Als systeembeheerder in de Admin Console bestaat een van uw eerste taken eruit een identiteitssysteem te definiëren en te beheren dat wordt gebruikt om uw eindgebruikers te verifiëren. Wanneer uw organisatie licenties koopt voor Adobe-producten en -services, moet u die licenties inrichten voor uw eindgebruikers. Daarvoor hebt u een manier nodig om deze gebruikers te verifiëren.
Adobe biedt u de volgende identiteitstypen die u kunt gebruiken om uw eindgebruikers te verifiëren:
- Adobe ID
- Enterprise ID
- Federated ID
Als u afzonderlijke accounts wilt die eigendom zijn van uw organisatie en die door de organisatie worden beheerd voor gebruikers in uw domein, moet u het identiteitstype Enterprise ID of Federated ID (voor eenmalige aanmelding) gebruiken.
Dit artikel biedt de benodigde informatie voor het opzetten van het identiteitssysteem dat u nodig hebt als u Enterprise ID of Federated ID wilt gaan gebruiken om eindgebruikers te verifiëren.
Opmerking:
De procedures om de directory te configureren en het domein te configureren die in dit document worden beschreven, zijn volledig losgekoppeld. Dit betekent dat u deze procedures in willekeurige volgorde of parallel kunt uitvoeren. De procedure om e-maildomeinen te koppelen aan directory's kan echter pas worden uitgevoerd nadat u deze twee procedures hebt voltooid.
Directory
IdP
Adobe ID
Wordt gemaakt en beheerd door en is eigendom van de eindgebruiker. Adobe voert de verificatie uit en de eindgebruiker beheert de identiteit. Gebruikers behouden de volledige controle over bestanden en gegevens die zijn gekoppeld aan hun ID. Gebruikers kunnen extra producten en services kopen bij Adobe. Beheerders nodigen gebruikers uit om zich aan te sluiten bij de organisatie en kunnen ook gebruikers verwijderen. Beheerders kunnen gebruikers de toegang tot hun Adobe ID-accounts echter niet ontzeggen. De beheerder kan de accounts niet verwijderen of overnemen. U hoeft niets in te stellen om Adobe ID's te kunnen gebruiken.
In de volgende gevallen wordt het gebruik van Adobe ID's aanbevolen:
- Als u wilt dat gebruikers hun eigen identiteit maken, beheren en eigenaar zijn van hun identiteit.
- Als u gebruikers wilt toestaan om andere producten en services van Adobe te kopen of zich hiervoor aan te melden.
- Als u verwacht dat gebruikers andere services van Adobe zullen gebruiken, die momenteel nog geen Enterprise ID of Federated ID ondersteunen.
- Als gebruikers al beschikken over Adobe ID's en over aan deze ID's gekoppelde gegevens, zoals bestanden, lettertypen of instellingen.
- Voor onderwijsinstellingen waar studenten hun Adobe ID kunnen behouden nadat ze zijn afgestudeerd.
- Als u contractanten en freelancers hebt die geen gebruikmaken van e-mailadressen in domeinen die u beheert.
- Als u een Adobe-teamcontract hebt, moet u dit identiteitstype gebruiken.
Enterprise ID
Wordt gemaakt en beheerd door en is eigendom van de organisatie. Adobe host de Enterprise ID en voert de verificatie uit, maar de organisatie onderhoudt de Enterprise ID. Eindgebruikers kunnen geen Enterprise ID registreren en maken en kunnen zich ook niet inschrijven voor extra producten en services van Adobe met een Enterprise ID.
Beheerders maken een Enterprise ID en verstrekken deze aan een gebruiker. Beheerders kunnen gebruikers de toegang tot producten en services ontzeggen door het account over te nemen of door de Enterprise ID te verwijderen om de toegang tot gekoppelde gegevens permanent te blokkeren.
In de volgende gevallen wordt het gebruik van Enterprise ID's aanbevolen:
- Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
- Als u in geval van nood toegang wilt hebben tot bestanden en gegevens die aan een ID zijn gekoppeld.
- Als u de mogelijkheid wilt hebben om een gebruikersaccount volledig te blokkeren of te verwijderen.
