Federerad gäståtkomst

Översikt

Adobes funktion för federerad gäståtkomst gör det möjligt för storföretagskunder att registrera externa byrå-, leverantörs- eller konsultarbetare i Adobes ekosystem med samma säkerhets- och autentiseringsstandarder som interna anställda.

Tidigare krävdes domänägarskap för att skapa en Federated ID-användare. Detta krav hindrade organisationer från att lägga till användare med externa domäner, inklusive icke-anspråksbara domäner som gmail.com och anspråksbara domäner som ägs av en annan organisation.

Funktionen för federerad gäståtkomst gör det möjligt för storföretagskunder att lägga till en användare med vilken e-postadress som helst som sin egen federerade användare.Den säkerställer konsekvent SSO-tillämpning för både interna anställda och externa partners.

Funktionen stöder för närvarande Workfront och AEM Assets as a Cloud Service, med planer på att utöka stödet för andra produkter.

Fördelar med federerad gäståtkomst

Här är fördelarna med funktionen för federerad gäståtkomst:

• Sömlöst samarbete: Externa partner får åtkomst till Adobe-verktyg utan friktion.
• Enhetlig säkerhet: Storföretag kan tillämpa konsekventa SSO- och autentiseringspolicyer för alla användare.
• Operativ effektivitet: Det eliminerar behovet av lösningar som tidigare användes för att registrera leverantörer.
• Kontrollerad åtkomst: Federerade gästkonton är isolerade från interna konton, vilket säkerställer att rättigheter och resurser förblir separata.

Affärsscenarier och användningsfall

Federerad gäståtkomst är särskilt värdefull i scenarier där storföretag förlitar sig på extern expertis.Marknadsföringsteam som arbetar med byråer, IT-avdelningar som anlitar konsulter eller stora organisationer som samarbetar över flera företag kan integrera externa medarbetare utan att kompromissa säkerheten.

Föreställ dig till exempel ett företag som anställer Mary från vendor.com för ett korttidsprojekt.Mary kan redan ha ett federerat konto hos sin arbetsgivare. Tidigare kunde det anställande företaget registrera Mary i sin Adobe-miljö endast via hennes befintliga federerade konto, vars autentisering kontrolleras av hennes arbetsgivare.

Med Federated Guest Access kan det anställande företaget lägga till Mary som federerad gäst i sin katalog. I det här fallet kan hon logga in med det anställande företagets SSO för att komma åt verktyg som Workfront eller AEM Assets. Hon behöver ingen separat e-postadress på det anställande företagets domän.

Marys federerade gästkonto är helt oberoende av hennes arbetsgivarägda konto, med separata rättigheter och resurser, vilket säkerställer tydlig separation av organisationsdata. Hon kan växla mellan konton med en kontoväxlare. Varje gång hon växlar konto måste Mary logga ut och sedan autentisera sig igen med det andra kontots inloggningsmetod. Den här processen säkerställer att separationen mellan konton upprätthålls.

För det anställande företaget kan externa partners som Mary registreras och hanteras genom samma autentisering och åtkomstkontroller som används för interna anställda. För Marys arbetsgivare kräver Federated Guest Access inga ändringar. Hennes konto, rättigheter och tillgångar förblir opåverkade, och ingen av organisationerna har insyn i den andra organisationens konton.

Federerad gäst-konton

Federated Guest Access introducerar ett nytt kontokoncept med federerade gäster. Federerade gäster är en ny variation av den befintliga kontotypen Federated ID, utökad för att stödja e-postdomäner som inte ägs eller görs anspråk på av storföretaget.

Det gör det möjligt för storföretag att registrera externa partners i sin federerade katalog och autentisera dem genom organisationens IdP, utan att kräva ägarskap av den federerade gästens e-postdomän. Precis som alla Federated ID-konton är varje federerat gästkonto begränsat till den organisation som skapade det, med sina egna oberoende rättigheter, resurser och federation. Det förblir helt separat från alla andra konton som använder samma e-postadress i andra organisationer.

Domänhantering

Administratörer för det anställande företaget kan lägga till externa domäner via en ny flik Gästdomäner i Admin Console. Det gör det möjligt för dem att lägga till användare med externa e-postdomäner som separata Federated ID-konton som ägs av deras organisation.

Till skillnad från anspråkstagna domäner kräver gästdomäner inget bevis på ägarskap.Du kan lägga till både domäner som kan tas i anspråk och domäner som inte kan tas i anspråk.För domäner som ägs av en annan Adobe-organisation kan domänägare kontrollera om deras domän kan användas som gästdomän.

Om domänägaren har begärt att domänen som hen har tagit i anspråk skulle blockeras från användning som gästdomän kan den domänen inte läggas till som gästdomän. Om du redan har lagt till den gästdomänen kan du inte lägga till någon ny federerad gäst med den domänen. Alla befintliga federerade gäster med gästdomänen kommer inte att kunna logga in förrän domänägaren tillåter att gästdomänen används igen.

Följ dessa steg för att lägga till gästdomäner direkt i en Admin Console-katalog.

Som standard är alla anspråkstagna domäner konfigurerade för att tillåta användning av gästdomän för federerad gäståtkomst.

