管理安全设置和安全影响
Last update: Tue Mar 03 2026 00:00:00 GMT+0000 (Coordinated Universal Time)
具有安全影响的管理角色
Adobe Learning Manager使用基于角色的访问控制(RBAC)模型。 下表将FedRAMP帐户层映射到整个文档中引用的ALM角色：
顶级管理帐户
管理员
完全的帐户级别控制。 以独占方式访问本文档中描述的所有与安全相关的设置。 这是本指南中使用“顶级管理帐户”一词时提及的角色。
特权帐户（范围）
自定义管理员
授权管理访问权限的范围为特定功能、用户组或目录。 除非明确授权，否则无法访问帐户级别安全设置。
特权帐户（集成）
集成管理员
管理集成、API注册和连接器配置。 提升的权限范围包括集成管理。 无法修改其他帐户级别的安全设置。
只有明确分配了这些角色的用户才能修改管理设置或安全相关设置。 除非另有说明，否则第3-7节中记录的设置只能由管理员角色访问。
登录和身份验证设置
登录和身份验证设置控制所有用户（包括管理员）访问ALM平台的方式。 这些设置仅由管理员角色配置，对整个帐户的安全状态有直接而重大的影响。
登录方法配置
位置： ALM管理员>设置>登录方法
管理员控制用于所有内部和外部用户的身份验证方法。 选项包括：
- Adobe ID：用户通过其个人Adobe帐户进行身份验证。 由Adobe管理，而不是由组织管理。
- 通过SAML 2.0进行单点登录(SSO)：用户通过组织的身份提供者(IdP)进行身份验证。 组织完全控制身份验证、MFA和会话策略。
- Learning Manager ID：仅适用于外部用户。 用户创建平台特定的用户名和密码。
- 多个SSO配置：最多可以添加20个SSO配置以支持不同的用户组、位置或组织部门
Adobe ID
组织无法控制密码策略、 MFA或帐户恢复。 被侵害的个人Adobe帐户准许访问ALM平台。
不建议管理员或内部用户使用。 仅在SSO不可用时使用。
SSO (SAML 2.0/Federated ID)
身份验证完全由组织的IdP控制。 在IdP级别强制执行MFA、会话超时和条件访问策略。 用户离开时立即撤销。
对所有内部用户和管理员推荐。 提供最高级别的组织控制。
Learning Manager ID
用户在组织的身份基础结构之外自行管理密码。 无法通过ALM强制执行MFA。 密码强度取决于用户行为。
仅对于外部用户可接受。 不适用于员工或管理员。
如果为内部用户将登录方法设置为Adobe ID，则组织将无法强制执行多重身份验证、控制密码复杂性或在用户离开时立即撤销访问权限。 这大大增加了未经授权访问的风险。
有关详细信息，请参阅自定义角色。
多重身份验证(MFA)
位置： Adobe Admin Console >“设置”>“隐私和安全”>“身份验证设置”
系统管理员在Adobe Admin Console中配置了 Adobe ID 和 Enterprise ID 用户的MFA实施，而不是在ALM应用程序本身中。 对于 Federated ID/SSO 用户，在组织的身份提供者处强制执行MFA。
- 强制的2FA：用户无法禁用两步验证。 提供针对凭据窃取和网络钓鱼的强大保护。
- 可选2FA：用户选择是否启用两步验证。 安全态势明显变弱。
- 未配置MFA：仅使用密码保护访问。 高风险，特别是行政帐户。
没有强制性MFA的管理帐户在未经授权访问时的风险要高得多。 没有MFA的受损管理员凭据授予对帐户的完全控制权限，包括修改所有安全设置的功能。
会话寿命和空闲超时
位置： Adobe Admin Console >“设置”>“隐私和安全”>“高级设置”
系统管理员为组织配置最长活动会话生存期和空闲会话超时。 这些设置适用于所有用户，包括管理员。
- 最长会话寿命：强制在定义的时间段后重新进行身份验证，而不考虑活动情况。 如果会话受损，则限制机会窗口。
- 最长空闲时间：终止已定义时间段内处于非活动状态的会话。 防止共享或未锁定设备上无人参与的已验证会话。
角色分配和权限范围设置
角色分配和权限范围设置确定谁在ALM中拥有管理访问权限以及他们可以执行的操作。 这些是平台中影响最大的安全设置之一。 只有管理员角色才能创建、分配、修改或撤销管理角色。
管理角色分配
