Als Systemadministrator ist es eine Ihrer ersten Aufgaben, in der Admin Console ein Identitätssystem zu definieren und einzurichten, über das die Endanwender authentifiziert werden. Nachdem Ihre Organisation Lizenzen für Adobe-Produkte und -Dienste erworben hat, müssen Sie diese Lizenzen für Ihre Endanwender bereitstellen. Hierzu müssen die Benutzer authentifiziert werden.

Adobe bietet folgende Identitätstypen an, mit denen Sie Ihre Endanwender authentifizieren können:

  • Adobe ID:
  • Enterprise ID:
  • Federated ID:

Wenn Sie für die Benutzer in Ihrer Domäne separate, von Ihrer Organisation kontrollierte Konten wünschen, müssen Sie einen der Identitätstypen „Enterprise ID“ oder „Federated ID“ (für Single Sign-On) verwenden.

In diesem Artikel finden Sie eine Anleitung zum Einrichten eines Identitätssystems, das erforderlich ist, um Endanwender mit Enterprise ID oder Federated ID zu authentifizieren.

Hinweis:

Das in diesem Dokument beschriebenen Verfahren zum Einrichten eines Verzeichnisses sowie zum Einrichten der Domäne sind vollständig unabhängig voneinander. Das heißt, Sie können diese beiden Vorgänge in beliebiger Reihenfolge oder parallel ausführen. Allerdings wird das Verfahren zum Verknüpfen von E-Mail-Domänen mit Verzeichnissen erst nach Abschluss dieser beiden Vorgänge durchgeführt.

Schlüsselbegriffe und Konzepte

Bevor Sie sich mit den eigentlichen Verfahren befassen, sollten Sie einige Konzepte und Begriffe kennen:

Verzeichnis

Ein Verzeichnis der Admin Console ist ein Element, das Ressourcen wie Benutzer und Richtlinien wie die Authentifizierung enthält. Diese Verzeichnisse sind mit LDAP- oder Active Directory-Verzeichnissen vergleichbar.

IdP

Identitätsanbieter für Organisationen wie Active Directory, Azure, Ping, Okta, InCommon oder Shibboleth.

Adobe ID:

Wird vom Endanwender erstellt und verwaltet, der auch ihr Eigentümer ist. Adobe führt die Authentifizierung durch und der Endbenutzer verwaltet die Identität. Die Benutzer behalten die vollständige Kontrolle über die Dateien und Daten, die der ID zugeordnet sind. Sie können weitere Produkte und Dienste von Adobe erwerben. Administratoren laden Benutzer ein, der Organisation beizutreten, und können Benutzer entfernen. Die Adobe ID-Konten der Benutzer können jedoch nicht für diese gesperrt werden. Die Konten können vom Administrator nicht gelöscht oder übernommen werden. Für die Verwendung von Adobe IDs ist keine vorherige Einrichtung erforderlich.

Nachfolgend werden einige Anforderungen und Szenarien aufgeführt, in denen Adobe IDs empfohlen werden:

  • Sie möchten es Benutzern ermöglichen, ihre Identitäten zu erstellen, zu kontrollieren und zu verwalten.
  • Sie möchten es Benutzern ermöglichen, weitere Produkte und Dienste von Adobe zu erwerben oder sich für diese zu registrieren.
  • Sie gehen davon aus, dass Benutzer weitere Adobe-Dienste verwenden, die momentan keine Enterprise IDs oder Federated IDs unterstützen.
  • Benutzer verfügen bereits über Adobe IDs und zugehörige Daten, z. B. Dateien, Schriften oder Einstellungen. 
  • Es handelt sich um eine Bildungseinrichtung, deren Schüler oder Studenten ihre Adobe ID nach dem Abschluss behalten können.
  • Sie beschäftigen Auftragnehmer oder Freiberufler, die keine E-Mail-Adressen der von Ihnen kontrollierten Domänen verwenden.
  • Wenn Sie über einen Adobe-Teamvertrag verfügen, müssen Sie diesen Identitätstyp verwenden.

Enterprise ID:

Wird von einer Organisation erstellt und verwaltet, die auch ihr Eigentümer ist. Adobe hostet die Enterprise ID und führt die Authentifizierung durch, verwaltet wird die Enterprise ID jedoch von der Organisation. Endbenutzer können sich nicht registrieren und keine Enterprise ID erstellen und sie können sich nicht mit einer Enterprise ID für zusätzliche Produkte und Dienste von Adobe registrieren.

Administratoren erstellen eine Enterprise ID und geben sie an einen Benutzer aus. Administratoren können den Zugriff auf Produkte und Dienste sperren, indem sie das Konto übernehmen, oder sie können die Enterprise ID löschen, um den Zugriff auf die zugehörigen Daten dauerhaft zu sperren.

