サーバー上で AD FS 管理アプリケーションを開き、AD FS／サービス／エンドピントフォルダー内で、フェデレーションメタデータを選択します。
最終更新日 :
2024年12月16日
アドビ製品の Federated ID（SSO）に関連する一般的な認証エラーの解決、設定の確認、ログインの問題のトラブルシューティングを行います。 SAML エラー、証明書の問題、およびその他の認証の問題を解決するためのヒントを得ます。
Adobe Admin Console で SSO の設定が正常に完了したら、Adobe メタデータファイルをダウンロード を選択し、SAML XML メタデータファイルをコンピューターに保存します。 このファイルは、ID プロバイダーがシングルサインオンを有効にするために必要です。 XML 設定の詳細を ID プロバイダー（IdP）に適切に読み込みます。 これは IdP との SAML 統合に必要であり、データが適切に設定されていることを確認します。
SAML XML メタデータファイルを使用して IdP を設定する方法について質問がある場合は、IdP によって手順が異なるため、直接 IdP に問い合わせて指示を求めてください。
メモ
組織で Google フェデレーションまたは Microsoft Azure Sync を利用して SSO を設定している場合は、次の記事を参照してください。
基本的なトラブルシューティング
シングルサインオンの問題は、多くの場合、見落としがちな基本的なエラーが原因です。 特に、以下を確認してください。
- ユーザーに、資格のある製品プロファイルが割り当てられている。
- SAML に送信されるユーザー名は、エンタープライズ版ダッシュボードのユーザー名と一致します。
- Admin Console と ID プロバイダーで、すべてのエントリにスペルや構文のエラーがない。
- Creative Cloud デスクトップアプリが最新バージョンに更新されている。
- ユーザーは正しい場所にログインしている（Creative Cloud デスクトップアプリ、Creative Cloud アプリケーション、または Adobe.com）。
その他の一般的なエラーの解決策
エラー：「エラーが発生しました」および「再試行」ボタンが表示される
このエラーは通常、ユーザー認証が成功し、Okta が認証応答を Adobe に転送した後に発生します。
Adobe Admin Console で以下を確認します。
「ID」タブでの作業：
- 関連するドメインが有効であることを確認します。
「製品」タブの作業：
- ユーザーが正しい製品ニックネームに関連付けられ、Federated ID として設定されているとクレームするドメインに存在することを確認します。
- 製品のニックネームに正しい使用権限が割り当てられていることを確認します。
「ユーザー」タブでの作業：
- ユーザーのユーザー名が完全なメールアドレスの形式であることを確認します。
エラー：ログイン時に「アクセスが拒否されました」
このエラーの原因として以下が考えられます。
- SAML アサーション内のユーザー名またはメールアドレスが、Admin Console に入力された情報と一致しません。
- ユーザーが正しい製品に関連付けられていない、または製品が適切な資格に関連付けられていない。
- SAML ユーザー名が、メールアドレス以外のものとして認識されている。 すべてのユーザーは、セットアッププロセスの一部でクレームしたドメインに属している必要があります。
- SSO クライアントがログイン処理の一部で JavaScript を利用して、JavaScript をサポートしていないクライアントにログインしようとしている。
解決方法：
- Adobe Admin Console のユーザー名とメールを確認し、SAML ログの NameID とメール属性と一致させてください。
- ユーザーのダッシュボード構成（ユーザー情報と製品プロファイル）を確認します。
- SAML トレースを実行して、送信される情報がダッシュボードと一致することを確認し、不一致がある場合は修正します。
エラー：「別のユーザーが現在ログインしています」
「別のユーザーが現在ログインしています」というエラーは、SAML アサーションで送信された属性が、ログインプロセスの開始に使用されたメールアドレスと一致しない場合に発生します。
SAML トレースを実行して、ログインするユーザーのメールアドレスが以下と一致することを確認してください。
- Admin Console に表示されているユーザーのメールアドレス
- SAML アサーションの「NameID」フィールドに返されるユーザーのユーザー名
エラー：「SAML 応答の発行者が ID プロバイダー用に設定された発行者と一致しませんでした」
SAML アサーションの IDP 発行者が、受信 SAML で設定されている発行者と異なります。 タイプミス（http と https など）がないか確認してください。 IDP 発行者の文字列とお客様の SAML システムを照合する場合は、提供された文字列と完全一致で確認してください。 この問題は、最後にスラッシュがないために発生することがあります。
このエラーについてサポートが必要な場合は、アドビダッシュボードに入力した SAML トレースと値を入力してください。
エラー：「SAML 応答のデジタル署名が ID プロバイダーの証明書で検証されませんでした」
この問題は、ディレクトリの証明書が有効期限切れである場合に発生します。 証明書を更新するには、ID プロバイダーから証明書またはメタデータをダウンロードし、Adobe Admin Console にアップロードする必要があります。
例えば、IdP が Microsoft AD FS の場合は、次の手順に従います。
ブラウザーを使用して、フェデレーションメタデータに対して提供された URL に移動し、ファイルをダウンロードします。 ファイルは例えば、https://<お使いの AD FS ホスト名>/FederationMetadata/2007-06/FederationMetadata.xml のような形式です。
メモ
プロンプトが表示されたら、警告に同意します。
Admin Console の「設定」タブで、ID 設定／ディレクトリに移動します。 更新するディレクトリを選択して、SAML プロバイダーカードの「設定」をクリックします。
次に、IdP メタデータファイルをアップロードし、「保存」を選択します。
エラー：「現在の時刻がアサーション条件で指定された時間範囲よりも前です」
Windows ベースの IdP サーバーの場合：
- システム時刻が正確な時刻サーバーと同期していることを確認してください。
このコマンドで時刻サーバーに対するシステム時刻の精度を確認してください。「Phase Offset」値は秒の小さな端数である必要があります：
