用户指南 取消(C)

无法用 Federated ID (SSO) 登录到 Adobe 产品、服务或移动应用程序:排除错误

  1. Adobe 企业版和团队版:管理指南
  2. 规划您的部署
    1. 基本概念
      1. 许可
      2. 身份
      3. 用户管理
      4. 应用程序部署
      5. Admin Console 概述
      6. 管理角色
    2. 部署指南
      1. 指定用户部署指南
      2. SDL 部署指南
      3. 部署 Adobe Acrobat 
    3. 部署 Creative Cloud 教育版
      1. 部署指南
      2. 在 Google 课堂中启用 Adobe Express
      3. 与 Canvas LMS 集成
      4. 与 Blackboard Learn 集成
      5. 为学区门户网站和 LMS 配置 SSO
      6. Kivuto 常见问题解答
      7. 主要和次要机构资格准则
  3. 设置您的组织
    1. 设置身份
      1. 身份类型 | 概述
      2. 使用 Enterprise ID 设置组织
      3. 使用 Federated ID 设置组织
        1. SSO 概述
        2. 设置 Azure 连接器和 Azure Sync
          1. 通过 Azure OIDC 用 Microsoft 设置 SSO
          2. 将 Azure Sync 添加到您的目录
          3. Azure 连接器常见问题解答
        3. 设置 Google 联合身份验证和 Google Sync
          1. 用 Google 联合身份验证设置 SSO
          2. 将 Google Sync 添加到您的目录
          3. Google 联合身份验证常见问题解答
        4. 通用 SAML
          1. 用其他 SAML 提供商设置 SSO
          2. 用 Microsoft ADFS 设置 SSO
          3. SSO 常见问题
          4. SSO 故障排除
        5. 教育 SSO
          1. 为学区门户网站和 LMS 配置 SSO
          2. 常见问题
      4. 验证域的所有权
      5. 添加和管理域
      6. 将域链接到目录
      7. 管理现有域和目录
      8. 使用目录信任添加预先申领的域
      9. 迁移到新的验证提供者
    2. 资源设置
    3. 身份验证设置
    4. 隐私和安全联系人
    5. 控制台设置
    6. 管理加密
  4. 管理产品和权利
    1. 管理用户
      1. 概述
      2. 管理角色
      3. 用户管理技术
        1. 逐个管理用户   
        2. 管理多个用户(批量 CSV)
        3. 用户同步工具 (UST)
        4. Microsoft Azure Sync
        5. Google 联合身份验证同步
      4. 更改用户的身份类型
      5. 管理用户组
      6. 管理目录用户
      7. 管理开发人员
      8. 将现有用户迁移至 Adobe Admin Console
      9. 将用户管理迁移至 Adobe Admin Console
    2. 管理产品和产品配置
      1. 管理产品
      2. 管理企业用户的产品配置文件
      3. 管理自助服务策略
      4. 管理应用程序集成
      5. 在 Admin Console 中管理产品权限  
      6. 为产品配置文件启用/禁用服务
      7. 单个应用程序 | Creative Cloud 企业版
      8. 可选服务
    3. 管理共享设备许可证
      1. 新增功能
      2. 部署指南
      3. 创建包
      4. 恢复许可证
      5. 从设备许可迁移
      6. 管理配置文件
      7. 许可工具包
      8. 共享设备许可常见问题解答
  5. 管理存储和资源
    1. 存储
      1. 管理企业存储
      2. Adobe Creative Cloud:有关存储的更新
      3. 管理 Adobe 存储空间
    2. 资源迁移
      1. 自动化资源迁移
      2. 自动化资源迁移常见问题解答  
      3. 管理转移的资源
    3. 从用户回收资源
    4. 学生资源迁移 | 仅限教育界
      1. 自动学生资源迁移
      2. 迁移您的资源
  6. 托管服务
    1. Adobe Stock
      1. 适用于团队的 Adobe Stock 积分包
      2. Adobe Stock 企业版
      3. 使用 Adobe Stock 企业版
