Open de applicatie Beheer van AD FS op de server en selecteer Federatieve metagegevens in de map AD FS > Service > Eindpunten.
Laatst bijgewerkt op
16 dec. 2024
Los veelvoorkomende authenticatiefouten op, verifieer configuraties en corrigeer inlogproblemen met betrekking tot Federated ID (SSO) in Adobe-producten. Ontvang tips om SAML-fouten, certificaatproblemen en andere authenticatieproblemen op te lossen.
Nadat je SSO hebt geconfigureerd in Adobe Admin Console, selecteer je Adobe Metadata-bestand downloaden en sla je het SAML XML Metadata-bestand op je computer op. Je identiteitsprovider heeft dit bestand nodig om eenmalige aanmelding mogelijk te maken. Importeer de XML-configuratiegegevens correct in je identiteitsprovider (IdP). Dit is vereist voor SAML-integratie met je IdP en zorgt ervoor dat de gegevens correct zijn geconfigureerd.
Als je vragen hebt over het gebruik van het SAML XML Metadata-bestand om je IdP te configureren, neem dan rechtstreeks contact op met je IdP voor instructies, aangezien deze per IdP verschillen.
Notitie
Raadpleeg de volgende artikelen als je organisatie SSO heeft ingesteld via Google Federation of Microsoft Azure Sync:
Eenvoudige probleemoplossing
Problemen met eenmalige aanmelding worden vaak veroorzaakt door basale fouten die gemakkelijk over het hoofd worden gezien. Controleer in het bijzonder het volgende:
- De gebruiker is toegewezen aan een productprofiel met een gebruiksrecht.
- De gebruikersnaam die naar SAML wordt verzonden komt overeen met de gebruikersnaam in het enterprise dashboard.
- Controleer alle vermeldingen in de Admin Console en bij je identiteitsprovider op spel- of syntaxisfouten.
- De Creative Cloud desktop-app is bijgewerkt naar de nieuwste versie.
- De gebruiker meldt zich aan op de juiste plek (Creative Cloud desktop-app, een Creative Cloud-applicatie of Adobe.com)
Oplossingen voor andere veel voorkomende fouten
Fout: 'Er is een fout opgetreden' met de knop 'Opnieuw proberen'
Deze fout treedt meestal op nadat gebruikersauthenticatie is geslaagd en Okta de authenticatierespons naar Adobe heeft doorgestuurd.
Controleer het volgende in de Adobe Admin Console:
Op het tabblad Identiteit:
- Zorg ervoor dat het bijbehorende domein is geactiveerd.
Op het tabblad Producten:
- Zorg ervoor dat de gebruiker is gekoppeld aan de juiste bijnaam van het product en aan het geclaimde domein is gekoppeld als Federated ID.
- Zorg ervoor dat de juiste rechten zijn toegewezen aan de bijnaam van het product.
Op het tabblad Gebruikers:
- Zorg ervoor dat de gebruikersnaam van de gebruiker de vorm heeft van een volledig e-mailadres.
Fout: 'Toegang geweigerd' tijdens het aanmelden
Mogelijke oorzaken van deze fout:
- De gebruikersnaam of het e-mailadres in de SAML-bewering komt niet overeen met de informatie die is ingevoerd in Admin Console.
- De gebruiker is niet aan het juiste product gekoppeld of het product is niet aan het juiste recht gekoppeld.
- De SAML-gebruikersnaam is geen e-mailadres. Alle gebruikers moeten zich bevinden in het domein dat je tijdens de configuratie hebt geclaimd.
- Je SSO-client gebruikt JavaScript als onderdeel van het aanmeldingsproces en je probeert je aan te melden bij een client die geen JavaScript ondersteunt.
Hoe je dit kunt oplossen:
- Controleer de gebruikersnaam en e-mail in Adobe Admin Console en stem deze af op de NameID- en Email-kenmerken in de SAML-logs.
- Controleer de dashboardconfiguratie voor de gebruiker: gebruikersgegevens en productprofiel.
- Voer een SAML-trace uit en controleer of de gegevens die worden verzonden overeenkomen met het dashboard. Corrigeer vervolgens eventuele inconsistenties.
Fout: 'Er is al een andere gebruiker aangemeld'
De fout 'Er is al een andere gebruiker aangemeld' treedt op wanneer de kenmerken die in de SAML-bevestiging worden verzonden, niet overeenkomen met het e-mailadres dat is gebruikt om het inlogproces te starten.