w32tm /query /status /verbose
次のコマンドで時刻サーバーとシステム時刻を即座に再同期できます：
w32tm /resync
システム時刻が正しく設定されているにも関わらず上記のエラーが表示される場合は、サーバーとクライアント間の時刻差の許容値を増やすために時刻スキュー設定を調整する必要がある場合があります。 - サーバー間でのシステム時刻の許容差を増やしてください。
管理者権限の PowerShell ウィンドウから、許容スキュー値を 2 分に設定します。ログインできるかどうかを確認し、結果に応じて値を増加または減少させてください。
次のコマンドで、関連する証明書利用者信頼の現在の時刻スキュー設定を確認してください：
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
証明書利用者信頼は、その特定の設定について前のコマンドの出力の「Identifier」フィールドに表示される URL で識別されます。この URL は、下のスクリーンショットに示すように、ADFS 管理ユーティリティの関連する証明書利用者信頼のプロパティウィンドウの「Identifiers」タブの「Relying Party Trusts」フィールドにも表示されます。
次のコマンドで時刻スキューを 2 分に設定し、それに応じて Identifier アドレスを置き換えてください：
Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2
UNIX ベースの IdP サーバー：
ntpd サービスを使用するか、下に示すように root シェルから、または sudo を使って ntpdate コマンドを使用して手動でシステム時刻が正しく設定されていることを確認してください（時刻が 0.5 秒以上ずれている場合、変更は即座に行われませんが、システム時刻は徐々に修正されます）。タイムゾーンが正しく設定されていることも確認してください。
# ntpdate -u pool.ntp.org
メモ
これは、Shibboleth. などの ID プロバイダーで機能します。
エラー：「401 不正な資格情報」
このエラーは、アプリケーションがフェデレーションログインをサポートしておらず、Adobe ID としてログインする必要がある場合に発生します。 例えば、FrameMaker、RoboHelp、および Adobe Captivate などのアプリケーションではその必要があります。
エラー：「受信 SAML ログインが次のメッセージと共に失敗しました：SAML 応答にアサーションが含まれていませんでした」
ログインワークフローを確認してください。 別のコンピューターまたはネットワークのログインページにアクセスできるが、内部にアクセスできない場合、ブロックエージェント文字列が問題である可能性があります。 また、SAML トレースを実行し、SAML の Subject に First Name、Last Name、および適切な形式のメールアドレスが設定されたユーザー名が含まれていることを確認します。
以下を実行して、適切な SAML アサーションが送信されていることを確認します。
- Subject に NameID 要素が指定されてないことが考えられます。 Subject 要素に NameId 要素が含まれていることを確認してください。 これは、認証したいユーザーのメールアドレスであるメール属性と一致している必要があります。
- スペルエラー、特に簡単に見落とされやすい https の http などの間違いが原因であることが考えられます。
- 提供されている証明書が正しいことを確認してください。 IDP は非圧縮の SAML リクエストと応答を使用するように設定されている必要があります。
Firefox 用の SAML tracer などのユーティリティは、アサーションをアンパックして検査用に表示するのに役立ちます。Adobe サポートからサポートが必要な場合は、このファイルが求められます。詳しくは、「SAML Trace の実行方法」を参照してください。
この SAML サンプルは、SAML アサーションを適切にフォーマットするのに役立つ場合があります。
Microsoft ADFS の場合
正常にログインするには、すべての Active Directory アカウントに Active Directory でメールアドレスが登録されていることを確認してください（イベントログ：SAML 応答のアサーションに NameId がありません）。
Admin Console にアクセスし、ID タブとドメインを選択します。
「設定を編集」を選択し、「IDP Binding」を見つけます。「HTTP-POST」に切り替えて保存します。
ログイン エクスペリエンスを再テストします。
正常に動作するものの以前の設定を希望する場合は、HTTP-REDIRECT に切り替えて、メタデータを ADFS に再アップロードしてください。
その他の IdP の場合
エラー 400 が発生するということは、IdP が正常なログインを却下したことを意味します。
IdP ログでエラーの原因を確認し、再試行する前に問題を修正してください。
エラー：「403 malfunctioned certificate」
エラー：「403 app_not_configured_for_user」
Google Console で Entity ID を更新します。 次に、メタデータファイルを書き出し、Adobe Admin Console にアップロードします。
エラー：「現在アクセスできません」または「こちらからはアクセスできません」
このエラーは通常、組織が IdP で条件付きのアクセスポリシーを有効にしている場合に発生します。
マネージドパッケージを使用して製品をデプロイする場合は、ブラウザーベースの認証オプションを選択して、Adobe Admin Console からマネージドパッケージを作成します。 次に、マネージドパッケージをユーザーのデバイスにデプロイします。
そうでない場合、ユーザーは Creative Cloud デスクトップ アプリケーションを開き、ヘルプ メニューから ブラウザーを使用してログイン を選択できます。
エラー：「アプリが割り当てられていません」
この場合、管理者は IdP で作成された Adobe SAML アプリにユーザーを追加する必要があります。 Google Admin Console または Microsoft Azure Portal で Adobe SAML アプリを作成する方法を学習してください。
エラー：「このサービスに対するアクセス権がありません。 アクセスするには、IT 管理者に問い合わせるか、Adobe ID でログインしてください。」
SAML アサーションで送信されるユーザー名またはメールアドレスが、Admin Console に入力された情報と一致しない場合は、SAML ログを確認します。
