กำหนดค่าบัญชี Federated ID เพื่อรับรองความถูกต้องของผู้ใช้ผ่านการผสานการทำงานการลงชื่อเข้าระบบครั้งเดียวกับผู้ให้บริการข้อมูลประจำตัวขององค์กร
การลงชื่อเข้าระบบครั้งเดียว (SSO) ช่วยให้ผู้ใช้เข้าถึงผลิตภัณฑ์ Adobe โดยใช้ข้อมูลรับรองเดียวกับที่ใช้สำหรับแอปพลิเคชันขององค์กรอื่นๆ แทนที่จะจัดการรหัสผ่าน Adobe แยกต่างหาก ผู้ใช้จะได้รับการรับรองความถูกต้องผ่านผู้ให้บริการข้อมูลประจำตัว (IdP) ที่มีอยู่ขององค์กร ทำให้การเข้าถึงเป็นไปอย่างราบรื่นและเสริมความปลอดภัย
การตั้งค่า SSO สำหรับผลิตภัณฑ์ Adobe ต้องมีการกำหนดค่าบัญชี Federated ID ที่เชื่อมโยงไดเรกทอรีองค์กรของคุณกับ Adobe ผ่านการรวมกลุ่ม การผสานการทำงานนี้ให้องค์กรควบคุมการรับรองความถูกต้อง ขณะที่ Adobe ยังคงโฮสต์บันทึกข้อมูลประจำตัว
บทบาทของ Federated ID ใน SSO
Federated ID เป็นประเภทข้อมูลประจำตัวเพียงประเภทเดียวที่รองรับ SSO กับผลิตภัณฑ์ Adobe แตกต่างจาก Adobe ID (จัดการโดยผู้ใช้) หรือ Enterprise ID (รับรองความถูกต้องโดย Adobe) Federated ID จะส่งคำขอการรับรองความถูกต้องทั้งหมดผ่านผู้ให้บริการข้อมูลประจำตัวขององค์กรโดยใช้โปรโตคอล SAML 2.0
สถาปัตยกรรมนี้มีประโยชน์สำหรับ:
- การจัดเตรียมไดเรกทอรีองค์กรตาม Active Directory หรือ Azure AD
- การควบคุมนโยบายการรับรองความถูกต้องแบบรวมศูนย์ รวมถึงข้อกำหนดการรับรองความถูกต้องแบบหลายขั้นตอน
- การกำกับดูแลที่เข้มงวดเกี่ยวกับการเข้าถึงแอปและบริการ
- ข้อกำหนดด้านกฎระเบียบหรือความปลอดภัยที่กำหนดให้ต้องมีการจัดการการรับรองความถูกต้องขององค์กร
เมื่อผู้ใช้ที่มี Federated ID ลงชื่อเข้าใช้แอปพลิเคชัน Adobe พวกเขาจะถูกเปลี่ยนเส้นทางไปยัง IdP รับรองความถูกต้องที่นั่น และส่งกลับไปยัง Adobe ด้วยโทเค็นที่ปลอดภัยซึ่งยืนยันข้อมูลประจำตัวของพวกเขา
วิธีการผสานการทำงาน SSO
Adobe Admin Console รองรับเส้นทางการผสานการทำงานหลักสามแบบ แต่ละแบบเหมาะสำหรับสภาพแวดล้อมโครงสร้างพื้นฐานที่ต่างกัน
การผสานการทำงาน Azure AD เป็นแนวทางที่แนะนำสำหรับองค์กรที่ใช้แพลตฟอร์มข้อมูลประจำตัวระบบคลาวด์ของ Microsoftตัวเชื่อมต่อ Azure AD ช่วยลดความซับซ้อนในการกำหนดค่าและทำการซิงโครไนซ์ผู้ใช้ระหว่าง Azure AD และ Admin Console โดยอัตโนมัติ ลดภาระงานการดูแลระบบที่เกิดขึ้นอย่างต่อเนื่อง
