登录 Admin Console，依次导航至设置 > 身份 > 目录，然后选择创建目录。
上次更新時間
2026年11月2日
将 KeyCloak 设置为 SAML 标识提供程序 (IdP)，以便您的用户可以使用其组织凭据登录 Adobe 应用程序和服务。
开始之前
请确保您具备以下条件：
- Adobe Admin Console 中的系统管理员角色
- 对验证您 Adobe 用户身份的 KeyCloak 域的管理员访问权限
- 一个您可以验证并添加到目录的域
提示
请确保每个用户的电子邮件地址都属于在 Admin Console 中声明的域。KeyCloak 使用电子邮件地址作为用户标识符。
创建目录并下载 Adobe 元数据
输入目录名称，选择 Federated ID，然后选择下一步。
选择其他 SAML 提供程序，然后选择下一步。
在 设置 IdP 屏幕上，选择 下载 Adobe 元数据文件。请保持此屏幕处于打开状态，以便进行下一步操作。
将 Adobe 客户端导入 KeyCloak
登录 KeyCloak Admin Console，然后选择用于验证 Adobe 用户身份的域。
选择 客户端 > 导入客户端。
在 资源文件 下，选择 浏览，然后上传 Adobe 元数据文件。KeyCloak 会根据该文件填写 Adobe 的实体 ID、ACS URL、证书和其他 SAML 设置。
注释
请导入 Adobe 元数据文件，而不要手动创建客户端。这样可以确保 KeyCloak 使用 Adobe 的准确 SAML 设置。
在名称 中，输入 Adobe Identity Management – <您的组织名称>，然后选择保存。
验证导入的设置：
- 有效重定向 URI 显示 Adobe ACS URL。
- 名称 ID 格式为电子邮件。
- 已在签名和加密下启用签名功能。
- 密钥选项卡中显示 Adobe 的证书。
映射用户属性
Adobe 要求在 SAML 断言中包含用户的电子邮件地址、名字和姓氏。创建一个用于发送这些属性的客户端范围。
在导航面板中，选择客户端范围 > 创建客户端范围。
输入 Adobe Identity Scope 作为名称，选择 SAML 作为协议，然后选择保存。
在映射器选项卡中，选择配置新映射器（或添加映射器 > 按配置），然后选择用户属性。
在下表中输入第一个属性的值。将 SAML 属性名称格式保留为未指定，关闭聚合属性值，然后选择保存。
对表中的每个属性重复步骤 3 和 4。
注释
CountryCode 不是 KeyCloak 的内置属性。若要发送该属性，请先在域设置 > 用户配置文件中添加一个用于存储 ISO 3166-1 双字母国家/地区代码的自定义用户属性。
选择客户端，选择 Adobe 客户端，然后选择客户端范围选项卡。
选择添加客户端范围，选择 Adobe Identity Scope，然后选择添加 > 默认。
将 KeyCloak 元数据上传到 Admin Console
在 KeyCloak 中，依次导航至域设置 > 常规 > 端点，然后选择 SAML 2.0 身份提供程序元数据。
将打开的 XML 另存为文件，例如 keycloak-idp-metadata.xml。
返回 Adobe Admin Console 中的设置 IdP 屏幕，上传 KeyCloak 元数据文件，然后选择下一步。
保持自动帐户创建处于启用状态。如果您的组织手动配置用户，请关闭此设置。
在属性映射下，选择默认国家/地区，然后选择完成。
测试单点登录
在 Admin Console 中，依次导航至设置 > 身份 > 目录，然后选择您的目录。
在目录详细信息面板中，选择 测试。
以 KeyCloak 用户身份登录。确认 IdP 验证成功页面列出了各个属性的预期值。
如果缺少某个属性，请检查其映射器，并确认 Adobe Identity Scope 是 Adobe 客户端上的默认范围。对于其他问题，请参阅解决 Federated ID (SSO) 登录错误或执行 SAML 跟踪。如需配置方面的帮助，请前往 Admin Console > 支持，联系 Adobe 客户关怀团队。