Federated ID
Wordt gemaakt door en is eigendom van een organisatie en is via federatie gekoppeld aan de directory van de onderneming. De organisatie beheert de aanmeldingsgegevens en verwerkt eenmalige aanmelding via een SAML2-identiteitsprovider (IdP).
Hier volgen enkele vereisten voor Federated ID's en wordt aangegeven in welke gevallen het gebruik ervan wordt aanbevolen:
- Als u gebruikers toegang wilt geven tot apps en services op basis van de ondernemingsdirectory van uw organisatie.
- Als u de verificatie van gebruikers wilt beheren.
- Als u strikte controle wilt houden over apps en services die voor een gebruiker beschikbaar zijn.
- Als u gebruikers wilt toestaan hetzelfde e-mailadres te gebruiken om zich aan te melden voor een Adobe ID.
Opmerking:
De identiteitsprovider moet voldoen aan TLS 1.2.
Verificatiedomeinen
Het gedeelte van een e-mailadres na het symbool @. Als u een domein wilt gebruiken met Enterprise of Federated ID, moet u eerst bewijzen dat u de eigenaar van dat domein bent.
Stel, een organisatie bezit meerdere domeinen (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), maar de werknemers worden geverifieerd met geometrixx.com. In dit geval gebruikt de organisatie het domein geometrixx.com om de identiteit in te stellen in de Admin Console.
Personen verantwoordelijk voor deze configuratie
Identiteitstypen die domeinen gebruiken
Gebruikersidentiteiten worden geverifieerd met behulp van een verificatiebron. Als u een Enterprise ID of een Federated ID wilt gebruiken, stelt u uw eigen verificatiebron in door een domein toe te voegen. Als uw e-mailadres bijvoorbeeld johan@voorbeeld.com is, is voorbeeld.com uw domein. Als u een domein toevoegt, kunnen er Enterprise ID's of Federated ID's worden gemaakt met e-mailadressen uit het domein. Een domein kan worden gebruikt met Enterprise ID's of met Federated ID's, maar niet met beide. U kunt echter meerdere domeinen toevoegen.
Een organisatie moet bewijzen dat deze beheer heeft over een domein. Een organisatie kan ook meerdere domeinen toevoegen. Een domein kan echter slechts eenmaal worden toegevoegd. Bekende openbare en algemene domeinen, zoals gmail.com of yahoo.com, kunnen helemaal niet worden toegevoegd.
Zie Identiteitstypen beheren als u meer wilt weten over de identiteitstypen.
Als u Enterprise ID's of Federated ID's wilt gebruiken, begint u met het configureren van een directory waaraan u een of meer domeinen kunt koppelen.
Een directory configureren:
- Maak een directory in de Admin Console.
- (Alleen Federated ID) Adobe richt de directory in. Dit duurt meestal maximaal 48 uur.
- Als u uw organisatie instelt voor het identiteitstype Enterprise ID, kunt u uw e-maildomeinen gaan koppelen aan deze directory.
- (Alleen Federated ID) Nadat Adobe de directory heeft ingericht, configureert u de SAML-instellingen voor de directory.
Directory maken
-
Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.
De directory wordt gemaakt.
Als u ervoor hebt gekozen een directory voor het identiteitstype Enterprise ID te maken, bent u klaar. U kunt nu uw domeinen instellen in de Admin Console.
Als u ervoor hebt gekozen een directory voor het identiteitstype Federated ID te maken, moet Adobe deze directory inrichten voordat u verdere bewerkingen kunt uitvoeren. U hoeft echter niet te wachten totdat Adobe de directory heeft ingericht. U ondertussen uw domeinen instellen in de Admin Console.
Opmerking:
Het inrichten van directory's voor Federated ID duurt doorgaans maximaal 48 uur. U ontvangt per e-mail bericht zodra dit is voltooid.
Eenmalige aanmelding configureren (vereist voor Federated ID-directory)
Nadat u de e-mail van Adobe hebt ontvangen waarin wordt bevestigd dat uw directory is ingericht, configureert u de SAML-instellingen voor de directory.