位置： ALM管理员>用户>内部>操作>分配角色/删除角色
管理员可以授予或撤销以下角色：
- 管理员：完全帐户级访问权限
- 作者：内容创建访问权限
- 自定义管理员：范围的管理访问权限（请参阅第4.2节）
- 集成管理员：集成和API访问（请参阅第7节）
授予管理员角色
完全控制帐户。 具有此角色的用户可以修改此文档中的所有设置，包括重新配置身份验证和撤销其他管理员的访问权限。
仅分配给具有经验证的业务需求的最少用户。 维护所有管理员角色持有人的记录列表。
无法在离开时撤销角色
离职用户仍有权访问管理功能。 未经授权的访问、数据泄露或破坏的风险。
当用户的雇佣或管理责任发生变化时，立即删除角色。 执行定期访问查看。
过度分配广泛角色
广泛的管理访问权限会增加帐户受损的潜在影响，并减少对管理操作的问责。
适用最低权限原则。 尽可能首选作用域角色（例如，自定义管理员）。
自定义管理角色配置
位置： ALM管理员>用户>自定义角色>创建角色
应用 最低权限 的原则。 使用 自定义管理员 角色来委派特定功能（请参阅第4.2节）。
管理员可以创建授予定义的管理权限子集的自定义角色。 自定义角色的范围可以限定为特定的用户组、目录或功能集，从而限制委派管理访问权限的访问。
可用的权限类别包括：
- 帐户权限：访问系统范围的配置，例如公告、游戏、技能和用户管理。
- 功能权限（核心）：访问目录、报告和标签。
- 功能权限（学习对象）：访问课程、认证、学习路径和工作辅助。
- 作用域：将角色限制为特定的用户组和/或目录。
创建过于广泛的自定义角色
权限过高的自定义角色几乎不会带来相对于完整管理员角色的安全好处，并且会增加已泄露帐户的攻击半径。
将自定义角色的范围限定为特定函数所需的最低权限集。 首选目录范围和用户组范围的角色。
向自定义管理员授予设置访问权限
具有“设置”访问权限的自定义管理员可以修改登录方法、通知设置和其他帐户级别配置。
仅在明确需要时，才授予自定义角色设置访问权限。 定期审核哪些自定义角色具有此权限。
不审核自定义角色分配
未记录或未审核的自定义角色可能会随着时间的推移而累积，从而导致权限爬出。
定期下载自定义角色报告（用户>自定义角色>下载）并查看所有有效的自定义角色分配。
用户配置和访问管理设置
用户预配设置控制如何将用户添加到平台、用户保持活动状态的时间以及何时删除其数据。 这些设置仅由管理员角色配置，对数据暴露和访问控制有直接的安全影响。
非活动用户自动删除
ALM管理员>设置>常规
如果不自动删除，则非活动帐户会累积。 休眠帐户是未授权访问的常见目标，因为它们可能处于未监控状态。
启用。 设置与组织策略相符的保留期（例如，90天不活动）。
外部用户配置文件到期
ALM管理员>用户>外部>添加配置文件
没有到期日期的外部用户配置文件仍可无限期访问。 不再需要访问的合作伙伴或承包商保留有效入口点。
在创建时为每个外部用户个人资料设置到期日期。
自行注册链接控件
ALM管理员>用户>内部>添加>自行注册
通过自注册链接，任何拥有URL的用户都可以创建学习者帐户。 如果不进行管理，这可能会导致未经授权的用户或意外用户获得平台访问权限。
仅在需要时生成自注册链接。 立即禁用或撤销未使用的链接。
外部个人资料暂停/继续
ALM管理员>用户>外部>操作>暂停
暂停外部配置文件可阻止新用户注册，但不会影响已注册用户。 无法暂停非活动的外部配置文件可能会允许非预期的注册。
当不再需要注册时，暂停外部个人资料。 删除永久停用的配置文件。
删除和清除用户
ALM管理员>用户>内部>操作>删除/用户清理>清除
已删除的用户会被停用，但其数据会被保留。 清除操作会永久删除所有用户数据。 如果未能清除已离职的用户，则可能会保留超过所需保留期的敏感学习记录和PII。
根据组织数据保留和隐私策略清除用户记录。 清除操作不可逆。
清除操作是永久性且不可逆的。 所有学习记录、注册数据和用户信息都将被删除。 如果在连接器配置中引用了已清除的用户，则这些连接器将被禁用。 在执行清除之前，请仔细确认选择。
报告和数据访问设置
报告和数据访问设置确定哪些用户可以查看、生成和导出平台数据。 这些设置的错误配置可能会导致敏感个人、组织或与合规性相关的信息泄露。
向自定义角色授予报告访问权限
ALM管理员>用户>自定义角色>功能权限>报告
