Lär dig hur flera organisationer kan dela åtkomst till en enda anspråkad domän genom katalogförtroendeförhållanden.
Katalogförtroende låter organisationer dela domänåtkomst utan att duplicera ägarskap.Avdelningar kan hantera sina egna adminkonsoler samtidigt som de använder samma domän för autentisering.
Katalogägarskap och förtroende
Adobe Admin Console tillåter endast en organisation att äga en domän, vilket kan vara ett hinder när flera avdelningar behöver använda samma domän för federerade ID:n.
Katalogförtroende gör det möjligt för domänägare att dela åtkomst med andra organisationer.När förtroende beviljas kan andra organisationer lägga till användare till domänen, medan autentisering förblir under ägarens identitetskonfiguration.Identitetsinställningar förblir centraliserade medan avdelningar hanterar användare oberoende.
Katalogförtroendeförhållanden
Katalogförtroende länkar en domänägare med en eller flera förvaltare.
Ägare gör anspråk på domänen och ställer in identitet med hjälp av ett Enterprise ID eller ett Federated ID.
Förvaltare begär åtkomst genom det standardiserade arbetsflödet för att lägga till domäner i Inställningar > Identitet.Begäran inkluderar förvaltarens organisationsnamn och administratörens kontaktinformation, som Adobe delar med den ägande organisationen.När det godkänts kan förvaltare skapa användarkonton på den delade domänen från sin Admin Console.
Användare autentiserar alltid genom ägarens identitetsinställningar, medan förvaltare tilldelar produkter och hanterar rättigheter.
Hantering av förtroendeförhållanden
Både förvaltaren och de ägande organisationerna behåller kontroll över sitt deltagande i förtroendeförhållanden.Ägare granskar inkommande förvaltarbegäranden på fliken Åtkomstbegäranden och kan godkänna eller avvisa varje begäran individuellt eller i bulk.Om omständigheterna ändras kan ägare återkalla åtkomst.Förvaltare kan också dra tillbaka åtkomst till en katalog om de inte längre behöver den.
Att återkalla förtroende tar bort användare kopplade till den katalogen från förvaltarens Admin Console.Förvaltaradministratörer bör ta bort dessa användare och vid behov återta resurser.
Överväganden för domän- och katalogplanering
Domänplacering är viktig eftersom godkännande av en åtkomstbegäran beviljar förvaltarorganisationen åtkomst till alla nuvarande och framtida domäner i den katalogen.
För att migrera en domän i en förtroenderelation följer du standardmigreringsstegen.Återkalla inte förtroendet, eftersom det kan orsaka kontoförlust och störa produktåtkomst.
Katalogförtroende och användaridentitetstyper
När en förtroendeperson lägger till användare i en betrodd katalog följer dessa användare den identitetstyp som ägaren har angett, antingen Enterprise ID eller Federated ID. De loggar in med ägarens autentiseringsmetod.
Om en användare får produktlicenser (rättigheter) från både ägaren och förtroendepersonen visas separata profiler. Dessa profiler håller resurser och behörigheter åtskilda för varje organisation.
Varje profil tillhör sin organisation, vilket säkerställer tydligt ägarskap och enkel resursåterställning när användare lämnar.
Profiler för flera organisationer och migrering
När en förtroendeorganisation migrerar sitt identitetssystem måste användare logga in igen. Användare som innehar rättigheter från både den ägande och förtroendeorganisationen kan stöta på en profilväljare under denna process, vilket uppmanar dem att välja en företagsprofil för varje organisation.
Profilseparation säkerställer att resurser som skapas under en specifik profil förblir hos den organisation som beviljade dessa rättigheter. När en användare lämnar en organisation kan administratören återta resurserna som är kopplade till den profilen. Resurser kopplade till andra profiler förblir tillgängliga genom användarens andra organisationsmedlemskap.
Hantering av aviseringar för nya användare
Systemadministratörer i den ägande organisationen får e-postnotifikationer när förtroendepersoner lägger till användare i den delade katalogen. Dessa notifikationer gäller alla administratörer och kan inaktiveras i avsnittet Trustees under Inställningar > Identity genom att stänga av omkopplaren New user notification.
