Como administrador de sistema no Admin Console, uma das primeiras tarefas é definir e configurar um sistema de identidade com o qual seus usuários finais serão autenticados. Conforme sua organização comprar licenças para produtos e serviços da Adobe, você precisará fornecer essas licenças aos seus usuários finais. E, para isso, você precisará de uma maneira de autenticar esses usuários.
A Adobe fornece os seguintes tipos de identidade que você pode usar para autenticar seus usuários finais:
- Adobe ID
- Enterprise ID
- Federated ID
Se você deseja ter contas separadas de propriedade e controladas por sua organização para usuários do domínio, use os tipos de identidade Enterprise ID ou Federated ID (para Single Sign-On).
Este artigo fornece os detalhes para configurar o sistema de identidade necessário se você planeja usar Enterprise ID ou Federated ID para autenticar seus usuários finais.
Observação:
Os procedimentos configurar diretório e configurar domínio descritos neste documento são completamente dissociados. Isso significa que você pode fazer esses procedimentos em qualquer ordem ou em paralelo. Contudo, o procedimento para vincular domínios de email a diretórios será feito somente depois que você terminar ambos os procedimentos.
Antes de começarmos os procedimentos, esses são alguns conceitos e termos de que você precisa estar ciente:
Diretório
IdP
Adobe ID
Criada, de propriedade e gerenciada pelo usuário final. A Adobe realiza a autenticação, e o usuário final gerencia a identidade. Os usuários mantêm o controle dos arquivos e dados associados à ID. Os usuários ainda podem comprar produtos e serviços adicionais da Adobe. Os administradores convidam os usuários para participar da empresa e podem removê-los. Entretanto, os usuários não podem ser bloqueados de suas contas da Adobe ID. O administrador não pode excluir ou gerenciar as contas. Nenhuma configuração é necessária para que você possa começar a usar Adobe IDs.
Veja a seguir algumas exigências e cenários em que Adobe IDs são recomendadas:
- Se você deseja permitir que usuários criem, sejam proprietários e gerenciem suas identidades.
- Se você deseja permitir que os usuários comprem ou assinem outros produtos e serviços da Adobe.
- Se os usuários tiverem de usar outros serviços da Adobe, que no momento não oferecem suporte às Enterprise IDs ou Federated IDs.
- Se os usuários já tiverem Adobe IDs e dados associados, como arquivos, fontes ou configurações.
- Em configurações para o setor acadêmico, em que os alunos podem manter sua Adobe ID após a graduação.
- Se houver contratados e freelancers que não usam endereços de email em domínios que você controla.
- Se você tiver um contrato da Adobe para equipes, precisará usar esse tipo de identidade
Enterprise ID
Criada, de propriedade e gerenciada por uma organização. A Adobe hospeda a Enterprise ID e executa a autenticação, mas a empresa mantém a ID. Os usuários finais não podem cadastrar-se e criar uma Enterprise ID nem se inscrever para produtos e serviços adicionais da Adobe usando uma Enterprise ID.
Os administradores criam uma Enterprise ID e a emitem a um usuário. Os administradores podem revogar o acesso a produtos e serviços assumindo o controle da conta ou excluindo a Enterprise ID para bloquear o acesso aos dados associados permanentemente.
Veja a seguir algumas exigências e cenários em que Enterprise IDs são recomendadas:
- Se você precisa manter controle rígido sobre aplicativos e serviços disponíveis a um usuário.
- Se precisar de acesso de emergência a arquivos e dados associados à ID.
- Se for necessário bloquear ou excluir completamente uma conta de usuário.
Federated ID
Criada e de propriedade de uma organização, e é vinculada ao diretório corporativo por meio de federação. A organização gerencia as credenciais e processa o Single Sign-On por meio de um provedor de identidade (IdP) SAML2.
Veja a seguir algumas exigências e cenários em que Federated IDs são recomendadas:
- Se você deseja provisionar usuários com base no diretório corporativo da sua empresa.
- Se você deseja gerenciar a autenticação de usuários.
- Se você precisa manter controle rígido sobre aplicativos e serviços disponíveis a um usuário.
- Se você deseja permitir que os usuários usem o mesmo endereço de email para cadastrar-se para obter uma Adobe ID.
