Il documento evidenzia il processo per configurare Adobe Admin Console con un server AD FS Microsoft.
Il provider di identità non deve necessariamente essere accessibile al di fuori della rete aziendale, ma se non lo è, solo i computer all'interno della rete (o connessi tramite VPN) potranno autenticarsi per attivare una licenza o accedere dopo aver disattivato la sessione.
Le istruzioni e le schermate in questo documento sono per AD FS versione 3.0, ma gli stessi menu sono presenti in AD FS 2.0.
Prima di creare una directory per l'accesso unico utilizzando Microsoft AD FS, devono essere soddisfatti i seguenti requisiti:
Per configurare l'accesso unico per il dominio, devi procedere come segue:
Per ulteriori informazioni sui dettagli di ogni passaggio, segui i collegamenti ipertestuali.
Per configurare l’integrazione SAML con AD FS, effettua le operazioni riportate di seguito:
Tutti i passaggi successivi devono essere ripetuti se modifichi i valori per un dato dominio in Adobe Admin Console.
Navigare all'interno dell'applicazione di gestione di ADFS ad AD FS ->Relazioni affidabili ->Attendibilità del componente e fare clic su Aggiungi Attendibilità del componente per avviare la procedura guidata.
Assegnare un nome al componente attendibile e inserire eventuali note aggiuntive come necessario.
Fare clic su Avanti.
Determinare se è richiesta l'autenticazione a più fattori e selezionare l'opzione pertinente.
Fare clic su Avanti.
Determinare se tutti gli utenti possono accedere tramite AD FS.
Fai clic su Avanti.
Esaminare le impostazioni
Fare clic su Avanti.
Il componente attendibile è stato aggiunto.
Lasciare l'opzione selezionata per aprire la finestra di dialogo Modifica regole attestazione per accedere rapidamente ai passaggi successivi.
Fare clic su Chiudi.
Se la procedura guidata Modifica regole attestazione non si è aperta automaticamente, è possibile accedervi dall'applicazione di gestione di ADFS in AD FS -> Relazioni affidabili ->Attendibilità del componente, selezionando l'attendibilità del componente Adobe SSO e facendo clic su Modifica regole attestazione... sul lato destro.
Fare clic su Aggiungi regola e configura una regola utilizzando il modello Inviare attributi LDAP come attestazioni per l'archivio attributi, mappando l'attributo LDAP E-Mail-Addresses su Outgoing Claim Type E-Mail Address.
Come mostrato nella schermata precedente, suggeriamo di utilizzare l'indirizzo e-mail come identificativo primario. Puoi anche utilizzare il campo Nome entità principale utente (UPN) come attributo LDAP inviato in un'asserzione come indirizzo e-mail. Tuttavia, sconsigliamo questa procedura per configurare la regola di attestazione.
Spesso l'UPN non viene mappato a un indirizzo e-mail e in molti casi sarà diverso. Ciò probabilmente causerà problemi per le notifiche e la condivisione delle risorse all'interno di Creative Cloud.
Fare clic su Fine per completare l'aggiunta della regola di attestazione di trasformazione.
Utilizzare nuovamente la procedura guidata Modifica regole attestazione e aggiungi una regola utilizzando il modello. Trasformare un’attestazione in ingresso per convertire le attestazioni in ingresso del tipo Indirizzo e-mail con Tipo di attestazione in uscita uguale a ID nome e Formato ID nome in uscita uguale a E-mail; selezionare quindi Pass-through di tutti i valori attestazione.
Fare clic su Fine per completare l'aggiunta della regola di attestazione di trasformazione.
Utilizzare la procedura guidata Modifica regole attestazione utilizzando il modello Inviare attestazioni mediante una regola personalizzata per aggiungere la regola seguente:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Fare clic su Fine per completare la procedura guidata per le regole personalizzate.
Fare clic su OK nella finestra di dialogo Modifica regole attestazione per completare l'aggiunta di queste tre regole al componente attendibile.
L'ordine delle regole di attestazione è importante; devono apparire come mostrato qui.
Per evitare problemi di connettività tra sistemi in cui l'orologio differisce di poco, impostare lo sfasamento dell'ora predefinito su 2 minuti. Per ulteriori informazioni sullo sfasamento temporale, consulta il documento di risoluzione degli errori.
Aprire l'applicazione di gestione di ADFS sul server e all'interno della cartella AD FS> Servizio> Endpoint, selezionare i metadati della federazione.
Utilizza un browser per accedere all'URL fornito con i metadati della federazione e scaricare il file. Ad esempio, https://<il nome host AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Per aggiornare il certificato più recente, torna alla finestra di Adobe Admin Console. Carica il file di metadati scaricato da AD FS nella schermata Aggiungi profilo SAML e fai clic su Fine.
Dopo aver configurato la directory, effettuare le seguenti operazioni per consentire agli utenti dell'organizzazione di utilizzare le app e i servizi Adobe:
Per ulteriori informazioni su altri strumenti e tecniche relativi all'identità, consultare Configurazione dell'identità.
Crea un utente di prova con Active Directory. Crea una voce in Admin Console per questo utente e assegnali una licenza. Prova quindi ad accedere ad Adobe.com per verificare che il software pertinente sia disponibile per il download.
Puoi anche eseguire il test accedendo a Creative Cloud Desktop e da un'applicazione come Photoshop o Illustrator.
In caso di problemi, consulta il nostro documento per la risoluzione dei problemi. Se hai bisogno di ulteriore assistenza con la configurazione dell'accesso unico, seleziona Supporto in Adobe Admin Console e apri un ticket con l'Assistenza clienti.
