Ouvrez l’application AD FS Management sur votre serveur et dans le dossier AD FS> Service > Points de terminaison, sélectionnez Métadonnées de la fédération.
Dernière mise à jour le
Oct 27, 2021 01:27:25 AM GMT
- Adobe Entreprise et Équipes : Guide de l’administrateur
- Planification de votre déploiement
- Concepts de base
- Guides de déploiement
- Déploiement de Creative Cloud abonnement Éducation
- Configuration de votre organisation
- Configuration des identités
- Types d’identités | Présentation
- Configuration d’une organisation avec Enterprise ID
- Configuration d’une organisation avec Federated ID
- Présentation de l’authentification unique (SSO)
- Configuration et synchronisation d’Azure Connector
- Configuration et synchronisation de la fédération Google
- SAML générique
- Authentification unique pour le secteur de l’éducation
- Présentation de l’authentification unique (SSO)
- Vérification de la propriété d’un domaine
- Ajout et gestion de domaines
- Association de domaines aux répertoires
- Gestion des domaines et répertoires existants
- Ajout de domaines prédéposés à l’aide de l’approbation de répertoires
- Migration vers un nouveau fournisseur d’authentification
- Paramètres des actifs
- Paramètres d’authentification
- Confidentialité et contacts de sécurité
- Paramètres de la console
- Gestion du chiffrement
- Configuration des identités
- Gestion des produits et des autorisations
- Gestion des utilisateurs
- Présentation
- Rôles administratifs
- Techniques de gestion des utilisateurs
- Changement du type d’identité d’un utilisateur
- Gestion des groupes d’utilisateurs
- Gestion des utilisateurs d’un répertoire
- Gestion des développeurs
- Migration d’utilisateurs existants vers le portail Adobe Admin Console
- Migration de la gestion d’utilisateurs vers le portail Adobe Admin Console
- Présentation
- Gestion des produits et des profils de produit
- Gestion des produits
- Gestion des profils de produit pour les utilisateurs de la formule Entreprise
- Gestion des politiques de libre-service
- Gestion des intégrations d’application
- Gestion des autorisations de produit dans Admin Console
- Activation/désactivation de services pour un profil de produit
- Une seule application | Creative Cloud abonnement Entreprise
- Services facultatifs
- Gestion des licences de périphériques partagés
- Gestion des utilisateurs
- Gestion des actifs et des espaces de stockage
- Stockage
- Migration des actifs
- Récupération des actifs d’un utilisateur
- Migration des actifs des étudiants | Établissements scolaires uniquement
- Gestion des services
- Adobe Stock
- Polices personnalisées
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud abonnement Entreprise – abonnement gratuit
- Déploiement des applications et des mises à jour
- Présentation
- Création de packs
- Personnalisation des packs
- Déploiement de packs
- Déploiement de packs
- Déploiement de packs Adobe à l’aide de Microsoft Intune
- Déploiement de packs Adobe avec SCCM
- Déploiement de packs Adobe avec ARD
- Installation de produits dans le dossier Exceptions
- Désinstallation de produits Creative Cloud
- Utilisation d’Adobe Provisioning Toolkit Enterprise Edition
- Identifiants de licences Adobe Creative Cloud
- Déploiement de packs
- Gestion des mises à jour
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- Résolution des problèmes
- Création de packs à l’aide de l’outil Creative Cloud Packager (applications CC 2018 ou antérieures)
- À propos de Creative Cloud Packager
- Notes de mise à jour sur Creative Cloud Packager
- Création de packs d’applications
- Création de packs à l’aide de Creative Cloud Packager
- Création de packs avec licences nominatives
- Création de packs avec licences de périphérique
- Création d’un pack de licences
- Création de packs de licences avec numéro de série
- Automatisation de Packager
- Inclusion de produits non associés à Creative Cloud dans un pack
- Modification et enregistrement de configurations
- Définition de paramètres régionaux au niveau du système
- Gestion de votre compte
- Gestion de votre compte Équipe
- Attribution de licences à un utilisateur de la formule Équipe
- Ajout de produits et de licences
- Renouvellements
- Étapes d’expiration automatisées pour les contrats ETLA
- Changement de type de contrat sur un portail Adobe Admin Console existant
- Conformité des demandes d’achat
- Programme VIP (Value Incentive Plan) en Chine
- Aide de VIP Select
- Rapports et journaux
- Obtenir de l’aide
Remarque :
Cet article ne s’applique pas aux configurations SSO utilisant la fédération Google ou Microsoft Azure Sync.