Domínios de autenticação
A parte do endereço de email após o símbolo de @. Para usar um domínio com Enterprise ID ou Federated ID, primeiro você deve validar a propriedade desse domínio.
Por exemplo, se uma empresa possui vários domínios (geometrixx.com, support.geometrixx.com, contact.geometrixx.com), mas seus funcionários estão autenticados com geometrixx.com. Nesse caso, a organização usará o domínio geometrixx.com para configurar sua identidade no Admin Console.
Pessoas responsáveis por esta configuração
- Trabalha com gerentes de diretório de IdP e gerentes de DNS para configurar a identidade no Admin Console. Este documento é destinado aos administradores de sistema que terão acesso ao Admin Console. É esperado que a pessoa trabalhe com outras pessoas que, geralmente, não terão acesso ao Admin Console.
Tipos de identidade que usam domínios
As identidades dos usuários são verificadas em relação a uma fonte de autenticação. Para usar a Enterprise ID ou a Federated ID, configure sua própria fonte de autenticação adicionando um domínio. Por exemplo, se o endereço de email for john@example.com, example.com será seu domínio. Adicionar um domínio permite a criação de Enterprise IDs ou Federated IDs com endereços de email no domínio reivindicado. Um domínio pode ser usado com Enterprise IDs ou Federated IDs, mas não com ambas. No entanto, você pode adicionar vários domínios.
Uma empresa deve validar o controle sobre um domínio. Uma organização também pode adicionar múltiplos domínios. Entretanto, um domínio só pode ser adicionado uma vez. Domínios públicos e genéricos conhecidos, como gmail.com ou yahoo.com, não podem ser adicionados.
Para saber mais sobre os tipos de identidade, consulte Gerenciar tipos de identidade.
Para usar Enterprise IDs ou Federated IDs, comece configurando um diretório ao qual você pode vincular um ou mais domínios.
Para configurar um diretório:
- Crie um diretório no Admin Console.
- (Apenas Federated ID) a Adobe fornecerá o diretório. Isso geralmente leva até 48 horas.
- Caso configure sua organização para o tipo de identidade Enterprise ID, você pode começar a vincular os domínios de email ao diretório.
- (Apenas Federated ID) depois que a Adobe fornecer seu diretório, defina as configurações do SAML dele.
Criar diretório
-
Faça logon no Admin Console e navegue até Configurações > Identidade.
O diretório é criado.
Caso tenha escolhido criar um diretório de tipo de identidade Enterprise ID, você terminou. Prossiga e configure seus domínios no Admin Console.
Caso tenha escolhido criar um diretório de tipo de identidade Federated ID , a Adobe precisará fornecer esse diretório antes que você possa executar mais operações nele. No entanto, não é necessário aguardar até a Adobe fornecer o diretório. Você pode prosseguir e configurar seus domínios no Admin Console.
Observação:
O fornecimento de diretórios do tipo Federated ID normalmente leva até 48 horas. Você será notificado por email, assim que for concluído.
Configurar Single Sign-On (necessário para diretório de Federated ID)
Após receber o email da Adobe confirmando que seu diretório foi fornecido, defina as configurações de SAML dele.
Quando as organizações configuram e habilitam o Single Sign-On (SSO), os usuários da empresa podem usar suas credenciais corporativas para acessar o software da Adobe. Isso permite que os usuários usem uma única credencial para acessar os aplicativos de desktop, serviços e aplicativos móveis da Adobe.
O Adobe Admin Console oferece um método para usuários corporativos autenticarem usando sua identidade corporativa existente. As Federated IDs da Adobe permitem a integração com um sistema de gerenciamento de identidade Single Sign-On (SSO). O Single Sign-On é habilitado por meio de SAML, um protocolo padrão industrial que conecta sistemas de gerenciamento de identidade corporativa a provedores de serviços de nuvem como a Adobe.
O SSO pode compartilhar com segurança informações de autenticação entre as duas partes: o provedor de serviços (Adobe) e o provedor de identidade (IdP). O provedor de serviços envia uma solicitação ao IdP, que tenta autenticar o usuário. Se a autenticação for bem-sucedida, o IdP enviará uma mensagem de resposta para fazer logon do usuário.
