Accesso ospite federato

Panoramica

La funzionalità di accesso ospite federato di Adobe consente ai clienti enterprise di integrare nell'ecosistema Adobe collaboratori esterni di agenzie, fornitori o società di consulenza con gli stessi standard di sicurezza e autenticazione dei dipendenti interni.

In precedenza, la creazione di un utente Federated ID richiedeva la proprietà del dominio.Questo requisito impediva alle organizzazioni di aggiungere utenti con domini esterni, inclusi domini non rivendicabili come gmail.com e domini rivendicabili di proprietà di un'altra organizzazione.

La funzione di accesso ospite federato consente ai clienti Enterprise di aggiungere un utente con qualsiasi indirizzo e-mail come proprio utente federato. Garantisce un'applicazione coerente dell'SSO sia per i dipendenti interni che per i partner esterni.

La funzionalità supporta attualmente Workfront e AEM Assets as a Cloud Service, con piani per estendere il supporto ad altri prodotti.

Vantaggi dell'accesso ospite federato

Ecco i vantaggi della funzionalità di accesso ospite federato:

• Collaborazione fluida: i partner esterni accedono agli strumenti Adobe senza difficoltà.
• Sicurezza unificata: le aziende possono applicare criteri SSO e di autenticazione coerenti a tutti gli utenti.
• Efficienza operativa: elimina la necessità di soluzioni alternative utilizzate in precedenza per integrare i fornitori.
• Accesso controllato: gli account ospite federati sono isolati dagli account interni, garantendo che autorizzazioni e risorse rimangano separate.

Scenari aziendali e casi d'uso

L'accesso ospite federato è particolarmente utile in scenari in cui le aziende si affidano a competenze esterne.I team marketing che lavorano con agenzie, i reparti IT che assumono consulenti o le grandi organizzazioni che collaborano tra più aziende possono integrare collaboratori esterni senza compromettere la sicurezza.

Ad esempio, immagina un'azienda che assume Mary da vendor.com per un progetto a breve termine.Mary potrebbe già avere un account federato con il suo datore di lavoro. In precedenza, l'azienda che assume poteva integrare Mary nel proprio ambiente Adobe solo tramite il suo account federato esistente, la cui autenticazione è controllata dal suo datore di lavoro.

Con l'accesso ospite federato, l'azienda che assume può aggiungere Mary come ospite federato alla propria directory. In questo caso, Mary può utilizzare l’SSO dell’azienda che assume per accedere a strumenti come Workfront o AEM Assets. Non ha bisogno di un indirizzo e-mail separato sul dominio dell'azienda che assume.

L'account ospite federato di Mary è completamente indipendente dal suo account di proprietà del datore di lavoro, con diritti e risorse separati, garantendo una netta separazione dei dati organizzativi. Può passare da un account all'altro utilizzando un selettore di account. Ogni volta che cambia account, Mary deve uscire e poi riautenticarsi utilizzando il metodo di accesso dell'altro account. Questo processo garantisce che la separazione tra gli account sia mantenuta.

Per l'azienda che assume, i partner esterni come Mary possono essere integrati e gestiti attraverso gli stessi controlli di autenticazione e accesso utilizzati per i dipendenti interni. Per il datore di lavoro di Mary, l'accesso ospite federato non richiede modifiche. Il suo account, i diritti e le risorse rimangono inalterati, e nessuna delle due organizzazioni ha visibilità sugli account dell'altra.

Account ospite federati

L'accesso ospite federato introduce un nuovo tipo di account per ospiti federati.Gli ospiti federati sono una nuova variante del tipo di account Federated ID esistente, esteso per supportare domini e-mail che non sono di proprietà o rivendicati dall'azienda.

Consente alle aziende di integrare partner esterni nella loro directory federata e autenticarli attraverso l'IdP dell'organizzazione, senza richiedere la proprietà del dominio e-mail dell'ospite federato. Come tutti gli account Federated ID, ogni account ospite federato è limitato all’organizzazione che l’ha creato, con i relativi diritti, risorse e federazione indipendenti. Rimane completamente separato da qualsiasi altro account che utilizza lo stesso indirizzo e-mail in altre organizzazioni.

Gestione del dominio

Gli amministratori dell'azienda che effettua l'assunzione possono aggiungere domini esterni tramite una nuova scheda Domini ospite in Admin Console.Consente loro di aggiungere utenti con domini e-mail esterni come account Federated ID separati di proprietà della loro organizzazione.

A differenza dei domini rivendicati, i domini ospite non richiedono prova di proprietà. Puoi aggiungere sia domini rivendicabili che non rivendicabili. Per i domini rivendicati da un'altra organizzazione Adobe, i proprietari del dominio possono controllare se il loro dominio può essere utilizzato come dominio ospite.

Se il proprietario del dominio ha richiesto che il proprio dominio venga bloccato dall’uso come dominio ospite, non potrai aggiungere quel dominio come dominio ospite. Se hai già aggiunto quel dominio ospite, non puoi aggiungere nessun nuovo ospite federato con quel dominio. Gli ospiti federati esistenti con il dominio ospite non potranno accedere finché il proprietario del dominio non consentirà nuovamente l'uso del dominio ospite.

Per aggiungere domini ospite direttamente a una directory Admin Console, esegui i passaggi seguenti.

Per impostazione predefinita, tutti i domini rivendicati sono configurati per consentire l'uso del dominio ospite per l'accesso ospite federato.