Wanneer organisaties eenmalige aanmelding configureren en inschakelen, kunnen gebruikers hun bedrijfsaanmeldingsgegevens gebruiken om toegang te krijgen tot Adobe-software. Dit stelt gebruikers in staat eenmalig hun aanmeldingsgegevens te gebruiken om toegang te krijgen tot desktop-apps, services en mobiele apps.
De Adobe Admin Console biedt gebruikers in ondernemingen de mogelijkheid zich aan te melden met hun bestaande bedrijfsidentiteit. Met Adobe Federated ID's is integratie mogelijk met een systeem voor identiteitsbeheer met een eenmalige aanmelding. Eenmalige aanmelding wordt ingeschakeld met behulp van SAML. Dit is een protocol dat voldoet aan de industriestandaard en dat bedrijfssystemen voor identiteitsbeheer verbindt met providers van cloudservices, zoals Adobe.
Met eenmalige aanmelding kunnen verificatiegegevens veilig tussen twee partijen worden uitgewisseld: de serviceprovider (Adobe) en uw identiteitsprovider (IdP). De serviceprovider stuurt een verzoek naar uw IdP en die probeert om de identiteit van de gebruiker te verifiëren. Als de verificatie is geslaagd, stuurt de IdP een responsbericht om de gebruiker aan te melden.
IT-beheerders hebben het volgende nodig om eenmalige aanmelding voor Adobe-software in te stellen:
- Kennis van SAML 2.0
- Een identiteitsprovider (IdP) die SAML 2.0 ondersteunt en minimaal over het volgende beschikt:
- IdP-certificaat
- URL voor IdP-aanmelding
- IdP-binding: HTTP-POST of HTTP-Redirect
- URL van de Assertion Consumer Service
- TLS 1.2 ingeschakeld
- Toegang tot uw DNS-configuratie voor het claimen van een domein
De aanmeldings-URL van de IdP hoeft niet extern toegankelijk te zijn om ervoor te zorgen dat gebruikers zich kunnen aanmelden. Als de URL echter alleen bereikbaar is via het interne netwerk van de organisatie, kunnen gebruikers zich alleen bij Adobe-producten aanmelden wanneer ze zijn verbonden met het interne netwerk van de organisatie, rechtstreeks, via wifi of via een VPN. De aanmeldingspagina hoeft niet alleen via HTTPS toegankelijk te zijn, maar dat wordt om veiligheidsredenen wel aanbevolen.
Opmerking:
Momenteel biedt Adobe geen ondersteuning voor door de IdP gestarte eenmalige aanmelding.
De cloudservices van Adobe bieden eenmalige aanmelding met behulp van een SaaS SAML 2.0-connector die wordt geleverd door Okta. De connector wordt gebruikt voor communicatie met uw identiteitsprovider voor het leveren van verificatieservices. U hoeft Okta niet als uw identiteitsprovider te gebruiken omdat Okta verbinding kan maken met vele SAML 2.0-identiteitsproviders. Zie Eenmalige aanmelding/veelgestelde vragen voor meer informatie.
Als uw organisatie de integratie van eenmalige aanmelding wil testen, kunt u het beste een testdomein claimen waarvan u eigenaar bent, zolang uw organisatie een identiteitsprovider heeft met identiteiten die in dat testdomein zijn ingesteld. U kunt zo de integratie testen voordat u de hoofddomeinen claimt en u kunt doorgaan met testen totdat u vertrouwd bent met het proces van het claimen en configureren van domeinen.
Als u al een identiteitsprovider (IdP) hebt, kunt u heel eenvoudig eenmalige aanmelding configureren met behulp van de SaaS SAML 2.0-connector die door Okta wordt aangeboden.
Opmerking:
Okta is een van de vele leveranciers die u als identiteitsprovider kunt kiezen.
-
Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.
-
IdP-certificaat: als u het certificaat (.cer) wilt uploaden dat uw IdP gebruikt om de respons of bevestiging van SAML te ondertekenen, klikt u op Uploaden.