Nachfolgend werden einige Anforderungen und Szenarien aufgeführt, in denen Enterprise IDs empfohlen werden:

  • Sie müssen genau steuern, welche Applikationen und Dienste für einen Benutzer verfügbar sind.
  • Sie benötigen im Notfall Zugriff auf Dateien und Daten, die einer ID zugeordnet sind.
  • Sie müssen Benutzerkonten vollständig sperren oder löschen können.

Federated ID:

Wird von einer Organisation erstellt, die auch ihr Eigentümer ist, und per Verbund mit dem Unternehmensverzeichnis verknüpft. Die Organisation verwendet zum Verwalten der Anmeldeinformationen und zum Verarbeiten von Single Sign-On einen SAML2-Identitätsanbieter (IdP).

Nachfolgend werden einige Anforderungen oder Szenarien aufgeführt, in denen Federated IDs empfohlen werden:

  • Sie möchten die Bereitstellung für Benutzer auf Grundlage des Unternehmensverzeichnisses Ihrer Organisation ausführen.
  • Sie möchten die Authentifizierung von Benutzern verwalten.
  • Sie müssen genau steuern, welche Applikationen und Dienste für einen Benutzer verfügbar sind.
  • Sie möchten es Benutzern ermöglichen, zum Registrieren für eine Adobe ID die gleiche E-Mail-Adresse zu verwenden.

Authentifizierungsdomänen

Der Teil einer E-Mail-Adresse nach dem @-Symbol. Um eine Domäne mit Enterprise ID oder Federated ID verwenden zu können, müssen Sie zunächst bestätigen, dass Sie Eigentümer der Domäne sind.

Beispiel: Eine Organisation verfügt über mehrere Domänen (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), die Mitarbeiter werden jedoch über geometrixx.com authentifiziert. In diesem Fall verwendet die Organisation die Domäne geometrixx.com, um ihre Identität in der Admin Console einzurichten.

Für dieses Setup verantwortliche Rollen

Systemadministrator

  • Arbeitet mit den Verzeichnis- und DNS-Managern des IdP zusammen, um die Identität in der Admin Console einzurichten. Dieses Dokument richtet sich an Systemadministratoren mit Zugriff auf die Admin Console. Die Rolle muss mit den anderen Personen zusammenarbeiten, die (in der Regel) über keinen Zugriff auf die Admin Console verfügen.

DNS-Manager

  • Aktualisiert DNS-Tokens, um das Eigentum an der Domäne zu bestätigen.

Verzeichnismanager des Identitätsanbieters (IdP)

  • Erstellt die Connectors beim IdP.

Identitätstypen, die Domänen verwenden

Benutzeridentitäten werden anhand einer Authentifizierungsquelle überprüft. Richten Sie zum Verwenden einer Enterprise ID oder Federated ID eine eigene Authentifizierungsquelle ein, indem Sie eine Domäne hinzufügen. Wenn Ihre E-Mail-Adresse beispielsweise „jan@beispiel.de“ lautet, ist der Name Ihrer Domäne „beispiel.de“. Das Hinzufügen einer Domäne ermöglicht die Erstellung von Enterprise IDs oder Federated IDs mit E-Mail-Adressen in der Domäne. Eine Domäne kann entweder mit Enterprise IDs oder mit Federated IDs, aber nicht mit beiden gleichzeitig verwendet werden. Sie können jedoch mehrere Domänen hinzufügen.

Eine Organisation muss bestätigen, dass sie die Kontrolle über eine Domäne besitzt. Eine Organisation kann auch mehrere Domänen hinzufügen. Eine Domäne kann jedoch nur einmal hinzugefügt werden. Bekannte öffentliche und generische Domänen, z. B. „gmail.com“ oder „yahoo.com“, können überhaupt nicht hinzugefügt werden.

Weitere Informationen über die Identitätstypen finden Sie unter Verwalten von Identitätstypen.

Verzeichnis einrichten

Richten Sie zum Verwenden von Enterprise IDs oder Federated IDs zunächst ein Verzeichnis ein, das Sie mit mindestens einer Domäne verknüpfen können.

So richten Sie ein Verzeichnis ein:

  1. Erstellen Sie ein Verzeichnis in der Admin Console.
  2. (Nur Federated ID) Adobe stellt das Verzeichnis bereit. Dies dauert in der Regel bis zu 48 Stunden.
  3. Wenn Sie für Ihre Organisation eine Enterprise ID eingerichtet haben, können Sie nun Ihre E-Mail-Domänen mit dem Verzeichnis verknüpfen.
  4. (Nur Federated ID) Nachdem Adobe Ihr Verzeichnis bereitgestellt hat, konfigurieren Sie die SAML-Einstellungen für das Verzeichnis.

