El documento resalta el proceso para configurar Adobe Admin Console con un servidor Microsoft AD FS.
El proveedor de identidades no tiene que ser accesible desde fuera de la red de la empresa, pero si no lo es, solo las estaciones de trabajo de dentro de la red (o conectadas a través de VPN) podrán llevar a cabo la autenticación para activar una licencia o iniciar sesión tras desactivar la sesión.
Las instrucciones y capturas de pantalla de este documento son para AD FS versión 3.0, pero están presentes los mismos menús en AD FS 2.0.
Antes de crear un directorio para el inicio de sesión único con Microsoft AD FS, deben cumplirse los siguientes requisitos:
Para configurar el inicio de sesión único para su dominio, tiene que hacer lo siguiente:
Para obtener más información sobre los detalles de cada paso, siga los hipervínculos.
Para configurar la integración de SAML con AD FS, siga los pasos que se indican a continuación:
Todos los pasos posteriores deben repetirse después de cualquier cambio en los valores de Adobe Admin Console para un dominio dado.
Vaya dentro de la aplicación de administración de AD FS a AD FS -> Relaciones de confianza -> Relación de confianza para usuario autenticado y haga clic en Añadir relación de confianza para usuario autenticado para iniciar el asistente.
Asigne un nombre a la relación de confianza para usuario autenticado e introduzca las notas adicionales que sean necesarias.
Haga clic en Siguiente.
Determine si se requiere autenticación multifactor y seleccione la opción correspondiente.
Haga clic en Siguiente.
Determine si todos los usuarios pueden iniciar sesión a través de AD FS.
Haga clic en Siguiente.
Revise los ajustes.
Haga clic en Siguiente.
Se ha agregado su relación de confianza para usuario autenticado.
Deje la opción marcada para abrir el cuadro de diálogo Editar reglas de reivindicación para acceder rápidamente a los siguientes pasos.
Haga clic en Cerrar.
Si el asistente Editar reglas de reivindicación no se abre automáticamente, puede acceder a él desde la aplicación de administración de AD FS en AD FS -> Relaciones de confianza -> Relación de confianza para usuario autenticado, seleccionando su relación de confianza para usuario autenticado de SSO de Adobe y haciendo clic en Editar reglas de reivindicación... en el lado derecho.
Haga clic en Añadir regla y configure una regla con la plantilla Enviar atributos LDAP como reivindicaciones para el almacén de atributos, asignando las direcciones de correo electrónico del atributo LDAP a la dirección de correo electrónico de tipo de reivindicación de salida.
Como se muestra en la captura de pantalla anterior, sugerimos usar la dirección de correo electrónico como identificador principal. También puede utilizar el campo Nombre principal de usuario (UPN) como el atributo LDAP enviado en una aserción como la dirección de correo electrónico. Sin embargo, no recomendamos esto para configurar la regla de reivindicación.
A menudo, el UPN no se asignará a una dirección de correo electrónico y, en muchos casos, será diferente. Es muy probable que esto cause problemas en las notificaciones y el uso compartido de activos dentro de Creative Cloud.
Haga clic en Finalizar para completar la adición de la regla de reivindicación de transformación.
De nuevo, con el asistente para Editar reglas de reivindicación, añada una regla con la plantilla Transformar una reivindicación de entrada para convertir las reivindicaciones entrantes del tipo Dirección de correo electrónico con el tipo de reivindicación de salida ID de nombre y el formato ID de nombre de salida como Correo electrónico, pasando por todos los valores de reivindicación.
Haga clic en Finalizar para terminar de añadir la regla de reivindicación de transformación.
Con el asistente para Editar reglas de reivindicación, añada una regla con la plantilla Enviar reivindicaciones con una regla personalizada que incluya la siguiente regla:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Haga clic en Finalizar para completar el asistente de reglas personalizadas.
Haga clic en OK en el cuadro de diálogo Editar reglas de reivindicación para completar la adición de estas tres reglas a su relación de confianza para usuario autenticado.
El orden de las reglas de reclamación es importante; deben aparecer como se muestra aquí.
Para evitar problemas de conectividad entre sistemas en los que el reloj difiere un poco, establezca la desviación de hora predeterminada en 2 minutos. Para obtener más información sobre la desviación de hora, consulte el documento de solución de problemas.
Abra la aplicación de administración de AD FS en su servidor y dentro de la carpeta AD FS > Servicio > Terminales, seleccione Metadatos de federación.
Utilice un explorador para navegar hasta la URL proporcionada con los metadatos de federación y descargue el archivo. Por ejemplo, https://<el nombre de host de AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Para actualizar el certificado más reciente, vuelva a la ventana de Adobe Admin Console: cargue el archivo de metadatos descargado de AD FS, en la pantalla Agregar perfil SAML y haga clic en Hecho.
Una vez que haya configurado su directorio, haga lo siguiente para permitir que los usuarios de su organización usen aplicaciones y servicios de Adobe:
Para obtener más información sobre otras herramientas y técnicas relacionadas con la identidad, consulte Configurar identidad.
Cree un usuario de prueba con el directorio activo. Cree una entrada en Admin Console para este usuario y asígnele una licencia. A continuación, pruebe el inicio de sesión en Adobe.com para confirmar que el software correspondiente aparece en la lista de descarga.
También puede realizar la prueba iniciando sesión en Creative Cloud Desktop y desde una aplicación como Photoshop o Illustrator.
Si tiene problemas, consulte nuestro documento de solución de problemas. Si sigue necesitando ayuda con la configuración del inicio de sesión único, vaya a Asistencia técnica en Adobe Admin Console y abra una incidencia con Asistencia al cliente.
