Som systemadministrator i Admin Console er en af dine første opgaver at definere og konfigurere et identitetssystem, som skal bruges til godkendelse af slutbrugerne. Når organisationen køber licenser til Adobe-produkter og -tjenester, skal du klargøre disse licenser til slutbrugerne. Og til det formål skal du have en metode til at godkende brugerne.
Adobe giver dig følgende identitetstyper, som du kan bruge til godkendelse af slutbrugere:
- Adobe ID
- Enterprise ID
- Federated ID
Hvis du vil have separate konti, der ejes og styres af din organisation, til brugere i dit domæne, skal du bruge identitetstypen Enterprise ID eller Federated ID (ved enkeltlogon).
I denne artikel finder du de oplysninger, du skal bruge for at konfigurere et identitetssystem, hvor Enterprise ID eller Federated ID anvendes til at godkende slutbrugerne.
Bemærk:
Procedurerne til henholdsvis katalogkonfiguration og domænekonfiguration, der er beskrevet i dette dokument, er helt adskilt fra hinanden. Det betyder, at du kan udføre disse procedurer i vilkårlig rækkefølge eller parallelt. Proceduren til tilknytning af e-maildomæner til kataloger finder dog først sted, når du har fuldført begge disse procedurer.
Katalog
IdP
Adobe ID
Oprettet, ejet og administreret af slutbrugeren. Adobe udfører godkendelsen, og slutbrugeren styrer identiteten. Brugere har den fuldstændige kontrol over filer og data, der er tilknyttet deres ID. Brugere kan købe flere produkter og tjenester fra Adobe. Administratorerne inviterer brugerne til at deltage i organisationen, og de kan fjerne den. Brugerne kan dog ikke låses ud af deres Adobe ID-konti. Administratoren kan ikke slette eller overtage kontiene. Der kræves ingen opsætning, før du kan begynde at bruge Adobe ID'er.
Nedenfor er der nogle krav og scenarier, hvor det anbefales at bruge Adobe ID:
- Hvis du vil gøre det muligt for brugerne at oprette og styre deres identiteter.
- Hvis du vil gøre det muligt for brugerne at købe eller blive medlem af andre Adobe-produkter og -tjenester.
- Hvis brugere forventes at bruge andre Adobe-tjenester, som ikke understøtter Enterprise eller Federated ID'er i øjeblikket.
- Hvis brugere allerede har et Adobe ID og tilknyttede data, f.eks. filer, skrifttyper eller indstillinger.
- I uddannelsesmæssige sammenhænge hvor de studerende kan beholde deres Adobe ID, når de er færdiguddannede.
- Hvis du har entreprenører og freelancere, der ikke bruger e-mailadresser på domæner, du styrer.
- Hvis du har en Adobe-teams-kontrakt, skal du bruge denne identitetstype
Enterprise ID
Oprettet, ejet og administreret af en organisation. Adobe hoster Enterprise ID'et og udfører godkendelsen, men organisationen vedligeholder Enterprise ID'er. Slutbrugere kan ikke tilmelde sig og oprette et Enterprise ID, og de kan heller ikke tilmelde sig flere produkter og tjenester fra Adobe med et Enterprise ID.
Administratorerne opretter et Enterprise ID og sender det til en bruger. Administratorerne kan tilbagekalde adgangen til produkter og tjenester ved at overtage kontoen eller ved at slette Enterprise ID'et for at blokere adgangen til tilknyttede data permanent.
Nedenfor er der nogle krav og scenarier, hvor det anbefales at bruge Enterprise ID:
- Hvis det er nødvendigt at opretholde en streng kontrol med apps og tjenester, der er tilgængelige for en bruger.
- Hvis du har brug for akut adgang til filer og data, der tilknyttet et ID.
- Hvis du har brug for at kunne blokere eller slette en brugerkonto fuldstændigt.
Federated ID
Oprettet og ejet af en organisation og knyttet til enterprisekataloget via føderation. Organisationen administrerer legitimationsoplysningerne og behandler enkeltlogon via en SAML2-identitetsudbyder (IdP).
Nedenfor er der nogle krav og scenarier, hvor det anbefales at bruge Federated ID'er:
- Hvis du ønsker at klargøre brugerne på baggrund af din organisations virksomhedsmappe.
- Hvis du vil styre godkendelsen af brugere.
- Hvis det er nødvendigt at opretholde en streng kontrol med apps og tjenester, der er tilgængelige for en bruger.
- Hvis du vil give brugerne mulighed for at anvende den samme e-mailadresse til at oprette et Adobe ID.