Als u het certificaat niet hebt, neemt u contact op met uw identiteitsprovider voor instructies voor het downloaden van het certificaatbestand.
Tips voor certificaten:
- PEM-indeling (X.509 met Base64-codering)
- De bestandsnaam moet de extensie .cer hebben (niet .pem of .cert)
- Het certificaat moet niet versleuteld zijn
- SHA-1
- Het certificaat moet een indeling met meerdere regels hebben (één regel werkt niet)
- Moet minimaal drie jaar meegaan (besparing op onderhoud gedurende deze levensduur zonder dat dit ten koste gaat van de veiligheid)
Opmerking:
De Okta-certificaten die aan de kant van Adobe worden gebruikt voor de handshake van Federated ID, zijn certificaten voor 20 jaar. Hiervoor is gekozen omdat u dan zelf de planning voor de rotatie van uw certificaten kunt bepalen in plaats van dat u hiertoe wordt gedwongen door Adobe of Okta.
IdP-binding: kies de methode voor het overbrengen van SAML-protocolberichten.
- Gebruik HTTP-Post voor het verzenden van het autorisatieverzoek via de browser met een XHTML-formulier. De IdP reageert ook met een document dat een XHTML-formulier bevat.
- Gebruik HTTP-Redirect voor het verzenden van het autorisatieverzoek via de tekenreeksparameter SAMLRequest in de URL-querytekenreeks van een HTTP GET-verzoek. De IdP reageert met de tekenreeksparameter SAMLResponse in de URL.
Instelling voor gebruikersaanmelding: kies E-mailadres of Gebruikersnaam om op te geven hoe gebruikers van dit domein zichzelf moeten identificeren.
-
Klik op Metagegevens downloaden.
Het metagegevensbestand wordt gedownload naar de lokale schijf. Gebruik dit bestand om uw SAML-integratie met de identiteitsprovider te configureren.
Uw identiteitsprovider vereist dit bestand om eenmalige aanmelding mogelijk te maken.
Let op:
Verzend voor algemene SAML-identiteitsproviders, zoals OpenAthens of Shibboleth, de gebruikersnaam (meestal een e-mailadres) als de NameID in de indeling 'niet opgegeven'. Verzend ook de volgende (hoofdlettergevoelige) kenmerken: FirstName, LastName, Email.
Deze kenmerken moeten overeenkomen met de vermeldingen die zijn ingesteld via de Admin Console. Als deze kenmerken niet worden geconfigureerd in de IdP om als onderdeel van de configuratie van de SAML 2.0-connector te worden verzonden, werkt de verificatie niet.
-
Werk samen met de directorybeheerder van uw identiteitsprovider (IdP) om de configuratie van eenmalige aanmelding voor uw identiteitsprovider te voltooien.
Let op:
Als Federated ID actief is, kunnen wijzigingen in de configuratie ertoe leiden dat eenmalige aanmelding voor eindgebruikers niet meer werkt. Een gewijzigde configuratie genereert een nieuw metagegevensbestand dat opnieuw moet worden geconfigureerd in de IdP.
-
Nadat de configuratie van eenmalige aanmelding bij uw identiteitsprovider is voltooid, meldt u zich aan bij de Admin Console en gaat u naar Instellingen > Identiteit.
Uw eindgebruikers worden geverifieerd met domeinen die u moet instellen in de Admin Console.
Domeinen instellen:
- Voeg domeinen toe aan de Admin Console
- Bereid de validatie van domeineigendom voor door een speciale DNS-record toe te voegen
- Valideer de domeinen
Domeinen toevoegen
De domeinen die u toevoegt in de Admin Console, hoeven niet bij dezelfde IdP te zijn geregistreerd. Wanneer u deze domeinen echter koppelt aan een directory, moet u domeinen van verschillende IdP's koppelen aan verschillende directory's.
U kunt een domein niet toevoegen aan de Admin Console als het domein al is toegevoegd aan de Admin Console van een andere organisatie. U kunt echter wel toegang tot dat domein aanvragen.
-
Meld u aan bij de Admin Console en ga naar Instellingen > Identiteit.
