Federacinis svečių prieigos valdymas

Apžvalga

„Adobe“ federacinio svečių prieigos valdymo funkcija leidžia įmonės klientams įtraukti išorės agentūros, tiekėjo ar konsultacijų darbuotojus į „Adobe“ ekosistemą su tais pačiais saugumo ir autentifikavimo standartais kaip vidaus darbuotojų.

Anksčiau „Federated ID“ naudotojui sukurti reikėjo domeno nuosavybės. Šis reikalavimas neleido organizacijoms pridėti naudotojų su išorės domenais, įskaitant nepareikalaujamus domenus, tokius kaip gmail.com, ir pareikalaujamus domenus, kurie priklauso kitai organizacijai.

Federacinio svečių prieigos valdymo funkcija leidžia įmonės klientams pridėti naudotoją su bet kuriuo el. pašto adresu kaip savo federacinį naudotoją. Ji užtikrina nuoseklų SSO (vieno prisijungimo) vykdymą tiek vidaus darbuotojams, tiek išorės partneriams.

Funkcija šiuo metu palaiko „Workfront“ ir AEM išteklius kaip debesijos paslaugą, planuojant išplėsti palaikymą kitiems produktams.

Federacinio svečių prieigos valdymo pranašumai

Federacinio svečių prieigos valdymo funkcijos pranašumai yra šie:

• Sklandus bendradarbiavimas: išorės partneriai gauna prieigą prie „Adobe“ įrankių be kliūčių.
• Bendra sauga: įmonės gali taikyti nuoseklius SSO ir autentifikavimo principus visiems naudotojams.
• Veiklos efektyvumas: panaikina poreikį sprendimams, anksčiau naudotiems tiekėjų įtraukimui.
• Kontroliuojama prieiga: federacinės svečių paskyros yra atskirtos nuo vidaus paskyrų, užtikrinant, kad teisės ir ištekliai lieka atskirti.

Verslo scenarijai ir naudojimo atvejai

Federacinis svečių prieigos valdymas ypač vertingas scenarijuose, kai įmonės remiasi išorės ekspertize. Rinkodaros komandos, dirbančios su agentūromis, IT skyriai, samdantys konsultantus, ar didelės organizacijos, bendradarbiaujančios keliose įmonėse, gali integruoti išorės bendradarbius nedarydamos nuolaidų saugumui.

Pavyzdžiui, įsivaizduokite įmonę, samdančią Mariją iš vendor.com trumpalaikiam projektui. Marija jau gali turėti federacinę paskyrą su savo darbdaviu. Anksčiau samdanti įmonė galėjo įtraukti Mariją į savo „Adobe“ aplinką tik per jos esamą federacinę paskyrą, kurios autentifikavimą kontroliuoja jos darbdavys.

Naudodama federacinę svečių prieigą, samdanti įmonė gali pridėti Mariją kaip federacinį svečią į savo katalogą. Šiuo atveju ji gali prisijungti naudodama samdančios įmonės SSO, kad pasiektų įrankius, pvz., „Workfront“ arba AEM išteklius. Jai nereikia atskiro el. pašto adreso įdarbinančios įmonės domene.

Marijos federacinė svečio paskyra yra visiškai nepriklausoma nuo jos darbdavio paskyros, su atskiromis teisėmis ir ištekliais, užtikrinant visišką organizacijų duomenų atskyrimą. Ji gali perjungti paskyras naudodama paskyrų perjungiklį. Kiekvieną kartą perjungdama paskyras, Marija turi atsijungti ir tada iš naujo autentifikuotis naudodama kitos paskyros prisijungimo metodą. Šiuo procesu užtikrinama, kad būtų išlaikytas paskyrų atskyrimas.

Samdančios įmonės išorės partneriai, tokie kaip Marija, gali būti įtraukti ir valdomi naudojant tuos pačius autentifikavimo ir prieigos valdiklius, kurie naudojami vidaus darbuotojams. Marijos darbdaviui dėl federacinės svečių prieigos nereikia jokių pakeitimų. Jos paskyra, teisės ir ištekliai lieka nepaveikti, ir nė viena organizacija nemato kitos organizacijos paskyrų.

Federacinių svečių paskyros

Federacinės svečių prieigos funkcija pristato naują federacinių svečių paskyrų koncepciją. Federaciniai svečiai yra naujas esamo „Federated ID“ paskyros tipo variantas, išplėstas, kad būtų palaikomi el. pašto domenai, kurių nevaldo ar kurie nepriklauso įmonei.