Si votre organisation a configuré l’authentification SSO via l’un de ces fournisseurs d’identité, reportez-vous aux articles suivants :
Présentation
Après avoir configuré avec succès l’authentification unique SSO dans Adobe Admin Console, assurez-vous d’avoir cliqué sur Télécharger le fichier de métadonnées Adobe et d’avoir enregistré le fichier de métadonnées XML SAML sur votre ordinateur. Votre fournisseur d’identité a besoin de ce fichier pour activer l’authentification unique. Importez correctement les détails de la configuration XML vers votre fournisseur d’identité (IdP). Ceci est requis pour l’intégration SAML avec votre IdP et garantira que les données sont correctement configurées.
Si vous avez des questions sur la façon d’utiliser le fichier de métadonnées XML SAML pour configurer votre IdP, contactez directement celui-ci pour obtenir des instructions. Celles-ci varient d’un IdP à l’autre.
Dépannage de base
Les problèmes liés à l’authentification unique sont souvent causés par des erreurs basiques qu’il est facile de laisser passer. En particulier, vérifiez les points suivants :
- L’utilisateur est affecté à un profil de produit avec des droits.
- Le nom d’utilisateur envoyé à SAML correspond à celui figurant dans le tableau de bord d’entreprise.
- Vérifiez toutes les entrées d’Admin Console et de votre fournisseur d’identité, à la recherche d’éventuelles erreurs d’orthographe ou de syntaxe.
- L’application Creative Cloud sur ordinateur a été mise à jour vers la dernière version.
- L’utilisateur se connecte au bon emplacement (application pour postes de travail Creative Cloud, application Creative Cloud ou Adobe.com)
Erreur « Une erreur s’est produite » avec le bouton « Réessayer »
Cette erreur se produit généralement après que l’authentification de l’utilisateur a réussi et qu’Okta a transmis avec succès la réponse d’authentification à Adobe.
Dans Adobe Admin Console, validez les éléments suivants :
Dans l’onglet Identité :
- Assurez-vous que le domaine associé a été activé.
Dans l’onglet Produits :
- Assurez-vous que l’utilisateur est associé au pseudonyme de produit correct et au domaine que vous avez déclaré être configuré en tant que Federated ID.
- Assurez-vous que le pseudonyme du produit dispose des droits appropriés.
Dans l’onglet Utilisateurs :
- Assurez-vous que le nom d’utilisateur se présente sous la forme d’une adresse e-mail complète.
Erreur « Accès refusé » lors de la connexion
Causes possibles de cette erreur :
- Le nom d’utilisateur ou l’adresse e-mail envoyés dans l’assertion SAML ne correspondent pas aux informations saisies dans Admin Console.
- L’utilisateur n’est pas associé au bon produit ou le produit n’est pas associé au droit approprié.
- Le nom d’utilisateur SAML apparaît comme autre chose qu’une adresse e-mail. Tous les utilisateurs doivent appartenir au domaine que vous avez réclamé dans le cadre de la procédure d’installation.
- Votre client SSO utilise JavaScript dans le cadre du processus de connexion, et vous essayez de vous connecter à un client qui ne prend pas en charge JavaScript (tel que Creative Cloud Packager).
Résolution :
- Vérifiez la configuration du tableau de bord pour l’utilisateur : informations utilisateur et profil produit.