Eigendom van een domein aantonen (met DNS-tokens)
Een organisatie moet aantonen dat deze de eigenaar is van een domein. Een onderneming kan zoveel domeinen aan de Admin Console toevoegen als nodig is.
De Admin Console staat toe dat een organisatie één DNS-token gebruikt om het eigendom van alle domeinen aan te tonen. De Admin Console vereist bovendien geen DNS-validatie voor subdomeinen. Dit betekent dat wanneer u het DNS-token gebruikt en het eigendom van een domein aantoont, alle subdomeinen van dat domein direct worden gevalideerd wanneer ze worden toegevoegd aan de Admin Console.
-
U moet een TXT-record met de gegenereerde DNS-token toevoegen om te bevestigen dat u de eigenaar van het domein bent. De exacte instructies hangen af van uw domeinhost, maar volg de algemene richtlijnen in Het eigendom van een domein verifiëren.
-
U moet informatie toevoegen aan uw DNS-servers om deze stap te voltooien. Laat dit van tevoren weten aan uw DNS-beheerder, zodat deze stap snel kan worden voltooid.
Adobe controleert regelmatig de DNS-records voor uw domein. Als ze correct zijn, wordt het domein automatisch gevalideerd. Als u het domein direct wilt valideren, kunt u zich aanmelden bij de Admin Console en het domein handmatig valideren. Zie Domein valideren.
Domein valideren
De Admin Console probeert domeinen die u hebt toegevoegd, meerdere malen per dag te valideren. U hoeft dus niets te doen om een domein te valideren nadat de DNS-records correct zijn geconfigureerd.
Als u uw domein direct wilt valideren, kunt u dit doen in de Admin Console. Uw domeinen handmatig valideren:
U kunt nu de gevalideerde domeinen koppelen aan de gewenste directory's in de Admin Console.
Nadat u uw directory's en domeinen hebt ingesteld in de Admin Console, moet u de domeinen aan de directory's koppelen.
U kunt meerdere domeinen aan dezelfde directory koppelen. Alle domeinen die u aan één directory koppelt, moeten echter dezelfde instellingen voor eenmalige aanmelding hebben.
Let op:
U kunt een domein niet aan meerdere directory's koppelen. Als u de koppeling tussen een domein en een directory wilt verwijderen, neemt u contact op met de ondersteuning van Adobe. U moet de koppeling tussen domeinen en directory's dus goed plannen voordat u de volgende procedure start.
U zorgt ervoor dat uw eindgebruikers de Adobe-producten en -services waarvoor uw organisatie een licentie heeft, kunnen gaan gebruiken door eindgebruikers en gebruikersgroepen toe te voegen en deze toe te wijzen aan productprofielen.
Het eigendom van een domein kan door slechts één organisatie worden geclaimd. Kijk bijvoorbeeld eens naar het volgende scenario:
Een bedrijf, Geometrixx, heeft meerdere afdelingen. Elke afdeling heeft een unieke eigen Admin Console. Elke afdeling wil Federated ID's gebruiken en het domein geometrixx.com gebruiken. In dit geval wil de systeembeheerder voor elk van deze afdelingen dit domein claimen voor verificatie. In de Admin Console wordt voorkomen dat een domein wordt toegevoegd aan de Admin Console van meer dan één organisatie. Nadat het domein door één afdeling is toegevoegd, kunnen andere afdelingen echter toegang aanvragen tot de directory waaraan dat domein is gekoppeld namens de Admin Console van hun organisatie.
Bij vertrouwde directory's kan de eigenaar van een directory andere systeembeheerders (gemachtigden) vertrouwen. Daarna kunnen beheerorganisaties in de Admin Console gebruikers toevoegen aan elk domein in de vertrouwde directory.
Samenvattend: als u van plan bent om Enterprise ID's of Federated ID's te gebruiken in uw Admin Console, moet u het domein toevoegen dat is gekoppeld aan uw organisatie. Als dit domein eerder is toegevoegd door een andere organisatie, moet u als gemachtigde toegang aanvragen tot de directory met dat domein.
Als u toegang tot een directory wilt aanvragen, raadpleegt u de stappen in de bovenstaande procedure Domeinen instellen.
