此文件強調使用 Microsoft AD FS 伺服器設定 Adobe Admin Console 的程序。
身分提供者不需要具備可從公司網路外部存取的功能，但如果沒有這項功能，就只有網路內部 (或透過 VPN 連線) 的工作站能夠在停用其工作階段之後，執行驗證以啟用授權或登入。
上次更新時間
2022年11月18日
|
亦適用於 Creative Cloud for enterprise, Document Cloud for enterprise, Experience Cloud
- Adobe 企業和團隊：管理指南
- 規劃部署
- 基本概念
- 部署指南
- 部署適用於教育的 Creative Cloud
- 設定您的組織
- 身分類型 | 總覽
- 設定身分 | 總覽
- 使用 Enterprise ID 設定組織
- 設定 Azure AD 聯盟和同步
- 設定 Google Federation 與同步
- 使用 Microsoft ADFS 設定組織
- 為學區入口網站和 LMS 設定組織
- 使用其他身分提供者設定組織
- SSO 常見問題和疑難排解
- 管理您的組織設定
- 管理使用者
- 管理產品和權利
- 開始使用 Global Admin Console
- 管理儲存空間和資產
- 儲存
- 資產移轉
- 向使用者收回資產
- 學生資產移轉 | 僅限 EDU
- 管理服務
- Adobe Stock
- 自訂字型
- Adobe Asset Link
- Adobe Acrobat Sign
- 適用於企業的 Creative Cloud – 免費會籍
- 部署應用程式和更新
- 總覽
- 建立套件
- 自訂套件
- 部署套件
- 管理更新
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- 疑難排解
- 管理您的團隊帳戶
- 續約
- 管理合約
- 報告和記錄
- 取得協助
總覽
使用 Microsoft AD FS 設定 SSO (觀看時間：17 分鐘)
註解：
此文件中的指示和螢幕截圖適用於 AD FS 3.0 版，但 AD FS 2.0 中有提供相同的選單。
先決條件
在建立使用 Microsoft AD FS 進行單一登入的目錄之前，必須先符合下列需求︰
- 與 Microsoft AD FS 一起安裝的 Microsoft Windows Server 及最新的作業系統更新。如果您希望使用者搭配 macOS 使用 Adobe 產品，請確定您的伺服器有支援 TLS 1.2 版和轉寄密碼。若要了解更多有關 AD FS 的資訊，請參閱 Microsoft 身分和存取文件。
- 伺服器必須可以從使用者的工作站進行存取 (例如，透過 HTTPS)。
- 已從 AD FS 伺服器取得安全性憑證。
- 所有要與適用於企業的 Creative Cloud 帳戶建立關聯的 Active Directory 帳戶都必須擁有列在 Active Directory 中的電子郵件地址。
若要為您的網域設定單一登入，您需要執行下列步驟：
- 登入 Admin Console，並開始建立 Federated ID 目錄，選取其他 SAML 提供者當做身分提供者。從「建立目錄」精靈下載 Adobe 中繼資料檔案。
- 設定 AD FS，指定 ACS URL 和實體 ID，並下載 IdP 中繼資料檔案。
- 返回 Adobe Admin Console，並在「建立目錄」精靈中上傳 IdP 中繼資料檔案。然後，選取「下一步」，設定自動建立帳戶，然後選取「完成」。
若要深入了解每個步驟的詳細資訊，請連上此超連結以取得資訊。
設定 AD FS 伺服器
若要設定 SAML 與 AD FS 的整合，請執行下列步驟：
注意：
在您針對指定的網域對 Adobe Admin Console 中的值進行任何變更之後，所有後續步驟都必須再重複執行一次。
-
在 AD FS 管理應用程式中，瀏覽至「AD FS -> 信任關係 -> 信賴憑證者信任」，然後按一下「新增信賴憑證者信任」以啟動精靈。
-