Verzeichnis erstellen

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Navigieren Sie zur Registerkarte Verzeichnisse und klicken Sie auf Verzeichnis erstellen.

  3. Geben Sie im Fenster Verzeichnis erstellen einen Namen für das Verzeichnis ein.

  4. Wählen Sie „Federated ID“ oder „Enterprise ID“ aus und klicken Sie auf Verzeichnis erstellen.

Das Verzeichnis wird erstellt.

Wenn Sie sich für ein Verzeichnis mit dem Identitätstyp Enterprise ID entscheiden haben, ist der Vorgang hiermit abgeschlossen. Nun können Sie in der Admin Console Domänen einrichten.

Wenn Sie sich für ein Verzeichnis mit dem Identitätstyp Federated ID entschieden haben, muss Adobe dieses Verzeichnis bereitstellen, bevor Sie fortfahren können. Sie müssen jedoch nicht warten, bis Adobe das Verzeichnis bereitgestellt hat. In der Zwischenzeit können Sie in der Admin Console Domänen einrichten.

Hinweis:

Das Bereitstellen von Federated ID-Verzeichnissen dauert normalerweise bis zu 48 Stunden. Sobald der Vorgang abgeschlossen ist, erhalten Sie eine E-Mail-Benachrichtigung.

Single Sign-On konfigurieren (für Federated ID-Verzeichnisse erforderlich)

Nachdem Sie von Adobe die E-Mail mit der Bestätigung der Bereitstellung des Verzeichnisses erhalten haben, konfigurieren Sie die SAML-Einstellungen für das Verzeichnis.

Wenn Organisationen Single Sign-On (SSO) konfigurieren und aktivieren, können Benutzer in der Organisation ihre Unternehmensanmeldeinformationen für den Zugriff auf Adobe-Software verwenden. Dadurch haben Benutzer mit einem einzelnen Satz von Anmeldeinformationen Zugriff auf Desktop-Applikationen, Dienste und mobile Apps von Adobe.

Die Adobe Admin Console ermöglicht es Unternehmensbenutzern, sich mit ihrer vorhandenen Unternehmensidentität zu authentifizieren. Adobe-Federated IDs ermöglichen die Integration mit einem SSO-Identitätsverwaltungssystem (Single Sign-On). Single Sign-On wird über SAML aktiviert, einem branchenüblichen Standardprotokoll zum Verbinden von Unternehmens-Identitätsverwaltungssystemen mit Cloud-Dienstanbietern wie Adobe.

SSO ermöglicht den sicheren Austausch von Authentifizierungsinformationen zwischen zwei Parteien: dem Dienstanbieter (Adobe) und Ihrem Identitätsanbieter (Identity Provider, IdP). Der Dienstanbieter sendet eine Anforderung an Ihren IdP, der versucht, den Benutzer zu authentifizieren. Bei erfolgreicher Authentifizierung sendet der IdP eine Antwortnachricht zum Anmelden des Benutzers.

SSO-Anforderungen

IT-Administratoren benötigen zum erfolgreichen Einrichten von SSO für Adobe-Software Folgendes:

  • Kenntnisse in SAML 2.0
  • Einen Identitätsanbieter (IdP), der SAML 2.0 unterstützt und mindestens Folgendes aufweisen muss:
    • IDP-Zertifikat
    • URL für die IDP-Anmeldung
    • IDP-Bindung: „HTTP-Post“ oder „HTTP-Redirect“
    • URL des Assertion Consumer Service
  • Zugriff auf Ihre DNS-Konfiguration für die Domänenbeanspruchung

Die Anmelde-URL des IdP muss nicht öffentlich zugänglich sein, damit Benutzer für die Anmeldung auf sie zugreifen können. Wenn sie jedoch nur innerhalb des internen Netzwerks der Organisation erreichbar ist, können sich Benutzer bei Adobe-Produkten nur anmelden, sofern sie direkt, über VPN oder über WLAN mit dem internen Netzwerk der Organisation verbunden sind. Es ist nicht erforderlich, dass die Anmeldeseite nur über HTTPS zugänglich ist, dies wird jedoch aus Sicherheitsgründen empfohlen.

Hinweis:

Derzeit wird IdP-initiierter SSO von Adobe nicht unterstützt.

Adobe-Cloud-Dienste bieten SSO mithilfe eines von Okta bereitgestellten SaaS-SAML 2.0-Connectors. Der Connector dient zur Kommunikation mit Ihrem Identitätsanbieter für die Bereitstellung von Authentifizierungsdiensten. Sie müssen nicht Okta als Ihren Identitätsanbieterdienst verwenden, da Okta mit vielen SAML 2.0-Identitätsdienstanbietern verbunden werden kann. Weitere Informationen finden Sie unter Single Sign-On | Häufige Fragen.

