将 Acrobat Sign 中的 SAML 模式设置为允许使用 SAML
- 确认您知道原生 Acrobat Sign 密码
- 这是一种预防措施，旨在避免更改 IdP 后您的帐户被意外锁定
上次更新日期：
2024年7月16日
域迁移概述
Adobe Acrobat Sign 部署了一个新域：adobesign.com。
客户可以通过登录到 Acrobat Sign 并检查 URL 来识别其域：
- 如果您的 URL 显示 adobesign.com，则表明您的帐户已位于新域中.
- 如果您的 URL 显示 echosign.com，则必须将您的帐户迁移到新域中。
- 迁移的客户帐户将开始从 adobesign@adobesign.com 邮件地址发送电子邮件。 因此，具有电子邮件过滤功能的客户必须明确允许来自 adobesign@adobesign.com 的电子邮件
要查看/执行的操作
为确保服务的连续性，客户应查看以下操作列表并解决与其帐户相关的问题，以便为域迁移做好准备。
在成功解决下面列出的所有问题/任务后，所有受影响的帐户都将能够切换到新域。
注意
更改 SAML 配置需要在 Acrobat Sign 中保存新的 IdP 设置后立即选择加入新域。
在完成域切换之前，无法对帐户进行 SSO。
如果您是使用 SAML 的客户，请确保将 Acrobat Sign 中的 SAML 模式设置设为允许 SAML。
- 确认您知道原生 Acrobat Sign 密码
- 这是一种预防措施，旨在避免更改 IdP 后您的帐户被意外锁定
对于使用 iOS 版 Acrobat Sign 移动设备应用程序的用户，管理员应提醒这些用户将其应用程序版本升级到 3.22 或更高版本。
Android 版 Acrobat Sign 应用程序将不受域变更的影响。
主动限制电子邮件的客户应明确允许来自 adobesign@adobesign.com 的电子邮件。
- 如果当前有允许 echosign@echosign.com 的规则，还需添加此新规则
- 此时，请勿删除 echosign@echosign.com 规则
- 此时，请勿删除 echosign@echosign.com 规则
否则，可能会导致将入站（电子邮件）协议通知过滤到垃圾邮件文件夹中。
对网络安全具有严格要求的客户应该明确允许来自新域生产端点的流量。
如果您当前的网络权限被配置为允许 echosign.com 流量通过，则还应添加 adobesign.com 端点。
- 此时，请勿删除 echosign.com 端点
- 仅当您的帐户使用 Adobe Acrobat Sign for Salesforce 集成时，才需添加 adobesignforsalesforce.com
- 在“演示”环境中具有帐户的客户还应该添加 adobesign 演示端点
| 环境 | “echosign”域 | “adobesign”等同域 |
|---|---|---|
| 生产 | echosign.com | adobesign.com |
| echocdn.com | adobesigncdn.com | |
| echosignforsalesforce.com | adobesignforsalesforce.com | |
| -- | documentcloud.adobe.com |
|
| 演示 | echosigndemo.com | adobesigndemo.com |
| echocdndemo.com | adobesigncdndemo.com | |
| echosignforsalesforcedemo.com | adobesignforsalesforcedemo.com |
注释
在此处可找到 Adobe Acrobat Sign 端点的扩展列表，但只有上面列出的端点与此次域迁移相关。
无需对“IP 范围”进行编辑。
使用 API 服务的帐户应检查其代码，以确保它还支持 adobesign.com 域。
- 确保已设置新域的网络安全，以允许相应流量通过
- API 请求/响应示例
注释
刷新令牌（用于获取新访问令牌）未绑定到域，因此不受域更改的影响。
例如，客户/合作伙伴/集成人员所具有的代码可能会对返回的 URI 进行硬编码检查。 这可以用作安全措施，以防御试图将域重定向到错误位置的不当行为。
- 与任何第三方集成的所有者联系，以确定是否存在这种情况
- 与内部利益相关者联系，以获取内部构建的自定义集成
注意
更改 SAML 配置需要在 Acrobat Sign 中保存新的 IdP 设置后立即选择加入新域。
在完成域切换之前，无法对帐户进行 SSO。
使用 IdP（MSADFS、Okta 等）创建新客户端
- 使用 Acrobat Sign SAML 服务提供程序信息为新域构建新客户端（请参阅下面的警告）
- 在确认 SSO 可在新域中按预期正常运行之前，建议保留旧客户端
注意
迁移到新域时，Acrobat Sign SAML 页面上的 Acrobat Sign 服务提供程序内容将显示现有域配置。
您需要手动编辑以下三个 URL，以反映将迁移到的“新”域。
- 例如：如果要迁移到 adobesign.com，而现有的 URL 反映 echosign.com；则在配置新客户端时，需手动将其更改为 adobesign.com
不要编辑以下项：
- 实体 ID/SAML 受众
- SP 证书
手动编辑以下项：
- 断言使用者 URL
- 单一注销 (SLO) URL
