Apri l'applicazione di gestione di ADFS sul server e all'interno della cartella AD FS> Servizio> Endpoint, seleziona i metadati della federazione.
Ultimo aggiornamento il
16 dic 2024
Risolvi gli errori comuni di autenticazione, verifica le configurazioni e risolvi i problemi di accesso relativi a Federated ID (SSO) nei prodotti Adobe. Ottieni suggerimenti per correggere errori SAML, problemi relativi ai certificati e altri problemi di autenticazione.
Dopo aver configurato correttamente l'SSO nell'Adobe Admin Console, seleziona Scarica file di metadati Adobe e salva il file di metadati XML SAML sul computer. Il provider di identità richiede questo file per abilitare l'accesso unico. Importa correttamente i dettagli della configurazione XML nel provider di identità (IdP). Questa operazione è necessaria per l'integrazione SAML con l'IdP e garantisce la corretta configurazione dei dati.
Se hai domande su come utilizzare il file di metadati XML SAML per configurare l'IdP, contatta direttamente l'IdP per le istruzioni, poiché variano in base all'IdP.
Nota
Fai riferimento ai seguenti articoli se la tua organizzazione ha configurato SSO tramite Google Federation o Microsoft Azure Sync:
Risoluzione dei problemi di base
I problemi con l'accesso unico sono spesso causati da errori di base che è facile lasciarsi sfuggire. In particolare, verifica quanto segue:
- L'utente è assegnato a un profilo di prodotto con un'autorizzazione.
- Il nome utente inviato a SAML corrisponde al nome utente nella dashboard Enterprise.
- Controlla tutte le voci in Admin Console e il provider di identità per errori di ortografia o di sintassi.
- L'app desktop Creative Cloud è stata aggiornata alla versione più recente.
- L'utente accede alla posizione corretta (applicazione desktop Creative Cloud, applicazione Creative Cloud o Adobe.com)
Soluzioni ad altri errori comuni
Errore: “Si è verificato un errore” con il pulsante “Riprova”
Questo errore si verifica in genere dopo il successo dell'autenticazione dell'utente e l'inoltro della risposta di autenticazione da Okta ad Adobe.
In Adobe Admin Console, convalida quanto segue:
Nella scheda Identità:
- Assicurati che sia stato attivato il dominio associato.
Nella scheda Prodotti:
- Assicurati che l'utente sia associato al nickname del prodotto corretto e nel dominio che hai richiesto di configurare come Federated ID.
- Assicurati che al nickname del prodotto siano assegnate le autorizzazioni corrette.
Nella scheda Utenti:
- Assicurati che il nome utente dell'utente abbia il formato di un indirizzo e-mail completo.
Errore: “Accesso negato” durante l'accesso
Cause possibili di questo errore:
- Il nome utente o l'indirizzo e-mail nell'asserzione SAML non corrisponde alle informazioni inserite nell'Admin Console.
- L'utente non è associato al prodotto corretto o il prodotto non è associato all'autorizzazione corretta.
- Il nome utente SAML sembra essere diverso da un indirizzo e-mail. Tutti gli utenti devono trovarsi nel dominio richiesto come parte del processo di installazione.
- Il client SSO utilizza JavaScript come parte del processo di accesso e stai tentando di accedere a un client che non supporta JavaScript.
Come risolvere:
- Controlla il nome utente e l'e-mail nell'Adobe Admin Console e abbinali agli attributi NameID ed E-mail nei registri SAML.
- Verifica la configurazione della dashboard per l'utente: le informazioni sull'utente e il profilo del prodotto.
- Esegui una traccia SAML e verifica che le informazioni inviate corrispondano alla dashboard, quindi correggi eventuali incongruenze.
Errore: “Un altro utente è attualmente connesso”
L'errore “Un altro utente è attualmente connesso” si verifica quando gli attributi inviati nell'asserzione SAML non corrispondono all'indirizzo e-mail utilizzato per avviare il processo di accesso.