Wenn Ihre Organisation die SSO-Integration testen möchte, empfiehlt es sich, eine Testdomäne zu beanspruchen, die Sie besitzen, solange Ihr Unternehmen über einen Identitätsanbieter mit in dieser Testdomäne eingerichteten Identitäten verfügt. So können Sie die Integration testen, bevor Sie die Hauptdomänen beanspruchen, bis Sie mit dem Vorgang der Domänenbeanspruchung und Konfiguration vertraut sind.

SAML-Einstellungen konfigurieren

Wenn Sie bereits über einen Identitätsanbieter (IdP) verfügen, können Sie die SSO-Konfiguration einfach mit dem von Okta bereitgestellten SaaS-SAML 2.0-Connector einrichten.

Hinweis:

Okta ist einer von vielen Anbietern, die Sie als Identitätsanbieter wählen können.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Verzeichnisse.

  3. Klicken Sie in der Verzeichniszeile des zu konfigurierenden Verzeichnisses auf Konfigurieren.

    Verzeichnis bereitgestellt
  4. Das Fenster Verzeichnis konfigurieren enthält folgende Optionen:

    Single Sign-On-Einstellungen

    IDP-Zertifikat: Um das von Ihrem IdP zum Unterzeichnen der SAML-Antwort bzw. -Zusicherung verwendete Zertifikat (.cer) hochzuladen, klicken Sie auf Hochladen.

    Wenn Sie nicht über das Zertifikat verfügen, wenden Sie sich an Ihren Identitätsanbieter, um Anweisungen zum Herunterladen der Zertifikatsdatei zu erhalten.

    Empfehlungen zu Zertifikaten:

    • PEM-Format (X.509, Base64-kodiert)
    • Mit der Dateierweiterung „.cer“ (nicht .pem oder .cert).
    • Unverschlüsselt
    • SHA-1
    • Mehrzeiliges Format (einzeiliges Format führt zu einem Fehler)
    • Mindestlaufzeit von drei Jahren (verringert den Verwaltungsaufwand in diesem Zeitraum und beeinträchtigt die Sicherheit nicht)

    Hinweis:

    Die Okta-Zertifikate, die auf Adobe-Seite für die Aushandlung der Federated ID verwendet werden, sind 20-jährige Zertifikate. Dadurch können Sie Zertifikate nach Ihrem eigenen Zeitplan austauschen, statt durch Adobe/Okta dazu veranlasst zu werden.   

    IDP-Bindung: Wählen Sie die Methode zum Übermitteln von SAML-Protokollmeldungen.

    • Verwenden Sie HTTP-Post, um die Autorisierungsanforderung mit einem XHTML-Formular über den Browser zu übermitteln. Der IdP antwortet mit einem Dokument, das ebenfalls ein XHTML-Formular enthält.
    • Verwenden Sie HTTP-Redirect, um die Autorisierungsanforderung über den Zeichenfolgenparameter SAMLRequest in der URL-Abfragezeichenfolge einer HTTP-GET-Anforderung zu übermitteln. Der IdP antwortet mit dem Zeichenfolgenparameter SAMLResponse in der URL.

    Einstellung für die Benutzeranmeldung: Wählen Sie E-Mail-Adresse oder Benutzername, um festzulegen, wie sich Benutzer dieser Domäne identifizieren.

    IDP-Aussteller: Geben Sie die Entitäts-ID des Identitätsanbieters ein, der die SAML-Anforderung ausstellt.

    Ihre SAML-Zusicherung muss genau auf diese Zeichenfolge verweisen. Abweichungen hinsichtlich Schreibung, Zeichen oder Formatierung führen zu einem Fehler.

    URL für die IDP-Anmeldung: Geben Sie die URL-/SSO-Adresse für die IDP-Anmeldung ein. Zu dieser URL-Adresse werden die Benutzer für die Authentifizierung umgeleitet.

  5. Klicken Sie auf Speichern.

  6. Klicken Sie auf Metadaten herunterladen.

    Die Metadaten-Datei wird auf Ihre lokale Festplatte heruntergeladen. Verwenden Sie diese Datei, um die SAML-Integration mit dem Identitätsanbieter zu konfigurieren.

    Der Identitätsanbieter benötigt diese Datei, um Single Sign-On zu aktivieren.

    Vorsicht:

    Bei generischen SAML-Identitätsanbietern wie OpenAthens oder Shibboleth senden Sie den Benutzernamen (in der Regel die E-Mail-Adresse) als NameID im Format „unspecified“. Außerdem senden Sie die folgenden Attribute (Groß-/Kleinschreibung wird berücksichtigt): FirstName, LastName, Email.

    Diese Attribute müssen den Einträgen entsprechen, die über die Admin Console eingerichtet wurden. Wenn im IDP das Senden dieser Attribute als Teil der Konfiguration des SAML 2.0-Connectors nicht festgelegt ist, kann keine Authentifizierung erfolgen.