      4. Adobe Stock 许可证批准
    2. 自定义字体
    3. Adobe Asset Link
      1. 概述
      2. 创建用户组
      3. 配置 Adobe Experience Manager Assets
      4. 配置和安装 Adobe Asset Link
      5. 管理资源
      6. Adobe Asset Link for XD
    4. Adobe Acrobat Sign
      1. 设置 Adobe Acrobat Sign 企业版或团队版
      2. Adobe Acrobat Sign - 团队版功能管理员
      3. 在 Admin Console 上管理 Adobe Acrobat Sign
    5. Creative Cloud 企业版 - 免费会员资格
      1. 概述
      2. 快速入门
  7. 部署应用程序和更新
    1. 概述
      1. 部署并交付应用程序和更新
      2. 计划部署
      3. 准备部署
    2. 创建包
      1. 通过 Admin Console 打包应用程序
      2. 创建指定用户许可包
      3. 适用于程序包的 Adobe 模板
      4. 管理包
      5. 管理设备许可证
      6. 序列号许可
    3. 自定义程序包
      1. 自定义 Creative Cloud 桌面应用程序
      2. 在您的程序包中包含扩展
    4. 部署包 
      1. 部署包
      2. 使用 Microsoft Intune 部署 Adobe 包
      3. 使用 SCCM 部署 Adobe 包
      4. 使用 ARD 部署 Adobe 包
      5. 在 Exceptions 文件夹中安装产品
      6. 卸载 Creative Cloud 产品
      7. 使用 Adobe Provisioning Toolkit Enterprise Edition
      8. Adobe Creative Cloud 许可标识符
    5. 管理更新
      1. 改变 Adobe 企业和团队客户的管理工作
      2. 部署更新
    6. Adobe Update Server Setup Tool (AUSST)
      1. AUSST 概述
      2. 设置内部更新服务器
      3. 维护内部更新服务器
      4. AUSST 的常见用例   
      5. 内部更新服务器故障排除
    7. Adobe Remote Update Manager (RUM)
      1. 使用 Adobe Remote Update Manager
      2. 用于 Adobe Remote Update Manager 的通道 ID
      3. 解决 RUM 错误
    8. 疑难解答
      1. 纠正 Creative Cloud 应用程序安装和卸载错误
      2. 查询客户端计算机,检查是否已部署某一程序包
      3. Creative Cloud 包“安装失败”错误消息
    9. 使用 Creative Cloud Packager(CC 2018 或更早版本应用程序)创建程序包
      1. 关于 Creative Cloud Packager
      2. Creative Cloud Packager 发行说明
      3. 应用程序打包
      4. 使用 Creative Cloud Packager 创建程序包
      5. 创建指定许可证包
      6. 使用设备许可证创建包
      7. 创建许可证包
      8. 使用序列号许可证创建程序包
      9. Packager Automation
      10. 对非 Creative Cloud 产品进行打包
      11. 编辑和保存配置
      12. 在系统级别设置区域设置
  8. 管理帐户
    1. 管理您的团队帐户
      1. 概述
      2. 更新付款详细信息
      3. 管理账单
      4. 更改合同负责人
      5. 更改经销商
    2. 向团队版用户分配许可证
    3. 添加产品和许可证
    4. 续订
      1. 团队会员资格:续订
      2. VIP 企业:续订和合规性
    5. ETLA 合约的自动到期阶段
    6. 在现有 Adobe Admin Console 中切换合同类型
    7. 购买请求合规性
    8. 中国版 Value Incentive Plan (VIP)
    9. VIP Select 帮助
  9. 报告和日志
    1. 审核日志
    2. 分配报告
    3. 内容日志
  10. 获取帮助
    1. 联系 Adobe 客户关怀部门
    2. 团队帐户的支持选项
    3. 企业帐户的支持选项
    4. Experience Cloud 的支持选项
注意:

