text: Zuletzt aktualisiert am Dec 31, 2021 04:41:29 PM GMT | Gilt auch für Creative Cloud for enterprise, Document Cloud for enterprise
  Identität und Single Sign-on einrichten | YouTube-Video
  Verzeichnisse einrichten: Richten Sie zum Verwenden von Enterprise IDs oder Federated IDs zunächst ein Verzeichnis ein, das Sie mit mindestens einer Domäne verknüpfen können. Weitere Informationen >
  Domänen einrichten: Ihre Endbenutzer werden anhand der von Ihnen in der Admin Console eingerichteten Domänen authentifiziert. Weitere Informationen >
  Erstellt und im Besitz von einem Unternehmen. Verwaltet vom Endanwender. Eine Business ID (und alle mit dieser ID verknüpften Elemente) gehört dem Unternehmen. Endanwender können sich nicht registrieren und keine persönliche Business ID erstellen und sie können sich nicht mit einer Business ID für zusätzliche Produkte und Dienste von Adobe registrieren.
  Für die Verwendung von Business IDs ist keine vorherige Einrichtung erforderlich. Administratoren laden Benutzer ein, der Organisation beizutreten, und können Benutzer entfernen. Administratoren können die Konten löschen oder übernehmen. Administratoren erstellen eine Business ID und geben sie an einen Benutzer aus. Administratoren können den Zugriff auf Produkte und Dienste sperren, indem sie das Konto übernehmen, oder sie können die Business ID löschen, um den Zugriff auf die zugehörigen Daten dauerhaft zu sperren.
  Nachfolgend werden einige Anforderungen und Szenarien aufgeführt, in denen Business IDs empfohlen werden:
  Der Administrator soll die Identitäten der Benutzer erstellen und besitzen.
  Benutzer sollen weitere Adobe-Dienste verwenden, die momentan keine Enterprise IDs oder Federated IDs unterstützen
  Benutzer verfügen bereits über Adobe IDs und unternehmensrelevante Daten, z. B. Dateien, Schriften oder Einstellungen.
  Der Administrator soll die Konten von Auftragnehmern und Freiberuflern erstellen und verwalten.
  Sie verfügen über einen Adobe-Teams-Vertrag
  Sie benötigen im Notfall Zugriff auf die Dateien und Daten eines Benutzers.
  Sie müssen das Konto eines Benutzers vollständig sperren oder löschen können.
  Wird von einer Organisation erstellt und verwaltet, die auch Eigentümer ist. Adobe hostet die Enterprise ID und führt die Authentifizierung durch, verwaltet wird die Enterprise ID jedoch von der Organisation. Endbenutzer können sich nicht registrieren und keine Enterprise ID erstellen und sie können sich nicht mit einer Enterprise ID für zusätzliche Produkte und Services von Adobe registrieren.
  Administratoren erstellen eine Enterprise ID und geben sie an einen Benutzer aus. Administratoren können den Zugriff auf Produkte und Services sperren, indem sie das Konto übernehmen, oder sie können die Enterprise ID löschen, um den Zugriff auf die zugehörigen Daten dauerhaft zu sperren.
  Wird von einer Organisation erstellt, die auch Eigentümer und per Verbund mit dem Unternehmensverzeichnis verknüpft ist. Die Organisation verwendet zum Verwalten der Anmeldeinformationen und zum Verarbeiten von Single Sign-on einen SAML2-Identitätsanbieter (IdP).
  Wird vom Endbenutzer erstellt und verwaltet, der auch Eigentümer ist. Adobe führt die Authentifizierung durch und der Endbenutzer verwaltet die Identität. Die Benutzer behalten die vollständige Kontrolle über die Dateien und Daten, die der ID zugeordnet sind. Sie können weitere Produkte und Services von Adobe erwerben. Administratoren laden Benutzer ein, der Organisation beizutreten, und können Benutzer entfernen. Die Adobe ID-Konten der Benutzer können jedoch nicht für diese gesperrt werden. Die Konten können vom Administrator nicht gelöscht oder übernommen werden. Für die Verwendung von Adobe IDs ist keine vorherige Einrichtung erforderlich.
