Узнайте, как несколько организаций могут совместно использовать доступ к одному заявленному домену через отношения доверия каталогов.
Доверие каталогов позволяет организациям совместно использовать доступ к домену без дублирования права владения. Отделы могут управлять собственными консолями Admin Console, при этом используя один и тот же домен для аутентификации.
Владение каталогом и его доверение
Adobe Admin Console позволяет только одной организации владеть доменом, что может стать препятствием, когда несколько отделов должны использовать один и тот же домен для федеративных идентификаторов.
Доверие каталогов позволяет владельцам доменов предоставлять доступ другим организациям. После предоставления доверия другие организации могут добавлять пользователей в домен, тогда как аутентификация остаётся под управлением конфигурации идентификации владельца.Настройки идентификации остаются централизованными, в то время как отделы управляют пользователями независимо.
Отношения при доверении каталогов
Доверение каталогов связывает владельца домена с одним или несколькими доверенными.
Владельцы заявляют домен и настраивают идентификацию с помощью Enterprise ID или Federated ID.
Доверенные запрашивают доступ посредством стандартного рабочего процесса добавления домена в Настройки > Удостоверение. Запрос включает название организации доверителя и контактную информацию администратора, которой Adobe делится с владеющей организацией. После одобрения доверенные могут создавать учетные записи пользователей в общем домене из своей Admin Console.
Пользователи всегда проходят аутентификацию через настройки идентификации владельца, в то время как доверители назначают продукты и управляют правами.
Управление отношениями доверия
Как доверители, так и владеющие организации сохраняют контроль над своим участием в отношениях доверия. Владельцы просматривают входящие запросы доверенных во вкладке Запросы на доступ и могут одобрить или отклонить каждый запрос по отдельности или массово. Если обстоятельства изменятся, владельцы могут отозвать доступ. Доверители также могут отозвать доступ к каталогу, если он им больше не нужен.
Для консоли, не являющейся владельцем, без доверения каталога сначала предоставьте новый Federated ID в консоли, владеющей каталогом, либо напрямую, либо через процесс синхронизации или автоматического создания учетной записи. Затем консоль, не являющаяся владельцем, может добавить или назначить существующий идентификатор.
Отзыв доверия удаляет пользователей, связанных с этим каталогом, из Admin Console доверителя. Администраторы доверителей должны удалить этих пользователей и, при необходимости, вернуть ресурсы.
Соображения по планированию домена и каталога
Размещение домена важно, поскольку одобрение запроса на доступ предоставляет доверенной организации доступ ко всем текущим и будущим доменам в этом каталоге.
Чтобы перенести домен в доверительных отношениях, следуйте стандартным этапам миграции.Не отменяйте доверие, поскольку это может привести к потере учетных записей и нарушению доступа к продуктам.
Доверие каталога и типы удостоверений пользователей
Когда доверенный добавляет пользователей в доверенный каталог, эти пользователи следуют типу удостоверения, установленному владельцем: Enterprise ID или Federated ID. Они входят в систему, используя метод аутентификации владельца.
Если пользователь получает лицензии на продукты (права) как от владельца, так и от доверенной организации, появляются отдельные профили. Эти профили сохраняют ресурсы и разрешения раздельными для каждой организации.
Каждый профиль принадлежит своей организации, обеспечивая четкое владение и простое восстановление ресурсов при уходе пользователей.
Профили пользователей с несколькими организациями и переход
Когда доверенная организация переносит свою систему удостоверений, пользователи должны войти в систему снова. Пользователи, которые имеют права как от владеющей, так и от доверенной организации, могут столкнуться с выбором профиля во время этого процесса, запрашивающим их выбрать бизнес-профиль для каждой организации.
Разделение профилей гарантирует, что ресурсы, созданные под определенным профилем, остаются с организацией, предоставившей эти права. Когда пользователь покидает организацию, администратор может вернуть ресурсы, связанные с этим профилем. Ресурсы, связанные с другими профилями, остаются доступными через другие организационные членства пользователя.
Управление уведомлениями о новых пользователях
Системные администраторы в организации-владельце получают уведомления по электронной почте, когда доверенные организации добавляют пользователей в общий каталог. Эти уведомления применяются ко всем администраторам и могут быть отключены в разделе Доверенные в окне Настройки > Удостоверение выключением переключателя Уведомление о новом пользователе.