Voer een SAML trace uit en zorg ervoor dat het e-mailadres van de gebruiker voor aanmelding overeenkomt met het volgende:
- Het e-mailadres van de gebruiker in de Admin Console
- De gebruikersnaam van de gebruiker die wordt doorgegeven aan het veld NameID van de SAML-bevestiging
Fout: 'De uitgever in het SAML-antwoord komt niet overeen met de uitgever die is geconfigureerd voor de identiteitsprovider'
De IdP-uitgever in de SAML-bevestiging verschilt van wat is geconfigureerd in de inkomende SAML. Let op typfouten (zoals http versus https). Wanneer je de tekenreeks voor de IdP-uitgever controleert in het SAML-systeem van de klant, zoek je naar een EXACTE overeenkomst met de opgegeven tekenreeks. Dit probleem doet zich soms voor omdat er aan het einde een schuine streep ontbreekt.
Als je hulp nodig hebt bij deze fout, verstrek je een SAML-trace en de waarden die je in het Adobe-dashboard hebt ingevoerd.
Fout: 'De digitale handtekening in het SAML-antwoord is niet gevalideerd met het certificaat van de identiteitsprovider'
Dit probleem treedt op wanneer het certificaat van je directory is verlopen. Als je het certificaat wilt bijwerken, moet je het certificaat of de metagegevens downloaden van de identiteitsprovider en deze uploaden naar de Adobe Admin Console.
Volg bijvoorbeeld de onderstaande stappen als je IdP Microsoft AD FS is:
Navigeer in een browser naar de URL die is opgegeven voor Federatieve metagegevens en download het bestand. Bijvoorbeeld https://<je AD FS-hostnaam>/FederationMetadata/2007-06/FederationMetadata.xml.
Notitie
Accepteer eventuele waarschuwingen die worden weergegeven.
Ga op het tabblad Instellingen van de Admin Console naar Identiteitsinstellingen > Directory's. Selecteer de directory die je wilt bijwerken en klik op Configureren op de kaart SAML-provider.
Upload vervolgens het IdP-metagegevensbestand en kies Opslaan.
Fout: 'De huidige tijd ligt vóór het tijdsbereik dat is opgegeven in de voorwaarden van de bevestiging'
Op Windows gebaseerde IdP-server:
- Zorg ervoor dat de systeemklok is gesynchroniseerd met een nauwkeurige timeserver.
Controleer de nauwkeurigheid van de systeemklok tegen je tijdserver met deze opdracht; de waarde "Phase Offset" moet een kleine fractie van een seconde zijn:
w32tm /query /status /verbose
Je kunt een onmiddellijke resynchronisatie van de systeemklok met de tijdserver veroorzaken met de volgende opdracht:
w32tm /resync
Als de systeemklok correct is ingesteld en je nog steeds bovenstaande fout ziet, moet je mogelijk de time-skew-instelling aanpassen om de tolerantie voor klokverschillen tussen server en client te verhogen. - Vergroot het toegestane verschil in systeemklok tussen servers.
Stel vanuit een PowerShell-venster met beheerrechten de toegestane skew-waarde in op twee minuten.Controleer of je kunt inloggen en verhoog of verlaag de waarde afhankelijk van het resultaat.
Bepaal de huidige time-skew-instelling voor de relevante Relying Party Trust met de volgende opdracht:
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
De Relying Party Trust wordt geïdentificeerd door de URL die wordt weergegeven in het veld "Identifier" van de uitvoer van de vorige opdracht voor die specifieke configuratie.Deze URL wordt ook weergegeven in het ADFS Management-hulpprogramma in het eigenschappenvenster voor de relevante Relying Party Trust op het tabblad "Identifiers" in het veld "Relying Party Trusts", zoals weergegeven in de onderstaande screenshot.
Stel de time skew in op twee minuten met de volgende opdracht, waarbij je het Identifier-adres dienovereenkomstig vervangt:
Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2
Op UNIX gebaseerde IdP-server
Zorg ervoor dat de systeemklok correct is ingesteld met de ntpd-service of handmatig met de ntpdate-opdracht vanuit een root shell of met sudo, zoals hieronder weergegeven (let op: als de tijd meer dan 0,5 seconden afwijkt, gebeurt de wijziging niet onmiddellijk, maar wordt de systeemklok langzaam gecorrigeerd).Controleer of de tijdzone ook correct is ingesteld.
