Brugerhåndbog Annuller

Kan ikke logge på Adobes produkter, tjenester eller mobilapps med Federated ID (SSO): Fejlfinding

Søg

Sidst opdateret den Oct 27, 2021 01:11:33 AM GMT

Adobe Enterprise og Teams: Administrationsvejledning
Planlæg udrulning
1. Grundlæggende koncepter
2. Udrulningsvejledninger
3. Udrul Creative Cloud til uddannelse
Konfigurer din organisation
1. Identitetstyper | Oversigt
2. Konfigurer identitet | Oversigt
3. Konfigurer organisation med Enterprise ID
4. Konfigurer Azure AD-føderation og -synkronisering
5. Konfigurer Google-føderation og synkroniser
6. Konfigurer organisation med Microsoft ADFS
7. Konfigurer organisation til distriktsportaler og LMS
8. Konfigurer organisation med andre identitetsudbydere
9. Almindelige spørgsmål og fejlfinding i forbindelse med SSO
Administrer din organisationskonfiguration
Administrer produkter og berettigelser
1. Administrere brugere
2. Administrer produkter og produktprofiler
3. Administrer licenser til delte enheder
Administrer lager og aktiver
1. Lager
2. Aktivoverførsel
3. Tilbagekald aktiver fra en bruger
4. Aktivoverførsel for studerende | Kun EDU
  1. Automatisk aktivoverførsel for studerende
  2. Overfør dine aktiver
Administrer tjenester
1. Adobe Stock
2. Brugerdefinerede skrifttyper
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud for enterprise – omkostningsfrit medlemskab
  1. Oversigt
  2. Introduktion
Udrulning af apps og opdateringer
1. Oversigt
2. Opret pakker
3. Tilpas pakker
  1. Tilpas Creative Cloud-computerappen
  2. Medtag udvidelser i din pakke
4. Udrul pakker
5. Administrer opdateringer
  1. Skift administration for Adobe Enterprise- og Teams-kunder
  2. Udrul opdateringer
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
8. Fejlfinding
9. Opret pakker ved hjælp af Creative Cloud Packager (CC 2018 eller tidligere apps)
Administrer din konto
Rapporter og logfiler
Få hjælp

Bemærk:

Denne artikel gælder ikke for SSO-konfigurationer, der bruger Google-føderation eller Microsoft Azure Sync.

Der henvises til følgende artikler, hvis din organisation har konfigureret SSO via en af disse identitetsudbydere:

Oversigt

Efter vellykket konfiguration af SSO på Adobe Admin Console skal du sørge for, at du har klikket på Download Adobe-metadatafil og har gemt SAML XML-metadatafilen på din computer. Denne fil er påkrævet af identitetsudbyderen til aktivering af enkeltlogon. Importér XML-konfigurationsoplysningerne korrekt til din identitetsudbyder (IdP). Det kræves for at integrere SAML med din IdP, og det sikrer, at dataene bliver konfigureret korrekt.

Hvis du har spørgsmål til, hvordan du bruger SAML XML-metadatafilen til at konfigurere din IdP, skal du kontakte din IdP direkte for at få instruktioner, som varierer alt efter IdP.

Grundlæggende fejlfinding

Problemer med enkeltlogon er ofte forårsaget af basale fejl, der er lette at overse. Kontrollér især følgende:

Brugeren får tildelt en produktprofil med en brugsret.
Det brugernavn, der blev sendt til SAML, matcher brugernavnet i virksomhedens dashboard.
Kontrollér alle poster i Admin Console og hos din identitetsudbyder for stave- eller syntaksfejl.
Creative Cloud-computerappen er blevet opdateret til den nyeste version.
Brugeren logger på det rigtige sted (Creative Cloud-computerappen, Creative Cloud-appen eller Adobe.com)

Fejlen "An error occurred" vises for knappen med mærket "Try Again"

Denne fejl opstår typisk, efter at brugergodkendelsen er gennemført, og Okta har videresendt godkendelsessvaret til Adobe.

I Adobe Admin Console skal du validere følgende:

Under fanen Identitet:

Sørg for, at det tilknyttede domæne er blevet aktiveret.

