プラン
アドビでは、次の ID タイプを提供しています。
- Enterprise ID：組織がアカウントを作成し、所有します。 アカウントは、クレームされたドメインに作成されます。 Adobe が資格情報を管理し、ログインを処理します。
- Federated ID：組織がアカウントを作成、所有して、フェデレーションを通じてエンタープライズディレクトリにリンクし、企業または教育機関が資格情報を管理して、シングルサインオンを通じログインを処理します。
- Adobe ID：アカウントはユーザーが作成、管理します。 アドビが資格情報を管理し、ログインを処理します。 ストレージモデルに応じて、ユーザーまたは組織のどちらかがアカウントと資産を所有します。
はい。クレームされた同じドメイン内でなければ、Enterprise ID、Federated ID、Adobe ID から複数種類を選択いただけます。
Enterprise ID と Federated ID はドメインレベルで排他的です。 そのため、いずれか一方しか選択できません。 Adobe ID は、Federated ID または Enterprise ID とともに使用できます。
例えば、エンタープライズで 1 つのドメインのみをクレームした場合、IT 管理者は、Enterprise ID または Federated ID のいずれかを選択できます。 エンタープライズ内で組織が複数のドメインをクレームした場合、IT 管理者は 1 つのドメインで Adobe ID と Enterprise ID を使用し、別のドメインで Adobe ID と Federated ID を使用する、といったことが可能です。 つまり、各ドメインについて、Adobe ID と Enterprise ID の組み合わせ、または Adobe ID と Federated ID の組み合わせを使用できることになります。
Federated ID でのアドビライセンスの管理は、より高速かつ簡単で、安全性に優れています。
- IT 管理者が、認証とユーザーライフサイクルを管理します。
- ユーザーをエンタープライズディレクトリから削除すると、ユーザーは、デスクトップアプリ、サービスまたはモバイルアプリにアクセスできなくなります。
- Federated ID を使用すると、組織は既存のユーザー ID 管理システムを活用できます。
- ユーザーが組織の標準の ID システムを使用できるため、IT 管理者は別途パスワード管理プロセスを管理する必要がありません。
ログイン時に、ユーザーは、組織の一般的な使い慣れたシングルサインオンの操作にリダイレクトされます。
はい。 同じドメインを使用して、Enterprise ID から Federated ID に切り替えることができます。 詳しくは、ディレクトリ間でドメインを移動する方法を参照してください。
はい。アドビで SAML 2.0 に準拠した ID プロバイダーを利用してエンタープライズディレクトリとそのログインおよび認証インフラストラクチャをフェデレーションすることができます。
いいえ。 Federated ID でドメインをクレームした場合、そのドメイン内のメールアドレスを含む既存の Adobe ID が変更されることはありません。 Admin Console 内の既存の Adobe ID はそのまま保持されます。
Adobe は、業界標準として安全で広く採用されている Security Assertion Markup Language（SAML）を使用しているため、SSO の実装は SAML 2.0 をサポートする任意の ID プロバイダーと簡単に統合できます。
*ID プロバイダーが Microsft Azure AD または Google の場合は、SAML ベースの方法を省略し、Azure AD コネクタまたは Google フェデレーション SSO を使用して、Adobe Admin Console で SSO をそれぞれ設定してください。 これらの設定は、Adobe Admin Console を使用して確立および管理され、ユーザー ID と資格の管理には同期メカニズムが使用されています。
はい。SAML 2.0 プロトコルに従っている限り可能です。
はい、また ID プロバイダーは SAML 2.0 に準拠している必要があります。
SAML ID プロバイダーに必要な最小要件は、次のとおりです。
- IDP 証明書
- IDP ログイン URL
- IDP バインディング：HTTP-POST または HTTP-Redirect
- IDP の Assertion Consumer Service URL（SAML リクエストと中継状態を受け入れることができる必要があります）
詳しくは、ID プロバイダーにお問い合わせください。
方法
いいえ、Admin Console を使用して Federated ID のパスワードをリセットすることはできません。 アドビではユーザーの資格情報を保存しません。 ユーザーを管理するには ID プロバイダーを使用してください。
よくある質問：ディレクトリセットアップ
ここでは、新しい認証プロバイダーへのディレクトリの移行と非推奨の SAML セットアップの更新に関する質問に回答します。
開始する前に、アクセス要件を満たしていることを確認して、別の ID プロバイダーへの移行の手順に従ってください。また、組織のディレクトリをシームレスかつエラーなしに移行できるように、次の点を確認する必要があります。
- 管理者は IdP セットアップで新しい SAML アプリケーションを作成して設定する必要があります。既存のアプリケーションを編集すると、アクティブな設定が上書きされ、ダウンタイムが発生し、Adobe Admin Console で利用可能な IdP の切り替え機能が無効になります。
- 管理者は、必要なすべてのユーザーが新しく作成された SAML アプリケーションに割り当てられているか、使用できることを確認する必要があります。
- 管理者は、IdP の新しい認証プロファイルのユーザー名形式が、ユーザー ログイン用の既存のプロファイルで使用されている形式と一致することを確認する必要があります。これには認証プロファイルで用意されたテスト機能を使用して検証できます。 このテストリンクはクリップボードにコピーして他のユーザーと共有し、それぞれのマシンから検証できます。
- 管理者は、ディレクトリから 2～3 個のプライマリ アカウントを使用して、アクティブ化する前に新しく追加された IdP をテストする必要があります。
これらの機能ではエラーログを使用できません。 ただし、テストワークフローを使用することで、管理者がアクティブ化の前に関連するエラーを検証できます。 以下の制限事項を考慮してください。
- 1 つのディレクトリには最大 2 つの認証プロファイルを設定できますが、両方のプロファイルには異なる認証タイプを設定する必要があります。 例えば、Microsoft Azure AD（Open ID Connect を使用）は他の SAML プロバイダーと共存できますが、Google（それ自体が SAML を使用）は、同じディレクトリ内で他の SAML プロバイダーと共存できません。
- 管理者はこの機能を使用して、ID プロバイダーを移行し、ディレクトリ同期機能（Azure AD Connector および Google Connector）を有効にすることはできません。 ただし、Microsoft Azure または Google を IdP として移行するお客様は、異なる形のユーザー管理方法を利用できます。 詳しくは、 Adobe Admin Console ユーザーを参照してください。