Esegui un SAML Trace e assicurati che l'indirizzo e-mail dell'utente per l'accesso corrisponda a quanto segue:
- Indirizzo e-mail dell'utente elencato in Admin Console
- Il nome utente dell'utente restituito nel campo NameID dell'asserzione SAML
Errore: “L'emittente nella risposta SAML non corrisponde all'emittente configurato per il provider di identità”
L'emittente IDP nell'asserzione SAML è diverso da ciò che è stato configurato nel SAML in entrata. Cerca errori di ortografia (come http invece di https). Quando controlli la stringa dell'emittente IDP con il sistema SAML del cliente, stai cercando una corrispondenza ESATTA con la stringa fornita. Questo problema si presenta a volte perché manca una barra alla fine.
Se hai bisogno di assistenza con questo errore, fornisci una traccia SAML e i valori che hai inserito nel dashboard di Adobe.
Errore: “La firma digitale nella risposta SAML non è stata convalidata con il certificato del provider di identità”
Questo problema si verifica quando il certificato della directory è scaduto. Per aggiornare il certificato, devi scaricare il certificato o i metadati dal provider di identità e caricarli in Adobe Admin Console.
Ad esempio, segui i passaggi seguenti se il tuo IdP è Microsoft AD FS:
Utilizza un browser per accedere all'URL fornito con i metadati della federazione e scaricare il file. Ad esempio, https://<il nome host AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Nota
Accetta eventuali avvisi se richiesto.
Nella scheda Impostazioni della Admin Console, seleziona Impostazioni identità > Directory. Seleziona la directory da aggiornare e fai clic su Configura sulla scheda Provider SAML.
Quindi, carica il file di metadati IdP e Salva.
Errore: “L'ora corrente è precedente all'intervallo di tempo specificato nelle condizioni dell'asserzione”
Server IdP basato su Windows:
- Assicurati che l'orologio di sistema sia sincronizzato con un server di orario accurato.
Controlla l'accuratezza dell'orologio di sistema rispetto al server di orario con questo comando; il valore "Phase Offset" deve essere una frazione ridotta di secondo:
w32tm /query /status /verbose
Puoi causare una risincronizzazione immediata dell'orologio di sistema con il Server di orario con il seguente comando:
w32tm /resync
Se l'orologio di sistema è impostato correttamente e visualizzi ancora l'errore precedente, potresti dover regolare l'impostazione di disallineamento temporale per aumentare la tolleranza per le differenze di orario tra server e client. - Aumenta la differenza consentita nell'orologio di sistema tra i server.
Da una finestra PowerShell con diritti amministrativi, imposta il valore di disallineamento consentito a 2 minuti.Controlla se riesci ad accedere, quindi aumenta o diminuisci il valore in base al risultato.
Determina l'attuale impostazione di disallineamento temporale per il Relying Party Trust pertinente con il seguente comando:
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
Il Relying Party Trust è identificato dall'URL mostrato nel campo «Identificatore» dell'output del comando precedente per quella particolare configurazione.Questo URL è anche mostrato nell'utilità Gestione ADFS nella finestra delle proprietà per il Relying Party Trust pertinente nella scheda "Identifiers" nel campo "Relying Party Trusts", come mostrato nella schermata seguente.
Imposta il disallineamento temporale a 2 minuti con il seguente comando, sostituendo di conseguenza l'indirizzo Identifier:
Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2
Server IdP basato su UNIX
Assicurati che l'orologio di sistema sia impostato correttamente utilizzando il servizio ntpd o manualmente con il comando ntpdate da una shell root o con sudo, come mostrato di seguito (nota che se l'orario è sfasato di più di 0,5 secondi, la modifica non avverrà immediatamente, ma correggerà lentamente l'orologio di sistema).Verifica anche che il fuso orario sia configurato correttamente.
# ntpdate -u pool.ntp.org
Nota
Funziona con provider di identità come Shibboleth.