报告可能包含个人身份信息(PII)、课程完成数据、评估分数和学习者进度。 报告功能的访问应仅限于具有经验证的业务需求的用户。
仅向具有特定的、记录的需求的角色授予报告访问权限。 在不需要写访问权限的情况下使用只读访问权限。
完全控制与只读报告范围
ALM管理员>用户>自定义角色>帐户摘要报告
完全控制帐户摘要报告可授予自定义管理员对所有用户组和目录的可见性，无论其角色范围如何。 这可能会显示超出规定范围的管理员角色预期范围的数据。
仅将帐户摘要报告的完全控制授予真正需要在整个组织范围内提供报告可见性的角色。
xAPI和电子邮件报告访问权限
ALM管理员>用户>自定义角色
xAPI报告和电子邮件报告仅适用于完整管理员角色。 这些报告可能包含详细的行为和通信数据。 访问受设计限制。
请勿尝试通过自定义角色委派xAPI或电子邮件报告访问权限。 按照设计，这些模板仅供管理员使用。
导出的用户数据
ALM管理员>用户>内部>导出用户数据
“导出用户数据”函数生成包含所有内部用户记录的可下载文件。 必须根据组织安全和隐私政策处理这些数据。
将出口能力限制在授权人员范围内。 将导出的数据视为敏感数据。 请勿在获批的系统之外存储或传输文档。
集成和API访问设置
集成和API访问设置控制外部系统连接到Adobe Learning Manager的方式。 这些设置将访问扩展到ALM用户界面之外，如果配置不当，可能会向未经授权的系统公开平台数据和功能。 集成设置由集成管理员角色管理。 完全的管理员角色保留审阅、批准和撤销已注册应用程序的功能。
API应用程序注册
集成管理员>应用程序>注册
注册应用程序会创建OAuth 2.0凭据（客户端ID和密钥），这些凭据可用于以编程方式访问ALM数据和函数。 过于宽泛的OAuth范围（例如管理员角色读/写）可授予完全的管理API访问权限。
授予所需的最低OAuth范围。 定期查看和撤销未使用的或旧版应用程序注册。 将客户端凭据视为敏感机密。
OAuth应用程序范围
集成管理员>应用程序>注册>范围
可用的OAuth范围从学习者读取权限到管理员读取/写入权限。 管理员角色读/写允许应用程序修改管理员可以修改的任何数据，包括用户角色和安全设置。
使用满足集成要求的最严格的OAuth范围。 除非绝对必要，否则绝不要授予管理员角色读/写访问权限。
连接器配置（FTP、Salesforce、HRIS等）
集成管理员>连接器
连接器支持自动导入和导出用户数据、技能和课程完成情况。 错误配置的连接器可能会导入错误的用户数据、分配意外角色或将敏感数据导出到未经授权的目标。
定期查看所有活动的连接器配置。 确保数据源和目标已获得授权。 禁用不再使用的连接器。
Webhook配置
集成管理员> Webhook
Webhook将实时ALM事件数据（注册、完成、用户更改）发送到指定的外部URL。 配置错误或受到威胁的Webhook端点可能导致数据泄露或敏感学习者事件曝光。
仅注册经过验证、组织批准的Webhook URL。 定期查看活动的Webhook配置。 立即删除非活动或无法识别的Webhook。
LTI集成配置
集成管理员> LTI集成
LTI集成允许ALM充当LTI提供者或使用者，从而允许外部LMS平台访问ALM课程。 启用后，无法禁用LTI。 公开的LTI凭据可能会允许对课程内容进行未经授权的访问。
仅在存在经验证的集成要求时启用LTI。 将LTI凭据视为敏感。 仅与授权的LMS管理员共享凭据。
管理配置责任和共享责任
Adobe Learning Manager中的管理设置可由客户配置，并且是Adobe共享责任模型下客户管理的安全控制的一部分。
ALM平台和底层基础架构的安全操作。
配置所有管理角色和权限。
基于角色的访问控制(RBAC)模型的实施。
选择并强制执行适当的登录方法和MFA。
有关Adobe Learning Manager安全实践的其他信息，请参见：
参考： Adobe Learning Manager安全概述(PDF)
文档维护
本文档可能会定期更新，以反映Adobe Learning Manager功能或安全指南的变化。 版本和上次更新日期保存在文档元数据和FedRAMP授权包中。 客户应参考Adobe Experience League上的公开版本，以确保他们使用的是最新指南。
d5e5961a-141b-4c77-820e-8453ddef913d