Федеративный гостевой доступ

Обзор

Функция федеративного гостевого доступа Adobe позволяет корпоративным заказчикам подключать внешних сотрудников агентств, поставщиков или консалтинговых компаний в экосистему Adobe с теми же стандартами безопасности и аутентификации, что и для внутренних сотрудников.

Ранее для создания пользователя с федеративным ID требовалось владение доменом.Это требование не позволяло организациям добавлять пользователей с внешними доменами, включая незаявляемые домены, такие как gmail.com, и заявляемые домены, принадлежащие другой организации.

Функция федеративного гостевого доступа позволяет корпоративным заказчикам добавлять пользователя с любым адресом электронной почты в качестве собственного федеративного пользователя.Она обеспечивает последовательное применение SSO как для внутренних сотрудников, так и для внешних партнеров.

В настоящее время функция поддерживает Workfront и AEM Assets as a Cloud Service, с планами расширения поддержки для других продуктов.

Преимущества федеративного гостевого доступа

Вот преимущества функции федеративного гостевого доступа:

• Беспрепятственная совместная работа.Внешние партнеры получают доступ к инструментам Adobe без препятствий.
• Единая безопасность: предприятия могут применять последовательные политики SSO и аутентификации для всех пользователей.
• Операционная эффективность: исключает необходимость в обходных решениях, ранее используемых для подключения поставщиков.
• Контролируемый доступ: федеративные гостевые учетные записи изолированы от внутренних учетных записей, обеспечивая раздельность прав и ресурсов.

Сценарии и случаи использования для организаций

Федеративный гостевой доступ особенно ценен в сценариях, где предприятия полагаются на внешнюю экспертизу.Маркетинговые команды, работающие с агентствами, IT-отделы, нанимающие консультантов, или крупные организации, сотрудничающие между несколькими компаниями, могут интегрировать внешних участников без ущерба для безопасности.

Например, представьте компанию, нанимающую Марию из vendor.com для краткосрочного проекта.У Мэри уже может быть федеративная учетная запись у работодателя. Ранее нанимающая компания могла подключить Мэри к своей среде Adobe только через ее существующую федеративную учетную запись, аутентификация которой контролируется ее работодателем.

С помощью федеративного гостевого доступа нанимающая компания может добавить Мэри как федеративного гостя в свой каталог. В этом случае она может войти, используя SSO нанимающей компании для доступа к инструментам, таким как Workfront или AEM Assets. Ей не требуется отдельный адрес электронной почты в домене нанимающей компании.

Федеративная гостевая учетная запись Мэри полностью независима от учетной записи, принадлежащей работодателю, с отдельными правами и активами, обеспечивая четкое разделение организационных данных. Она может переключаться между учетными записями с помощью переключателя учетных записей. Каждый раз при переключении учетных записей Мэри должна выйти, а затем повторно пройти аутентификацию, используя метод входа другой учетной записи. Этот процесс обеспечивает сохранение разделения между учетными записями.

Для нанимающей компании внешние партнеры, такие как Мэри, могут быть подключены и управляться через те же средства контроля аутентификации и доступа, которые используются для внутренних сотрудников. Для работодателя Мэри федеративный гостевой доступ не требует изменений. Ее учетная запись, права и активы остаются неизменными, и ни одна организация не имеет доступа к учетным записям другой.

Федеративные гостевые учетные записи

Федеративный гостевой доступ представляет новую концепцию учетных записей федеративных гостей. Федеративные гости — это новый вариант существующего типа учетной записи Federated ID, расширенный для поддержки доменов электронной почты, которые не принадлежат предприятию и не заявлены им.

Это позволяет предприятиям подключать внешних партнеров к своему федеративному каталогу и аутентифицировать их через IdP организации без необходимости владения доменом электронной почты федеративного гостя. Как и все учетные записи Federated ID, каждая учетная запись федеративного гостя привязана к организации, которая ее создала, со своими независимыми правами, ресурсами и федерацией. Она остается полностью отдельной от любых других учетных записей, использующих тот же адрес электронной почты в других организациях.

Управление доменами

Администраторы нанимающей компании могут добавлять внешние домены через новую вкладку Гостевые домены в Admin Console.Это позволяет им добавлять пользователей с внешними доменами электронной почты как отдельные учетные записи Federated ID, принадлежащие их организации.

В отличие от заявленных доменов, гостевые домены не требуют подтверждения владения. Вы можете добавлять как заявляемые, так и незаявляемые домены. Для доменов, заявленных другой организацией Adobe, владельцы доменов могут контролировать, может ли их домен использоваться как гостевой домен.

Если владелец домена запросил блокировку своего заявленного домена от использования в качестве гостевого домена, вы не сможете добавить этот домен как гостевой домен. Если вы уже добавили этот гостевой домен, вы не можете добавить нового федеративного гостя с этим доменом. Любые существующие федеративные гости с гостевым доменом не смогут войти в систему, пока владелец домена снова не разрешит использование гостевого домена.

Чтобы добавить гостевые домены непосредственно в каталог Admin Console, выполните следующие действия.

По умолчанию все заявленные домены настроены на разрешение использования гостевого домена для федеративного гостевого доступа.