Let op:
Als u als eigenaar van een directory een toegangsaanvraag voor die directory goedkeurt, heeft de beheerorganisatie toegang tot alle domeinen die zijn gekoppeld aan die directory en tot alle domeinen die in de toekomst aan de directory worden gekoppeld. Het is dus van groot belang dat u de koppeling tussen domeinen en directory's plant wanneer u het identiteitssysteem in uw organisatie configureert.
Toegang aanvragen
Als u bestaande domeinen toevoegt aan de Admin Console, wordt het volgende bericht weergegeven:
Als u toegang aanvraagt tot dit domein, worden uw naam en e-mailadres en de naam van uw organisatie met de aanvraag gedeeld met de systeembeheerders van de organisatie die het domein bezit.
Het type directory (Enterprise of Federated) hangt af van hoe het domein is opgezet door de organisatie die het domein bezit. Dit betekent dat u het type directory moet gebruiken dat door de eigenaar is gekozen.
Aangezien het domein al is ingesteld door de eigenaar (zie Eigendom van een domein aantonen in Domeinen instellen voor meer informatie), hoeft u, als gemachtigde, geen verdere stappen te ondernemen. Wanneer de toegangsaanvraag door de eigenaar wordt geaccepteerd, heeft uw organisatie toegang tot de directory en alle domeinen erin, zoals geconfigureerd door de eigenaar van het domein.
Aanvraagstatus controleren
Als uw aanvraag voor toegang tot de directory wordt geaccepteerd door de eigenaar van de directory, ontvangt u een e-mailmelding. Uw aanvraag verdwijnt en in plaats daarvan worden de vertrouwde directory en de domeinen erin met de status Actief (vertrouwd) weergegeven in de lijsten Directory's en Domeinen.
U kunt nu eindgebruikers en gebruikersgroepen gaan toevoegen en deze toewijzen aan productprofielen.
Status van gemachtigde intrekken
Als u als beheerorganisatie niet langer toegang nodig hebt tot de vertrouwde directory, kunt u uw status van gemachtigde op elk moment weer intrekken.
Als u uw toegang tot een vertrouwde directory intrekt, worden Enterprise ID- of Federated ID-gebruikers die deel uitmaken van domeinen in die directory (wat betekent dat ze zich aanmelden met de domeinreferenties) verwijderd uit uw organisatie. Deze gebruikers hebben ook niet langer toegang tot software die door uw organisatie aan ze werd verleend.
Als systeembeheerder van een organisatie die eigenaar is van directory's, kunt u ervoor kiezen aanvragen voor toegang tot die directory's te accepteren of te weigeren.
Wanneer u een e-mailaanvraag krijgt voor toegang tot een directory die uw eigendom is, kunt u ervoor kiezen de aanvraag te weigeren of accepteren in de e-mail zelf. U kunt ook naar het tabblad Toegangsaanvragen gaan om de aanvragen te beheren.
Toegangsaanvragen accepteren
Toegang weigeren
Toegang intrekken
Als u de toegang van een beheerorganisatie intrekt, worden gebruikers met een Enterprise ID- of Federated ID-account in een domein in die directory, verwijderd uit de beheerorganisatie. Deze gebruikers hebben ook geen toegang meer tot software en services die aan hen zijn verleend door de beheerorganisatie.
Hoewel alle gegevens in Creative Cloud en Document Cloud zijn versleuteld, kunt u door Adobe toegewezen versleutelingssleutels laten maken voor accounts in een directory die u maakt.
Versleutelingssleutel inschakelen
Versleutelingssleutel intrekken
Directory's verwijderen
Opmerking:
U kunt geen directory verwijderen die het volgende bevat:
- Actieve gebruikers
- Gekoppelde domeinen
- Beheerorganisaties
Domeinen verwijderen
Opmerking:
U kunt een domein niet verwijderen als er gebruikers met dat domein in de Admin Console zijn of als het domein is gekoppeld aan een of meer directory's.
De voorwaarden van Creative Commons zijn niet van toepassing op Twitter™- en Facebook-berichten.