Planung
Adobe unterstützt die folgenden Identitätstypen:
- Enterprise ID: Die Organisation erstellt ein Konto, deren Eigentümer sie auch ist. Die Konten werden in einer beanspruchten Domäne erstellt. Adobe verwaltet Anmeldeinformationen und verarbeitet die Anmeldung.
- Federated ID: Die Organisation erstellt ein Konto, dessen Eigentümer sie ist, und stellt per Verbund eine Verbindung mit dem Unternehmensverzeichnis her. Das Unternehmen oder die Bildungseinrichtung verwaltet die Anmeldeinformationen und verarbeitet die Anmeldung per Single Sign-on.
- Adobe ID: Die Benutzerin bzw. der Benutzer erstellt und besitzt ein Konto. Adobe verwaltet Anmeldeinformationen und verarbeitet die Anmeldung. Je nach Speichermodell ist der Benutzer oder die Organisation Eigentümer des Kontos und der Assets.
.
Ja. Sie können eine Kombination von Enterprise IDs, Federated IDs und Adobe IDs verwenden, allerdings nicht innerhalb derselben beanspruchten Domäne.
Enterprise ID und Federated ID schließen sich auf Domänenebene gegenseitig aus. Deshalb können Sie sich nur für jeweils eine entscheiden. Sie können Adobe IDs zusammen mit Federated IDs oder zusammen mit Enterprise IDs verwenden.
Wenn z. B. ein Unternehmen nur eine Domäne beansprucht, kann der IT-Administrator Enterprise IDs oder Federated IDs wählen. Wenn eine Organisation mehrere Domänen in einem Unternehmen beansprucht, kann der IT-Administrator eine Domäne mit Adobe IDs und Enterprise IDs, eine weitere Domäne mit Adobe IDs und Federated IDs verwenden usw. Das bedeutet, dass Sie für jede Domäne entweder Enterprise IDs oder Federated IDs zusammen mit Adobe IDs verwenden können.
Die Verwaltung von Adobe-Lizenzen unter Federated IDs ist schneller, einfacher und bietet höhere Sicherheit.
- IT-Administratoren steuern die Authentifizierung und den Benutzerlebenszyklus.
- Wenn Sie einen Benutzer aus dem Unternehmensverzeichnis entfernen, verfügt er über keine Zugriffsrechte für die Desktop-Programme, Services und mobilen Apps mehr.
- Mit Federated IDs können Organisationen bereits vorhandene Benutzer-Identitätsverwaltungssysteme nutzen.
- Da die Endbenutzer das Standardidentitätssystem Ihrer Organisation verwenden, braucht die IT-Abteilung keinen eigenen Kennwortverwaltungsprozess zu verwalten.
Die Endbenutzer werden bei der Anmeldung zur vertrauten, standardmäßigen Single Sign-on-Umgebung Ihrer Organisation weitergeleitet.
Ja. Sie können mit derselben Domäne von Enterprise zu Federated IDs wechseln. Weitere Informationen finden Sie unter Domänen zwischen Verzeichnissen verschieben.
Ja, Sie können einen Verbund Ihres Unternehmensverzeichnisses und der zugehörigen Authentifizierungsinfrastruktur mit Adobe unter Verwendung Ihres SAML 2.0-kompatiblen Identitätsanbieters erstellen.
Nein. Wenn eine Domäne für Federated IDs beansprucht wird, ändert sich an den vorhandenen Adobe IDs mit E‑Mail-Adressen in dieser Domäne nichts. Vorhandene Adobe IDs in der Admin Console werden beibehalten.
Adobe verwendet den sicheren und weit verbreiteten Branchenstandard Security Assertion Markup Language (SAML), was bedeutet, dass sich die SSO-Implementierung einfach mit jedem Identitätsanbieter integriert, der SAML 2.0 unterstützt.
# Wenn Ihr Identitätsanbieter Microsoft Azure AD oder Google ist, können Sie die SAML-basierte Methode außer Acht lassen und den Azure AD-Connector oder das Google-Verbund-SSO verwenden, um SSO mit der Adobe Admin Console einzurichten. Diese Einrichtungsvorgänge werden mithilfe der Adobe Admin Console durchgeführt und verwaltet und die Verwaltung der Benutzeridentitäten und Berechtigungen erfolgt mit einem Synchronisationsmechanismus.
