身為 Admin Console 的系統管理員，您首先要做的其中一項工作就是，根據要對用戶進行驗證的項目來定義和設定身分識別系統。當您的組織購買 Adobe 產品及服務的授權時，您必須將這些授權佈建給用戶。因此，您需要一個驗證這些用戶的方法。
Adobe 提供下列身分類型，您可以用來驗證用戶：
- Adobe ID
- Enterprise ID
- Federated ID
如果想要讓您網域中的用戶各自取得組織所擁有及控制的不同帳戶，您必須使用 Enterprise ID 或 Federated ID (適用於單一登入) 身分類型。
如果您計劃使用 Enterprise ID 或 Federated ID 來驗證用戶，您必須設定適合的身分識別系統，本文會提供必要的詳細資料。
註解：
本文件中所述的設定目錄和設定網域程序完全不相關。這表示您可以依任何順序執行或同時執行這些程序。不過，將電子郵件網域連結至目錄的程序，只有在您完成這兩個程序之後才能執行。
Adobe ID
由用戶所建立、擁有和管理。Adobe 會執行驗證，而用戶會負責管理身分識別。用戶對於與其 ID 相關聯的檔案和資料將保有完整控制權。用戶可以向 Adobe 購買額外的產品和服務。管理員可邀請用戶加入組織，也可以將其移除。但是，用戶的 Adobe ID 帳戶無法被鎖定。管理員無法刪除或接管帳戶。您不需要進行任何設定，即可開始使用 Adobe ID。
以下是建議使用 Adobe ID 的一些條件和案例：
- 如果您想要讓用戶建立、擁有及管理其身分識別。
- 如果您想要允許用戶購買或註冊其他 Adobe 產品和服務。
- 如果用戶必須使用其他 Adobe 服務，但是這些服務目前不支援 Enterprise ID 或 Federated ID。
- 如果用戶已經有 Adobe ID 及相關的資料，例如檔案、字型或設定。
- 學生即使畢業後依然可以保留其 Adobe ID 的教育機構安裝。
- 如果您的承包商和自由接案者所使用的電子郵件地址不屬於您所控制的網域。
- 如果您有 Adobe 團隊合約，就必須使用這種身分類型
Enterprise ID
由組織所建立、擁有和管理。Adobe 會代管 Enterprise ID 並執行驗證，但是組織會負責維護 Enterprise ID。用戶無法註冊及建立 Enterprise ID，也無法使用 Enterprise ID 向 Adobe 註冊其他產品和服務。
管理員會建立 Enterprise ID 並發放給用戶。管理員可以藉由接管帳戶或刪除 Enterprise ID 來永久封鎖相關資料的存取權，以撤銷產品和服務的存取權。
以下是建議使用 Enterprise ID 的一些條件和案例：
- 如果您必須持續嚴格控管提供給用戶的應用程式和服務。
- 如果您必須緊急存取與某個 ID 相關聯的檔案和資料。
- 如果您需要完全封鎖或刪除用戶帳戶的功能。
Federated ID
驗證網域
負責進行此設定的角色
使用網域的身分類型
用戶身分是根據驗證來源進行驗證。若要使用 Enterprise ID 或 Federated ID，請新增網域以設定您專屬的驗證來源。舉例來說，如果您的電子郵件地址是 john@example.com，example.com 就是您的網域。新增網域可讓您使用該網域中的電子郵件地址來建立 Enterprise ID 或 Federated ID。網域可以搭配 Enterprise ID 或 Federated ID 使用，但是不可同時搭配兩者使用。不過，您可以新增多個網域。
組織必須驗證其對於網域的控制權。組織也可以新增多個網域。但是，一個網域只能被新增一次。已知的公用和通用網域 (例如 gmail.com 或 yahoo.com) 無法被新增。
若要深入了解身分類型，請參閱「管理身分類型」。
若要使用 Enterprise ID 或 Federated ID，請先從設定您可以將一個或多個網域連結到的目錄開始著手。
若要設定目錄：
- 在 Admin Console 中建立目錄。
- (僅限 Federated ID) Adobe 將會佈建目錄。這通常最多需要 48 小時。
- 如果您將組織設定為使用 Enterprise ID 身分，則您可開始將電子郵件網域連結至目錄。
- (僅限 Federated ID) 在 Adobe 佈建目錄之後，請設定該目錄的 SAML 設定。
建立目錄
設定單一登入 (Federated ID 目錄的必要設定)
收到 Adobe 確認目錄已佈建的電子郵件之後，請設定目錄的 SAML 設定。
當組織設定並啟用單一登入 (SSO) 時，該組織的用戶便能夠使用其公司認證來存取 Adobe 軟體。如此一來，用戶就可以使用單一認證存取 Adobe 桌面應用程式、服務和行動應用程式。
Adobe Admin Console 為企業用戶提供一個方法，讓他們使用其現有的公司身分進行驗證。Adobe Federated ID 能夠與單一登入 (SSO) 身分管理系統整合。單一登入會使用 SAML 加以啟用，SAML 是一種產業標準通訊協定，可將企業身分管理系統連接到雲端服務提供者 (像是 Adobe)。
SSO 可以在兩方之間安全地交換驗證資訊：服務提供者 (Adobe) 和您的身分提供者 (IdP)。服務提供者會將要求傳送至您的 IdP，IdP 則會嘗試驗證用戶。如果驗證成功，IdP 會傳送回應訊息將用戶登入。