為您的信賴憑證者信任命名，並視需要輸入其他任何註解。
按一下「下一步」。
-
判斷是否需要多重要素驗證，並選取相關選項。
按一下「下一步」。
-
判斷是否所有使用者都可以透過 AD FS 登入。
按一下「下一步」。
-
檢閱您的設定。
按一下「下一步」。
-
已新增您的信賴憑證者信任。
維持勾選此選項，以開啟「編輯宣告規則」對話框來快速存取後續步驟。
按一下「關閉」。
-
如果「編輯宣告規則」精靈未自動開啟，您可以從 AD FS 管理應用程式的「AD FS -> 信任關係 -> 信賴憑證者信任」底下存取此精靈，存取方式為選取您的 Adobe SSO 信賴憑證者信任，然後按一下右側的「編輯宣告規則...」。
-
按一下「新增規則」，並使用範本「以宣告方式傳送 LDAP 屬性」為您的屬性存放區設定規則，將 LDAP 屬性電子郵件地址對應至傳出宣告類型電子郵件地址。
註解：如上面的螢幕擷圖所示，我們建議使用電子郵件地址當做主要識別碼。您也可以使用在聲明中以 LDAP 屬性傳送的「使用者主體名稱」(UPN) 欄位當做電子郵件地址。但是，我們不建議為此設定宣告規則。
通常 UPN 不會對應到電子郵件地址，而且在許多情況下會有所不同。這很可能會導致 Creative Cloud 中的通知和資產共用發生問題。
-
按一下「完成」即可完成轉換宣告規則的新增。
-
再次使用「編輯宣告規則」精靈，根據範本「傳輸傳入宣告」新增規則，以便將包含傳出宣告類型名稱識別碼和傳出名稱識別碼格式的傳入宣告類型電子郵件地址轉換成電子郵件，並傳遞所有宣告值。
-
按一下「完成」即可完成轉換宣告規則的新增。
-
使用「編輯宣告規則」精靈，根據包含下列規則的範本「傳送使用自訂規則的宣告」新增一項規則：
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
-
按一下「完成」即可完成自訂規則精靈。
-
在「編輯宣告規則」對話框上按一下「確定」，即可完成將這三條規則新增至您的信賴憑證者信任。
註解：宣告規則的順序很重要；它們必須依照這裡的順序顯示。
為避免時鐘差異很小的系統之間的連線問題，請將預設時間誤差設定為 2 分鐘。如需時間誤差的詳細資訊，請參閱錯誤疑難排解文件。
下載 AD FS 中繼資料檔案
-
在您的伺服器上開啟 AD FS 管理應用程式，並在「AD FS > 服務 > 端點」資料夾中選取「聯盟中繼資料」。
-
使用瀏覽器瀏覽至針對同盟中繼資料所提供的 URL，並下載檔案。例如，https://<您的 AD FS 主機名稱>/FederationMetadata/2007-06/FederationMetadata.xml。
註解：- 如果有提示任何警告，請接受。
- 若要得知 Windows 作業系統上的 Microrsoft AD FS 主機名稱：
開啟 Windows PowerShell > 以系統管理員身分執行 > 輸入 Get-AdfsProperties > 按 輸入 > 在詳細清單中尋找您的主機名稱。
將 IdP 中繼資料檔案上傳到 Adobe Admin Console
若要更新最新的憑證，請返回 Adobe Admin Console 視窗。將從 AD FS 下載的中繼資料檔案上傳到「新增 SAML 設定檔」畫面，然後按一下「完成」。
後續步驟：完成設定以將應用程式指派給使用者
當您設定目錄後，請執行以下操作，好讓貴組織的使用者能夠使用 Adobe 應用程式和服務：
- 新增及設定網域 (在 Admin Console 內進行)。
- 將網域與 AD FS 目錄建立關聯。
- (選擇性) 如果您已在 Admin Console 中的另一個目錄內建立網域，請直接將其轉移到新建的 AD FS 目錄。
- 新增產品描述檔以微調您購買的計劃的使用情況。
- 測試您的 SSO 設定 - 藉由新增測試使用者。
- 根據您的需求選擇您的使用者管理策略和工具。然後將使用者新增到 Admin Console，並且將其指派給產品描述檔，好讓使用者開始使用他們的 Adobe 應用程式。
若要深入了解其他身分相關的工具和技術，請參閱「設定身分」。