  Sie möchten es Benutzern ermöglichen, weitere Produkte und Services von Adobe zu erwerben oder sich für diese zu registrieren.
  Sie gehen davon aus, dass Benutzer weitere Adobe-Services verwenden, die momentan keine Enterprise IDs oder Federated IDs unterstützen.
  Erstellen Sie zum Verwenden von Enterprise IDs oder Federated IDs zunächst ein Verzeichnis, das Sie mit mindestens einer Domäne verknüpfen können. Standardmäßig verfügt Ihre Organisation über ein Business ID-Verzeichnis, für das keine Einrichtung erforderlich ist.
  Wenn Ihr Unternehmen einen Google-Verbund als SSO-Anbieter eingerichtet hat (oder dieses beabsichtigt), wird empfohlen, den Google-Connector zu verwenden. Führen Sie die Schritte im Abschnitt Verbund in der Google Admin Console einrichten: Erstellen eines Verzeichnisses in der Adobe Admin Console aus.
  Microsoft Azure oder Google-Verbund über SCIM.
  Einige Identitätsanbieter (IdP) akzeptieren eine Metadatendatei, die Sie hochladen können, für andere benötigen Sie eine ACS URL und die Entity ID. Beispiele:
  Azure Active Directory: Laden Sie die Metadatendatei hoch.
  Google: Kopieren Sie die ACS-URL und die Entity ID und verwenden Sie diese in der Google-IdP-Software.
  SalesForce: Laden Sie die Metadatendatei herunter, extrahieren Sie die Zertifikatinformationen aus der Datei und verwenden Sie die Zertifikatinformationen in der SalesForce-IdP-Software.
  Sie müssen Domänen nicht manuell hinzufügen, wenn das Verzeichnis Ihres Unternehmens über die Synchronisation mit dem Microsoft Azure AD-Connector oder dem Google-Verbund eingerichtet wurde. Die ausgewählten Domänen, die bei der Einrichtung Ihres Identitätsanbieters bestätigt wurden, werden automatisch mit der Adobe Admin Console synchronisiert.
  Ihre Endbenutzer werden anhand der von Ihnen in der Admin Console eingerichteten Domänen authentifiziert.
  Wenn Sie den Google-Connector eingerichtet haben, lesen Sie, wie Sie die Benutzerbereitstellung in der Google Admin Console autorisieren und einrichten.
  Zusammenfassung: Wenn Sie beabsichtigen, Enterprise IDs oder Federated IDs in Ihrer Admin Console zu verwenden, müssen Sie die Domäne hinzufügen. Wenn eine andere Organisation diese Domäne bereits hinzugefügt hat, müssen Sie als Bevollmächtigter den Zugriff auf das Verzeichnis anfordern, das die Domäne enthält. Wenn die bevollmächtigte Organisation jedoch Benutzer zu den zugelassenen Domänen hinzufügt, werden sie als Business ID-Benutzer hinzugefügt. Obwohl sie als Business ID-Benutzer konfiguriert sind, werden sie vom Authentifizierungs-Framework der Eigentümerorganisation authentifiziert.
  Die Schritte zum Anfordern des Zugriffs auf ein Verzeichnis finden Sie im Verfahren zum Hinzufügen von Domänen unter Domänen einrichten.
  Wenn Sie als Eigentümer eines Verzeichnisses die entsprechende Zugriffsanforderung genehmigen, hat die bevollmächtigte Organisation Zugriff auf alle Domänen, die mit dem Verzeichnis verknüpft sind. Dies gilt auch für alle Domänen, die zukünftig mit diesem Verzeichnis verknüpft werden. Das Planen der Verknüpfungen von Domänen und Verzeichnissen ist daher beim Einrichten des Identitätssystems für Ihre Organisation unerlässlich.