Para configurar o SSO para o software da Adobe, os administradores de TI precisam do seguinte:
- Uma compreensão de SAML 2.0
- Um provedor de identidade (IdP) que suporta SAML 2.0 e tenha no mínimo:
- Certificado de IDP
- URL de logon do IDP
- Vínculo de IDP: HTTP-Post ou HTTP-Redirect
- URL do serviço de clientes de asserção
- Acesso à configuração de DNS para o processo de reivindicação de domínio
O URL de logon do IdP não precisa ser acessível externamente para que os usuários possam acessá-lo para fazer logon. No entanto, se ele for acessível somente na rede interna da empresa, os usuários só poderão fazer logon em produtos da Adobe quando estiverem conectados à rede interna da organização, seja diretamente, por wi-fi ou por meio de VPN. Não é necessário que a página de logon seja acessível apenas por meio de HTTPS, mas é recomendado por motivos de segurança.
Observação:
No momento, a Adobe não oferece suporte a SSO iniciado por IdP.
Os serviços na nuvem da Adobe oferecem o SSO por meio de um conector SaaS (software como serviço) SAML 2.0 fornecido pela Okta. O conector é usado para comunicar-se com o provedor de identidade para fornecer serviços de autenticação. Você não é obrigado a usar a Okta como seu serviço do provedor de identidade, pois a Okta conecta-se a vários fornecedores de serviço de identidade SAML 2.0. Para obter mais informações, consulte SSO/Perguntas comuns.
Se a sua organização quiser testar a integração SSO, é recomendado que você reivindique um domínio de teste que já possui, desde que a sua organização tenha um provedor de identidade com identidades configuradas nesse domínio de teste. Isso permite que você teste a integração antes de reivindicar os domínios principais até se sentir confortável com o processo de reivindicação do domínio e configuração.
Se você já tiver um provedor de identidade (IdP), você pode facilmente configurar o SSO usando o conector SaaS SAML 2.0 fornecido pela Okta.
Observação:
A Okta é uma das várias opções de fornecedores que você pode usar como provedor de identidade.
-
Faça logon no Admin Console e navegue até Configurações > Identidade.
-
Certificado de IDP: para fazer upload do certificado (.cer) que seu IdP usa para assinar a resposta ou afirmação SAML, clique em Upload.
Se você não tiver o certificado, entre em contato com o provedor de identidade para obter instruções para baixar o arquivo do certificado.
Dicas de certificado:
- No formato PEM (X.509 codificado na base 64)
- Nomeado com a extensão de arquivo .cer (não .pem ou .cert)
- Sem criptografia
- SHA-1
- Formato de várias linhas (falha com linha única)
- Deve ter uma duração mínima de três anos (economiza em manutenção ao longo da vida e não compromete a segurança)
Observação:
Os certificados da Okta usados no lado da Adobe do reconhecimento da Federated ID são certificados de 20 anos. Assim, você pode gerenciar os certificados com a frequência que escolher, em vez de ser forçado pela Adobe/Okta a fazê-lo com determinada frequência.
Vínculo de IDP: escolha o método de transmissão de mensagens de protocolo de SAML.
- Use o HTTP-Post para transmitir a solicitação de autorização pelo navegador usando um formulário XHTML. O IdP também responde com um documento que contém um formulário XHTML.
- Use o HTTP-Redirect para transmitir a solicitação de autorização por meio do parâmetro de string SAMLRequest na string de consulta de URL de uma solicitação GET de HTTP. O IdP responde com um parâmetro de string SAMLResponse no URL.
Configuração de logon do usuário: escolha Endereço de email ou Nome de usuário para especificar como os usuários deste domínio se identificarão.
-
Clique em Baixar metadados.
O arquivo de metadados é baixado no disco local. Use este arquivo para configurar a integração de SAML com o provedor de identidade.
Seu provedor de identidade requer este arquivo para habilitar Single Sign-On.
Cuidado:
Para provedores de identidade SAML genéricos, tais como OpenAthens ou Shibboleth, envie o nome de usuário (geralmente o endereço de email) como NameID em formato "não especificado". Também envie os seguintes atributos (diferenciando maiúsculas e minúsculas): FirstName, LastName, Email.
Esses atributos devem corresponder às entradas configuradas pelo Admin Console. Se esses atributos não estiverem configurados no IDP a ser enviado como parte da configuração do conector de SAML 2.0, a autenticação não funcionará.
