Información general

1.setup-identity

El documento resalta el proceso para configurar Adobe Admin Console con un servidor Microsoft AD FS.

El proveedor de identidades no tiene que ser accesible desde fuera de la red de la empresa, pero si no lo es, solo las estaciones de trabajo de dentro de la red (o conectadas a través de VPN) podrán llevar a cabo la autenticación para activar una licencia o iniciar sesión tras desactivar la sesión.


Configurar SSO con Microsoft AD FS (Ver: 17 minutos)

Nota:

Las instrucciones y capturas de pantalla de este documento son para AD FS versión 3.0, pero están presentes los mismos menús en AD FS 2.0.

Requisitos previos

Antes de crear un directorio para el inicio de sesión único con Microsoft AD FS, deben cumplirse los siguientes requisitos:

  • Un Microsoft Windows Server instalado con Microsoft AD FS y las últimas actualizaciones del sistema operativo. Si desea que los usuarios utilicen productos de Adobe con macOS, asegúrese de que su servidor admita TLS versión 1.2 y reenvíe el secreto. Para obtener más información sobre AD FS, consulte el documento de identidad y acceso de Microsoft.
  • El servidor debe estar accesible desde las estaciones de trabajo de los usuarios (por ejemplo, a través de HTTPS).
  • Certificado de seguridad obtenido desde el servidor AD FS.
  • Todas las cuentas de Active Directory que se vayan a asociar con una cuenta de Creative Cloud para empresas deben tener una dirección de correo electrónico incluida en Active Directory.

Crear un directorio en Adobe Admin Console

Para configurar el inicio de sesión único para su dominio, tiene que hacer lo siguiente: 

  1. Inicie sesión en Admin Console y empiece por crear un directorio Federated ID, seleccionando Otros proveedores de SAML como proveedor de identidades. Descargue el archivo de metadatos de Adobe en la pantalla Agregar perfil SAML.
  2. Configure AD FS especificando la URL de ACS y el ID de entidad y descargue el archivo de metadatos de IdP.
  3. Regrese a Adobe Admin Console y cargue el archivo de metadatos de IdP en la pantalla Agregar perfil SAML y haga clic en Hecho.

Para obtener más información sobre los detalles de cada paso, siga los hipervínculos.

Configuración del servidor AD FS

Para configurar la integración de SAML con AD FS, siga los pasos que se indican a continuación:

Precaución:

Todos los pasos posteriores deben repetirse después de cualquier cambio en los valores de Adobe Admin Console para un dominio dado.

  1. Vaya dentro de la aplicación de administración de AD FS a AD FS -> Relaciones de confianza -> Relación de confianza para usuario autenticado y haga clic en Añadir relación de confianza para usuario autenticado para iniciar el asistente.

  2. Haga clic en Inicio y seleccione Importar datos de una parte de confianza desde un archivo, luego busque la ubicación en la que se copiaron los metadatos desde Adobe Admin Console.

    08_-_import_metadata
  3. Asigne un nombre a la relación de confianza para usuario autenticado e introduzca las notas adicionales que sean necesarias.

    Haga clic en Siguiente.

    09_-_name_relyingpartytrust
  4. Determine si se requiere autenticación multifactor y seleccione la opción correspondiente.

    Haga clic en Siguiente.

  5. Determine si todos los usuarios pueden iniciar sesión a través de AD FS.

    Haga clic en Siguiente.

  6. Revise los ajustes.

    Haga clic en Siguiente.

  7. Se ha agregado su relación de confianza para usuario autenticado.

    Deje la opción marcada para abrir el cuadro de diálogo Editar reglas de reivindicación para acceder rápidamente a los siguientes pasos.

    Haga clic en Cerrar.

  8. Si el asistente Editar reglas de reivindicación no se abre automáticamente, puede acceder a él desde la aplicación de administración de AD FS en AD FS -> Relaciones de confianza -> Relación de confianza para usuario autenticado, seleccionando su relación de confianza para usuario autenticado de SSO de Adobe y haciendo clic en Editar reglas de reivindicación... en el lado derecho.

  9. Haga clic en Añadir regla y configure una regla con la plantilla Enviar atributos LDAP como reivindicaciones para el almacén de atributos, asignando las direcciones de correo electrónico del atributo LDAP a la dirección de correo electrónico de tipo de reivindicación de salida.