Under fanen Produkter:

Sørg for, at brugeren er tilknyttet det korrekte produktkaldenavn og i det domæne, du har gjort krav på i forbindelse med konfigurationen som Federated ID.
Sørg for, at der er tildelt de rigtige brugsrettigheder for produktkaldenavnet.

Under fanen Brugere:

Sørg for, at brugernavnet for brugeren er udformet som en komplet e-mailadresse.

Fejlen "Access Denied" vises ved logon

Mulige årsager til denne fejl:

Det brugernavn eller den e-mailadresse, der blev sendt i SAML-bedømmelsen, stemmer ikke overens med de oplysninger, der er angivet i Admin Console.
Brugeren er ikke tilknyttet det rigtige produkt, eller produktet er ikke tilknyttet den rigtige brugsret.
SAML-brugernavnet vises som noget andet end en e-mailadresse. Alle brugere skal være i det domæne, du har gjort krav på som en del af konfigurationsprocessen.
Din SSO-klient bruger JavaScript som en del af logonprocessen, og du forsøger at logge på en klient, der ikke understøtter JavaScript (f.eks. Creative Cloud Packager).

Sådan løses problemet:

Bekræft dashboard-konfigurationen for brugeren: Brugeroplysninger og produktprofil.
Kør en SAML-sporing, og bekræft, at de oplysninger, der sendes, matcher dashboardet. Ret derefter eventuelle uoverensstemmelser.

Fejl "Another user is currently logged in"

Fejlen "Another user is currently logged in" opstår, når de attributter, der sendes i SAML-bedømmelsen, ikke stemmer overens med den e-mailadresse, der blev brugt til at starte logonprocessen.

Kontrollér dette, og sørg for, at brugerens e-mailadresse, der bruges til at logge på, stemmer overens med følgende:

Brugerens e-mailadresse, der er angivet i Admin Console
Brugerens brugernavn blev videregivet til feltet NameID i SAML-bedømmelsen

Fejl "The Issuer in the SAML response did not match the issuer configured for the identity provider"

IDP-udstederen i SAML-bedømmelsen er forskellig fra den, der er konfigureret i den indgående SAML. Kig efter slåfejl (f.eks. http vs https). Når du kontrollerer IDP-udstederstrengen med kundens SAML-system, skal den NØJAGTIGT matche den streng, udstederen har leveret. Dette problem opstår nogle gange, fordi der har manglet en skråstreg til sidst.

Hvis du har brug for hjælp med denne fejl, skal du angive et SAML-spor og de værdier, du har angivet på Adobe-dashboardet.

Fejl "The digital signature in the SAML response did not validate with the identity provider's certificate"

Dette problem opstår, når dit katalogs certifikat er udløbet. For at opdatere certifikatet skal du downloade certifikatet eller metadataene fra identitetsudbyderen og uploade det i Adobe Admin Console.

Du kan f.eks. følge nedenstående trin, hvis din IdP er Microsoft AD FS:

Åbn AD FS-administrationsappen på din server, gå til mappen AD FS > Service > Slutpunkter, og vælg Føderationsmetadata.
Brug en browser til at navigere til den webadresse, der er angivet for føderationsmetadata, og download filen. Det kan f.eks. være https://<dit AD FS-værtsnavn>/FederationMetadata/2007-06/FederationMetadata.xml.

Bemærk:

Accepter eventuelle advarsler, hvis du bliver bedt om det.
Log på din Adobe Admin Console, og gå til Indstillinger > Identitet > Kataloger. Vælg den mappe, der skal opdateres, og klik på Konfigurer på SAML-udbyderens kort.

Upload derefter IdP-metadatafilen, og klik på Gem.

Fejl "The current time is before the time-range specified in the assertion conditions"

Windows-baseret IdP-server:

1. Sørg for, at systemuret er synkroniseret med en nøjagtig tidsserver.

Kontrollér systemurets nøjagtighed i forhold til din tidsserver med denne kommando; Værdien for "Phase Offset" skal være en lille brøkdel af et sekund:

w32tm /query /status /verbose

Du kan gennemføre en øjeblikkelig gensynkronisering af systemuret med tidsserveren via følgende kommando:

w32tm /resync

Hvis systemuret er indstillet korrekt, og du stadig får vist ovenstående fejl, skal du justere tidsforskydningsindstillingen for at øge tolerancen for forskellen mellem ure på tværs af serveren og klienten.