Как владелец домена, вы можете не захотеть, чтобы другие организации использовали ваши заявленные домены в качестве гостевого домена.Хотя использование гостевого домена не влияет на ваше владение доменом и ваших пользователей, вы можете просмотреть, как используются ваши заявленные домены, и решить, хотите ли вы прекратить такое использование.

Чтобы просмотреть, какие другие организации в Adobe используют ваши заявленные домены в качестве гостевого домена

Чтобы заблокировать или разрешить всем организациям использовать ваш заявленный домен в качестве гостевого домена, обратитесь в службу поддержки Adobe с вашим запросом.Это изменение будет применено для каждого домена отдельно.

Когда вы блокируете использование гостевого домена, никакие другие организации в Adobe не могут добавить этот домен в качестве гостевого домена.Организации, которые уже добавили гостевой домен, увидят, что их доступ к нему заблокирован.Более того, они не могут создавать новых федеративных гостей с этим доменом.Любые существующие учетные записи федеративных гостей с гостевым доменом не смогут входить в такие учетные записи.

Безопасность и меры защиты

Ваш IdP всегда является источником истины.Чтобы любые внешние партнеры были подключены как федеративные гости, у них уже должна быть учетная запись в вашем IDP.Это имитирует то, как вы обычно подключаете ваших внутренних сотрудников как пользователей с Federated ID.

Все федеративные гости должны пройти одноразовый процесс верификации перед первым входом в систему.Adobe отправит код подтверждения на электронную почту федеративного участника, после чего участнику будет предложено ознакомиться с условиями и дать согласие на присоединение к приглашающей организации в качестве федеративного гостя. Если процесс не завершен, федеративных гостей попросят завершить его, прежде чем они смогут войти в систему в первый раз.

Влияние на администратора

С точки зрения администратора, подключение федеративных гостей отражает процесс для обычных федеративных пользователей.

• Настройка: администраторы настраивают гостевые домены в Admin Console.
• Предоставление доступа: федеративные гости добавляются так же, как обычные федеративные пользователи.
• Назначение продуктов: продукты назначаются так же, как для обычных федеративных пользователей.В настоящее время это ограничено Workfront и AEM Assets as a Cloud Service. Назначение неподдерживаемых продуктов (например, Photoshop) завершится неудачей без использования лицензий.
• Приглашения для совместной работы: электронные письма теперь включают название организации, которой принадлежит ресурс или экземпляр, что уменьшает путаницу при переключении профилей или учетных записей.

Последствия для пользователей

Для конечных пользователей процесс разработан так, чтобы быть простым, но безопасным. При первом входе в систему Adobe попросит конечных пользователей пройти одноразовый процесс верификации. Федеративные гости должны подтвердить свой адрес электронной почты и дать согласие на присоединение к приглашающей организации. После завершения активации пользователи, являющиеся федеративными гостями, могут входить в учетную запись через IdP компании-работодателя, как и штатные сотрудники. Федеративные гости также могут войти в федеративную гостевую учетную запись через вход, инициированный IdP.

Невозможно напрямую войти в федеративную гостевую учетную запись, введя ваш адрес электронной почты на странице входа.Вместо этого используйте вход, инициированный IdP или ссылки для входа, которые может предоставить ваш администратор.Ссылки для входа привязаны к конкретному каталогу и доступны из Admin Console:

Ссылки для входа могут использоваться любыми пользователями в том же каталоге, независимо от того, являются ли они федеративными гостями.

Если ваш адрес электронной почты связан с несколькими учетными записями в Adobe, вы можете использовать переключатель учетных записей, чтобы найти все учетные записи с одинаковым адресом электронной почты. После входа в любую учетную запись вы увидите список учетных записей, на которые можете переключиться. 

Новый переключатель учетных записей позволяет пользователям переключаться между федеративными учетными записями, связанными с одним адресом электронной почты. В отличие от переключения профилей, переключение учетных записей требует повторной аутентификации, поскольку каждая учетная запись имеет свой собственный метод федерации и/или аутентификации. Администраторы также могут предоставлять специальные ссылки для входа, привязанные к конкретным каталогам, обеспечивая направление пользователей к правильному IdP.

Иерархия Global Admin Console

Иерархия Global Admin Console определяет, как гостевые домены управляются и используются совместно организациями. Только организации с включенной функцией Federated Guest Access могут добавлять гостевые домены. После того как родительская организация добавляет домен, он становится видимым для всех дочерних организаций в иерархии и во всей консоли, обеспечивая последовательное подключение внешних пользователей и федеративных гостей.

Владеющая организация может формировать доверительные отношения с другими организациями в иерархии для использования домена как любого другого заявленного домена. Централизованное Identity Management может поддерживаться на корневом уровне, поскольку не каждой организации нужна включенная функция федеративного гостевого доступа. Гостевой домен может быть добавлен только одним каталогом в иерархии, и организации вне иерархии не могут видеть или использовать гостевые домены, даже если существуют доверительные отношения, обеспечивая контролируемую видимость. В таких случаях пользователи добавляются как бизнес-идентификаторы, управляемые Adobe или владельцем домена.Если один и тот же адрес электронной почты зарегистрирован в нескольких организациях, создаются отдельные федеративные гостевые учетные записи, что требует от пользователей переключения между учетными записями.

Часто задаваемые вопросы