Errore: 401 credenziali non autorizzate
Questo errore si verifica quando l'applicazione non supporta l'accesso federato e deve essere eseguito l'accesso come un Adobe ID. FrameMaker, RoboHelp e Adobe Captivate sono esempi di applicazioni con questo requisito.
Errore: “Accesso SAML in entrata non riuscito con messaggio: la risposta SAML non conteneva asserzioni”
Controlla il flusso di lavoro di accesso. Se è possibile accedere alla pagina di accesso su un altro computer o rete ma non internamente, il problema potrebbe essere una stringa agente di blocco. Inoltre, esegui una traccia SAML e conferma che Nome, Cognome e Nome utente nel formato corretto di indirizzo e-mail si trovino nell'oggetto SAML.
Verificare che venga inviata l’asserzione SAML corretta:
- Mancanza di un elemento NameID nell'oggetto. Verificare che l'elemento Subject contenga un elemento NameId. Deve corrispondere all'attributo Email, che dovrebbe essere l'indirizzo e-mail dell'utente che desideri autenticare.
- Errori di ortografia, soprattutto quelli che sfuggono con facilità, ad esempio https rispetto a http
- Verificare che sia stato fornito il certificato corretto. Gli IDP devono essere configurati per utilizzare richieste e risposte SAML non compresse.
Un'utilità come SAML tracer per Firefox può aiutare a decomprimere l'asserzione e visualizzarla per l'ispezione.Se hai bisogno di assistenza dal Supporto clienti Adobe, ti verrà richiesto questo file.Per i dettagli, consulta Come eseguire una traccia SAML .
Questo esempio SAML funzionante può aiutare a formattare correttamente l'asserzione SAML:
Con Microsoft ADFS
Assicurati che ogni Account Active Directory abbia un indirizzo e-mail elencato in Active Directory per accedere correttamente (registro eventi: La risposta SAML non ha NameId nell'asserzione).
Accedi a Admin Console e seleziona la scheda Identità e il dominio.
Seleziona Modifica configurazione e individua Binding IDP.Passa a HTTP-POST e salva.
Ripeti il test dell'esperienza di accesso.
Se funziona ma preferisci l'impostazione precedente, torna a HTTP-REDIRECT e ricarica i metadati in ADFS.
Con altri IdP
L'errore 400 indica che l'IdP ha rifiutato l'accesso riuscito.
Controlla i log dell'IdP per individuare l'origine dell'errore e correggi il problema prima di riprovare.
Errore: “Certificato 403 malfunzionante”
Errore: “403 app_not_configered_for_user”
Aggiorna l'ID entità nella console Google. Quindi esporta il file di metadati e caricalo in Adobe Admin Console.
Errore: “Impossibile accedere alla risorsa adesso” o “Impossibile selezionare la risorsa da questo percorso”
Questo errore si verifica generalmente quando l'organizzazione ha abilitato la policy di accesso condizionale in IdP.
Se utilizzi pacchetti gestiti per distribuire i prodotti, crea un pacchetto gestito da Adobe Admin Console selezionando l'opzione di autenticazione basata su browser. Quindi, distribuiscilo sul dispositivo dell'utente.
Altrimenti, gli utenti possono aprire l'applicazione Creative Cloud Desktop e selezionare Accedi usando il tuo browser dal menu Aiuto.
Errore: “App non assegnata”
In questo caso, l'amministratore deve aggiungere gli utenti all'app Adobe SAML creata sul proprio IdP. Scopri come creare un'app Adobe SAML sulla console di amministrazione di Google o sul portale Microsoft Azure.
Errore: “Non disponi dell’accesso al servizio. Contatta il tuo amministratore IT per ottenere l'accesso oppure accedi con un Adobe ID”
Controlla i log SAML, poiché il nome utente o l'indirizzo e-mail inviato nell'asserzione SAML non corrisponde alle informazioni inserite in Admin Console.
