Abra o aplicativo Gerenciamento do AD FS no seu servidor e, dentro da pasta AD FS > Service > Endpoints, selecione Federation Metadata.
Última atualização em
16 de dez de 2024
Resolva erros comuns de autenticação, verifique configurações e solucione problemas de logon relacionados a Federated ID (SSO) em produtos da Adobe. Obtenha dicas para corrigir erros de SAML, problemas de certificado e outros desafios de autenticação.
Depois de configurar com sucesso o SSO no Adobe Admin Console, selecione Baixar arquivo de metadados do Adobe e salve o arquivo de metadados XML SAML no computador. Seu provedor de identidade requer este arquivo para habilitar o logon único (SSO). Importe os detalhes de configuração XML corretamente no seu provedor de identidade (IdP). Isso é necessário para a integração SAML com o IdP e garante que os dados sejam configurados adequadamente.
Se tiver dúvidas sobre como usar o arquivo de metadados XML SAML para configurar o IdP, entre em contato diretamente com o IdP para obter instruções, pois elas variam de acordo com o IdP.
Nota
Consulte os artigos a seguir se sua organização tiver configurado o SSO por meio do Google Federation ou do Microsoft Azure Sync:
Solução de problemas básicos
Problemas de logon único geralmente são causados por erros básicos que são fáceis de deixar passar. Verifique em especial o seguinte:
- O usuário está atribuído a um perfil de produto com um direito.
- O nome de usuário enviado ao SAML corresponde ao nome de usuário no painel corporativo.
- Confira todas as entradas no Admin Console e no provedor de identidade para ver se há erros de ortografia ou sintaxe.
- O aplicativo de desktop da Creative Cloud foi atualizado para a versão mais recente.
- O usuário fez logon no local correto (aplicativo de desktop da Creative Cloud, aplicativo da Creative Cloud ou Adobe.com)
Soluções para outros erros comuns
Erro: “Ocorreu um erro” com um botão de “Tentar novamente”
Este erro geralmente ocorre depois que a autenticação do usuário é bem-sucedida e o Okta encaminha a resposta de autenticação para o Adobe.
No Adobe Admin Console, valide o seguinte:
Na guia Identidade:
- Verifique se o domínio associado foi ativado.
Na guia Produtos:
- Verifique se o usuário está associado ao apelido do produto correto e se ele está no domínio reivindicado para ser configurado como Federated ID.
- Verifique se o apelido do produto tem os direitos corretos atribuídos a ele.
Na guia Usuários:
- Verifique se o nome do usuário está no formato de um endereço de email completo.
Erro: “Acesso negado” ao fazer logon
Possíveis causas deste erro:
- O nome de usuário ou endereço de email na declaração SAML não corresponde às informações inseridas no Admin Console.
- O usuário não está associado ao produto correto ou o produto não está associado ao direito correto.
- O nome de usuário no SAML foi inserido como algo diferente de um endereço de email. Todos os usuários devem estar no domínio que você reivindicou como parte do processo de configuração.
- Seu cliente de SSO utiliza JavaScript como parte do processo de logon, e você está tentando fazer logon em um cliente que não aceita JavaScript.
Como resolver:
- Verifique o nome de usuário e email no Adobe Admin Console e faça com que correspondam aos atributos NameID e Email nos logs SAML.
- Verifique a configuração do painel para o usuário: informações do usuário e perfil de produto.
- Execute um rastreamento de SAML e confira se as informações enviadas correspondem ao painel, corrigindo inconsistências.
Erro: “Outro usuário está conectado no momento”
O erro “Outro usuário está conectado no momento” ocorre quando os atributos enviados para a afirmação SAML não correspondem ao endereço de email usado para iniciar o processo de logon.
Execute um rastreamento de SAML e certifique-se de que o endereço de email do usuário para fazer logon corresponda ao seguinte:
- Endereço de email do usuário indicado no Admin Console
- Nome de usuário devolvido no campo NameID da afirmação SAML
Erro: “O emissor na resposta SAML não corresponde ao emissor configurado para o provedor de identidade”
O emissor de IDP na afirmação SAML é diferente do que foi configurado no SAML de entrada. Verifique se há erros de digitação (como http vs https). Ao verificar a string do emissor de IDP no sistema SAML do cliente, você deve encontrar uma correspondência exata à string que ele forneceu. Esse problema às vezes ocorre porque falta uma barra no final.
Se você precisar de ajuda para resolver esse erro, forneça um rastreamento de SAML e os valores que inseriu no painel da Adobe.
Erro: “A assinatura digital na resposta SAML não foi validada com o certificado do provedor de identidade”
Esse problema ocorre quando o certificado do diretório expirou. Para atualizar o certificado, você precisa baixar o certificado ou os metadados do provedor de identidade e fazer upload deles no Adobe Admin Console.
Por exemplo, siga as etapas abaixo se o seu IdP for o Microsoft AD FS:
Use um navegador para acessar o URL fornecido em Federation Metadata e baixe o arquivo. Por exemplo, https://<nome do servidor do AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Nota
Aceite todos os avisos exibidos.
Na guia Configurações do Admin Console, acesse Configurações de identidade > Diretórios. Selecione o diretório para atualizar e clique em Configurar no cartão do provedor SAML.
Em seguida, faça upload do arquivo de metadados do IdP e selecione Salvar.
Erro: “O horário atual é anterior ao período especificado nas condições da afirmação”
Servidor de IdP baseado no Windows:
- Certifique-se de que o relógio do sistema esteja sincronizado com um servidor de horário preciso.