  7. Schließen Sie die SSO-Konfiguration in Zusammenarbeit mit dem Verzeichnismanager Ihres Identitätsanbieters (IdP) ab.

    Vorsicht:

    Wenn Federated ID aktiviert ist, können Änderungen an der Konfiguration dazu führen, dass die Endanwender keine SSO-Anmeldungen mehr durchführen können. Durch Änderungen an der Konfiguration wird eine neue Metadatendatei generiert, die im IdP neu konfiguriert werden muss.

  8. Wenn die SSO-Konfiguration mit Ihrem Identitätsanbieter abgeschlossen wurde, melden Sie sich bei der Admin Console an und wechseln Sie zu Einstellungen > Identität.

  9. Klicken Sie neben dem betreffenden Verzeichnis auf Konfigurieren.

  10. Aktivieren Sie im Fenster Verzeichnis konfigurieren die Option Die Konfiguration wurde mit dem Identitätsanbieter abgeschlossen und klicken Sie auf Fertig.

Das Verzeichnis ist jetzt für Single Sign-On konfiguriert.

Wenn dies noch nicht erfolgt ist, können Sie der Admin Console Domänen hinzufügen. Wenn Sie der Admin Console bereits Domänen hinzugefügt haben, können Sie die erforderlichen Domänen mit diesem Verzeichnis verknüpfen.

Domänen einrichten

Ihre Endanwender werden anhand der von Ihnen in der Admin Console eingerichteten Domänen authentifiziert.

So richten Sie Domänen ein:

  1. Fügen Sie Domänen zur Admin Console hinzu.
  2. Zur Vorbereitung der Bestätigung des Eigentums an der Domäne müssen Sie einen speziellen DNS-Eintrag hinzufügen.
  3. Bestätigen Sie die Domänen.

Domänen hinzufügen

Die Domänen, die Sie in der Admin Console hinzufügen, müssen nicht beim selben IdP registriert sein. Wenn Sie diese Domänen jedoch mit einem Verzeichnis verknüpfen, müssen Domänen verschiedener IdPs mit unterschiedlichen Verzeichnissen verknüpft werden.

Sie können eine Domäne der Admin Console nicht hinzufügen, wenn diese bereits der Admin Console einer anderen Organisation hinzugefügt wurde. Allerdings ist es möglich, den Zugriff auf diese Domäne anzufordern.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Klicken Sie auf der Registerkarte „Domänen“ auf Domänen hinzufügen.

  3. Geben Sie im Fenster Domänen eingeben eine Liste mit bis zu 15 Domänen ein und klicken Sie auf Domänen hinzufügen.

  4. Prüfen Sie im Fenster Domänen hinzufügen die Liste der Domänen und klicken Sie auf Domänen hinzufügen.

    Hinzuzufügende Domänen bestätigen

Ihre Domänen werden nun der Admin Console hinzugefügt. Sie müssen jedoch noch nachweisen, dass Sie Eigentümer dieser Domänen sind.

Eigentum an der Domäne (mit DNS-Tokens) nachweisen

Eine Organisation muss nachweisen, dass sie Eigentümer einer Domäne ist. Eine Organisation kann der Admin Console beliebig viele Domänen hinzufügen.

Über die Admin Console können Organisationen mit einem einzelnen DNS-Token das Eigentum an allen Domänen nachweisen. Zudem erfordert die Admin Console keine DNS-Überprüfung von Unterdomänen. Wenn Sie mit einem DNS-Token nachweisen, dass Sie Eigentümer einer Domäne sind, werden daher alle Unterdomänen dieser Domäne direkt beim Hinzufügen zur Admin Console bestätigt.

  1. Wenn Sie das DNS-Token erhalten, müssen Sie gemeinsam mit Ihrem DNS-Manager einen speziellen DNS-Eintrag für die hinzugefügten Domänen hinzufügen.

  2. Um zu bestätigen, dass Sie Eigentümer der Domäne sind, müssen Sie einen TXT-Eintrag mit dem generierten DNS-Token hinzufügen. Die genaue Vorgehensweise hängt vom Domänenhost ab, beachten Sie jedoch die allgemeinen Richtlinien unter Bestätigen des Eigentums an einer Domäne.

  3. Sie müssen Ihren DNS-Servern Informationen hinzufügen, um diesen Schritt abzuschließen. Informieren Sie Ihren DNS-Manager vorab, damit dieser Schritt zügig abgeschlossen werden kann.

    Die DNS-Einträge für Ihre Domäne werden regelmäßig von Adobe überprüft. Wenn sie korrekt sind, wird die Domäne automatisch bestätigt. Wenn Sie die Domäne sofort bestätigen möchten, können Sie sich bei der Admin Console anmelden und eine manuelle Prüfung durchführen. Siehe Domänenbestätigung.