Bemærk:
Identitetsudbyderen skal være TLS 1.2-kompatibel.
Godkendelsesdomæner
Den del af en e-mailadresse, der kommer efter @-symbolet. Hvis du vil bruge et domæne med Enterprise eller Federated ID, skal du først validere dit ejerskab af domænet.
Hvis en organisation for eksempel ejer flere domæner (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), men medarbejderne er godkendt i forhold til geometrixx.com. I dette tilfælde vil organisationen vil bruge domænet geometrixx.com til at konfigurere identiteten i Admin Console.
Personer, der har ansvaret for denne konfiguration
- Arbejder sammen med IdP-katalogadministratorer og DNS-administratorer om at konfigurere identitet i Admin Console. Dette dokument henvender sig til systemadministratorer, som vil have adgang til Admin Console. Personen forventes at arbejde sammen med de andre personer, som (normalt) ikke vil have adgang til Admin Console.
Identitetstyper, der bruger domæner
Brugeridentiteter kontrolleres mod en godkendelseskilde. Hvis du vil bruge Enterprise ID eller Federated ID, skal du konfigurere din egen godkendelseskilde ved at tilføje et domæne. Hvis din e-mailadresse eksempelvis er john@example.com, er eksempel.com dit domæne. Når der tilføjes et domæne, kan der oprettes Enterprise ID'er eller Federated ID'er med e-mailadresser på domænet. Et domæne kan enten anvendes med Enterprise ID'er eller Federated ID'er, men ikke begge dele. Du kan dog tilføje flere domæner.
En organisation skal validere sin kontrol over et domæne. En organisation kan også tilføje flere domæner. Et domæne kan dog kun tilføjes én gang. Det er ikke muligt at tilføje kendte offentlige og generiske domæner, f.eks. gmail.com eller yahoo.com.
Du kan få mere at vide om identitetstyper i Administrer identitetstyper.
Hvis du vil bruge Enterprise ID'er eller Federated ID'er, skal du starte med at konfigurere et katalog, som du kan knytte et eller flere domæner til.
Sådan konfigureres et katalog:
- Opret et katalog i Admin Console.
- (Kun Federated ID) Adobe klargør kataloget. Det tager normalt op til 48 timer.
- Hvis du har konfigureret din organisation til Enterprise ID-identitet, kan du begynde at knytte e-maildomænerne til kataloget.
- (Federated ID) Når Adobe har klargjort dit katalog, skal du konfigurere SAML-indstillinger for kataloget.
Opret katalog
-
Log ind på Admin Console, og gå til Indstillinger > Identitet.
Kataloget oprettes.
Hvis du har valgt at oprette et Enterprise ID-identitetstypekatalog, er du færdig. Du kan nu gå i gang med at konfigurere dine domæner i Admin Console.
Hvis du har valgt at oprette et Federated ID-identitetstypekatalog, skal Adobe klargøre dette katalog, før du kan foretage handlinger med det. Men du kan udnytte ventetiden, mens Adobe klargør kataloget. Du kan gå i gang med at konfigurere dine domæner i Admin Console.
Bemærk:
Det tager typisk op til 48 timer at klargøre Federated ID-typekataloger. Du får besked via e-mail, når det er gjort.
Konfigurer enkeltlogon (kræves til Federated ID-katalog)
Når du modtager e-mailen fra Adobe, som bekræfter, at dit katalog er klargjort, skal du konfigurere SAML-indstillinger for kataloget.
Når organisationer konfigurerer og aktiverer enkeltlogon (SSO), har brugerne i organisationen mulighed for at anvende virksomhedens legitimationsoplysninger til at få adgang til Adobe-software. På den måde behøver brugerne kun at bruge ét samlet brugerlogin til at få adgang til computerapps, tjenester og mobilapps fra Adobe.
Adobe Admin Console giver virksomhedsbrugere en metode til godkendelse af deres eksisterende virksomhedsidentitet. Adobe Federated ID'er muliggør integration med et identitetsstyringssystem til enkeltlogon. Enkeltlogon aktiveres med SAML, som er en branchestandardprotokol, der forbinder identitetsstyringssystemer for virksomheder til udbydere af cloud-tjenester, f.eks. Adobe.
Enkeltlogon er en sikker metode til udveksling af identitetsoplysninger mellem to parter: tjenesteudbyderen (Adobe) og identitetsudbyderen (IdP). Tjenesteudbyderen sender en anmodning til IdP, som forsøger at godkende brugeren. Hvis godkendelsen lykkes, sender IdP en besked om, at brugeren skal logges ind.