# ntpdate -u pool.ntp.org
Notitie
Dit werkt met identiteitsproviders zoals Shibboleth.
Fout: 401 ongeautoriseerde referenties
Deze fout treedt op wanneer de applicatie geen federatieve login ondersteunt en de gebruiker moet zijn aangemeld met een Adobe ID. FrameMaker, RoboHelp en Adobe Captivate zijn voorbeelden van applicaties met deze vereiste.
Fout: 'Inkomende SAML-login mislukt met bericht: De SAML-reactie bevat geen bevestigingen'
Controleer de aanmeldingsworkflow. Als je toegang hebt tot de aanmeldingspagina op een andere computer of in een ander netwerk, maar niet intern, kan een agenttekenreeks de toegang mogelijk blokkeren. Voer een SAML-trace uit en controleer of het SAML-onderwerp de voornaam, achternaam en gebruikersnaam als een correct ingedeeld e-mailadres bevat.
Controleer of de juiste SAML-bevestiging wordt verzonden:
- Het onderwerp bevat het element NameID niet. Controleer of het element Subject het element NameId bevat. Het moet overeenkomen met het e-mailkenmerk, wat het e-mailadres van de gebruiker die je wilt verifiëren moet zijn.
- Spelfouten, met name fouten die gemakkelijk over het hoofd worden gezien, zoals https vs http.
- Controleer of het juiste certificaat is verstrekt. IDP's moeten worden geconfigureerd om ongecomprimeerde SAML-verzoeken en -reacties te gebruiken.
Een hulpprogramma zoals SAML tracer voor Firefox kan helpen bij het uitpakken van de assertie en deze weergeven voor inspectie.Als je hulp nodig hebt van Adobe Klantenservice, word je gevraagd om dit bestand.Zie Een SAML-trace uitvoeren voor meer informatie.
Dit werkende SAML-voorbeeld kan helpen bij het correct formatteren van je SAML-bewering:
Met Microsoft ADFS
Zorg ervoor dat elk Active Directory-account een e-mailadres heeft vermeld in Active Directory om succesvol in te loggen (gebeurtenislog: De SAML-respons heeft geen NameId in de assertion).
Ga naar Admin Console en selecteer het tabblad Identity en het domein.
Selecteer Configuratie bewerken en zoek IDP-binding.Schakel over naar HTTP-POST en sla op.
Test de aanmeldingservaring opnieuw.
Als het werkt maar je liever de vorige instelling hebt, schakel dan terug naar HTTP-REDIRECT en upload de metadata opnieuw naar ADFS.
Met andere IdP's
Fout 400 betekent dat je IdP de geslaagde login heeft afgewezen.
Controleer je IdP-logs voor de bron van de fout en los het probleem op voordat je het opnieuw probeert.
Fout: '403 defect certificaat'
Werk het certificaat bij in Google Console onder de Adobe SAML-app en upload de metadatabestanden opnieuw in Adobe Admin Console.
Fout: '403 app_not_configured_for_user'
Werk de entiteits-ID bij in de Google-console. Exporteer vervolgens het metadatabestand en upload het naar Adobe Admin Console.
Fout: 'Je hebt hier nu geen toegang toe' of 'Je kunt er vanaf hier niet komen'
Deze fout treedt meestal op wanneer de organisatie het voorwaardelijke beleid 'Access in IdP' heeft ingeschakeld.
Als je beheerde pakketten gebruikt om producten te implementeren, maak dan een beheerd pakket via Adobe Admin Console door de browsergebaseerde authenticatieoptie te selecteren. Implementeer dit vervolgens op het apparaat van de gebruiker.
Zo niet, dan kunnen gebruikers de Creative Cloud desktop-app openen en Aanmelden met je browser selecteren in het Help-menu.
Fout: 'App niet toegewezen'
In dit geval moet de beheerder de gebruikers toevoegen aan de Adobe SAML-app die op hun IdP is gemaakt. Leer een Adobe SAML-app maken op de Google Admin-console of de Microsoft Azure Portal.
Fout: 'Je hebt geen toegang tot deze service.' Neem contact op met je IT-beheerder om toegang te krijgen of meld je aan met een Adobe ID.'
Controleer de SAML logboekgegevens, aangezien de gebruikersnaam of het e-mailadres dat wordt verzonden in de SAML-bevestiging, niet overeenkomt met de gegevens die zijn ingevoerd in de Admin Console.