Come proprietario del dominio, potresti non volere che altre organizzazioni utilizzino i tuoi domini rivendicati come dominio ospite.Sebbene l'uso del dominio ospite non influisca sulla proprietà del dominio e sui tuoi utenti, puoi rivedere come vengono utilizzati i tuoi domini rivendicati e decidere se vuoi interrompere tale uso.

Per rivedere quali altre organizzazioni in Adobe stanno utilizzando i tuoi domini richiesti come dominio ospite

Per bloccare o consentire a tutte le organizzazioni di utilizzare il tuo dominio rivendicato come dominio ospite, contatta il supporto Adobe per fare la tua richiesta. Questa modifica verrà applicata per ciascun dominio.

Quando blocchi l’uso del dominio ospite, nessun’altra organizzazione in Adobe può aggiungere quel dominio come dominio ospite. Le organizzazioni che hanno già aggiunto il dominio ospite vedranno che il loro accesso a esso è bloccato.Inoltre, non possono creare nuovi ospiti federati con quel dominio. Tutti gli account ospite federato esistenti con il dominio ospite non potranno accedere a tali account.

Sicurezza e protezioni

Il tuo IdP è sempre la fonte attendibile.Perché i partner esterni possano essere integrati come ospiti federati, devono già avere un account nel tuo IDP. Imita il modo in cui normalmente integreresti i tuoi dipendenti interni come utenti Federated ID.

Tutti gli ospiti federati devono completare un flusso di verifica una tantum prima del primo accesso. Adobe invierà un codice di verifica all’e-mail dell’ospite federato al quale verrà chiesto di rivedere e dare il consenso per aderire all’organizzazione da cui proviene l’invito in qualità di ospite federato. Se il flusso non viene completato, agli ospiti federati viene chiesto di completarlo prima di poter accedere per la prima volta.

Esperienza amministratore

Dal punto di vista dell'amministratore, l'integrazione degli ospiti federati rispecchia il processo per gli utenti federati normali.

• Configurazione: amministratori configurano i domini ospite nell'Admin Console.
• Provisioning: gli ospiti federati vengono aggiunti allo stesso modo degli utenti federati normali.
• Assegnazione prodotti: i prodotti vengono assegnati allo stesso modo degli utenti federati normali. Attualmente è limitato a Workfront e AEM Assets as a Cloud Service.L’assegnazione di prodotti non supportati, ad esempio, Photoshop, non andrà a buon fine senza consumare licenze.
• Inviti di collaborazione: le e-mail ora includono il nome dell'organizzazione proprietaria della risorsa o dell'istanza, riducendo la confusione quando si cambiano profili o account.

Esperienza utente finale

Per gli utenti finali, l'esperienza è progettata per essere semplice ma sicura. Al primo accesso, Adobe chiede agli utenti finali di completare un flusso di verifica una tantum.Gli ospiti federati devono verificare la propria e-mail e acconsentire a unirsi all'organizzazione che li invita. Una volta completata l’attivazione, gli utenti ospiti federati possono accedere all’account tramite l’IdP dell’azienda che li assume, proprio come i dipendenti interni. Gli ospiti federati possono accedere all'account ospite federato anche tramite accesso avviato da IdP.

Non è possibile accedere direttamente all’account ospite federato inserendo la propria e-mail nella pagina di accesso. Invece, devi utilizzare l'accesso avviato da IdP o i collegamenti di accesso che il tuo amministratore può fornire. I collegamenti di accesso sono specifici per directory e sono accessibili da Admin Console:

I collegamenti di accesso possono essere utilizzati da qualsiasi utente nella stessa directory, indipendentemente dal fatto che siano ospiti federati o meno.

Se la tua e-mail è collegata a più account Adobe, puoi utilizzare un selettore di account per trovare tutti gli account che condividono la stessa e-mail. Dopo aver effettuato l'accesso a qualsiasi account, vedrai l'elenco degli account a cui puoi passare. 

Un nuovo selettore di account consente agli utenti di passare da un account federato all'altro collegato allo stesso indirizzo e-mail. A differenza del cambio di profilo, il cambio di account richiede una nuova autenticazione poiché ogni account ha il proprio metodo di federazione e/o autenticazione. Gli amministratori possono anche fornire collegamenti di accesso speciali legati a directory specifiche, assicurando che gli utenti vengano indirizzati all'IdP corretto.

Gerarchia di Global Admin Console

La gerarchia Global Admin Console stabilisce come i domini ospite vengono gestiti e condivisi tra le organizzazioni.Solo le organizzazioni con la funzionalità Accesso ospite federato abilitata possono aggiungere domini ospite. Una volta che un'organizzazione padre ne aggiunge uno, diventa visibile a tutte le organizzazioni figlie nella gerarchia e in tutta la console, garantendo un onboarding coerente degli utenti esterni e degli ospiti federati.

L'organizzazione proprietaria può formare relazioni di fiducia con altre organizzazioni nella gerarchia per utilizzare il dominio come qualsiasi altro dominio rivendicato. La gestione centralizzata dell’identità può essere mantenuta a livello principale, poiché non tutte le organizzazioni richiedono l’Accesso ospite federato abilitato. Un dominio ospite può essere aggiunto solo da una directory all'interno della gerarchia, e le organizzazioni al di fuori della gerarchia non possono vedere o utilizzare i domini ospite, anche se esistono relazioni di fiducia, garantendo una visibilità controllata. In questi casi, gli utenti vengono aggiunti come ID aziendali gestiti da Adobe o dal proprietario del dominio. Se lo stesso indirizzo e-mail è registrato in più organizzazioni, vengono creati account ospite federati separati, che richiedono agli utenti di passare da un account all'altro.

Domande frequenti