 SAML 身份提供者至少必须具有：

1. IDP 证书
2. IDP 登录 URL
3. IDP 绑定：HTTP-POST 或 HTTP-Redirect
4. IDP 的断言使用者服务 URL，而且它必须能够接受 SAML 请求和 RelayState。

如果您还有任何疑问，请检查您的身份提供者。

不，从未有人能够破解 2,048 位证书。 唯一成功破解过 768 位证书的那些人（Lenstra 小组）预计，在使用相同硬件的情况下，即使是 1,024 位证书也需要花费 1,000 年才能破解（这比破解 2,048 位证书大约容易 32,000,000 倍）。

如果您想要获取有关破解不同长度证书的估算的最新极客数据，请访问此网站。 如需一张有趣（准确，但以营销为导向）的图片来展示这些证书有多安全，请访问此网站（或支持数学网站）。

不，这一限制针对的是用于对浏览器和服务器之间的通信管道进行编码的证书。 但是，这些 IdP 证书的作用是对通过该编码管道传递的数据进行签名（不进行编码）。 浏览器绝对看不到这些证书：它们仅在 Adobe 和客户的 IdP 之间使用。

您可以用生命周期内每年 10 美元的价格获得良好的商业级 2,048 位证书。 而且，IdP 使用的证书可以自签名，这意味着它们可以通过开源软件免费生成。

不，因为还有两个强加密层，它们会检查 IdP 的身份，所以，要想伪装成 IdP，必须先破解它们。 而且，这两个层并不是自签名的。 这意味着，不仅要破解实施加密的证书，还要破解生成该证书的签名者的证书。

有关您的高级支持电话号码和电子邮件地址，请参阅发送给您的帐户管理员的“欢迎”电子邮件和 PDF 附件。

同一个 URL 端点可用于多个目录。 但是，将为每个 IdP 单独管理联合元数据。 因此，公共 IdP 端点需要处理内容不同的请求。

是的。如果目录的 SAML 集成使用用户名格式，则 Admin Console 上的用户名与提供的永久 ID 相同。 但是，这要求在将用户同步到 Admin Console 时，必须提供永久 ID。 这不是常见情况，因此，在实践中，不支持为 NameID 元素使用永久格式。

不是。 NameID 元素值用作 Admin Console 上的用户名；NameQualifier 则被忽略。

支持。 Adobe 支持 SHA256 证书。 如需详细信息，请参阅设置身份。

可以。 您需要向 Adobe 客户支持提供 CA 签名证书，我们将为其上传证书。

若要继续操作，请登录 Admin Console，依次导航至“支持”>“支持摘要”，然后单击“创建案例”。 如需更多信息，请参阅如何创建和管理支持案例。

默认情况下，Okta 证书是自签名的。 例外情况（可能需要付费），他们可以让公共 CA 签署证书。