-
Trabalhe com o seu gerente de diretórios do provedor de identidade (IdP) para concluir a configuração de SSO com o provedor de identidade.
Cuidado:
Se a Federated ID estiver ativa, qualquer alteração nas configurações pode causar falhas no logon de SSO para usuários finais. Uma configuração alterada gera um novo arquivo de metadados que deve ser reconfigurado no IdP.
-
Após o término da configuração de SSO com seu provedor de identidade, faça logon no Admin Console e navegue até Configurações > Identidade.
Os usuários finais são autenticados em relação a domínios que você precisa configurar no Admin Console.
Para configurar domínios:
- Adicione domínios ao Admin Console
- Prepare para validar a propriedade do domínio adicionando um registro DNS especial
- Valide os domínios
Adicionar domínios
Os domínios que você adicionar ao Admin Console não precisam estar registrados com o mesmo IdP. No entanto, ao vincular esses domínios a um diretório, é necessário vincular domínios de IdPs diferentes a diretórios diferentes.
Não é possível adicionar um domínio ao Admin Console se ele já tiver sido adicionado ao Admin Console de outra organização. No entanto, você pode solicitar acesso a esse domínio.
-
Faça logon no Admin Console e navegue até Configurações > Identidade.
Demonstrar a propriedade sobre o domínio (usando tokens DNS)
Uma organização deve demonstrar a propriedade sobre um domínio. Uma organização pode adicionar quantos domínios forem necessários ao Admin Console.
O Admin Console permite a uma organização usar um único token DNS para demonstrar a propriedade sobre todos os domínios. Além disso, o Admin Console não requer a validação do DNS para subdomínios. Isso significa que, quando você usa o token DNS e demonstra a propriedade sobre um domínio, todos os subdomínios daquele domínio serão validados imediatamente conforme forem adicionados ao Admin Console.
-
Para comprovar que possui o domínio, você deve adicionar um registro TXT com o token DNS gerado. As instruções exatas dependem do seu host de domínio, mas siga as instruções genéricas fornecidas em Verificar a propriedade de um domínio.
-
Você precisa adicionar informações a seus servidores DNS para concluir esta etapa. Informe o gerente de DNS com antecedência para que esta etapa seja concluída em tempo hábil.
A Adobe verifica os registros DNS do seu domínio periodicamente. E, se estiverem corretos, o domínio é validado automaticamente. Se você deseja validar o domínio imediatamente, pode fazer logon no Admin Console e validá-lo manualmente. Consulte Validação de domínio.
Validação de domínio
O Admin Console tenta validar os domínios que você adicionou várias vezes ao dia, portanto, não é preciso fazer nada para validar um domínio depois que os registros DNS forem configurados corretamente.
Se for necessário validar seu domínio imediatamente, você pode fazer isso no Admin Console. Para validar seus domínios manualmente:
Agora é possível vincular os domínios validados aos diretórios necessários no Admin Console.
Depois de configurar os diretórios e domínios no Admin Console, é necessário vincular os domínios aos diretórios.
É possível vincular vários domínios ao mesmo diretório. No entanto, todos os domínios que você vincular a um mesmo diretório devem ter configurações de SSO idênticas.
Cuidado:
Não é possível vincular o mesmo domínio a vários diretórios. Além disso, se for necessário desvincular um domínio de um diretório no momento, entre em contato com o Suporte da Adobe. Portanto, planeje suas vinculações de domínio e diretório antes de iniciar o procedimento.
Para os usuários finais começarem a usar os produtos e os serviços da Adobe que sua organização tiver licenciado, adicione usuários finais e grupos de usuários e atribua-os a perfis de produto.
A propriedade de um domínio só pode ser reivindicada por uma única organização. Portanto, considere o seguinte cenário:
Uma empresa, Geometrixx, tem vários departamentos, cada qual com seu próprio Admin Console exclusivo. Além disso, cada departamento deseja usar Federated IDs para os usuários, tudo usando o domínio geometrixx.com. Nesse caso, o administrador de sistema de cada um desses departamentos reivindicaria esse domínio para autenticação. O Admin Console impede que um domínio seja adicionado a mais de um Admin Console de uma organização diferente. No entanto, após ser adicionado por um departamento, outros departamentos podem solicitar o acesso ao diretório ao qual o domínio está vinculado em nome do Admin Console da organização deles.