- Exécutez une trace SAML et vérifiez que les informations envoyées correspondent au tableau de bord, puis corrigez les incohérences.
Erreur « Un autre utilisateur est actuellement connecté »
L’erreur « Un autre utilisateur est actuellement connecté » se produit lorsque les attributs envoyés dans l’assertion SAML ne correspondent pas à l’adresse e-mail qui a été utilisée pour démarrer le processus de connexion.
Vérifiez et assurez-vous que l’adresse e-mail de l’utilisateur pour se connecter correspond à ce qui suit :
- Adresse e-mail de l’utilisateur répertoriée dans le portail Admin Console
- Nom d’utilisateur renvoyé dans le champ NameID de l’assertion SAML
Erreur « L’émetteur dans la réponse SAML ne correspond pas à l’émetteur configuré pour le fournisseur d’identité »
L’émetteur IDP dans l’assertion SAML est différent de celui qui a été configuré dans le SAML entrant. Recherchez toute faute de frappe éventuelle (par exemple, http au lieu de https). Lorsque vous vérifiez la chaîne de l’émetteur IDP avec le système SAML du client, recherchez une correspondance EXACTE avec la chaîne fournie. Ce problème survient parfois parce qu’une barre oblique manquait à la fin.
Si vous avez besoin d’aide pour résoudre cette erreur, fournissez une trace SAML et les valeurs que vous avez entrées dans le tableau de bord Adobe.
Erreur « La signature numérique dans la réponse SAML n’a pas été validée avec le certificat du fournisseur d’identité »
Ce problème se produit lorsque le certificat de votre répertoire a expiré. Pour mettre à jour le certificat, vous devez télécharger ce dernier ou les métadonnées à partir du fournisseur d’identité, et les charger dans Adobe Admin Console.
Par exemple, procédez comme suit si votre IdP est Microsoft AD FS :
-
-
Utilisez un navigateur pour accéder à l’URL fournie par rapport aux métadonnées de fédération et téléchargez le fichier. Par exemple, https://<votre nom d’hôte AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Remarque :Acceptez tous les avertissements si vous y êtes invité.
-
Connectez-vous à votre Adobe Admin Console et accédez à Paramètres > Identité > Répertoires. Sélectionnez le répertoire à mettre à jour et cliquez sur Configurer sur la carte Fournisseur SAML.
Ensuite, chargez le fichier de métadonnées IdP et enregistrez.
Erreur « L’heure actuelle se situe avant la plage de temps spécifiée dans les conditions d’assertion »
Serveur IdP basé sur Windows :
1. Assurez-vous que l’horloge système est synchronisée avec un serveur de temps précis.
Vérifiez la précision de l’horloge système par rapport à votre serveur de temps avec cette commande ; la valeur de « décalage de phase » doit être une petite fraction de seconde :
w32tm /query /status /verbose
Vous pouvez provoquer une resynchronisation immédiate de l’horloge système avec le serveur de temps à l’aide de la commande suivante :
w32tm /resync
Si l’horloge système est correctement réglée et que l’erreur ci-dessus est toujours visible, vous devrez peut-être ajuster le paramètre de décalage pour augmenter la tolérance de différence entre les horloges côté serveur et côté client.
2. Augmentez la différence autorisée dans l’horloge système entre les serveurs.
Dans une fenêtre Powershell avec des droits d’administration, définissez la valeur de décalage autorisée sur 2 minutes. Vérifiez si vous pouvez vous connecter, puis augmentez ou diminuez la valeur en fonction du résultat.
Déterminez le paramètre de décalage actuel pour l’approbation de partie de confiance concernée à l’aide de la commande suivante :
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
L’approbation de partie de confiance est identifiée par l’URL indiquée dans le champ « Identifiant » de la sortie de la commande précédente pour cette configuration spécifique. Cette URL est également affichée dans l’utilitaire ADFS Management de la fenêtre de propriétés de l’approbation de partie de confiance concernée, sous l’onglet « Identifiants » du champ « Approbations de partie de confiance », comme illustré dans la capture d’écran ci-dessous.