  Vor dem Hinzufügen, Anfordern, Widerrufen oder Zurückziehen einer Vertrauensanforderung wird dringend empfohlen, aus den betreffenden Admin Consoles eine Benutzerliste zu exportieren, bevor Sie Änderungen vornehmen. Diese Liste enthält eine Momentaufnahme aller Benutzerdaten, einschließlich Name, E-Mail-Adresse, zugewiesenen Produktprofilen und zugewiesenen Administratorrollen für den Fall, dass Sie einen Rollback durchführen müssen.
  Es sind bestimmte Schritte zu befolgen, um eine Domäne zu migrieren, die eine Vertrauensbeziehung einschließt. Sie sollten eine Vertrauensstellung nicht widerrufen, wenn Sie eine vertrauenswürdige Domäne migrieren, um einen Verlust des Benutzerkontos und des Produktzugriffs in der bevollmächtigten Organisation zu vermeiden.
  Eine Vollmacht zwischen Verzeichnissen kann nicht zwischen Organisationen eingerichtet werden, die verschiedenen Speichermodellen unterliegen (Benutzerspeichermodell und Enterprise-Speichermodell). Siehe Probleme aufgrund des Benutzerzugriffs auf Enterprise-Speicher und älteren benutzerbasierten Speicher.
  Der neue Verzeichnistyp ist Business ID und die Benutzerauthentifizierung hängt davon ab, wie sie von der Eigentümerorganisation eingerichtet wurde.
  Da die Domäne bereits vom Eigentümer eingerichtet wurde (siehe die Schritte zum Nachweisen des Eigentums an den Domänen unter Domänen einrichten), müssen Sie als Bevollmächtigter keine weiteren Maßnahmen ergreifen. Wenn die Zugriffsanforderung vom Eigentümer genehmigt wurde, kann Ihre Organisation auf das Verzeichnis und alle seine von der Eigentümerorganisation konfigurierten Domänen zugreifen.
  Nun können Sie Benutzer und Benutzergruppen hinzufügen und diese Produktprofilen zuweisen.
  Wenn Sie Ihren Zugriff auf ein vertrauenswürdiges Verzeichnis zurückziehen, werden alle Benutzer, die den Domänen in diesem Verzeichnis zugeordnet sind, aus Ihrer Organisation entfernt. Diese Benutzer könnten jedoch weiterhin auf ihre zugewiesenen Apps, Services und Speicher zugreifen.
  Um zu verhindern, dass Benutzer die Software verwenden, entfernen Sie sie aus Admin Console > Benutzer > Benutzer entfernen. Dann können Sie die Assets der gelöschten Benutzer zurückfordern, da Ihre Organisation Eigentümer dieser Assets ist.
  Wenn Sie Ihren Zugriff auf ein vertrauenswürdiges Verzeichnis zurückziehen, werden alle Benutzer, die den Domänen in diesem Verzeichnis zugeordnet sind, aus dem vertrauenswürdigen Verzeichnis entfernt. Diese Benutzer könnten jedoch weiterhin auf ihre zugewiesenen Apps, Services und Speicher zugreifen.
  Um zu verhindern, dass Benutzer die Software verwenden, können sie vertrauenswürdige Administratoren aus Admin Console > Benutzer > Benutzer entfernen entfernen. Dann können sie die Assets der gelöschten Benutzer zurückfordern, da die bevollmächtigte Organisation Eigentümer dieser Assets ist.
  Eine Self-Service-Option ist verfügbar, um etablierte Verzeichnisse zu einem neuen Authentifizierungsanbieter innerhalb der Adobe Admin Console zu migrieren.
  Entfernen Sie die vorhandene Einrichtung bei Ihrem IdP erst, wenn Sie sich anhand von 2 bis 3 aktiven Konten des Verzeichnisses versichert haben, dass die neue Konfiguration erfolgreich ist.
  Damit Sie zu einem neuen Authentifizierungsanbieter migrieren können, müssen die folgenden Anforderungen erfüllt sein:
  Ein bestehendes Verzeichnis muss in der Admin Console für den Verbund konfiguriert sein.