Tai leidžia įmonėms įtraukti išorės partnerius į savo federacinį katalogą ir autentifikuoti juos per organizacijos IdP, nereikalaujant federacinio svečio el. pašto domeno nuosavybės. Kaip ir visos „Federated ID“ paskyros, kiekviena federacinio svečio paskyra yra apribota organizacijos, kuri ją sukūrė, su savo nepriklausomomis teisėmis, ištekliais ir federacija. Ji lieka visiškai atskira nuo bet kurių kitų paskyrų, kurios naudoja tą patį el. pašto adresą kitose organizacijose.

Domenų valdymas

Samdančios įmonės administratoriai gali pridėti išorės domenus per naują Svečių domenų skirtuką „Admin Console“. Tai leidžia jiems pridėti naudotojus su išorės el. pašto domenais kaip atskiras „Federated ID“ paskyras, priklausančias jų organizacijai.

Skirtingai nei patvirtintiems domenams, svečių domenams nereikia nuosavybės įrodymo. Galite pridėti tiek patvirtinamus, tiek nepatvirtinamus domenus. Domenams, kuriuos patvirtino kita „Adobe“ organizacija, domenų savininkai gali kontroliuoti, ar jų domenas gali būti naudojamas kaip svečio domenas.

Jei domeno savininkas paprašė, kad jo patvirtintas domenas būtų užblokuotas nuo svečio domeno naudojimo, negalėsite pridėti to domeno kaip svečio domeno. Jei jau pridėjote tą svečio domeną, negalite pridėti jokio naujo federacinio svečio su tuo domenu. Esami federaciniai svečiai su svečio domenu negalės prisijungti, kol domeno savininkas neleis vėl naudoti svečio domeno.

Norėdami pridėti svečio domenus tiesiogiai prie „Admin Console“ katalogo, atlikite šiuos veiksmus.

Pagal numatytuosius nustatymus visi patvirtinti domenai sukonfigūruoti taip, kad leistų naudoti svečio domeną federacinei svečio prieigai.

Kaip domeno savininkas, galite nenorėti, kad kitos organizacijos naudotų jūsų patvirtintus domenus kaip svečio domeną. Nors svečio domeno naudojimas nepaveiks jūsų domeno nuosavybės ir jūsų naudotojų, galite peržiūrėti, kaip naudojami jūsų patvirtinti domenai, ir nuspręsti, ar norite sustabdyti tokį naudojimą.

Norėdami peržiūrėti, kokios kitos „Adobe“ organizacijos naudoja jūsų patvirtintus domenus kaip svečio domeną

Norėdami užblokuoti arba leisti visoms organizacijoms naudoti jūsų patvirtintą domeną kaip svečio domeną, kreipkitės į „Adobe“ palaikymo tarnybą.Šis pakeitimas bus taikomas atskirai kiekvienam domenui.

Užblokavus svečio domeno naudojimą, jokios kitos „Adobe“ organizacijos negali pridėti to domeno kaip svečio domeno. Organizacijos, kurios jau pridėjo svečio domeną, matys, kad jų prieiga prie jo užblokuota. Be to, jos negali kurti naujų federacinių svečių su tuo domenu. Visos esamos federacinio svečio paskyros su svečio domenu bus užblokuotos nuo prisijungimo prie tokių paskyrų.

Saugumas ir apsaugos priemonės

Jūsų IdP visada yra patikimas šaltinis. Kad išorės partneriai būtų priimti kaip federaciniai svečiai, jie jau turi turėti paskyrą jūsų IDP. Tai atkartojimas to, kaip įprastai priimtumėte savo vidaus darbuotojus kaip „Federated ID“ naudotojus.

Visi federaciniai svečiai turi užbaigti vienkartinio patvirtinimo procedūrą prieš pirmą kartą prisijungdami. „Adobe“ išsiųs patvirtinimo kodą federacinio svečio el. pašto adresu, o federacinis svečias bus paprašytas peržiūrėti ir sutikti prisijungti prie kviečiančiosios organizacijos kaip federacinis svečias. Jei procedūra nebus užbaigta, federaciniai svečiai bus paprašyti ją užbaigti, kad galėtų pirmą kartą prisijungti.

Administratoriaus aplinka

Administratoriaus požiūriu federacinių svečių įtraukimas atkartoja įprastų federacinių naudotojų procesą.