Définissez le décalage sur 2 minutes à l’aide de la commande suivante, en remplaçant l’adresse d’identifiant en conséquence :
Set-ADFSRelyingPartyTrust –TargetIdentifier ’https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx’ –NotBeforeSkew 2
Serveur IdP basé sur UNIX
Assurez-vous que l’horloge système est définie correctement à l’aide du service ntpd ou manuellement à l’aide de la commande ntpdate à partir d’un shell racine ou avec sudo, comme indiqué ci-dessous (notez que si l’heure est décalée de plus de 0,5 seconde, la modification ne se produira pas immédiatement, mais cela corrigera lentement l’horloge système). Assurez-vous que le fuseau horaire est également défini correctement.
# ntpdate -u pool.ntp.org
Remarque :
Cela fonctionne avec les fournisseurs d’identité tels que Shibboleth.
Erreur 401 Informations d’identification non autorisées
Cette erreur se produit lorsque l’application ne prend pas en charge la connexion fédérée et qu’il faut y accéder en tant qu’Adobe ID. FrameMaker, RoboHelp et Adobe Captivate sont des exemples d’applications avec cette condition.
Erreur « Échec de la connexion SAML entrante avec le message : La réponse SAML ne contient aucune assertion »
Vérifiez le processus de connexion. Si vous pouvez accéder à la page de connexion à partir d’un autre ordinateur ou réseau mais pas en interne, le problème peut être une chaîne d’agent bloquant. En outre, exécutez une trace SAML et vérifiez que le prénom, le nom de famille et le nom d’utilisateur se trouvent dans l’objet SAML sous forme d’adresse électronique correctement formatée.
Erreur 400 Requête incorrecte/Erreur « Échec du statut de la requête SAML »/Échec de la validation de la déclaration SAML
Confirmez l’envoi de l’assertion SAML adéquate :
- Ne comporte pas d’élément NameID dans l’objet. Confirmez que l’élément Objet contient un élément NameId. Il doit être égal à l’attribut Email qui doit être l’adresse électronique de l’utilisateur que vous souhaitez authentifier.
- Erreurs d’orthographe, en particulier celles facilement négligées comme https au lieu de http.
- Vérifiez que le certificat correct a été fourni. Les IdP doivent être configurés pour utiliser des requêtes/réponses SAML non comprimées.
Un utilitaire tel que SAML Tracer pour Firefox peut aider à déballer l’assertion et à l’afficher pour contrôle. Si vous avez besoin de l’aide de l’assistance clientèle Adobe, ce fichier vous sera demandé. Pour en savoir plus, consultez la section Comment réaliser une trace SAML.
L’exemple fonctionnel suivant peut vous aider à composer correctement l’assertion SAML :
Telechargement
Avec Microsoft ADFS :
- Chaque compte Active Directory doit posséder une adresse e-mail figurant dans Active Directory pour ouvrir une session (journal d’événements : La réponse SAML ne comporte pas NameId dans l’assertion). Vérifiez ceci en premier.
- Accédez au tableau de bord.
- Cliquez sur l’onglet Identité, puis sur le domaine.
- Cliquez sur Modifier la configuration.
- Localisez la liaison à l’IDP. Basculez sur HTTP-POST, puis enregistrez.
- Vérifiez à nouveau l’expérience de connexion.
- Si cela fonctionne mais que vous préférez la configuration antérieure, rebasculez tout simplement sur HTTP-REDIRECT et rechargez les métadonnées dans ADFS.
Avec d’autres IdP :
- Si l’erreur 400 se produit, une connexion réussie a été refusée par votre IdP.
- Recherchez la source de l’erreur dans vos journaux IdP.
- Corrigez le problème et réessayez.
Accéder à votre compte