Verifique a precisão do relógio do sistema em relação ao servidor de horário com este comando; o valor "Deslocamento de fase" deve ser uma pequena fração de segundo:
w32tm /query /status /verbose
É possível fazer uma ressincronização imediata do relógio do sistema com o servidor de horário usando o comando a seguir:
w32tm /resync
Se o relógio do sistema estiver configurado corretamente e você ainda estiver vendo o erro acima, talvez seja necessário ajustar a configuração de diferença de horário para aumentar a tolerância às diferenças de relógio entre o servidor e o cliente. - Aumente a diferença permitida no relógio do sistema entre servidores.
Em uma janela do PowerShell com permissões administrativas, defina o valor de diferença permitido para 2 minutos.Verifique se é possível fazer login e, em seguida, aumente ou diminua o valor dependendo do resultado.
Determine a configuração atual de diferença de horário para o Relying Party Trust relevante com o comando a seguir:
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
O Relying Party Trust é identificado pela URL mostrada no campo "Identifier" da saída do comando anterior para essa configuração específica.Essa URL também é mostrada no utilitário de gerenciamento do ADFS na janela de propriedades da Confiança da Terceira Parte Confiável relevante na guia "Identifiers" no campo "Relying Party Trusts", conforme mostrado na captura de tela abaixo.
Defina a diferença de horário para 2 minutos com o comando a seguir, substituindo o endereço do Identifier adequadamente:
Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2
Servidor de IdP baseado no UNIX
Certifique-se de que o relógio do sistema esteja configurado corretamente usando o serviço ntpd ou manualmente com o comando ntpdate de um shell raiz ou com sudo, conforme mostrado abaixo (observe que se o horário estiver com diferença de mais de 0,5 segundo, a alteração não acontece imediatamente, mas corrige lentamente o relógio do sistema).Verifique se o fuso horário também está definido corretamente.
# ntpdate -u pool.ntp.org
Nota
Isso funciona com provedores de identidade como o Shibboleth.
Erro: 401 credenciais não autorizadas
Este erro ocorre quando o aplicativo não aceita logon federado e o logon precisa ser feito com uma Adobe ID. FrameMaker, RoboHelp e Adobe Captivate são exemplos de aplicativos com esse requisito.
Erro: “Falha no logon no SAML de entrada com a mensagem: a resposta do SAML não continha afirmações”
Verifique o fluxo de trabalho de logon. Se for possível acessar a página de logon em outro computador ou rede, mas não internamente, o problema pode ser uma string de bloqueio de agente. Execute um rastreamento de SAML e confirme que FirstName, LastName e Username (um endereço de email adequado) estejam no assunto do SAML.
Verifique se a afirmação SAML apropriada está sendo enviada:
- Ausência de um elemento NameID no assunto. Verifique se o elemento Subject contém um elemento NameID. Ele deve corresponder ao atributo Email, que deve ser o endereço de email do usuário que você deseja autenticar.
- Erros de ortografia, especialmente os mais ignorados, como https versus http.
- Verifique se o certificado correto foi fornecido. Os IDPs devem ser configurados para usar solicitações e respostas SAML não compactadas.
Um utilitário como SAML tracer para Firefox pode ajudar a descompactar a declaração e exibi-la para inspeção.Se precisar de assistência do Atendimento ao cliente da Adobe, será solicitado este arquivo.Para obter informações, consulte Como executar um rastreamento de SAML.
Este exemplo de SAML funcional pode ajudar na formatação adequada da declaração SAML:
Com Microsoft ADFS
Certifique-se de que cada conta do Active Directory tenha um endereço de email listado no Active Directory para fazer login com sucesso (log de eventos: A resposta SAML não tem NameId na declaração).
Acesse o Admin Console, selecione a guia Identity e o domínio.
Selecione Editar configuração e localize Vinculação do IDP.Troque para HTTP-POST e salve.
Teste novamente a experiência de logon.
Se funcionar, mas você preferir a configuração anterior, volte para HTTP-REDIRECT e carregue novamente os metadados no ADFS.
Com outros IdPs
O erro 400 significa que seu IdP rejeitou o login bem-sucedido.
Verifique os logs do IdP para identificar a origem do erro e corrija o problema antes de tentar novamente.
Erro: “403: certificado com defeito”
Atualize o certificado no Google Console no aplicativo Adobe SAML e faça upload novamente dos arquivos de metadados no Adobe Admin Console.
Erro: “403 app_not_configured_for_user”
Atualize a ID da entidade no Google Console. Em seguida, exporte o arquivo de metadados e faça upload dele no Adobe Admin Console.
Erro: “você não pode acessar isso agora” ou “você não pode fazer isso por aqui”
Este erro geralmente ocorre quando a organização habilita a política de acesso condicional no IdP.
Se você estiver usando pacotes gerenciados para implantar produtos, crie um pacote gerenciado no Adobe Admin Console selecionando a opção de autenticação baseada em navegador. Depois, implante-o no dispositivo do usuário.
Caso contrário, os usuários podem abrir o aplicativo de desktop da Creative Cloud e selecionar Fazer logon usando seu navegador no menu Ajuda.
Erro: “Aplicativo não atribuído”
Nesse caso, o administrador deve adicionar os usuários ao aplicativo Adobe SAML criado em seu IdP. Saiba como criar um aplicativo Adobe SAML no console de administração do Google ou no Portal do Microsoft Azure.
Erro: “Você não tem acesso a esse serviço. Entre em contato com seu administrador de TI para obter acesso ou fazer logon com uma Adobe ID”
Verifique os logs SAML, pois o nome de usuário ou endereço de email enviado na declaração SAML não corresponde às informações inseridas no Admin Console.