Før du kan konfigurere enkeltlogon til Adobe-software, skal følgende være på plads:
- Viden om SAML 2.0
- En identitetsudbyder (IdP), der understøtter SAML 2.0, og som minimum skal have:
- IDP-certifikat
- Webadresse til IDP-logon
- IDP-binding: HTTP-POST eller HTTP-Redirect
- ACS-webadresse (Assertion Consumer Service)
- TLS 1.2 aktiveret
- Adgang til DNS-konfigurationen for domænets kravsproces
URL-adressen for logon til IdP'et behøver ikke at være eksternt tilgængelig for at gøre brugerne i stand til at åbne det for at logge på. Men hvis det kun er tilgængeligt inden for organisationens interne netværk, kan brugerne kun logge på Adobe-produkter, når de har forbindelse til organisationens interne netværk, enten direkte via Wi-Fi eller via VPN. Det er ikke nødvendigt, at logonsiden kun er tilgængelig via HTTPS, men det anbefales af sikkerhedsmæssige årsager.
Bemærk:
I øjeblikket understøtter Adobe ikke IdP-påbegyndt enkeltlogon.
Adobes cloudtjenester tilbyder enkeltlogon med en SaaS SAML 2.0-forbindelse, der udbydes af Okta. Forbindelsen bruges til at kommunikere med identitetsudbyderen til levering af godkendelsestjenester. Det er ikke et krav at skulle benytte Okta som identitetsudbydertjeneste, da Okta opretter forbindelse til mange SAML 2.0-identitetstjenesteudbydere. Få flere oplysninger i Enkeltlogon / Ofte stillede spørgsmål.
Hvis organisationen ønsker at teste enkeltlogon-integration, anbefales det, at du bruger et testdomæne, som du ejer, så længe organisationen har en identitetsudbyder med identiteter, der er konfigureret i det pågældende testdomæne. Det gør det muligt at teste integrationen, før du gør krav på hoveddomænerne, og indtil du er tryg ved domænekravet og konfigurationsprocessen.
Hvis du allerede har en identitetsudbyder (IdP), er det nemt at indstille enkeltlogon-konfigurationen med SaaS SAML 2.0-forbindelsen, der udbydes af Okta.
Bemærk:
Okta er én af mange leverandører, som du kan benytte som identitetsudbyder.
-
Log ind på Admin Console, og gå til Indstillinger > Identitet.
-
IDP-certifikat: Du kan overføre det certifikat (.cer), som din IdP bruger til at underskrive SAML-svaret eller -bedømmelsen, ved at klikke på Overfør.
Hvis du ikke har certifikatet, skal du kontakte din identitetsudbyder for at få vejledning i, hvordan du henter certifikatfilen.
Tip til certifikater:
- PEM-format (base-64-kodet X.509).
- Navngivet med et .cer-filtypenavn (ikke .pem eller .cert)
- Ukrypteret
- SHA-1
- Format på flere linjer (enkelt linje fungerer ikke)
- Skal vare mindst tre år (det sparer vedligeholdelse i den pågældende levetid og kompromitterer ikke sikkerheden)
Bemærk:
De Okta-certifikater, der bruges på Adobes side af Federated ID-handshaken, er 20-årige certifikater. Dette er for at sikre, at du kan udskifte certifikaterne, som det passer dig, i stedet for at være tvunget til det af Adobe/Okta.
IDP-binding: Vælg den metode, der bruges til at transmittere SAML-protokolmeddelelser.
- Brug HTTP-Post til at transmittere godkendelsesanmodninger via browseren med en XHTML-formular. IdP svarer også med et dokument, der indeholder en XHTML-formular.
- Brug HTTP-Redirect til at transmittere godkendelsesanmodningen via SAMLRequest-strengens parameter i webadresse-forespørgselsstrengen i en HTTP GET-anmodning. IdP svarer med en SAMLResponse-strengparameter i webadressen.
Indstillinger for brugerlogin: Vælg E-mailadresse eller Brugernavn for at angive, hvordan brugerne i dette domæne skal identificeres.
-
Klik på Download metadata.
Metadatafilen downloades til dit lokale diskdrev. Med denne fil kan du konfigurere SAML-integrationen med identitetsudbyderen.
Denne fil er påkrævet af identitetsudbyderen til aktivering af enkeltlogon.
Forsigtig:
For generiske SAML-identitetsudbydere som OpenAthens eller Shibboleth skal du sende brugernavnet (som regel e-mailadressen) som NameID i formatet 'ukendt'. Du skal også sende følgende egenskaber (der skelnes mellem store og små bogstaver): FirstName (fornavn), LastName (efternavn), Email (e-mail).
