In dit document wordt beschreven hoe u de Adobe Admin Console configureert met een Microsoft AD FS-server.
De identiteitsprovider hoeft niet toegankelijk te zijn van buiten het bedrijfsnetwerk, maar als dat niet het geval is, kunnen alleen werkstations die zich binnen het netwerk bevinden (of die met het netwerk zijn verbonden via een VPN), verificatie uitvoeren om een licentie te activeren of zich aanmelden nadat hun sessie is gedeactiveerd.
De instructies en schermafbeeldingen in dit document gelden voor AD FS versie 3.0, maar dezelfde menu's zijn aanwezig in AD FS 2.0.
Voordat u een directory voor eenmalige aanmelding configureert met Microsoft AD FS, moet aan de volgende vereisten zijn voldaan:
Doe het volgende om eenmalige aanmelding voor uw domein te configureren:
Volg de hyperlinks voor meer informatie over de details van elke stap.
Als u de SAML-integratie met AD FS wilt configureren, voert u de onderstaande stappen uit:
Alle volgende stappen moeten worden herhaald na elke wijziging van de waarden in de Adobe Admin Console voor een bepaald domein.
Navigeer in de applicatie Beheer van AD FS naar AD FS -> Vertrouwensrelaties -> Vertrouwensrelaties van relying party en klik op Vertrouwensrelatie van relying party toevoegen om de wizard te starten.
Geef de vertrouwensrelatie van de relying party een naam en voer zo nodig aanvullende opmerkingen in.
Klik op Volgende.
Bepaal of meervoudige verificatie is vereist en selecteer de gewenste optie.
Klik op Volgende.
Bepaal of alle gebruikers zich kunnen aanmelden via AD FS.
Klik op Volgende.
Controleer de instellingen.
Klik op Volgende.
De vertrouwensrelatie van de relying party is toegevoegd.
Laat de optie ingeschakeld om het dialoogvenster Claimregels bewerken te openen en snel naar de volgende stappen te gaan.
Klik op Sluiten.
Als de wizard Claimregels bewerken niet automatisch wordt geopend, kunt u deze openen vanuit de applicatie Beheer van AD FS door via AD FS -> Vertrouwensrelaties -> Vertrouwensrelatie van relying party de vertrouwensrelatie voor uw Adobe SSO te selecteren en te klikken op Claimregels bewerken... aan de rechterkant.
Klik op Regel toevoegen en configureer een regel met behulp van de sjabloon LDAP-kenmerken verzenden als claims voor uw kenmerkarchief, waarbij u het LDAP-kenmerk E-mailadressen toewijst aan het Type uitgaande claim E-mailadres.
Zoals u ziet in de bovenstaande schermafbeelding, raden we u aan om het e-mailadres als primaire identificatie te gebruiken. U kunt ook het veld Principal-naam van gebruiker (UPN) gebruiken als LDAP-kenmerk dat in een bevestiging als e-mailadres wordt verzonden. We raden echter af dit als claimregel te configureren.
De UPN verwijst vaak niet naar een e-mailadres en zal in veel gevallen anders zijn. Dit zal hoogstwaarschijnlijk problemen veroorzaken voor meldingen en het delen van middelen binnen Creative Cloud.
Klik op Voltooien om het toevoegen van de transformatieclaimregel te voltooien.
Gebruik opnieuw de wizard Claimregels bewerken om een regel toe te voegen via de sjabloon Een binnenkomende claim transformeren waarbij binnenkomende claims van het type E-mailadres worden geconverteerd naar claims waarvoor Type uitgaande claim Naam-id en Id-indeling van uitgaande naam E-mail is, waarbij alle claimwaarden worden doorgegeven.
Klik op Voltooien om het toevoegen van de transformatieclaimregel te voltooien.
Gebruik de wizard Claimregels bewerken om een regel toe te voegen via de sjabloon Claims verzenden met een aangepaste regel die de volgende regel bevat:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Klik op Voltooien om de wizard voor aangepaste regels te voltooien.
Klik op OK in het dialoogvenster Claimregels bewerken om het toevoegen van deze drie regels aan de vertrouwensrelatie van de relying party te voltooien.
De volgorde van de claimregels is belangrijk. Ze moeten worden weergegeven zoals hier getoond.
Om verbindingsproblemen te voorkomen tussen systemen waarvan de klok een klein beetje afwijkt, stelt u het standaardtijdverschil in op 2 minuten. Zie het document Fouten oplossen voor meer informatie over het tijdverschil.
Open de applicatie Beheer van AD FS op uw server en selecteer Federatieve metagegevens in de map AD FS > Service > Eindpunten.
Navigeer in een browser naar de URL die is opgegeven voor Federatieve metagegevens en download het bestand. Bijvoorbeeld https://<uw AD FS-hostnaam>/FederationMetadata/2007-06/FederationMetadata.xml.
Ga terug naar de Adobe Admin Console om het certificaat bij te werken naar de meest recente versie. Upload het van AD FS gedownloade metagegevensbestand naar het scherm SAML-profiel toevoegen en klik op Gereed.
Nadat u uw directory hebt ingesteld, doet u het volgende om ervoor te zorgen dat de gebruikers van uw organisatie Adobe-apps en -services kunnen gebruiken:
Voor meer informatie over andere tools en technieken die te maken hebben met identiteit, leest u Identiteit instellen.
Maak een testgebruiker met Active Directory. Maak een vermelding in de Admin Console voor deze gebruiker en wijs een licentie aan de gebruiker toe. Test vervolgens het aanmelden bij Adobe.com om te controleren of de relevante software wordt weergegeven die kan worden gedownload.
U kunt dit ook testen door u aan te melden bij Creative Cloud op de desktop of vanuit een applicatie zoals Photoshop of Illustrator.
Raadpleeg ons document voor probleemoplossing als u problemen ondervindt. Als u nog steeds hulp nodig met de configuratie van eenmalige aanmelding, gaat u naar Ondersteuning in de Adobe Admin Console en opent u een ticket bij de klantenondersteuning.