  Sie besitzen Zugriffsrechte zum Konfigurieren des Identitätsanbieters Ihrer Organisation (z. B. Microsoft Azure-Portal, Google Admin Console).
  Weitere Informationen finden Sie unter Überlegungen zur Implementierung.
  Die Anmeldung als globaler Microsoft-Administrator ist nur erforderlich, um im Azure-Portal der Organisation ein Programm zu erstellen. Die Anmeldeinformationen als globaler Administrator werden nicht gespeichert und nur für die einmalige Berechtigung zum Erstellen des Programms verwendet.
  Wenn Sie den Identitätsanbieter für Schritt 3 auswählen, sollte die Microsoft Azure-Option nicht verwendet werden, wenn in der Adobe Admin Console das Feld Benutzername nicht denselben Wert hat wie in Azure Portal das Feld UPN.
  Wenn das vorhandene Verzeichnis so konfiguriert ist, dass es den Benutzernamen als Benutzeranmeldeeinstellung übergibt, sollte der neue IdP unter der Option Andere SAML-Anbieter eingerichtet werden. Die Anmeldeeinstellung kann bestätigt werden, indem Sie die Option Bearbeiten auswählen, im aktuellen Verzeichnis unter Einstellung für Benutzeranmeldung.
  Wenn Sie in Schritt 3 die Option "Microsoft Azure" wählen, wird nur der Identitätsanbieter konfiguriert, die Verzeichnissynchronisations-Services werden zurzeit nicht einbezogen.
  Melden Sie sich in einem separaten Fenster bei der Google Admin Console mit Google Admin-Anmeldeinformationen an und navigieren Sie zu Apps > SAML-Apps.
  Bestätigen Sie die grundlegenden Informationen für Adobe. Geben Sie die zuvor kopierte ACS-URL und Entitäts-ID in die Details zum Dienstanbieter ein. Beachten Sie, dass Sie keine User Provisioning (Benutzerbereitstellung) einrichten müssen, da diese Funktion momentan für bestehende Verzeichnisse nicht unterstützt wird.
  Rufen Sie schließlich "Apps" > SAML-Apps > "Einstellungen für Adobe" > "Dienststatus" auf. Aktivieren Sie "Service Status" mit Für alle aktivieren und Speichern.
  Bevor Sie die Aktivierung durchführen, navigieren Sie in der Adobe Admin Console zu Verzeichnisbenutzer und überprüfen Sie, ob die Benutzernamen des Identitätsanbieters mit den Benutzernamen der Admin Console übereinstimmen.
  Stellen Sie für SAML sicher, dass das Subject in der Zusicherung aus der neuen SAML-Konfiguration mit dem Namensformat der vorhandenen Benutzer in der Admin Console übereinstimmt.
  Nachdem Sie Ihre Verzeichniseinrichtung aktualisiert haben, können Sie Domänen aus anderen SHA-1-Verzeichnissen mithilfe der Domänenmigration in das neue Verzeichnis verschieben. Beachten Sie, dass sich die Benutzer der migrierten Domänen im Identitätsanbieter befinden müssen, der für die Arbeit mit dem neuen Zielverzeichnis konfiguriert ist.
  Weitere Informationen zu Einschränkungen und Fehlervermeidung bei der Konfiguration finden Sie unter Häufige Fragen.
  Organisationen können Verzeichnisse anordnen, indem sie Domänen innerhalb der Admin Console aus Quellverzeichnissen in Zielverzeichnisse verschieben. Sie können die Verknüpfungen von Domänen mit Verzeichnissen entsprechend den jeweiligen Anforderungen der Organisation neu organisieren, ohne dass Endbenutzer den Zugriff auf ihre Produkte, Services und gespeicherten Elemente verlieren. Durch Konsolidieren von Domänen, die für denselben Identitätsanbieter konfiguriert wurden, in einem einzigen Verzeichnis wird die Verwaltung für Ihre IT-Teams optimiert.