Domänenbestätigung

Die Admin Console versucht mehrmals täglich, die hinzugefügten Domänen zu prüfen. Daher müssen Sie nach dem ordnungsgemäßen Konfigurieren der DNS-Einträge keine weiteren Schritte zum Bestätigen einer Domäne durchführen.

Domänen manuell bestätigen

Wenn Sie Ihre Domäne sofort bestätigen müssen, können Sie dies über die Admin Console durchführen. So bestätigen Sie Ihre Domänen manuell:

  1. Melden Sie sich bei der Admin Console an.

  2. Navigieren Sie zu Einstellungen > Identität und wechseln Sie zur Registerkarte Domänen.

  3. Klicken Sie auf Validieren.

    Domänen bestätigen
  4. Klicken Sie im Fenster Domäneneigentümer bestätigen auf Jetzt bestätigen.

Sie können nun die bestätigten Domänen mit den erforderlichen Verzeichnissen in der Admin Console verknüpfen.

Domänen mit Verzeichnissen verknüpfen

Nachdem Sie Ihre Verzeichnisse und Domänen in der Admin Console eingerichtet haben, müssen Sie die Domänen mit den Verzeichnissen verknüpfen.

Sie können mehrere Domänen mit einem Verzeichnis verknüpfen. Allerdings müssen alle mit einem einzelnen Verzeichnis verknüpften Domänen identische SSO-Einstellungen aufweisen.

Vorsicht:

Sie können eine Domäne nicht mit mehreren Verzeichnissen verknüpfen. Zudem müssen Sie sich derzeit an den Support von Adobe wenden, wenn Sie die Verknüpfung zwischen einer Domäne und einem Verzeichnis aufheben möchten. Daher sollten Sie die Verknüpfungen von Domänen und Verzeichnissen planen, bevor Sie mit den folgenden Schritten fortfahren.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Domänen.

  3. Aktivieren Sie das Kontrollkästchen links neben dem Domänennamen und klicken Sie auf Mit Verzeichnis verknüpfen.

    Wenn Sie mehrere Domänen mit einem einzelnen Verzeichnis verknüpfen möchten, aktivieren Sie alle Kontrollkästchen für diese Domänen.

    Domänen mit einem Verzeichnis verknüpfen
  4. Wählen Sie im Fenster Mit Verzeichnis verknüpfen das Verzeichnis in der Dropdown-Liste aus und klicken Sie auf Verknüpfen.

Damit Ihre Endanwender von Ihrer Organisation lizenzierte Adobe-Produkte und -Dienste verwenden können, fügen Sie Endanwender und Benutzergruppen hinzu und weisen Sie diese Produktprofilen zu.

Bevollmächtigte für Verzeichnisse

Das Eigentum an einer Domäne kann nur von einer einzigen Organisation beansprucht werden. Stellen Sie sich folgende Situation vor:

Das Unternehmen Geometrixx hat mehrere Abteilungen, von denen jede eine eigene Admin Console hat. Außerdem möchte jede Abteilung Federated IDs verwenden, die alle die Domäne „geometrixx.com“ nutzen.  In diesem Fall möchte der Systemadministrator diese Domäne zur Authentifizierung für jede der Abteilungen beanspruchen. Die Admin Console stellt sicher, dass eine Domäne nur der Admin Console einer einzigen Organisation hinzugefügt wird. Wenn sie jedoch bereits einer einzelnen Abteilung hinzugefügt wurde, können andere Abteilungen den Zugriff auf das Verzeichnis anfordern, mit dem diese Domäne im Namen der Admin Console ihrer Organisation verknüpft ist.

Anhand einer Vollmacht für das Verzeichnis kann ein Verzeichniseigentümer andere Systemadministratoren (Bevollmächtigten) als vertrauenswürdig festlegen. Anschließend können bevollmächtigte Organisationen in der Admin Console beliebigen Domänen im vertrauenswürdigen Verzeichnis Benutzer hinzufügen.

Kurz gesagt: Wenn Sie beabsichtigen, Enterprise IDs oder Federated IDs in Ihrer Admin Console zu verwenden, müssen Sie die Domäne hinzufügen, die Ihrer Organisation zugeordnet ist. Wenn diese Domäne bereits von einer anderen Organisation hinzugefügt wurde, müssen Sie als Bevollmächtigter den Zugriff auf das Verzeichnis anfordern, das die Domäne enthält.

Die Schritte zum Anfordern des Zugriffs auf ein Verzeichnis finden Sie im Verfahren zum Hinzufügen von Domänen unter Domänen einrichten weiter oben.

