O documento destaca o processo de configuração do Adobe Admin Console com um servidor Microsoft AD FS.
O provedor de identidade não precisa ser acessível fora da rede corporativa, mas se não for, apenas as estações de trabalho dentro da rede (ou conectadas por meio de VPN) poderão ser autenticadas para ativar uma licença ou fazer logon depois de desativar sua sessão.
As instruções e capturas de tela deste documento se aplicam à versão 3.0 do AD FS, mas os mesmos menus estão presentes no AD FS 2.0.
Antes de criar um diretório para Single Sign-On usando o Microsoft AD FS, os seguintes requisitos devem ser atendidos:
Para configurar o Single Sign-On para seu domínio, você precisa fazer o seguinte:
Para saber mais sobre os detalhes de cada etapa, siga os hiperlinks.
Para configurar a integração do SAML com o AD FS, siga as etapas abaixo:
Todas as etapas subsequentes devem ser repetidas após qualquer alteração nos valores no Adobe Admin Console para um domínio específico.
No aplicativo Gerenciamento do AD FS, navegue até AD FS -> Relações de confiança -> Objetos de confiança de terceira parte confiável e clique em Adicionar objeto de confiança de terceira parte confiável para iniciar o assistente.
Nomeie seu objeto de confiança de terceira parte confiável e insira qualquer observação adicional, conforme necessário.
Clique em Avançar.
Determine se a autenticação de vários fatores é necessária e selecione a opção relevante.
Clique em Avançar.
Determine se todos os usuários podem fazer logon por meio de AD FS.
Clique em Avançar.
Revise suas configurações.
Clique em Avançar.
Sua confiança de objeto de confiança de terceira parte confiável foi adicionada.
Deixe a opção marcada para abrir a caixa de diálogo Editar regras de declaração para acessar rapidamente as próximas etapas.
Clique em Fechar.
Se o assistente Editar regras de declaração não foi aberto automaticamente, é possível acessá-lo por meio do aplicativo Gerenciamento do AD FS em AD FS -> Relações de confiança -> Objetos de confiança de terceira parte confiável, selecionando o objeto de confiança de terceira parte confiável do SSO da Adobe e clicando em Editar regras de declaração... no lado direito.
Clique em Adicionar regra e configure uma regra usando o modelo Enviar atributos LDAP como declarações para seu repositório de atributos, mapeando o atributo LDAP Endereços de email para o tipo de declaração de saída Endereço de email.
Conforme mostrado na captura de tela acima, sugerimos usar o endereço de email como o identificador principal. Você também pode usar o campo User Principal Name (UPN) como o atributo LDAP enviado em uma declaração como o endereço de email. No entanto, não recomendamos isso para configurar a regra de declaração.
Geralmente, o UPN não mapeia para um endereço de email e, em muitos casos, será diferente. Isso provavelmente causará problemas para notificações e compartilhamento de ativos na Creative Cloud.
Clique em Concluir para concluir a adição da regra de declaração de transformação.
Novamente, no assistente Editar regras de declaração, adicione uma regra usando o modelo Transformar uma declaração de entrada para converter declarações de entrada do tipo Endereço de email com o tipo de declaração de saída ID do nome e Formato de ID do nome de saída como email, passando por todos os valores de declaração.
Clique em Concluir para concluir a adição da regra de declaração de transformação.
No assistente Editar regras de declaração, adicione uma regra usando o modelo Enviar declarações usando uma regra personalizada contendo a seguinte regra:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Clique em Concluir para concluir o assistente de regra personalizada.
Clique em OK na caixa de diálogo Editar regras de declaração para concluir a adição dessas três regras ao seu objeto de confiança de terceira parte confiável.
A ordem das regras de declaração é importante; elas devem aparecer conforme mostrado aqui.
Para evitar problemas de conectividade entre sistemas em que o relógio difere um pouco, defina o desvio de tempo padrão para 2 minutos. Para obter mais informações sobre o desvio de tempo, consulte o documento Solução de erros.
Abra o aplicativo Gerenciamento do AD FS no seu servidor e, dentro da pasta AD FS > Service > Endpoints, selecione Federation Metadata.
Use um navegador para acessar o URL fornecido em Federation Metadata e baixe o arquivo. Por exemplo, https://<nome do servidor do AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Para atualizar o certificado mais recente, retorne à janela do Adobe Admin Console. Faça upload do arquivo de metadados baixado do AD FS na tela Adicionar o perfil SAML e clique em Concluído.
Depois de configurar seu diretório, faça o seguinte para permitir que os usuários de sua organização usem aplicativos e serviços da Adobe:
Para saber mais sobre outras ferramentas e técnicas relacionadas à identidade, consulte Configurar identidade.
Crie um usuário de teste com o Active Directory. Crie uma entrada no Admin Console para este usuário e atribua-lhe uma licença. Em seguida, faça logon em Adobe.com para confirmar que o software relevante está listado para download.
Você também pode testar fazendo logon no aplicativo de desktop da Creative Cloud e em um aplicativo como o Photoshop ou o Illustrator.
Se você encontrar problemas, consulte nossa solução de problemas de documentos. Se você ainda precisar de ajuda com a configuração de Single Sign-On, navegue até Suporte no Adobe Admin Console e abra um chamado com o Suporte ao cliente.