  Wenn Sie Domänen aus einem Verzeichnis in ein anderes migrieren möchten, das einen neuen Identitätsanbieter (Azure, Google oder einen anderen SAML) mit SHA-2-Authentifizierung enthält, müssen Sie die Einrichtung des neuen IdP in beiden Verzeichnissen replizieren. Die Einrichtung des neuen IdP ermöglicht die Testanmeldung für Benutzer aller Domänen innerhalb des Verzeichnisses. Führen Sie, je nach Ihrem neuen Identitätsanbieter, die folgenden Schritte durch:
  Benutzer werden während des Übertragens der Domänen bei ihren Konten abgemeldet und können sich während dieses Zeitraums nicht bei einer neuen Sitzung anmelden. Es wird empfohlen, Verzeichnisse außerhalb der Spitzenzeiten zu bearbeiten, um die Unterbrechung für Endbenutzer zu minimieren.
  Vor dem Migrieren einer Domäne wird dringend empfohlen, aus den betreffenden Admin Consoles eine Benutzerliste zu exportieren, bevor Sie Änderungen vornehmen. Diese Liste enthält eine Momentaufnahme aller Benutzerdaten, einschließlich Name, E-Mail-Adresse, zugewiesenen Produktprofilen und zugewiesenen Administratorrollen für den Fall, dass ein Rollback durchgeführt werden muss.
  Derzeit können Sie Domänen nur zwischen Verzeichnissen verschieben, in denen sich sowohl das Quell- als auch das Zielverzeichnis im Adobe-Benutzerspeichermodell befinden.
  Domänen zwischen Verzeichnissen verschieben, die sich in der gleichen Vertrauensbeziehung befinden
  Verzeichnis 1 und Verzeichnis 2 sind in Console A konfiguriert, für die eine Vertrauensstellung mit Console B eingerichtet wurde.
  Führen Sie das Verfahren zum Verschieben von Domänen aus.
  Domänen zwischen Verzeichnissen verschieben, die sich in Vertrauensbeziehungen befinden
  * Prozessdiagramme finden Sie in Abbildung A.
  Verzeichnis 1 ist in Console A konfiguriert und verfügt über eine Vertrauensstellung mit Console B.
  In Console A muss eine Domäne in Verzeichnis 1 (Domäne X) in Verzeichnis 2
  Exportieren Sie eine Benutzerliste aus der Console, die Eigentümer der Vertrauensstellung ist, sowie alle vertrauenswürdigen Consoles, bevor Sie Änderungen vornehmen.
  Richten Sie eine Vertrauensstellung zwischen allen Bevollmächtigten und dem Zielverzeichnis (Verzeichnis 2) in Console A ein.
  Verschieben Sie Domänen aus dem aktuellen Verzeichnis (Verzeichnis 1) in das Zielverzeichnis (Verzeichnis 2) in Console A.
  Widerrufen Sie eine Vertrauensstellung zwischen den Bevollmächtigten in Verzeichnis 1 in Console A.
  Der Bevollmächtigte entfernt die widerrufene Domäne aus Console B. (Wiederholen Sie diesen Schritt für weitere Bevollmächtigte.)
  Wenn Verzeichnis 1 sich in einem leeren Zustand ohne Domänen und Vertrauensstellungen befindet, können Sie das leere Verzeichnis löschen.
  Domäne oder Verzeichnis mit mehreren Domänen in eine andere Admin Console in Ihrer Organisation verschieben
  Verzeichnis 1 ist in Console A konfiguriert. Verzeichnis 1 und seine beanspruchten Domänen müssen jedoch in Console B verschoben werden, um den Eigentümer zu ändern.
  Domänen in oder aus einem verschlüsselten Verzeichnis in derselben Admin Console verschieben
  Für Verzeichnis 1 ist die Verschlüsselung AKTIVIERT und eine Domäne aus Verzeichnis 2 in der gleichen Admin Console muss in Verzeichnis 1 verschoben werden.