IT 管理員必須具備以下條件，才能成功地為 Adobe 軟體設定 SSO：
- 了解 SAML 2.0
- 支援 SAML 2.0 的身分提供者 (IdP)，並且至少必須具備以下條件：
- IDP 憑證
- IDP 登入 URL
- IDP 繫結：HTTP-POST 或 HTTP-Redirect
- 聲明消費者服務 URL
- TLS 1.2 已啟用
- 網域申請程序適用的 DNS 設定存取權
用戶並非只能從外部存取 IdP 的登入 URL 才能登入。不過，如果只能在組織的內部網路中進行存取，用戶就只有在與組織內部網路直接連接或透過 WiFi 或 VPN 連接時，才能登入 Adobe 產品。登入頁面並不是只能透過 HTTPS 存取，但基於安全考量，我們建議您這麼做。
註解：
目前 Adobe 不支援 IdP 起始的 SSO。
Adobe 的雲端服務使用 Okta 所提供的 SaaS SAML 2.0 連接器來提供 SSO。此連接器是用來與您的身分提供者通訊，以便提供驗證服務。您不需要使用 Okta 當做您的身分提供者服務，因為 Okta 會連接到許多 SAML 2.0 身分服務提供者。如需詳細資訊，請參閱「SSO/常見問題」。
如果您的組織想要測試 SSO 整合，建議申請您專屬的測試網域，前提是組織使用的身分提供者具有該測試網域中所設定的身分。如此一來，您就可以在申請主要網域之前先測試整合，直到您對於網域申請和設定程序感到安心為止。
如果您已經有身分提供者 (IdP)，就可以輕鬆地使用 Okta 提供的 SaaS SAML 2.0 連接器進行您的 SSO 設定。
註解：
在您可以選擇當做身分提供者的多家廠商中，Okta 是其中一家。
-
登入 Admin Console，並瀏覽至「設定 > 身分」。
-
IDP 憑證：若要上傳您的 IdP 用來簽署 SAML 回應或聲明的憑證 (.cer)，請按一下「上傳」。
如果您沒有此憑證，請聯絡您的身分提供者，以取得下載憑證檔的指示。
憑證提示：
- PEM (base-64 編碼 X.509) 格式
- 副檔名為 .cer (不是 .pem 或 .cert)
- 未加密
- SHA-1
- 多行格式 (使用單行將會失敗)
- 必須持續至少 3 年 (這免除了這段生命週期的維護工作，而且不會危害安全性)
註解：
在 Federated ID 交握的 Adobe 端所使用的 Okta 憑證是為期 20 年的憑證。就是這樣，您才可以依據自己選擇的排程進行憑證輪換，而不是由 Adobe/Okta 來強制執行此作業。
-
透過身分提供者完成 SSO 設定之後，登入 Admin Console 並瀏覽至「設定 > 身分」。
新增網域
您新增至 Admin Console 的網域不需要向相同的 IdP 註冊。不過，當您將這些網域連結至目錄時，就必須透過不同的 IdP 將網域連結至不同的目錄。
如果某個網域已經新增至其他組織的 Admin Console，您無法將該網域新增至自己的 Admin Console。但是可以要求該網域的存取權。
-
登入 Admin Console，並瀏覽至「設定 > 身分」。
證明網域的擁有權 (使用 DNS 字符)
網域驗證
您現在可以連結通過驗證的網域至 Admin Console 中所需的目錄。
注意：
您無法將同一個網域連結至多個目錄。此外，目前如果需要移除網域與目錄之間的連結，請聯絡 Adobe 支援。因此，請先計劃網域與目錄之間的連結，再開始進行下列程序。
網域的擁有權只能由單一組織申請取得。所以請考慮以下案例︰
Geometrixx 公司有多個部門，每個部門都有自己的 Admin Console，而且是唯一的。此外，每個部門也都想要使用 Federated 用戶 ID，並且全都使用 geometrixx.com 網域。在這種情況下，每個部門的系統管理員都會想要申請此網域，作驗證之用。Admin Console 會避免讓網域新增至多個不同組織的 Admin Console。然而，網域一旦由某個部門新增了，其他部門仍可代表他們組織的 Admin Console 來要求存取該網域所連結到的目錄。
目錄託管可讓目錄擁有者信任其他系統管理員 (受託人)。在此之後，Admin Console 中的受託人組織就可以將用戶新增至受信任目錄內的任何網域。
簡言之，如果您計劃在 Admin Console 使用 Enterprise ID 或 Federated ID，就必須新增與您的組織相關聯的網域。如果其他組織先前已新增此網域，您必須以受託人身分來要求存取包含該網域的目錄。
如需要求目錄的存取權，請參閱上述「設定網域」中「新增網域」程序的步驟。
注意：
身為目錄的擁有者，如果核准對該目錄的存取權要求，受託人組織就可以存取所有連結至該目錄的網域，以及任何在未來連結至該目錄的網域。因此，設定您組織中的身分識別系統時，務必先計劃網域與目錄之間的連結。
要求存取權
檢查要求狀態
身為網域擁有組織的系統管理員，可以選擇接受或拒絕對您所擁有之目錄的存取權要求。
收到一個電子郵件要求存取您擁有的目錄時，您可以直接在這個電子郵件中選擇接受或拒絕該要求。您也可以移至「存取權要求」索引標籤來管理這些申請的要求。