Disse attributter skal svare til de poster, der er oprettet via Admin Console. Hvis disse attributter ikke er konfigureret i den IDP, der skal sendes som en del af SAML 2.0-forbindelseskonfigurationen, fungerer godkendelsen ikke.
-
Kontakt administratoren af identitetsudbyderkataloget for at færdiggøre konfigurationen af enkeltlogon til identitetsudbyderen.
Forsigtig:
Hvis Federated ID er aktiveret, og der foretages ændringer af konfigurationen, kan slutbrugerne opleve fejl med enkeltlogon. En ændring i konfigurationen genererer en ny metadatafil, som skal konfigureres igen i IdP.
-
Når konfigurationen af enkeltlogon til identitetsudbyderen er færdiggjort, skal du logge på Admin Console og gå til Indstillinger > Identitet.
Slutbrugerne er godkendt mod domæner, som du skal konfigurere i Admin Console.
Sådan konfigureres domæner:
- Tilføj domæner i Admin Console
- Gør klar til at validere domæneejerskabet ved at tilføje en særlig DNS-record
- Valider domænerne
Tilføj domæner
De domæner, som du føjer til Admin Console, behøver ikke at være registreret hos den samme IdP. Når du knytter disse domæner til et katalog, skal du dog knytte domæner fra forskellige IdP'er til forskellige kataloger.
Du kan ikke føje et domæne til Admin Console, hvis det allerede er føjet til en anden organisations Admin Console. Du kan dog anmode om adgang til domænet.
-
Log ind på Admin Console, og gå til Indstillinger > Identitet.
Vis ejerskab over domæne (ved hjælp af DNS-symboler)
En organisation skal vise, at den har ejerskab over et domæne. En organisation kan tilføje lige så mange domæner i Admin Console, som der er behov for.
Admin Console giver en organisation mulighed for at bruge et enkelt DNS-token til at vise ejerskab over alle sine domæner. Desuden kræver Admin Console ikke DNS-validering for underdomæner. Det betyder, at når du bruger DNS-tokenet og viser ejerskab over et domæne, valideres alle underdomæner til dette domæne straks, når de føjes til Admin Console.
-
Du skal tilføje en TXT-record med det genererede DNS-token for at bekræfte, at du ejer domænet. De præcise instruktioner afhænger af din domænevært, men følg de generelle retningslinjer i Bekræft domæneejerskab.
-
Du skal føje oplysninger til dine DNS-servere for at fuldføre dette trin. Giv DNS-administratoren besked på forhånd, så dette trin kan fuldføres i rette tid.
Adobe kontrollerer jævnligt DNS-posterne for dit domæne. Hvis de er korrekte, valideres domænet automatisk. Hvis du vil validere domænet straks, kan du logge på Admin Console og validere det manuelt. Se Domænevalidering.
Domænevalidering
Admin Console forsøger at validere domæner, du har tilføjet, flere gange i døgnet, så du behøver ikke at tage skridt til at validere et domæne, når først dine DNS-records er konfigureret korrekt.
Hvis du har brug at validere dit domæne med det samme, kan du gøre det i Admin Console. Sådan validerer du domæner manuelt:
Du kan nu knytte de godkendte domæner til de nødvendige kataloger i Admin Console.
Forsigtig:
Du kan ikke knytte det samme domæne til flere kataloger. Hvis du har brug for at fjerne tilknytningen mellem et domæne og et katalog, skal du desuden kontakte Adobe-support. Derfor skal du planlægge tilknytningen mellem domæner og kataloger, inden du starter følgende procedure.
Før slutbrugerne kan begynde at bruge Adobe-produkter og -tjenester, der er givet i licens til din organisation, skal du tilføje slutbrugere og brugergrupper og tildele dem til produktprofiler.
Der kan kun gøres krav på ejerskabet til et domæne af en enkelt organisation. Så overvej følgende scenarie:
En virksomhed, Geometrixx, har flere afdelinger, som hver har deres egen unikke Admin Console. Hver enkelt afdeling ønsker også at bruge Federated bruger-id'er, der alle benytter domænet geometrixx.com. Og i givet fald vil systemadministratoren for hver af disse afdelinger ønske at gøre krav på dette domæne til godkendelse. Admin Console forhindrer et domæne i at blive føjet til flere forskellige organisationers Admin Console. Men når domænet er tilføjet af en enkelt afdeling, kan andre afdelinger anmode om adgang til det katalog, som dette domæne er tilknyttet, på vegne af organisationens Admin Console.
