Dokument se zaměřuje na postup konfigurace konzoly Adobe Admin Console pro server Microsoft AD FS.
Poskytovatel identity nemusí být přístupný mimo podnikovou síť, ale pokud tedy není, budou se moci ověřovat s cílem aktivovat licenci nebo se přihlásit po deaktivaci relace pouze pracovní stanice v síti (nebo stanice připojené v síti VPN).
Pokyny a snímky obrazovky v tomto dokumentu jsou určeny pro AD FS verze 3.0, ale stejné nabídky se nachází také ve verzi AD FS 2.0.
Než začnete s vytvářením adresářů pro jednotné přihlašování pomocí serveru Microsoft AD FS, je třeba splnit následující požadavky:
Při konfiguraci jednotného přihlašování pro svou doménu postupujte následovně:
Další podrobnosti ke každému kroku naleznete na následujících hypertextových odkazech.
Budete-li chtít nakonfigurovat integraci SAML na serveru AD FS, postupujte následovně:
Všechny následující kroky je třeba zopakovat při každé změně hodnot pro danou doménu v konzoli Adobe Admin Console.
V rámci aplikace AD FS pro správu přejděte do nabídky AD FS > Vztahy důvěryhodnosti > Důvěryhodnost závislé strany a kliknutím na tlačítko Přidat důvěryhodnost závislé strany spusťte průvodce.
Pojmenujte důvěryhodnost závislé strany a podle potřeby zadejte další poznámky.
Klikněte na tlačítko Další.
Určete, zda je požadováno vícefaktorové ověřování, a vyberte příslušnou možnost.
Klikněte na tlačítko Další.
Určete, zda se všichni uživatelé mohou přihlásit pomocí AD FS.
Klikněte na tlačítko Další.
Zkontrolujte své nastavení.
Klikněte na tlačítko Další.
Vaše důvěryhodnost závislé strany je tímto přidána.
Ponecháním označené možnosti otevřete dialogové okno Úprava pravidel deklarace s rychlým přístupem k dalším krokům.
Klikněte na tlačítko Zavřít.
Pokud se průvodce Úprava pravidel deklarace automaticky neotevře, budete k němu mít přístup z aplikace AD FS pro správu v nabídce AD FS > Vztahy důvěry > Důvěryhodnost závislé strany výběrem důvěryhodnosti závislé strany Adobe SSO a kliknutím na tlačítko Úprava pravidel deklarace... na pravé straně.
Klikněte na tlačítko Přidat pravidlo, nakonfigurujte pravidla pomocí šablony Odeslání atributů LDAP jako deklarace do svého úložiště atributů a namapujte e-mailové adresy atributu LDAP k e-mailové adrese typu odchozí deklarace.
Jak lze vidět na výše uvedeném snímku obrazovky, doporučujeme jako primární identifikátor používat e-mailovou adresu. Můžete také použít pole Hlavní uživatelské jméno (UPN) jako atribut LDAP odeslaný v rámci kontroly coby e-mailovou adresu. Nedoporučujeme však tuto možnost používat pro pravidlo deklarace.
Hlavní uživatelské jméno se nemapuje na e-mailovou adresu a v mnoha případech se bude lišit. To s největší pravděpodobností způsobí problémy s oznámením a sdílením datových zdrojů ve službě Creative Cloud.
Kliknutím na tlačítko Dokončit dokončete přidání pravidla pro deklaraci transformace.
Následně pomocí průvodce Úprava pravidel deklarace znovu přidejte pravidlo pomocí šablony Transformovat příchozí deklaraci a převeďte příchozí deklarace typu „E-mailová adresa“ s ID názvu typu odchozí deklarace a formátem ID názvu odchozí deklarace jako „E-mail“ tak, aby splnila všechny hodnoty deklarace.
Kliknutím na tlačítko Dokončit dokončete přidání pravidla pro deklaraci transformace.
Pomocí průvodce Úprava pravidel deklarace přidejte pravidlo za použití šablony Odesílání deklarací pomocí vlastního pravidla s následujícím pravidlem:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Kliknutím na tlačítko Dokončit zavřete průvodce vytvořením vlastních pravidel.
Kliknutím na tlačítko OK v dialogovém okně Upravit pravidla reklamace dokončíte přidání těchto tří pravidel k důvěryhodnosti závislé strany.
Pořadí pravidel reklamace je důležité a musí odpovídat uvedenému vzoru.
Aby se bylo možné vyhnout problémům s připojením mezi systémy, u kterých se čas mírně liší, nastavte výchozí časový posun na 2 minuty. Další informace o časovém posunu najdete v dokumentu Odstraňování chyb.
Otevřete aplikaci AD FS pro správu na svém serveru a ve složce AD FS > Služba > Koncové body vyberte možnost Metadata federace.
V prohlížeči přejděte na adresu URL pro příslušná metadata federace a stáhněte soubor. Například https://<název hostitele AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Pokud budete chtít aktualizovat nejnovější certifikát, vraťte se v okně Adobe Admin Console. Nahrajte soubor s metadaty stažený ze stránek AD FS na obrazovce Přidat profil SAML a klikněte na tlačítko Hotovo.
Jakmile bude adresář nastaven, postupujte následovně a umožněte tak uživatelům ve vaší organizaci používat aplikace a služby Adobe:
Další informace o dalších nástrojích a technikách souvisejících se správou identity najdete v tématu Nastavení identity.
Vytvořte testovacího uživatele ve službě Active Directory. Vytvořte pro tohoto uživatele položku v konzoli Admin Console a přiřaďte mu licenci. Poté se zkuste přihlásit na adrese Adobe.com a ujistěte se, že je ke stažení uveden veškerý související software.
Test můžete provést také přihlášením k aplikaci Creative Cloud pro stolní počítače z aplikace, jako je Photoshop nebo Illustrator.
V případě jakýchkoli problémů konzultujte náš dokument obsahující řešení potíží. Pokud potřebujete pomoc s konfigurací jednotného přihlašování, přejděte v konzoli Adobe Admin Console do nabídky Podpora a podejte žádost zákaznické podpoře.
