在 Adobe Admin Console 中，前往“设置”>“目录”>“编辑”目录。 然后，在目录的“详细信息”中选择“添加新 IdP”。
上次更新日期：
2022年8月23日
- Adobe 企业版和团队版：管理指南
- 规划您的部署
- 基本概念
- 部署指南
- 部署 Creative Cloud 教育版
- 设置您的组织
- 身份类型 | 概述
- 设置身份 | 概述
- 使用 Enterprise ID 设置组织
- 设置 Azure AD 联合和同步
- 设置 Google 联合身份验证和同步
- 通过 Microsoft ADFS 设置组织
- 为区域门户网站和 LMS 建立组织
- 通过其他身份提供商设置组织
- SSO 常见问题和故障排除
- 管理您的组织设置
- 管理用户
- 管理产品和权利
- 开始使用 Global Admin Console
- 管理存储和资源
- 存储
- 资源迁移
- 从用户回收资源
- 学生资源迁移 | 仅限教育界
- 托管服务
- Adobe Stock
- 自定义字体
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud 企业版 - 免费会员资格
- 部署应用程序和更新
- 概述
- 创建包
- 自定义程序包
- 部署包
- 管理更新
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- 疑难解答
- 管理您的团队帐户
- 续订
- 管理合同
- 报告和日志
- 获取帮助
您可以将现有目录迁移到 Adobe Admin Console 中的新身份验证提供方。 这使您可以根据需要选择身份验证提供方，并无缝迁移用户及其应用程序和资产。
要迁移到新的身份验证提供方，必须满足以下要求：
- 可用系统管理员凭据访问您组织的 Adobe Admin Console
- 在 Admin Console 中为联合身份验证配置现有目录
- 访问组织的身份提供方门户（例如，Microsoft Azure 门户、Google 管理控制台等）
有关详细信息，请参阅实施注意事项。
在满足访问要求和实施注意事项后，请按照以下过程编辑身份验证配置文件并迁移目录：
-
-
选择身份提供程序以设置新的身份验证配置文件。选择组织用于对用户进行身份验证的身份提供程序 (IdP)。单击“下一步”。
-
根据选择的身份提供程序，执行以下步骤：
使用 Microsoft Azure Active Directory 全局管理员凭据登录 Azure，然后“接受”权限提示。 您将返回到 Admin Console 中的“目录”详细信息。
注意:- 仅当在组织的 Azure 门户中创建应用程序时需要 Microsoft 全局管理员登录。全局管理员的登录信息将不会进行存储，仅用于创建应用程序的一次性许可。
- 进入步骤 3（如上所述），选择标识提供者时，若 Adobe Admin Console 中的用户名字段与 Azure 门户中的 UPN 字段不匹配，则不应使用 Microsoft Azure 选项。
如果将现有目录配置为将“用户名”作为“用户登录设置”传递，则应在其他 SAML 提供程序选项下建立新 IdP。在当前目录中的“用户登录设置”下，可以通过选择“编辑”选项来确认登录设置。
- 目前，选择步骤 3 中的 Microsoft Azure 选项将只会配置标识提供者，而不会包含目录同步服务。
- 从显示的“编辑 SAML 配置”屏幕中复制“ACS URL”和“实体 ID”。
- 在单独的窗口中，使用 Google 管理员凭据登录 Google 管理控制台，然后导航至“应用程序”>“SAML 应用程序”。
- 使用 + 符号添加新应用程序，并选择 Adobe 应用程序。 然后，下载选项 2 下方的 IDP 元数据，并将其上传到 Adobe Admin Console 中的“编辑 SAML 配置”中。然后，单击“保存”。
- 确认“Adobe 的基本信息”。在“服务提供商详细信息”中输入以前复制的“ACS URL”和“实体 ID”，完成操作。您无需设置“用户配置”，因为现有目录目前不支持此设置。
- 最后，转到“应用程序”>“SAML 应用程序”>“Adobe 设置”>“服务状态”。 将“服务状态”改为“针对所有人打开”，然后单击“保存”。
对于“其他 SAML 提供程序”：
- 在其他窗口中登录身份提供程序的应用程序，创建新的 SAML 应用程序。（请勿编辑现有 SAML 应用程序以防止迁移过程中发生停机）。
- 根据身份提供程序的设置，将元数据文件或“ACS URL”和“实体 ID”从 Adobe Admin Console 复制到身份提供程序的设置。
- 将元数据文件从身份提供程序设置上传到 Adobe Admin Console。然后，单击“保存”。
-
在“Adobe Admin Console”>“目录详细信息”中，将创建新的身份验证配置文件。 使用“测试”验证配置功能是否设置正确，确保所有最终用户都有权访问 SAML 应用程序。
“测试”功能可确保 IdP 中新身份验证配置文件的用户名格式与现有用户登录配置文件的用户信息匹配。
-
请在 Adobe Admin Console 中转到“目录用户”，并检查标识提供者用户名是否与 Admin Console 用户名匹配。
对于 SAML，请确保新配置产生的断言中的 Subject 字段与 Admin Console 中现有用户的用户名格式一致。
单击“激活”，迁移到新的身份验证配置文件。完成后，新配置文件将显示“正在使用”。
查找与将目录迁移至新的验证提供者和更新已弃用的 SAML 设置相关的问题解答。
开始前，请确保您满足相关的访问要求，从而能够按照迁移到不同的身份提供方的步骤进行操作。此外，为确保组织目录可以无缝地执行迁移且不会出现错误，请考虑以下几点：
- 管理员必须在 IdP 设置中创建新的 SAML 应用程序进行配置。如果管理员编辑现有应用程序，会重写任何现有活跃配置、导致停机，并会导致在 Adobe Admin Console 中可用 IdP 之间切换的功能失效。
- 管理员必须确保将所有所需用户分配到新创建的 SAML 应用程序，或者可以使用该应用程序。
- 管理员必须确保 IdP 中新身份验证配置文件的用户名格式与现有用户登录配置文件所用的用户名格式相匹配。管理员可以使用身份验证配置文件上提供的“测试”功能进行验证。此“测试”链接可复制到剪贴板，并与他人共享，以便其他人从自己的计算机进行验证。
- 管理员应在激活新添加的 IdP 之前，使用该目录的 2 到 3 个活跃帐户对其进行测试。
这些功能将不提供错误日志。但是，测试工作流程允许管理员在激活之前验证相关错误。需要考虑的限制包括：
- 一个目录最多可以包含两个身份验证配置文件，并且这两个配置文件应该用于不同的身份验证类型。这意味着 Microsoft Azure AD（使用 Open ID Connect）可以与其他 SAML 提供者保持同步，但 Google（它本身使用 SAML）无法与同一目录中的其他 SAML 提供者保持同步。
- 此功能不允许管理员迁移其身份提供者来启用目录同步功能（Azure AD Connector 和 Google Connector）。不过，迁移到 Microsoft Azure 或 Google 作为 IdP 的客户可以采用不同形式的用户管理策略。 要了解详细信息，请参阅 Adobe Admin Console 用户。