本文不涉及采用 Google 联合身份验证或 Microsoft Azure Sync 的 SSO 设置。

如果您的组织已通过以下任一身份提供者设置了 SSO,请参阅以下文章:

概述

Adobe Admin Console 中成功配置 SSO 之后,确保单击了“下载 Adobe 元数据文件”并已将 SAML XML 元数据文件保存到计算机。身份提供者需要此文件以启用单点登录。将 XML 配置详细信息正确导入到身份提供者 (IdP)。将 SAML 与您的 IdP 集成需要这样做,并且这样做将确保正确地配置数据。

如果对于如何使用 SAML XML 元数据文件配置 IdP 有疑问,请直接向 IdP 索取说明,具体说明因 IdP 而异。

下载 Adobe 元数据文件

基本故障排除

单点登录问题往往是由容易忽视的基本错误造成的。具体而言,请确认以下各项:

  • 将用户分配给具有权利的产品配置文件。
  • 发送到 SAML 的用户名与企业仪表板中的用户名相同。
  • 检查 Admin Console 和身份提供者中的所有条目是否存在拼写或语法错误。
  • Creative Cloud 桌面应用程序已更新到最新版本。
  • 用户登录到正确的位置(Creative Cloud 桌面应用程序、Creative Cloud 应用程序或 Adobe.com

显示“发生了错误”错误,其中具有标为“重试”的按钮

一般在用户身份验证已成功并且 Okta 已成功地将身份验证响应转发到 Adobe 之后发生此错误。

Adobe Admin Console 中验证以下各项:

在“身份”选项卡上:

  • 确保已激活关联的域。

在“产品”选项卡上:

  • 确保用户与正确的产品昵称关联,并处于您声明要配置为 Federated ID 的域中。
  • 确保为产品昵称分配了正确的权利。

在“用户”选项卡上:

  • 确保用户的用户名采用完整的电子邮件地址的形式。

登录时发生“拒绝访问”错误

可能导致此错误的原因:

  • 在 SAML 断言中发送的用户名或电子邮件地址与在 Admin Console 中输入的信息不同。
  • 用户没有关联到正确的产品,或者产品没有与正确的权限相关联。
  • SAML 用户名未采用电子邮件地址的形式。所有用户都必须位于您在设置过程中声明的域中。
  • 您的 SSO 客户端在登录过程中使用 JavaScript,而您正在尝试登录到不支持 JavaScript 的客户端(如 Creative Cloud Packager)。

解决方法:

  • 验证用户的仪表板配置:用户信息和产品配置文件。
  • 运行 SAML 跟踪并验证所发送的信息与仪表板上的相同,然后更正任何不一致的情况。

发生“当前有另一用户正在登录”错误

当在 SAML 断言中发送的属性与用于开始登录过程的电子邮件地址不同时发生“当前有另一用户正在登录”错误。

检查并确保用户要登录的电子邮件地址与以下各项相同:

  • 用户在 Admin Console 中列出的电子邮件地址
  • 用户在 SAML 断言的 NameID 字段中传回的用户名

发生“SAML 响应中的颁发者与为身份提供者配置的颁发者不同”错误

SAML 断言中的 IDP 颁发者与在入站 SAML 中配置的不同。查找拼写错误(如 http 与 https)。向客户 SAML 系统核实 IDP 颁发者字符串时,您要查找与其提供的字符串完全相同的字符串。有时因为结尾缺少一个斜线就会发生此问题。

如果您需要帮助纠正此错误,请提供一个 SAML 跟踪和您在 Adobe 仪表板中输入的值。

发生“SAML 响应中的数字签名未使用身份提供者的证书进行验证”错误

当您目录的证书已到期时发生此问题。要更新证书,您必须从身份提供者下载证书或元数据,然后在 Adobe Admin Console 中将其上传。

例如,如果您的 IdP 是 Microsoft AD FS,请按照以下步骤操作:

  1. 打开服务器上的“AD FS 管理”应用程序,然后在“AD FS”>“服务”>“端点”文件夹中选择“联合元数据”

    元数据位置

  2. 使用浏览器导航到针对联合元数据提供的 URL 并下载文件。例如 https://<您的 AD FS 主机名>/FederationMetadata/2007-06/FederationMetadata.xml。

    注意:

    如果出现提示,请接受任何警告。

  3. 登录到您的 Adobe Admin Console,然后导航到“设置”>“身份”>“目录”。选择要更新的目录,并在“SAML 提供者”卡片上单击“配置”

