Федеративний гостьовий доступ

Огляд

Функція федеративного гостьового доступу Adobe дозволяє корпоративним клієнтам підключати зовнішніх працівників агентств, постачальників або консалтингових компаній до екосистеми Adobe з такими ж стандартами безпеки та автентифікації, як і для внутрішніх співробітників.

Раніше створення користувача Federated ID вимагало володіння доменом.Ця вимога не дозволяла організаціям додавати користувачів із зовнішніми доменами, зокрема недоступними для підтвердження доменами, такими як gmail.com, а також доменами, що підлягають підтвердженню, але належать іншій організації.

Функція федеративного гостьового доступу дозволяє корпоративним клієнтам додавати користувача з будь-якою адресою електронної пошти як власного федеративного користувача.Вона забезпечує послідовне застосування SSO як для внутрішніх співробітників, так і для зовнішніх партнерів.

Наразі функція підтримує Workfront та AEM Assets як хмарний сервіс, із планами розширення підтримки на інші продукти.

Переваги федеративного гостьового доступу

Ось переваги функції федеративного гостьового доступу:

• Безперешкодна співпраця: зовнішні партнери отримують доступ до інструментів Adobe без перешкод.
• Уніфікована безпека: підприємства можуть застосовувати послідовні політики SSO та автентифікації для всіх користувачів.
• Операційна ефективність: усуває потребу в обхідних шляхах, які раніше використовувалися для інтеграції постачальників.
• Контрольований доступ: федеративні гостьові облікові записи ізольовані від внутрішніх облікових записів, забезпечуючи окремість прав та ресурсів.

Бізнес-сценарії та випадки використання

Федеративний гостьовий доступ особливо цінний у сценаріях, де підприємства покладаються на зовнішню експертизу.Маркетингові команди, що працюють з агентствами, ІТ-відділи, які наймають консультантів, або великі організації, що співпрацюють між кількома компаніями, можуть інтегрувати зовнішніх співавторів без компромісів у безпеці.

Наприклад, уявіть компанію, яка наймає Марію з vendor.com для короткострокового проєкту.Мері, можливо, вже має федеративний обліковий запис у свого роботодавця. Раніше компанія-наймач могла підключити Мері до свого середовища Adobe лише через її наявний федеративний обліковий запис, автентифікацію якого контролює її роботодавець.

За допомогою федеративного гостьового доступу компанія-наймач може додати Мері як федеративного гостя до свого каталогу. У цьому випадку вона може входити в систему, використовуючи SSO компанії-роботодавця для доступу до інструментів, таких як Workfront або AEM Assets. Вона не потребує окремої адреси електронної пошти в домені компанії-роботодавця.

Федеративний гостьовий обліковий запис Мері повністю незалежний від облікового запису, що належить її роботодавцю, з окремими правами та ресурсами, що забезпечує чітке розділення організаційних даних. Вона може перемикатися між обліковими записами за допомогою перемикача облікових записів. Щоразу, коли вона перемикає облікові записи, Мері має вийти з системи, а потім повторно автентифікуватися, використовуючи метод входу іншого облікового запису. Цей процес забезпечує збереження розділення між обліковими записами.

Для компанії-роботодавця зовнішні партнери, такі як Мері, можуть бути зареєстровані та керовані через ті самі механізми автентифікації та контролю доступу, що використовуються для внутрішніх співробітників.Для роботодавця Мері, Федеративний гостьовий доступ не потребує жодних змін.Її обліковий запис, права та ресурси залишаються незмінними, і жодна з організацій не має доступу до облікових записів іншої.

Федеративні гостьові облікові записи

Федеративний гостьовий доступ запроваджує нову концепцію облікового запису федеративних гостей. Федеративні гості — це нова варіація наявного типу облікового запису Federated ID, розширена для підтримки доменів електронної пошти, які не належать підприємству або не заявлені ним.

Це дозволяє підприємствам підключати зовнішніх партнерів до свого федеративного каталогу та автентифікувати їх через IdP організації без необхідності володіння доменом електронної пошти федеративного гостя. Як і всі облікові записи Federated ID, кожен федеративний гостьовий обліковий запис обмежений організацією, яка його створила, з власними незалежними правами, ресурсами та федерацією. Він залишається повністю відокремленим від будь-яких інших облікових записів, які використовують ту саму адресу електронної пошти в інших організаціях.

Керування доменами

Адміністратори компанії-наймача можуть додавати зовнішні домени через нову вкладку Гостьові домени в консолі Admin Console. Це дозволяє їм додавати користувачів із зовнішніми доменами електронної пошти як окремі облікові записи Federated ID, що належать їхній організації.

На відміну від заявлених доменів, гостьові домени не потребують підтвердження права власності. Можна додавати як домени, які можна заявити, так і ті, які не можна заявити. Для доменів, заявлених іншою організацією Adobe, власники доменів можуть контролювати, чи може їхній домен використовуватися як гостьовий домен.

Якщо власник домену запросив заблокувати свій заявлений домен від використання як гостьового домену, ви не зможете додати цей домен як гостьовий домен. Якщо ви вже додали цей гостьовий домен, ви не можете додати жодного нового федеративного гостя з цим доменом. Будь-які наявні федеративні гості з гостьовим доменом не зможуть увійти в систему, доки власник домену знову не дозволить використання гостьового домену.

Щоб додати гостьові домени безпосередньо до каталогу Admin Console, виконайте наступні кроки.

За замовчуванням усі заявлені домени налаштовано на дозвіл використання гостьового домену для федеративного гостьового доступу.