Ved hjælp af katalogtillid kan en katalogejer angive tillid til andre systemadministratorer (administratororganisationer). Derefter kan administratororganisationer i Admin Console føje brugere til et domæne i det betroede katalog.
En kort opsummering. Hvis du har til hensigt at bruge Enterprise ID eller Federated ID på Admin Console, skal du tilføje det domæne, der er knyttet til din organisation. Hvis en anden organisation tidligere har tilføjet dette domæne, skal du anmode om at få adgang til det katalog, der indeholder domænet, som administratororganisation.
Hvis du vil anmode om adgang til et katalog, skal du følge fremgangsmåden i proceduren Tilføj domæner i Konfigurer domæner ovenfor.
Forsigtig:
Hvis du som ejer af et katalog godkender en anmodning om adgang til dette katalog, vil denne administratororganisation have adgang til alle domæner, der er knyttet til dette katalog, samt alle domæner, der knyttes til dette katalog på et senere tidspunkt. Så det er meget vigtigt, at du planlægger tilknytningen mellem domæner og kataloger, når du konfigurerer identitetssystemet i din organisation.
Anmod om adgang
Hvis du føjer eksisterende domæner til Admin Console, vises følgende meddelelse:
Hvis du anmoder om adgang til dette domæne, vil dit navn og din e-mail samt navnet på organisationen blive videregivet i anmodningen til systemadministratorerne hos den organisation, der ejer domænet.
Katalogtypen (Enterprise eller Federated) afhænger af, hvordan domænet var konfigureret af den organisation, der ejer domænet. Det betyder, at du skal bruge den katalogtype, der blev valgt af organisationen, der ejer domænet.
Da domænet allerede er blevet oprettet af ejeren (se Vis ejerskab over domæne i Konfigurer domæner for at få flere oplysninger), behøver du som administrator ikke foretage dig yderligere. Når adgangsanmodningen er accepteret af ejeren, har din organisation adgang til kataloget og alle dets domæner, som de er konfigureret af den organisation, der ejer domænet.
Kontrollér status for anmodning
Hvis din anmodning om adgang til kataloget accepteres af den organisation, der ejer det, modtager du en e-mailmeddelelse. Din tillidsanmodning forsvinder, og i stedet vises det betroede katalog og dets domæner med statussen Aktiv (betroet) på dine lister over kataloger og domæner.
Fortsæt med at tilføje slutbrugere og brugergrupper og tildele dem til produktprofiler.
Tilbagetrækning af betroet status
Hvis du som administratororganisation ikke længere har brug for at kunne få adgang til det betroede katalog, kan du til enhver tid trække din betroede status tilbage.
Hvis du trækker din adgang til et betroet katalog tilbage, fjernes alle Enterprise ID- eller Federated ID-brugere, der hører til domæner i dette katalog (dvs. at de logger ind ved hjælp af legitimationsoplysningerne for domænet) fra din organisation. Disse brugere mister også deres adgang til alle former for software, som din organisation har tildelt dem.
Som systemadministrator i den organisation, der ejer domænet, kan du vælge at acceptere eller afvise anmodninger om adgang til de kataloger, du ejer.
Når du modtager en e-mailanmodning om adgang til et katalog, du ejer, kan du vælge at acceptere eller afvise anmodningen direkte i e-mailen. Du kan også gå til fanen Adgangsanmodninger for at administrere kravanmodningerne.
Acceptér adgangsanmodninger
Afvis anmodning
Tilbagekald adgang
Hvis du tilbagekalder adgangen til en administratororganisation, fjernes brugere med Enterprise ID- eller Federated ID-konti på alle domæner i dette katalog fra administratorens organisation. Disse brugere mister også deres adgang til alle former for software eller tjenester, som administratororganisationen har tildelt dem.
Selvom alle data på Creative Cloud og Document Cloud er krypteret, kan du vælge, at Adobe skal generere dedikerede krypteringsnøgler for konti i et katalog, som du opretter.
Aktivér krypteringsnøgle
Tilbagekald krypteringsnøgle
Fjern kataloger
Bemærk:
Du kan ikke fjerne et katalog, der har:
- Aktive brugere
- Tilknyttede domæner
- Administratororganisationer
Fjern domæner
Bemærk:
Du kan ikke fjerne et domæne, hvis der er brugere med dette domæne i Admin Console, eller hvis domænet er knyttet til et eller flere kataloger.
Opslag på Twitter™ og Facebook er ikke omfattet af vilkårene for Creative Commons.
Juridiske meddelelser | Politik for beskyttelse af personlige oplysninger online