2. Øg den tilladte forskel for systemuret på tværs af servere.

I et Powershell-vindue med administrative rettigheder skal du indstille den tilladte forskydningsværdi til 2 minutter. Kontrollér, om du kan logge på, og vælg en større eller mindre værdien afhængigt af resultatet.

Bestem den aktuelle tidsforskydningsindstilling for den relevante Relying Party Trust med følgende kommando:

Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew

Relying Party Trust identificeres af den webadresse, der vises i feltet "Identifikator" for outputtet fra den foregående kommando for den pågældende konfiguration. Denne webadresse vises også i ADFS-administrationsværktøjet i vinduet Egenskaber for den relevante Relying Party Trust under fanen "Identifikatorer" i feltet "Relying Party Trust" som vist på skærmbilledet nedenfor.

Du kan indstille tidsforskydningen til 2 minutter med følgende kommando, hvor identifikatoradressen kan udskiftes i overensstemmelse hermed:

Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2

UNIX-baseret IdP-server

Sørg for, at systemuret er indstillet korrekt, enten ved hjælp af ntpd-tjenesten eller manuelt med kommandoen ntpdate fra en root-shell eller med sudo som vist nedenfor (bemærk, at hvis tiden forskydes med mere end 0,5 sekunder, vil ændringen ikke ske med det samme – systemuret vil langsomt blive korrigeret). Sørg for, at tidszonen også er konfigureret korrekt.

# ntpdate -u pool.ntp.org

Bemærk:

Dette fungerer med identitetsudbydere som Shibboleth.

Fejl 401 – uautoriserede legitimationsoplysninger

Denne fejl opstår, når applikationen ikke understøtter fødereret logon og skal være logget på som Adobe ID. FrameMaker, RoboHelp og Adobe Captivate er eksempler på apps med dette krav.

Fejl "Inbound SAML login failed with message: The SAML response contained no assertions"

Kontrollér logon-arbejdsforløbet. Hvis du kan få adgang til logonsiden på en anden maskine eller et andet netværk, men ikke internt, kan det skyldes en blokagentstreng. Kør også en SAML-sporing og bekræft, at First Name, Last Name og Username som en korrekt formateret e-mailadresse er på SAML-emnet.

Fejl 400 – ugyldig anmodning/fejl "The status of the SAML request was not successful"/bekræftelsen af SAML-certificeringen mislykkedes

Bekræft, at den korrekte SAML-bedømmelse sendes:

Der er ikke et NameID-element i emnet. Bekræft, at emneelementet indeholder et NameId-element. Det skal være det samme som egenskaben E-mail, som skal være e-mailadressen på den bruger, du vil godkende.
Stavefejl, især dem, der nemt kan overses, f.eks. https vs. http.
Bekræft, at det korrekte certifikat er blevet leveret. IDP'er skal konfigureres til at bruge ukomprimerede SAML-anmodninger/svar.

Et værktøj som SAML Tracer kan hjælpe med at pakke bedømmelsen ud og få den vist i forbindelse med inspektion. Hvis du har brug for hjælp fra Adobe Kundepleje, vil du blive bedt om denne fil. Du kan finde flere oplysninger under Sådan udfører du en SAML-sporing.

Følgende eksempel kan hjælpe dig med at formatere din SAML-bedømmelse korrekt:

Download

Hent fil

SAML-eksempel

Med Microsoft ADFS:

Alle Active Directory-konti skal have en e-mailadresse opført i Active Directory for at kunne logge på (hændelseslog: SAML-svaret har ikke NameId i bedømmelsen). Kontrollér dette først.
Gå til dashboardet.
Klik på fanen Identitet og på domænet.
Klik på Rediger konfiguration.
Find IDP-bindingen. Skift til HTTP-POST, og klik derefter på Gem.
Test logonoplevelsen igen.
Hvis det virker, men du foretrækker den tidligere indstilling, skal du blot skifte tilbage til HTTP-REDIRECT og uploade metadataene til ADFS igen.

Med andre IdP'er:

Hvis du støder på en fejl 400, betyder det, at et vellykket logon er blevet afvist af din IdP.
Kontrollér dine IdP-logfiler for at finde årsagen til fejlen.
Ret fejlen, og prøv igen.

Log ind på din konto