• Sąranka: administratoriai konfigūruoja svečių domenus „Admin Console“.
• Teikimas: federaciniai svečiai pridedami taip pat kaip ir įprasti federaciniai naudotojai.
• Produktų priskyrimas: produktai priskiriami taip pat kaip ir įprastiems federaciniams naudotojams. Šiuo metu apsiribojama „Workfront“ ir AEM ištekliais kaip debesijos paslauga. Nepalaikomų produktų (pvz., „Photoshop“) priskyrimas nepavyks nesunaudojant licencijų.
• Bendradarbiavimo kvietimai: el. laiškai dabar nurodo organizacijos, kuriai priklauso išteklius ar egzempliorius, pavadinimą, todėl sumažėja painiava keičiant profilius ar paskyras.

Galutinio naudotojo patirtis

Galutiniams naudotojams patirtis sukurta taip, kad būtų paprasta, bet saugi. Pirmą kartą prisijungiant, „Adobe“ paprašys galutinių naudotojų atlikti vienkartinę patvirtinimo procedūrą. Federaciniai svečiai turi patvirtinti savo el. paštą ir sutikti prisijungti prie kviečiančiosios organizacijos. Atlikę šį veiksmą federaciniai svečiai gali prisijungti prie paskyros per samdančios įmonės IdP kaip ir vidaus darbuotojai.Federaciniai svečiai taip pat gali prisijungti prie federacinio svečio paskyros per IdP inicijuotą prisijungimą.

Negalima tiesiogiai prisijungti prie federacinio svečio paskyros įvedant el. paštą prisijungimo puslapyje.Vietoj to turite naudoti IdP inicijuotą prisijungimą arba prisijungimo nuorodas, kurias gali pateikti administratorius. Prisijungimo nuorodos yra specifinės katalogui ir pasiekiamos iš „Admin Console“:

Prisijungimo nuorodas gali naudoti bet kurie to paties katalogo naudotojai, nesvarbu, ar jie yra federaciniai svečiai.

Jei jūsų el. paštas susietas su keliomis „Adobe“ paskyromis, galite naudoti paskyrų perjungiklį, kad rastumėte visas paskyras, kurios bendrina tą patį el. paštą. Prisijungę prie bet kurios paskyros matysite paskyrų, į kurias galite persijungti, sąrašą. 

Naujas paskyrų perjungiklis leidžia naudotojams perjungti federacines paskyras, susietas su tuo pačiu el. pašto adresu.Skirtingai nei profilių perjungimui, paskyrų perjungimui reikia pakartotinio tapatybės nustatymo, nes kiekviena paskyra turi savo susiejimo ir (arba) tapatybės nustatymo metodą.Administratoriai taip pat gali pateikti specialias prisijungimo nuorodas, susietas su konkrečiais katalogais, užtikrinant, kad naudotojai būtų nukreipti į tinkamą IdP.

„Global Admin Console“ hierarchija

„Global Admin Console“ hierarchija nustato, kaip svečių domenai valdomi ir bendrinami organizacijose. Tik organizacijos, kurioms įjungta federacinių svečių prieigos funkcija, gali pridėti svečių domenus. Kai patronuojančioji organizacija prideda domeną, jis tampa matomas visoms antrinėms organizacijoms hierarchijoje ir visoje konsolėje, užtikrinant nuoseklų išorės naudotojų ir federacinių svečių įtraukimą.

Valdančioji organizacija gali formuoti pasitikėjimo ryšius su kitomis hierarchijos organizacijomis, kad galėtų naudoti domeną kaip bet kurį kitą patvirtintą domeną. Centralizuotas tapatybės valdymas gali būti palaikomas pagrindiniu lygiu, nes ne kiekvienai organizacijai reikia įjungti federacinio svečių prieigą. Svečių domeną gali pridėti tik vienas hierarchijos katalogas, o organizacijos už hierarchijos ribų negali matyti ar naudoti svečių domenų, net jei egzistuoja pasitikėjimo ryšiai, užtikrinant kontroliuojamą matomumą.Tokiais atvejais naudotojai pridedami kaip verslo ID, kuriuos valdo „Adobe“ arba domeno savininkas. Jei tas pats el. pašto adresas užregistruotas keliose organizacijose, sukuriamos atskiros federacinių svečių paskyros, todėl naudotojai turi perjungti paskyras.

Dažnai užduodami klausimai