- 单一登录（登录）URL
使用新创建的 IdP 客户端中的值更新身份提供程序配置
以帐户级管理员的身份登录 Acrobat Sign，然后导航至帐户 > 帐户设置 > 帐户设置
- 选择立即更新按钮
- 此时将自动注销，并且您必须对新域进行身份验证
- 如果有要登录的书签，请编辑 URL 以使用 adobesign.com 而不是 echosign.com
注释
当用户在登录过程被转到新域时(adobesign.com)，指向旧域 (echosign.com) 的书签可能会提示有多个 Cookie 启用请求。
用户可以通过更新其书签来解决此问题。
测试 SSO 连接
在更改域之后，Adobe Acrobat Sign for Salesforce 客户必须尽快重新链接 Acrobat Sign 与 Salesforce 之间的 OAuth 连接。
更改域会中断 Acrobat Sign 与 Salesforce 之间的受信任连接。 在重新连接 OAuth 链接之前：
- 用户将无法从 Salesforce 发送协议
- 尝试发送时，系统将提示存在错误，并将协议另存为“草稿”
- 尝试发送时，系统将提示存在错误，并将协议另存为“草稿”
- 更新不会推送回 Salesforce
- 重新连接后，协议将可以更新并与 Acrobat Sign 服务同步
- 重新连接后，协议将可以更新并与 Acrobat Sign 服务同步
查看/更新远程站点设置
已为 Acrobat Sign 配置了远程站点设置的组织必须更新远程站点 URL 以反映 adobesign.com（代替了 echosign.com）。
对于所有使用 echosign.com 作为 URL 域的远程站点，重复步骤 3-5。
请注意，站点 URL 可能会在非域字符串的位置中包含字符串“echosign”。 不要编辑这些值：
更改域后，现有 Web 表单将继续按预期正常工作。
创建一个 Web 表单后，该表单将由唯一的 webformId (wid) 标识。
更改域会更改 Web 表单的 URL，但不会更改其 webformId。
示例：
echosign.com Web 表单 URL：
- https://caseyjonez.na1.echosign.com/public/esignWidget?wid=CBFi_MHTdBzgM82U*
域更改后的同一 Web 表单：
- https://caseyjonez.na1.adobesign.com/public/esignWidget?wid=CBFi_MHTdBzgM82U*
由于 Acrobat Sign 会继续在 echosign.com 域上接受入站流量，因此表单 URL 会解析并传递正确的 webformId。
注释
建议客户在可能的情况下，更新其内容以使用含有新域的 URL。
注释
我们强烈建议所有帐户尽早“选择加入”新域，以便当出现问题时有充足的时间解决问题。
如果出现问题，帐户可以切换回旧域。
如何更改域
当您确信您的帐户已准备好迁移时：
以帐户级管理员身份登录 Acrobat Sign
导航至帐户 > 帐户设置 > 帐户设置
单击立即更新按钮
重要操作的检查表将显示在叠加窗口中
逐一核查表中的每一项，如果确信您的帐户已妥善处理相应事项，即可勾选相应框。
勾选所有框后，单击确定，然后单击保存：
- 此时将自动注销，并且您必须对新域进行身份验证
- 如果有要登录的书签，请编辑 URL 以使用 adobesign.com 而不是 echosign.com
注释
当用户在登录过程被转到新域时(adobesign.com)，指向旧域 (echosign.com) 的书签可能会提示有多个 Cookie 启用请求。
建议通知用户更新其书签以定位到新的登录域。
恢复到旧域
如果由于任何原因而必须恢复到旧域，该过程与一开始的域切换过程相同。
- 启用了 SAML 的帐户需要重新配置其 SAML IdP 设置以使用旧客户端
- 使用 Adobe Acrobat Sign for Salesforce 集成的帐户需要在切换后重新链接应用程序
以帐户级管理员身份登录 Acrobat Sign
导航至帐户 > 帐户设置 > 帐户设置
单击立即更新按钮，然后单击保存
- 此时将自动注销
在下文中，您将找到与域迁移有关的一系列常见问题。
如果您在此处找不到问题的答案，请联系您的成功经理或客户支持。
注释
示例响应中的域指向 adobesign.com，即使请求来自 echosign.com 也是如此。
- 如果检查 echosign.com 的响应，检查将失败
- 如果存在任何硬编码情况，请将 echosign.com 主机名替换为 adobesign.com
案例：帐户已迁移到 adobesign.com 域 - API 调用使用 adobesign.com 域发起
- 示例请求 URL：https://api.na2.adobesign.com:443/api/rest/v6/baseUris
- 示例响应：
1 2 3 4 |
{ "apiAccessPoint": "https://api.na2.adobesign.com/", "webAccessPoint": "https://secure.na2.adobesign.com/" } |
不会。
将不迁移任何 *.documents.adobe.com URL 上的帐户。
只会将 *.echosign.com 域上的帐户迁移到 adobesign.com 域。