    然后,上传 IdP 元数据文件并单击“保存”

发生“当前时间比在断言条件中指定的时间范围早”错误

基于 Windows 的 IdP 服务器

1. 确保系统时钟与准确的时间服务器同步。

用此命令对照时间服务器检查系统时钟的准确性,“相位偏移”值应远低于一秒:

w32tm /query /status /verbose

可使用以下命令让系统时钟立即与时间服务器重新同步:

w32tm /resync

如果正确设置了系统时钟,但仍看到上述错误,则可能需要调整时间偏差设置,以提高服务器时钟与客户端时钟之差的容忍度。

2. 提高允许服务器之间系统时钟存在的差异。

从具有管理权限的 Powershell 窗口中,将允许的偏差值设置为 2 分钟。检查能否登录,然后根据结果增大或减小该值。

用以下命令确定相关信赖方信任的当前时间偏差设置:

Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew

对该特定配置执行的前一命令所得输出的“Identifier”字段中显示的 URL 标识该信赖方信任。此 URL 还显示在相关信赖方信任在“ADFS 管理”实用程序的属性窗口中“标识符”选项卡上的“信赖方信任”字段中,如下方的屏幕快照所示。

用以下命令将时间偏差设置为 2 分钟,其中相应地替换标识符地址:

Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2  

基于 UNIX 的 IdP 服务器

确保使用 ntpd 服务正确设置了系统时钟,或者从 root shell 中或执行 sudo 后使用 ntpdate 命令手动正确设置了系统时钟,如下所示(注意:如果时间偏移超过 0.5 秒,则更改不会立即发生,但它将慢慢地更正系统时钟)。确保还正确设置了时区。

# ntpdate -u pool.ntp.org

注意:

此命令适用于 Shibboleth 等身份提供者。

发生“401 未经授权的凭据”错误

当应用程序不支持联合登录,因而必须作为 Adobe ID 登录到应用程序时发生此错误。FrameMaker、RoboHelp 和 Adobe Captivate 是具有此要求的应用程序的示例。

发生“入站 SAML 登录失败并显示消息:SAML 响应不包含任何断言”错误

检查登录工作流程。如果可在另一计算机或网络上访问登录页面,但无法在内部访问,则问题可能出在代理字符串被阻止。此外,还要运行 SAML 跟踪,并确认 SAML 使用者中以名字、姓氏和用户名作为正确格式的电子邮件地址。

发生“400 错误的请求”错误/发生“SAML 请求的状态为不成功”错误/SAML 证书验证失败

验证正在发送正确的 SAML 断言:

  • 使用者中无 NameID 元素。验证 Subject 元素包含 NameId 元素。它必须与 Email 属性相等,后者应为要验证其身份的用户的电子邮件地址。
  • 拼写错误,特别是容易被忽视的拼写错误,例如 https 与 http。
  • 验证已提供的证书正确无误。必须将 IDP 配置为使用未压缩的 SAML 请求/响应。

适用于 Firefox 的 SAML 跟踪器可帮助将断言解压缩并显示它以供检查。如果需要 Adobe 客户关怀部门的帮助,我们将要求您提供此文件。有关详细信息,请参阅如何执行 SAML 跟踪

以下可行示例可帮助正确地为您的 SAML 断言设置格式:

下载

用于 Microsoft ADFS:

  1. 每个 Active Directory 帐户都必须具有在 Active Directory 中列出的电子邮件地址才能成功登录(事件日志:SAML 响应在断言中无 NameId)。首先检查此项。
  2. 访问仪表板
  3. 单击“身份”选项卡和域。
  4. 单击“编辑配置”。
  5. 找到“IDP 绑定”。切换到“HTTP-POST”,然后保存。 
  6. 重新测试登录体验。
  7. 如果可行但您更喜欢以前的设置,只需切换回 HTTP-REDIRECT 并将元数据重新上传到 ADFS 中即可。

用于其他 IdP:

  1. 遇到错误 400 表示您的 IdP 拒绝了一个成功的登录。
  2. 请在 IdP 日志中寻找该错误的来源。
  3. 纠正问题,然后重试。
Adobe 徽标

登录到您的帐户