A confiabilidade do diretório permite que um proprietário do diretório confie em outros administradores de sistema (fiduciários). Depois disso, as organizações fiduciárias no Admin Console podem adicionar usuários a qualquer domínio no diretório confiável.
Resumindo, se você planeja usar uma Enterprise ID ou Federated ID no Admin Console, será necessário adicionar o domínio associado à sua organização. Se este domínio tiver sido adicionado anteriormente por outra organização, será necessário solicitar acesso ao diretório que contém esse domínio como fiduciário.
Para solicitar acesso a um diretório, consulte as etapas no procedimento Adicionar domínios em Configurar domínios acima.
Cuidado:
Como proprietário de um diretório, se você aprovar uma solicitação de acesso para esse diretório, a organização fiduciária terá acesso a todos os domínios vinculados a esse diretório, bem como todos os domínios futuramente vinculados a esse diretório. Portanto, planejar suas vinculações de domínio e diretório é essencial para configurar o sistema de identidade em sua organização.
Solicitar acesso
Se você adicionar domínios existentes ao Admin Console, a seguinte mensagem será exibida:
Se você solicitar acesso a esse domínio, seu nome, seu email e o nome da organização serão compartilhados com a solicitação para os administradores de sistema da organização proprietária.
O tipo de diretório (Enterprise ou Federated) depende de como ele foi configurado pela organização proprietária. Isso significa que você deve usar o tipo de diretório escolhido pela organização proprietária.
Como o domínio já foi configurado pelo proprietário (consulte Demonstrar propriedade sobre os domínios em Configurar domínios para obter mais detalhes), como fiduciário, você não precisa fazer mais nada. Quando a solicitação de acesso for aceita pelo proprietário, sua organização terá acesso ao diretório e a todos os seus domínios, conforme configurado pela organização proprietária.
Verificar status da solicitação
Se sua solicitação de acesso ao diretório for aceita pela organização proprietária, você receberá uma notificação por email. Sua solicitação de acesso desaparecerá e o diretório confiável e seus domínios aparecerão com o status de Ativo (confiável) nas listagens de Diretórios e Domínios.
Prossiga e adicione usuários finais e grupos de usuários e atribua-os a perfis de produto.
Remover status de fiduciário
Como uma organização fiduciária, se não precisar mais acessar o diretório confiável, é possível remover o seu status de fiduciário a qualquer momento.
Se você remover seu acesso a um diretório confiável, quaisquer usuários de Enterprise ID ou Federated ID que pertencerem a domínios nesse diretório (ou seja, fazem logon usando as credenciais do domínio) serão removidos da organização. Além disso, esses usuários não terão mais acesso a qualquer software concedido a eles pela sua organização.
Como administrador de sistema de uma organização proprietária, você pode aceitar ou rejeitar as solicitações de acesso aos diretórios que possui.
Ao receber uma solicitação por email para acesso a um diretório que você possui, você pode aceitar ou rejeitar a solicitação no próprio email. Você também pode ir até a guia Solicitações de acesso para gerenciar as solicitações de reivindicação.
Aceitar solicitações de acesso
Rejeitar solicitação
Revogar acesso
Você pode revogar o acesso de uma organização fiduciária para a qual você concedeu acesso anteriormente.
Se você revogar o acesso de uma organização fiduciária, os usuários com contas de Enterprise ID ou Federated ID em qualquer domínio desse diretório serão removidos da organização do fiduciário. Além disso, esses usuários não terão mais acesso a qualquer software ou serviço concedidos a eles pela organização do fiduciário.
Embora todos os dados na Creative Cloud e na Document Cloud estejam criptografados, você pode solicitar que a Adobe gere chaves de criptografia dedicadas para contas em um diretório que você criou.
Ativar chave de criptografia
Revogar chave de criptografia
Remover diretórios
Observação:
Não é possível remover diretórios com:
- Usuários ativos
- Domínios vinculados
- Fiduciários
Remover domínios
Observação:
Não é possível remover um domínio se houver usuários com esse domínio no Admin Console ou se o domínio estiver vinculado a um ou mais diretórios.
As publicações do Twitter™ e do Facebook não são cobertas pelos termos do Creative Commons.