Som domänägare vill du kanske inte att andra organisationer ska kunna använda domäner, som du har tagit i anspråk, som gästdomän. Även om användningen av gästdomänen inte påverkar ditt domänägande och dina användare kan du granska hur de domäner som du har tagit i anspråk används, och bestämma om du vill stoppa sådan användning.

Så här granskar du vilka andra organisationer i Adobe som använder de domäner, som du har tagit i anspråk, som gästdomän

Kontakta Adobes support för att begära att alla organisationer tillåts eller blockeras från att använda domänen, som du har tagit i anspråk, som gästdomän.Denna ändring tillämpas per domän.

När du blockerar användning av gästdomän kan inga andra organisationer i Adobe lägga till den domänen som gästdomän.Organisationer som redan har lagt till gästdomänen kommer att se att deras åtkomst till den är blockerad. Dessutom kan de inte skapa nya federerade gäster med den domänen. Alla befintliga federerade gästkonton med gästdomänen kommer att blockeras från att logga in på sådana konton.

Säkerhet och skyddsåtgärder

Din IdP är alltid källan till sanningen. För att externa partners ska kunna registreras som federerade gäster måste de redan ha ett konto i din IDP. Det efterliknar hur du normalt skulle registrera dina interna anställda som Federated ID-användare.

Alla federerade gäster måste slutföra ett engångsverifieringsflöde före sin första inloggning. Adobe skickar en verifieringskod till den federerade gästens e-postadress, och gästen blir ombedd att granska och samtycka till att gå med i den inbjudande organisationen som federerad gäst.Om flödet inte slutförs kommer federerade gäster att bli ombedda att slutföra det innan de kan logga in för första gången.

Administratörsupplevelse

Ur administratörsperspektivet speglar registrering av federerade gäster processen för vanliga federerade användare.

• Konfiguration: Administratörer konfigurerar gästdomäner i Admin Console.
• Etablering: Federerade gäster läggs till på samma sätt som vanliga federerade användare.
• Produkttilldelning: Produkter tilldelas på samma sätt som vanliga federerade användare. Det är för närvarande begränsat till Workfront och AEM Assets as a Cloud Service. Tilldelning av produkter som inte stöds (t.ex. Photoshop) misslyckas utan att förbruka licenser.
• Collaboration-inbjudningar: E-postmeddelanden innehåller nu namnet på organisationen som äger resursen eller instansen, vilket minskar förvirringen när du växlar profiler eller konton.

Slutanvändarupplevelsen

För slutanvändare är upplevelsen utformad för att vara enkel men säker. Vid första inloggningen ber Adobe slutanvändare att slutföra ett engångsverifieringsflöde.Federerade gäster måste verifiera sin e-postadress och samtycka till att gå med i den inbjudande organisationen. När detta är klart kan federerade gäster logga in på kontot via det anställande företagets IdP, på samma sätt som interna anställda. Federerade gäster kan logga in på det federerade gästkontot via IdP-initierad inloggning också.

Det är inte möjligt att direkt logga in på det federerade gästkontot genom att ange din e-postadress på inloggningssidan. Istället måste du använda IdP-initierad inloggning eller inloggningslänkarna som din administratör kan tillhandahålla. Inloggningslänkarna är katalogspecifika och kan nås från Admin Console:

Inloggningslänkarna kan användas av alla användare i samma katalog, oavsett om de är federerade gäster eller inte.

Om din e-postadress är kopplad till flera konton hos Adobe kan du använda en kontoväxlare för att hitta alla konton som delar samma e-postadress. Efter att du loggat in på vilket konto som helst ser du listan över konton som du kan växla till. 

En ny kontoväxlare låter användare växla mellan federerade konton kopplade till samma e-postadress. Till skillnad från profilväxling kräver kontoväxling återautentisering eftersom varje konto har sin egen federation och/eller autentiseringsmetod. Administratörer kan också tillhandahålla speciella inloggningslänkar kopplade till specifika kataloger, vilket säkerställer att användare dirigeras till rätt IdP.

Global Admin Console-hierarki

Global Admin Console-hierarkin fastställer hur gästdomäner hanteras och delas mellan organisationer. Endast organisationer med funktionen Federated Guest Access aktiverad kan lägga till gästdomäner. När en överordnad organisation lägger till en blir den synlig för alla underordnade organisationer i hierarkin och över hela konsolen, vilket säkerställer konsekvent registrering av externa användare och federerade gäster.

Den ägande organisationen kan skapa förtroendeförhållanden med andra organisationer i hierarkin för att använda domänen på samma sätt som andra domäner som tagits i anspråk används. Centraliserad Identity Management kan upprätthållas på rotnivå, eftersom federerad gäståtkomst inte behöver vara aktiverad för alla organisationer. En gästdomän kan endast läggas till av en katalog inom hierarkin, och organisationer utanför hierarkin kan inte se eller använda gästdomäner, även om förtroendeförhållanden finns, vilket säkerställer kontrollerad synlighet. I sådana fall läggs användare till som företags-ID som hanteras av Adobe eller domänägaren. Om samma e-postadress är registrerad i flera organisationer skapas separata federerade gästkonton, vilket kräver att användare växlar mellan konton.

Vanliga frågor