การผสานการทำงาน IdP แบบ SAML ให้ความยืดหยุ่นสำหรับองค์กรที่ใช้ผู้ให้บริการข้อมูลประจำตัวนอกเหนือจาก Azure AD หรือ Google IdP ที่สอดคล้องกับ SAML 2.0 ใดก็ตาม รวมถึง Okta, Ping Identity, Shibboleth หรือ AD FS สามารถเชื่อมต่อแบบเฟเดอเรชันกับ Adobe ผ่านเส้นทางนี้ได้กำหนดค่าการผสานการทำงานโดยการแลกเปลี่ยนข้อมูลเมตา SAML ระหว่าง IdP และ Admin Console
การผสานการทำงาน Google Workspace สะท้อนแนวทาง Azure AD สำหรับองค์กรที่ปฏิบัติตามมาตรฐานโครงสร้างพื้นฐานข้อมูลประจำตัวของ Google เช่นเดียวกับ Azure AD ตัวเชื่อมต่อ Google รองรับทั้งการตั้งค่า SSO และการซิงโครไนซ์ผู้ใช้อย่างต่อเนื่อง
การผสานการทำงานแต่ละครั้งจำเป็นต้องสร้างไดเรกทอรีใน Admin Console (การตั้งค่า > Identity > Directories) ก่อน จากนั้นเคลมและยืนยันโดเมนอีเมล แล้วกำหนดค่าการเชื่อมต่อกับ IdPขั้นตอนการกำหนดค่าเฉพาะแตกต่างกันไปตามผู้ให้บริการ แต่แนวคิดหลักยังคงสอดคล้องกัน Adobe มอบหมายการรับรองความถูกต้องให้กับ IdP ของคุณ พร้อมทั้งรักษาบันทึกผู้ใช้และสิทธิ์ใน Admin Console
โครงสร้างพื้นฐานด้านการยืนยันตัวตนหลังการตั้งค่า
เมื่อ SSO ทำงานได้แล้ว การจัดการ Identity อย่างต่อเนื่องจะเน้นที่ไดเรกทอรี โดเมน และความน่าเชื่อถือของไดเรกทอรี
ไดเรกทอรีทำหน้าที่เป็นคอนเทนเนอร์สำหรับการกำหนดค่า SSO และผู้ใช้ไดเรกทอรีแต่ละตัวเชื่อมต่อกับการกำหนดค่า IdP เดียว แม้ว่าจะสามารถสร้างไดเรกทอรีหลายตัวได้หากองค์กรใช้ Identity Provider หลายตัว หรือต้องการแบ่งส่วนนโยบายการรับรองความถูกต้องตามหน่วยธุรกิจ
โดเมนเป็นตัวกำหนดว่าผู้ใช้คนใดจะรับรองความถูกต้องผ่านไดเรกทอรีใดเมื่อลิงก์โดเมน เช่น example.com กับไดเรกทอรี ผู้ใช้ที่มีอีเมลแอดเดรสในโดเมนนั้นจะถูกนำไปยัง IdP ของไดเรกทอรีนั้นเพื่อรับรองความถูกต้องการจัดการโดเมนยังรวมถึงการจัดการความน่าเชื่อถือของไดเรกทอรีเมื่อองค์กร Adobe หลายแห่งอ้างสิทธิ์ในโดเมนเดียวกัน
การเปลี่ยน Identity Provider ต้องมีการประสานงานเพื่อหลีกเลี่ยงการรบกวนการเข้าถึงของผู้ใช้Admin Console รองรับการโยกย้าย Authentication Provider โดยอนุญาตให้กำหนดค่าไดเรกทอรีใหม่ ย้ายโดเมน และย้ายผู้ใช้ระหว่างไดเรกทอรีสามารถย้ายโดเมนข้ามไดเรกทอรีหรือลบผู้ใช้ไดเรกทอรีเดิมได้ตามการพัฒนาโครงสร้างพื้นฐาน
การทำความเข้าใจแนวคิดการจัดการเหล่านี้ช่วยรักษาการรับรองความถูกต้องที่มั่นคงเมื่อความต้องการขององค์กรเปลี่ยนแปลง ไม่ว่าจะหมายถึงการรวม IdP หลายตัว การโยกย้ายจากผู้ให้บริการรายหนึ่งไปยังอีกรายหนึ่ง หรือการปรับโครงสร้างวิธีที่หน่วยธุรกิจเชื่อมโยงกับไดเรกทอรี
