本文重点介绍用 Microsoft AD FS 服务器配置 Adobe Admin Console 的过程。
并非必须可从公司网络之外访问身份提供者，但如果无法访问它，则只有网络内（或通过 VPN 连接）的工作站才能在停用其会话之后执行身份验证以激活许可证或登录。
上次更新日期：
2022年11月18日
|
也应用至 Creative Cloud for enterprise, Document Cloud for enterprise, Experience Cloud
- Adobe 企业版和团队版：管理指南
- 规划您的部署
- 基本概念
- 部署指南
- 部署 Creative Cloud 教育版
- 设置您的组织
- 身份类型 | 概述
- 设置身份 | 概述
- 使用 Enterprise ID 设置组织
- 设置 Azure AD 联合和同步
- 设置 Google 联合身份验证和同步
- 通过 Microsoft ADFS 设置组织
- 为区域门户网站和 LMS 建立组织
- 通过其他身份提供商设置组织
- SSO 常见问题和故障排除
- 管理您的组织设置
- 管理用户
- 管理产品和权利
- 开始使用 Global Admin Console
- 管理存储和资源
- 存储
- 资源迁移
- 从用户回收资源
- 学生资源迁移 | 仅限教育界
- 托管服务
- Adobe Stock
- 自定义字体
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud 企业版 - 免费会员资格
- 部署应用程序和更新
- 概述
- 创建包
- 自定义程序包
- 部署包
- 管理更新
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- 疑难解答
- 管理您的团队帐户
- 续订
- 管理合同
- 报告和日志
- 获取帮助
概述
用 Microsoft AD FS 设置 SSO（观看时长：17 分钟）
注意:
本文中的说明和屏幕快照适用于 AD FS 3.0 版，但 AD FS 2.0 中也有相同的菜单。
先决条件
在创建目录以供使用 Microsoft AD FS 进行单点登录之前，必须满足以下要求：
- 随 Microsoft Windows Server 一起装有 Microsoft AD FS 和最新的操作系统更新。如果希望用户将 Adobe 产品用于 macOS，请确保您的服务器支持 TLS 1.2 版和前向保密。要详细了解 AD FS，请参阅 Microsoft 身份和访问文档。
- 必须可以从用户的工作站访问该服务器（例如，通过 HTTPS）。
- 已从 AD FS 服务器获取安全证书.
- 所有要与 Creative Cloud 企业版帐户关联的 Active Directory 帐户都必须具有在 Active Directory 中列出的电子邮件地址。
要为您的域配置单点登录，您需要执行以下操作：
- 登录到 Admin Console，首先创建 Federated ID 目录，其中选择“其他 SAML 提供者”作为身份提供者。从创建目录向导下载 Adobe 元数据文件。
- 配置 AD FS，其中指定 ACS URL 和实体 ID，然后下载 IdP 元数据文件。
- 返回 Adobe Admin Console，然后在创建目录向导中上传 IdP 元数据文件。然后，选择下一步，设置自动帐户创建，然后选择“完成”。
要详细了解每个步骤，请单击各个超链接。
配置 AD FS 服务器
要配置与 AD FS 的 SAML 集成，请执行以下步骤：
注意：
在对 Adobe Admin Console 中的值做出任意更改后，必须对指定域重复执行所有后续步骤。
-
在“AD FS 管理”应用程序中导航到“AD FS”->“信任关系”->“信赖方信任”，然后单击“添加信赖方信任”以启动向导。
-
为您的信赖方信任命名，并按需输入任何其他注释。
单击“下一步”。
-
确定是否需要多重身份验证并选择相关的选项。
单击“下一步”。
-
确定是否所有用户均可通过 AD FS 登录。
单击“下一步”。
-
检查您的设置。
单击“下一步”。
-
已添加您的信赖方信任。
选中该选项以打开“编辑声明规则”对话框以快速访问下一步。
单击“关闭”。
-
如果“编辑声明规则”向导尚未自动打开，则可从“AD FS 管理”应用程序的“AD FS”->“信任关系”->“信赖方信任”下，通过选择您的 Adobe SSO 信赖方信任并在右侧单击“编辑声明规则...”而访问它。
-
单击“添加规则”，然后使用您的属性存储的“以声明方式发送 LDAP 特性”模板配置一条规则，其中将 LDAP 属性 E-Mail-Addresses 映射到传出声明类型电子邮件。
注意:如上方的屏幕快照所示，我们建议使用电子邮件地址作为主标识符。还可将“用户主体名称(UPN)”字段用作在断言中作为电子邮件地址发送的 LDAP 属性。但是，我们建议不要这样配置声明规则。
UPN 一般不映射到电子邮件地址，并且在许多情况下有所不同。这很可能导致 Creative Cloud 中的通知和共享资源出现问题。
-
单击“完成”以完成添加转换声明规则。
-
再次在“编辑声明规则”向导中使用“转换传入声明”模板添加一条规则，以将电子邮件地址类型的传入声明转换为名称 ID 类型的传出声明，并将传出名称 ID 格式转换为电子邮件，以便传递所有声明值。
-
单击“完成”以完成添加转换声明规则。
-
在编辑申请规则向导中，通过使用自定义规则发送申请模板添加一条规则，包含以下自定义规则：
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
-
单击“完成”以完成自定义规则向导。
-
在“编辑声明规则”对话框上单击“确定”以完成将这三条规则添加到您的信赖方信任。
注意:声明规则的顺序很重要；必须按此处所示的顺序显示声明规则。
要避免在时钟相差无几的情况下系统之间发生连接问题，请将默认时间偏差设置为 2 分钟。有关时间偏差的详细信息，请参阅“排除错误”文档。
下载 AD FS 元数据文件
-
打开服务器上的“AD FS 管理”应用程序，然后在“AD FS”>“服务”>“端点”文件夹中选择“联合元数据”。
-
使用浏览器导航到针对联合元数据提供的 URL 并下载文件。例如 https://<您的 AD FS 主机名>/FederationMetadata/2007-06/FederationMetadata.xml。
注意:- 如果出现提示，请接受任何警告。
- 要在 Windows 操作系统上了解您的 Microrsoft AD FS 主机名：
请打开”Windows PowerShell“>”以管理员身份运行“>键入”Get-AdfsProperties“>按”Enter“>在详细列表中查找您的主机名。
将 IdP 元数据文件上传到 Adobe Admin Console
要更新最新证书，请返回 Adobe Admin Console 窗口。将从 AD FS 下载的元数据文件上传到“添加 SAML 配置文件”屏幕，然后单击“完成”。
后续步骤：完成设置以将应用程序分配给用户
设置您的目录后，执行以下操作以使您组织的用户可使用 Adobe 应用程序和服务：
- 在 Admin Console 中添加并设置域。
- 将这些域关联到 AD FS 目录。
- （可选）如果已在 Admin Console 的另一目录中建立您的域，请将其直接转移到新创建的 AD FS 目录。
- 添加产品配置文件以微调您已购买的计划的使用方式。
- 通过添加测试用户而测试您的 SSO 设置。
- 根据您的要求选择您的用户管理策略和工具。然后，将用户添加到 Admin Console，并将其分配给产品配置文件以使用户开始使用其 Adobe 应用程序。
要详细了解其他与身份相关的工具和技术，请参阅设置身份。