    10_-_add_transformationclaimrule
    11_-_map_ldap_attributestooutgoingclaimtype

    Nota:

    Como se muestra en la captura de pantalla anterior, sugerimos usar la dirección de correo electrónico como identificador principal. También puede utilizar el campo Nombre principal de usuario (UPN) como el atributo LDAP enviado en una aserción como la dirección de correo electrónico. Sin embargo, no recomendamos esto para configurar la regla de reivindicación.

    A menudo, el UPN no se asignará a una dirección de correo electrónico y, en muchos casos, será diferente. Es muy probable que esto cause problemas en las notificaciones y el uso compartido de activos dentro de Creative Cloud.

  10. Haga clic en Finalizar para completar la adición de la regla de reivindicación de transformación.

  11. De nuevo, con el asistente para Editar reglas de reivindicación, añada una regla con la plantilla Transformar una reivindicación de entrada para convertir las reivindicaciones entrantes del tipo Dirección de correo electrónico con el tipo de reivindicación de salida ID de nombre y el formato ID de nombre de salida como Correo electrónico, pasando por todos los valores de reivindicación.

    12_-_transform_anincomingclaim
    13_-_transform_incomingclaim
  12. Haga clic en Finalizar para completar la adición de la regla de reivindicación de transformación.

  13. Con el asistente para Editar reglas de reivindicación, añada una regla con la plantilla Enviar reivindicaciones con una regla personalizada que incluya la siguiente regla:

    c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);

    14_-_add_custom_rule
    15_-_custom_claimrule
  14. Haga clic en Finalizar para completar el asistente de reglas personalizadas.

  15. Haga clic en OK en el cuadro de diálogo Editar reglas de reivindicación para completar la adición de estas tres reglas a su relación de confianza para usuario autenticado.

    16_-_edit_claim_rules

    Nota:

    El orden de las reglas de reclamación es importante; deben aparecer como se muestra aquí.

Para evitar problemas de conectividad entre sistemas en los que el reloj difiere un poco, establezca la desviación de hora predeterminada en 2 minutos. Para obtener más información sobre la desviación de hora, consulte el documento de solución de problemas.

Descargar el archivo de metadatos de AD FS

  1. Abra la aplicación de administración de AD FS en su servidor y dentro de la carpeta AD FS > Servicio > Terminales, seleccione Metadatos de federación.

    Ubicación de metadatos
  2. Utilice un explorador para navegar hasta la URL proporcionada con los metadatos de federación y descargue el archivo. Por ejemplo, https://<su nombrehost de AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.

    Nota:

    • Acepte las advertencias si se le solicita.
    • Para conocer su nombre de host de Microrsoft AD FS en un sistema operativo Windows:
      abra Windows PowerShell > Ejecute como administrador > Escriba Get-AdfsProperties > Pulse Intro > Busque su Nombre de host en la lista detallada.

Cargue el archivo de metadatos IdP en Adobe Admin Console

Para actualizar el certificado más reciente, vuelva a la ventana de Adobe Admin Console: cargue el archivo de metadados descargado de AD FS, en la pantalla Agregar perfil SAML y haga clic en Hecho.

Pasos siguientes: completar la configuración para asignar aplicaciones a los usuarios

Una vez que haya configurado su directorio, haga lo siguiente para permitir que los usuarios de su organización usen aplicaciones y servicios de Adobe:

  1. Añada y configure dominios en Admin Console.
  2. Asocie los dominios con el directorio de AD FS.
  3. (Opcional) Si sus dominios ya están establecidos dentro de Admin Console en otro directorio, transfiéralos directamente al directorio de AD FS recién creado.
  4. Añada perfiles de productos para ajustar el uso de sus planes adquiridos.
  5. Pruebe su configuración de SSO añadiendo un usuario de prueba.
  6. Elija su estrategia y herramientas de gestión de usuarios basándose en sus requisitos. Luego, añada usuarios a Admin Console y asígnelos a perfiles de productos para que los usuarios comiencen con sus aplicaciones de Adobe.

Para obtener más información sobre otras herramientas y técnicas relacionadas con la identidad, consulte Configurar identidad.

Prueba del inicio de sesión único

Cree un usuario de prueba con el directorio activo. Cree una entrada en Admin Console para este usuario y asígnele una licencia. A continuación, pruebe el inicio de sesión en Adobe.com para confirmar que el software correspondiente aparece en la lista de descarga.

También puede realizar la prueba iniciando sesión en Creative Cloud Desktop y desde una aplicación como Photoshop o Illustrator.

Si tiene problemas, consulte nuestro documento de solución de problemas. Si sigue necesitando ayuda con la configuración del inicio de sesión único, vaya a Asistencia técnica en Adobe Admin Console y abra una incidencia con Asistencia al cliente.