Vorsicht:

Wenn Sie als Eigentümer eines Verzeichnisses die entsprechende Zugriffsanforderung genehmigen, hat die bevollmächtigte Organisation Zugriff auf alle Domänen, die mit diesem Verzeichnis verknüpft sind. Dies gilt auch für alle Domänen, die zukünftig mit diesem Verzeichnis verknüpft werden. Das Planen der Verknüpfungen von Domänen und Verzeichnissen ist daher beim Einrichten des Identitätssystems für Ihre Organisation unerlässlich.

Domänenbevollmächtigter

Zugriff anfordern

Wenn Sie der Admin Console vorhandene Domänen hinzufügen, wird folgende Meldung angezeigt:

Zugriff anfordern

Wenn Sie den Zugriff auf diese Domäne anfordern, werden Ihr Name, Ihre E-Mail-Adresse und der Name Ihrer Organisation mit der Anforderung an die Systemadministratoren der Eigentümerorganisation weitergegeben.

Der Typ des Verzeichnisses (Enterprise oder Federated) hängt von der Einrichtung der Domäne durch die Eigentümerorganisation ab. Daher müssen Sie jeweils den von der Eigentümerorganisation ausgewählten Verzeichnistyp verwenden.

Da die Domäne bereits vom Eigentümer eingerichtet wurde (siehe die Schritte zum Nachweisen des Eigentums an den Domänen unter Domänen einrichten), müssen Sie als Bevollmächtigter keine weiteren Maßnahmen ergreifen. Wenn die Zugriffsanforderung vom Eigentümer genehmigt wurde, hat Ihre Organisation Zugriff auf das Verzeichnis und alle seine von der Eigentümerorganisation konfigurierten Domänen.

Anforderungsstatus überprüfen

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Zugriffsanforderungen und überprüfen Sie den Status der einzelnen Verzeichnisse, für die Sie den Zugriff angefordert haben.

  3. Sie können zudem in der Liste der Zugriffsanforderungen auf den Eintrag und anschließend auf Anforderung erneut senden oder Anforderung abbrechen klicken.

Wenn Ihre Zugriffsanforderung für das Verzeichnis von der Eigentümerorganisation akzeptiert wird, erhalten Sie eine Benachrichtigung per E-Mail. Ihre Vertrauensanforderung wird ausgeblendet und stattdessen werden in den Auflistungen Ihrer Verzeichnisse und Domänen das vertrauenswürdige Verzeichnis und die zugehörigen Domänen mit dem Status „Aktiv“ (vertrauenswürdig) angezeigt.

Nun können Sie Endanwender und Benutzergruppen hinzufügen und diese Produktprofilen zuweisen.

Bevollmächtigungsstatus zurückziehen

Wenn Sie als bevollmächtigte Organisation keinen Zugriff mehr auf das vertrauenswürdige Verzeichnis benötigen, können Sie Ihren Bevollmächtigtenstatus jederzeit zurückziehen.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Klicken Sie auf der Registerkarte Verzeichnisse auf das freigegebene Verzeichnis, für das Sie Ihren Zugriff aufheben möchten.

  3. Klicken Sie im Register mit den Verzeichnisdetails auf Zurückziehen.

Wenn Sie Ihren Zugriff auf ein vertrauenswürdiges Verzeichnis zurückziehen, werden alle zu Domänen in diesem Verzeichnis gehörenden Enterprise ID- oder Federated ID-Benutzer (d. h. Benutzer, die sich mit den Anmeldeinformationen für die Domäne anmelden) aus Ihrer Organisation entfernt. Außerdem verlieren diese Benutzer jeglichen Zugriff auf Software, der von Ihrer Organisation gewährt wird.

Domäneneigentümer

Als Systemadministrator einer Eigentümerorganisation können Sie die Anforderungen des Zugriffs auf Verzeichnisse, deren Eigentümer Sie sind, annehmen oder ablehnen. 

Wenn Sie eine E-Mail-Anforderung für den Zugriff auf ein Verzeichnis erhalten haben, deren Eigentümer Sie sind, können Sie die Anforderung direkt in der E-Mail annehmen oder ablehnen. Sie können auch zur Registerkarte „Zugriffsanforderungen“ wechseln, um die Beanspruchungsanforderungen zu verwalten.

Zugriffsanforderungen genehmigen

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Zugriffsanforderung.

  3. Um alle Anforderungen zu genehmigen, klicken Sie auf Alle annehmen.

    Um jedoch nur Anforderungen für bestimmte Ansprüche zu genehmigen, klicken Sie auf die Kontrollkästchen links neben den jeweiligen Zeilen und anschließend auf Annehmen.

  4. Klicken Sie im Fenster Zugriffsanforderung annehmen auf Annehmen.

An die Systemadministratoren der bevollmächtigten Organisationen wird eine E-Mail-Benachrichtigung gesendet.

