Налаштуйте облікові записи Federated ID для автентифікації користувачів через інтеграцію Single Sign-On із постачальником ідентифікації.
Єдиний вхід (SSO) дозволяє користувачам отримувати доступ до продуктів Adobe, використовуючи ті самі облікові дані, що й для інших програм організації.Замість керування окремими паролями Adobe користувачі автентифікуються через наявного постачальника ідентифікації (IdP) організації, що спрощує доступ і підвищує безпеку.
Налаштування SSO для продуктів Adobe потребує конфігурації облікових записів Federated ID, які зв'язують корпоративний каталог із Adobe через федерацію.Ця інтеграція надає організації контроль над автентифікацією, тоді як Adobe продовжує розміщувати записи ідентифікації.
Роль Federated ID у SSO
Federated ID — єдиний тип ідентифікації, що підтримує SSO з продуктами Adobe.На відміну від Adobe ID (керованого користувачем) або Enterprise ID (автентифікованого Adobe), Federated ID направляє всі запити на автентифікацію через постачальника ідентифікації організації за допомогою протоколу SAML 2.0.
Ця архітектура корисна для:
- Підготування корпоративного каталогу на основі Active Directory або Azure AD
- Централізоване керування політиками автентифікації, включаючи вимоги багатофакторної автентифікації
- Суворе керування доступом до програм і сервісів
- Нормативні вимоги або вимоги безпеки, що передбачають організаційне керування автентифікацією
Коли користувачі з Federated ID входять до програм Adobe, їх перенаправляють до вашого IdP, де вони автентифікуються, а потім повертаються до Adobe з безпечним токеном, що підтверджує їхню ідентифікацію.
Підходи до інтеграції SSO
Adobe Admin Console підтримує три основні шляхи інтеграції, кожен із яких підходить для різних інфраструктурних середовищ.
Інтеграція Azure AD — рекомендований підхід для організацій, що використовують хмарну платформу ідентифікації Microsoft.Конектор Azure AD спрощує конфігурацію та автоматизує синхронізацію користувачів між Azure AD і консоллю Admin Console, зменшуючи поточні адміністративні витрати.
Інтеграція IdP на основі SAML забезпечує гнучкість для організацій, що використовують постачальників ідентифікації, відмінних від Azure AD або Google.Будь-який IdP, сумісний із SAML 2.0, включаючи Okta, Ping Identity, Shibboleth або AD FS, може встановлювати федерацію з Adobe через цей шлях.Ви налаштовуєте інтеграцію, обмінюючись метаданими SAML між своїм IdP та Admin Console.
Інтеграція Google Workspace відповідає підходу Azure AD для організацій, стандартизованих на інфраструктурі ідентифікації Google.Як і Azure AD, конектор Google підтримує як налаштування SSO, так і поточну синхронізацію користувачів.
Кожна інтеграція вимагає спочатку створити каталог в консолі Admin Console (Параметри > Identity > Каталоги), підтвердити й перевірити свої домени електронної пошти, а потім налаштувати з'єднання з IdP.Конкретні кроки налаштування відрізняються залежно від постачальника, але концептуальна модель залишається послідовною: Adobe делегує автентифікацію IdP, підтримуючи записи користувачів і прав доступу в консолі Admin Console.
Інфраструктура ідентифікації після налаштування
Після налагодження роботи SSO поточне керування ідентифікацією зосереджується на каталогах, доменах і довірливих стосунках каталогів.
Каталоги служать контейнерами для налаштування SSO і користувачів.Кожен каталог підключається до однієї конфігурації IdP, хоча можна створити декілька каталогів, якщо організація використовує декілька постачальників ідентифікації або потребує сегментації політик автентифікації за бізнес-підрозділами.
Домени визначають, які користувачі автентифікуються через який каталог.Коли ви пов'язуєте домен — наприклад example.com — з каталогом, будь-який користувач з адресою електронної пошти цього домену спрямовується до IdP цього каталогу для автентифікації.Керування доменами також включає керування відносинами довіри між каталогами, коли кілька організацій Adobe претендують на той самий домен.
Зміна постачальників ідентифікації вимагає координації, щоб уникнути порушення доступу користувачів.Консоль Admin Console підтримує міграцію постачальників автентифікації, дозволяючи налаштувати новий каталог, перемістити домени й перевести користувачів між каталогами.Також можна переміщувати домени між каталогами або вилучати користувачів застарілих каталогів в міру розвитку інфраструктури.
Розуміння цих концепцій керування допомагає підтримувати стабільну автентифікацію в міру зміни організаційних потреб, чи то консолідацію декількох IdP, міграція від одного постачальника до іншого, або реструктуризація відповідності бізнес-підрозділів каталогам.