Як власник домену, ви можете не бажати, щоб інші організації використовували ваші заявлені домени як гостьовий домен.Хоча використання гостьового домену не впливає на ваше право власності на домен та ваших користувачів, ви можете переглянути, як використовуються ваші заявлені домени, та вирішити, чи хочете ви припинити таке використання.

Щоб переглянути, які інші організації в Adobe використовують ваші заявлені домени як гостьовий домен

Щоб заблокувати або дозволити всім організаціям використовувати свій заявлений домен як гостьовий домен, зверніться до служби підтримки Adobe зі своїм запитом.Ця зміна застосовуватиметься для кожного домену окремо.

Коли ви блокуєте використання гостьового домену, жодна інша організація в Adobe не може додати цей домен як гостьовий домен.Організації, які вже додали гостьовий домен, побачать, що їхній доступ до нього заблоковано.Крім того, вони не можуть створювати нових федеративних гостей з цим доменом.Будь-які наявні федеративні гостьові облікові записи з гостьовим доменом будуть заблоковані від входу в такі облікові записи.

Безпека та захист

Ваш IdP завжди є джерелом достовірної інформації.Щоб будь-які зовнішні партнери були залучені як федеративні гості, вони повинні вже мати обліковий запис у вашому IDP.Це імітує те, як ви зазвичай залучаєте своїх внутрішніх співробітників як користувачів федеративного ID.

Усі федеративні гості повинні пройти одноразовий процес перевірки перед першим входом.Adobe надішле код перевірки на електронну пошту федеративного гостя, і федеративного гостя попросять переглянути та дати згоду на приєднання до організації-запрошувача як федеративного гостя.Якщо процес не завершено, федеративних гостей попросять завершити його, перш ніж вони зможуть увійти вперше.

Досвід адміністратора

З точки зору адміністратора, залучення федеративних гостей відображає процес для звичайних федеративних користувачів.

• Налаштування: адміністратори налаштовують гостьові домени у консолі Admin Console.
• Надання доступу: федеративних гостей додають так само, як звичайних федеративних користувачів.
• Призначення продуктів: продукти призначаються так само, як для звичайних федеративних користувачів.Наразі підтримка обмежена Workfront і AEM Assets як хмарне сховище.Призначення непідтримуваних продуктів (наприклад, Photoshop) не вдасться без споживання ліцензій.
• Запрошення до співпраці: електронні листи тепер містять назву організації, яка володіє ресурсом або екземпляром, що зменшує плутанину під час перемикання профілів або облікових записів.

Досвід кінцевого користувача

Для кінцевих користувачів досвід розроблено таким чином, щоб він був простим, але водночас безпечним.Під час першого входу Adobe попросить кінцевих користувачів завершити одноразовий процес перевірки.Федеративні гості повинні підтвердити свою електронну пошту та дати згоду на приєднання до організації, яка запрошує.Після завершення активації федеративні гості можуть входити в обліковий запис через IdP компанії-роботодавця, так само як і внутрішні співробітники.Федеративні гості також можуть входити в федеративний гостьовий обліковий запис через вхід, ініційований IdP.

Неможливо безпосередньо увійти до федеративного гостьового облікового запису, ввівши адресу електронної пошти на сторінці входу.Натомість потрібно використовувати вхід, ініційований IdP, або посилання для входу, які може надати адміністратор.Посилання для входу є специфічними для каталогу, і до них можна отримати доступ з консолі Admin Console:

Посилання для входу можуть використовувати будь-які користувачі в тому самому каталозі, незалежно від того, чи є вони федеративними гостями.

Якщо ваша електронна пошта повʼязана з кількома обліковими записами в Adobe, ви можете використовувати перемикач облікових записів, щоб знайти всі облікові записи, які мають ту саму електронну пошту.Після входу в будь-який обліковий запис ви побачите список облікових записів, на які можете перемкнутися. 

Новий перемикач облікових записів дозволяє користувачам перемикатися між федеративними обліковими записами, пов'язаними з тією самою адресою електронної пошти.На відміну від перемикання профілів, перемикання облікових записів вимагає повторної автентифікації, оскільки кожен обліковий запис має власну федерацію та/або метод автентифікації.Адміністратори також можуть надавати спеціальні посилання для входу, прив'язані до конкретних каталогів, забезпечуючи направлення користувачів до правильного IdP.

Глобальна ієрархія Admin Console

Ієрархія Global Admin Console визначає, як гостьові домени керуються та надаються спільно між організаціями.Лише організації з увімкненою функцією федеративного гостьового доступу можуть додавати гостьові домени.Після того як материнська організація додає один такий елемент, він стає видимим для всіх дочірніх організацій у ієрархії та в усій консолі, забезпечуючи послідовне підключення зовнішніх користувачів і федеративних гостей.

Організація-власник може формувати довірчі відносини з іншими організаціями в ієрархії для використання домену як будь-якого іншого заявленого домену.Централізоване керування ідентичністю може підтримуватися на кореневому рівні, оскільки не кожній організації потрібен увімкнений Федеративний гостовий доступ.Гостьовий домен може бути доданий лише одним каталогом в ієрархії, а організації поза ієрархією не можуть бачити або використовувати гостьові домени, навіть якщо існують довірчі відносини, що забезпечує контрольовану видимість.У таких випадках користувачів додають як бізнес-ідентифікатори, якими керує Adobe або власник домену.Якщо одну й ту саму адресу електронної пошти зареєстровано в кількох організаціях, створюються окремі федеративні гостьові облікові записи, що вимагає від користувачів перемикання між обліковими записами.

Поширені запитання