Ja, solange er dem SAML 2.0-Protokoll folgt.
Ja. Außerdem muss der Identitätsanbieter mit SAML 2.0 kompatibel sein.
Der SAML-Identitätsanbieter muss mindestens die unten genannten Voraussetzungen erfüllen.
- IDP-Zertifikat
- URL für die IDP-Anmeldung
- IDP-Bindung: „HTTP-Post“ oder „HTTP-Redirect“
- Die ACS-URL (Assertion Consumer Service) des IDP. Diese muss SAML-Anforderungen und „RelayState“ akzeptieren können.
Wenden Sie sich an Ihren Identitätsanbieter, wenn Sie weitere Fragen haben.
Anleitungen
Nein. Sie können Kennwörter für Federated IDs nicht mit der Adobe Admin Console zurücksetzen. Adobe speichert keine Anmeldeinformationen von Benutzern. Verwenden Sie für die Benutzerverwaltung Ihren Identitätsanbieter.
Häufige Fragen: Verzeichniseinrichtung
Hier finden Sie Antworten auf Ihre Fragen zur Migration von Verzeichnissen zu einem neuen Authentifizierungsanbieter und zur Aktualisierung einer veralteten SAML-Einrichtung.
Bevor du anfängst, stelle sicher, dass du die Zugriff-Anforderungen erfüllst, um das Verfahren für die Migration zu einem anderen Identitätsanbieter zu befolgen. Beachten Sie außerdem die folgenden Punkte, um eine nahtlose und fehlerfreie Migration der Verzeichnisse Ihrer Organisation sicherzustellen:
- Administratoren müssen eine neue SAML-App in ihrer IdP-Einrichtung anlegen, um sie zu konfigurieren. Wenn sie die vorhandene App bearbeiten, wird jede aktive Konfiguration überschrieben, Ausfallzeiten verursacht und die Möglichkeit zunichte gemacht, zwischen verfügbaren IdPs in der Adobe Admin Console zu wechseln.
- Administratoren müssen sicherstellen, dass alle erforderlichen Benutzer der neu erstellten SAML-App zugewiesen sind oder sie verwenden können.
- Administratoren müssen sicherstellen, dass das Format des Benutzernamens für das neue Authentifizierungsprofil in ihrem IdP mit dem Format des vorhandenen Profils für die Benutzeranmeldung übereinstimmt.Sie können die Funktion Test im Authentifizierungsprofil verwenden, um dies zu überprüfen. Dieser Test-Link kann in die Zwischenablage kopiert und mit anderen geteilt werden, um von ihren Geräten aus zu validieren.
- Administratoren sollten den neu hinzugefügten IdP vor der Aktivierung mit 2 bis 3 aktiven Konten aus dem Verzeichnis testen.
Fehlerprotokolle werden für diese Funktionen nicht zur Verfügung gestellt. Der Test-Workflow ermöglicht es dem Administrator jedoch, vor der Aktivierung auf relevante Fehler zu prüfen. Zu den zu berücksichtigenden Einschränkungen gehören:
- Ein Verzeichnis kann bis zu zwei Authentifizierungsprofile besitzen, von denen jedes für einen anderen Authentifizierungstyp verwendet werden sollte. Das bedeutet, dass Sie Microsoft Azure AD (das Open ID Connect verwendet) unter Andere SAML-Anbieter belassen können, Google (das selbst SAML verwendet) jedoch nicht im gleichen Verzeichnis unter Andere SAML-Anbieter bleiben kann.
- Diese Funktion ermöglicht es Administratoren nicht, ihren Identitätsanbieter zu migrieren, um die Funktion zur Verzeichnissynchronisation zu aktivieren (Azure AD Connector und Google Connector). Kunden, die zu Microsoft Azure oder Google als IdP migrieren, können jedoch eine andere Benutzerverwaltungsstrategie verwenden. Weitere Informationen finden Sie unter Adobe Admin Console-Benutzer.