Anforderung ablehnen

Sie können die Anforderung des Zugriffs auf ein Verzeichnis, dessen Eigentümer Sie sind, auch ablehnen.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Zugriffsanforderung.

  3. Klicken Sie auf die Kontrollkästchen links neben den jeweiligen Zeilen und anschließend auf Ablehnen.

  4. Geben Sie im Fenster Zugriffsanforderung ablehnen einen Grund für die Ablehnung der Anforderung ein und klicken Sie auf Ablehnen.

Der von Ihnen angegebene Grund wird der Organisation, die die Anforderung gestellt hat, per E-Mail mitgeteilt. Ihre E-Mail-Adresse, Ihr Name und Informationen zu Ihrer Organisation werden jedoch nicht weitergegeben.

Zugriff widerrufen

Sie können den Zugriff einer bevollmächtigten Organisation entziehen, der Sie zuvor Zugriff gewährt haben.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Bevollmächtigte.

  3. Klicken Sie auf die Kontrollkästchen links neben den jeweiligen Zeilen und anschließend auf Widerrufen.

  4. Klicken Sie im Fenster Bevollmächtigte widerrufen auf Widerrufen.

Wenn Sie den Zugriff einer bevollmächtigten Organisation widerrufen, werden Benutzer mit Enterprise ID- oder Federated ID-Konten in beliebigen Domänen dieses Verzeichnisses aus der Organisation des Bevollmächtigten entfernt. Außerdem verlieren diese Benutzer jeglichen Zugriff auf Software und Dienste, der von der bevollmächtigten Organisation gewährt wird.

Verschlüsselungsschlüssel verwalten

Sämtliche Daten in Creative Cloud und Document Cloud sind verschlüsselt. Zum Schutz der Inhalte können Sie darüber hinaus von Adobe dedizierte Verschlüsselungsschlüssel für die von Ihnen in einem Verzeichnis erstellten Konten generieren lassen.

Verschlüsselungsschlüssel aktivieren

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Klicken Sie im Fenster Verzeichnisse auf den Namen des Verzeichnisses, für das die Verschlüsselung aktiviert werden soll.

  3. Klicken Sie auf Einstellungen.

  4. Klicken Sie unter „Dedizierten Verschlüsselungsschlüssel aktivieren“ auf Aktivieren.

    Verschlüsselungsschlüssel aktivieren
  5. Klicken Sie im Dialogfeld Dedizierten Verschlüsselungsschlüssel aktivieren auf Aktivieren.

Verschlüsselungsschlüssel widerrufen

Sie können den dedizierten Verschlüsselungsschlüssel für ein Verzeichnis widerrufen.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Klicken Sie im Fenster Verzeichnisse auf den Namen des Verzeichnisses, für das die Verschlüsselung widerrufen werden soll.

  3. Klicken Sie im Fenster „Details“ auf Einstellungen.

  4. Klicken Sie unter „Dedizierten Verschlüsselungsschlüssel aktivieren“ auf Widerrufen.

    Verschlüsselungsschlüssel widerrufen
  5. Klicken Sie im Dialogfeld Dedizierten Verschlüsselungsschlüssel widerrufen auf Widerrufen.

Verzeichnisse und Domänen entfernen

Sie können nicht mehr verwendete Verzeichnisse und Domänen aus der Admin Console entfernen.

Verzeichnisse entfernen

Hinweis:

Verzeichnisse können nicht entfernt werden, wenn Sie Folgendes aufweisen:

  • Aktive Benutzer
  • Verknüpfte Domänen
  • Bevollmächtigte

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Verzeichnisse.

  3. Klicken Sie auf das Kontrollkästchen links neben mindestens einem Verzeichnisnamen und klicken Sie auf Löschen.

  4. Klicken Sie im Fenster „Verzeichnisse entfernen“ auf Entfernen.

Domänen entfernen

Hinweis:

Domänen können nicht entfernt werden, wenn diese in der Admin Console über Benutzer verfügen oder wenn sie mit mindestens einem Verzeichnis verknüpft sind.

  1. Melden Sie sich bei der Admin Console an und navigieren Sie zu Einstellungen > Identität.

  2. Wechseln Sie zur Registerkarte Domänen.

  3. Klicken Sie auf das Kontrollkästchen links neben mindestens einem Domänennamen und anschließend auf Löschen.

  4. Klicken Sie im Fenster Domänen entfernen auf Entfernen.

Dieses Werk unterliegt den Bedingungen der Creative Commons Attribution-Noncommercial-Share Alike 3.0 Unported License.  Twitter™- und Facebook-Beiträge fallen nicht unter die Bedingungen der Creative Commons-Lizenz.

Rechtliche Hinweise   |   Online-Datenschutzrichtlinie