Dotyczy przedsiębiorstw.
W tym dokumencie przedstawiono proces konfigurowania serwera Microsoft AD FS w serwisie Adobe Admin Console.
Usługa IdP nie musi być dostępna spoza sieci korporacyjnej, jednak w takim przypadku tylko stacje robocze z sieci korporacyjnej (lub połączone z nią przez sieć VPN) będą mieć możliwość aktywowania licencji lub zalogowania się po wygaśnięciu sesji.
Instrukcje i ilustracje ekranów w tym dokumencie dotyczą wersji AD FS 3.0, ale opcje menu w wersji AD FS 2.0 są takie same.
Zanim będzie można utworzyć katalog na potrzeby logowania SSO z użyciem Microsoft AD FS jako usługi IdP, muszą zostać spełnione następujące wymagania:
Aby skonfigurować logowanie SSO w swojej domenie, należy wykonać następujące czynności:
Kliknij hiperłącza, aby wyświetlić dodatkowe informacje dotyczące poszczególnych etapów.
Aby skonfigurować integrację z usługą AD FS z użyciem protokołu SAML, wykonaj następujące kroki:
Wszystkie poniższe kroki trzeba powtórzyć po każdej zmianie wartości podanych w serwisie Adobe Admin Console dla określonej domeny.
W aplikacji Zarządzanie programem AD FS otwórz ekran AD FS -> Relacje zaufania -> Zaufania strony uzależnionej i kliknij opcję Dodaj zaufanie jednostki uzależnionej, aby uruchomić kreator.
Nadaj nazwę relacji zaufania strony uzależnionej i w razie potrzeby dodaj notatki.
Kliknij przycisk Dalej.
Określ, czy wymagane jest uwierzytelnianie wieloskładnikowe i wybierz odpowiednią opcję.
Kliknij przycisk Dalej.
Sprawdź, czy wszyscy użytkownicy mogą logować się za pośrednictwem usług AD FS.
Kliknij przycisk Dalej.
Przejrzyj wprowadzone ustawienia.
Kliknij przycisk Dalej.
Relacja zaufania strony uzależnionej została dodana.
Nie usuwaj zaznaczenia tej opcji, aby ułatwić sobie szybkie otwarcie okna dialogowego Edytuj reguły dotyczące oświadczeń, które będzie potrzebne na kolejnych etapach tej procedury.
Kliknij przycisk Zamknij.
Jeśli kreator Edytuj reguły dotyczące oświadczeń nie został otwarty automatycznie, można go otworzyć z aplikacji Zarządzanie usługami AD FS, wybierając polecenia AD FS -> Relacje zaufania -> Zaufania strony uzależnionej, wybierając Adobe SSO jako relację zaufania i klikając opcję Edytuj reguły dotyczące oświadczeń... po prawej stronie.
Kliknij opcję Dodaj regułę i skonfiguruj regułę, używając jako magazynu atrybutów szablonu Wysyłaj atrybuty LDAP jako oświadczenia. Utwórz odwzorowanie między atrybutem LDAP „E-Mail-Addresses” a opcją Typ oświadczenia wychodzącego: Adres e-mail.
Adobe sugeruje użycie adresu e-mail jako podstawowego identyfikatora, jak to przedstawiono na powyższym zrzucie ekranu. Można również użyć pola UPN (Główna nazwa użytkownika) jako atrybutu LDAP wysyłanego w asercji jako adres e-mail. Adobe nie zaleca jednak takiej konfiguracji reguł oświadczeń.
Nazwa UPN często nie jest mapowana na adres e-mail i w wielu przypadkach będzie się od niego różnić. Z dużym prawdopodobieństwem doprowadzi to do problemów z powiadomieniami i udostępnianiem zasobów w ramach usługi Creative Cloud.
Kliknij przycisk Zakończ, aby zakończyć dodawanie reguły przekształcania dotyczącej oświadczeń.
W kreatorze Edytuj reguły dotyczące oświadczeń dodaj regułę z użyciem szablonu.Przekształcaj oświadczenie przychodzące w celu przekształcania oświadczeń przychodzących typu „E-Mail Address” na oświadczenia wychodzące typu Identyfikator nazwy z formatem identyfikatora nazwy wychodzącej „Email”, z przekazaniem wszystkich wartości oświadczenia.
Kliknij przycisk Zakończ, aby zakończyć dodawanie reguły przekształcania dotyczącej oświadczeń.
W kreatorze Edytuj reguły dotyczące oświadczeń dodaj następującą regułę z użyciem szablonu Wysyłaj oświadczenia przy użyciu reguły niestandardowej:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Kliknij przycisk Zakończ, aby zakończyć pracę kreatora reguł niestandardowych.
Kliknij przycisk OK w oknie dialogowym Edytuj reguły dotyczące oświadczeń, aby zakończyć dodawanie tych trzech reguł do relacji zaufania strony uzależnionej.
Istotna jest kolejność reguł dotyczących oświadczeń — muszą one znajdować się w przedstawionym tutaj porządku.
Aby uniknąć problemów z łącznością między systemami, w których występują nieznaczne różnice wskazań zegara, ustaw domyślne opóźnienie na 2 minuty. Więcej informacji o opcjach opóźnienia podano w tym dokumencie dotyczącym rozwiązywania problemów.
Otwórz aplikację Zarządzanie programem AD FS na serwerze. W folderze AD FS > Usługa > Punkty końcowe wybierz opcję Metadane federacji.
Użyj przeglądarki, aby przejść do adresu URL podanego w metadanych federacji i pobrać plik. Na przykład: https://<nazwa używanego hosta AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Aby przesłać zaktualizowany certyfikat, wróć do serwisu Adobe Admin Console. Na ekranie Dodaj profil SAML prześlij plik metadanych pobrany z programu AD FS i kliknij przycisk Gotowe.
Po skonfigurowaniu katalogu wykonaj następujące czynności, aby umożliwić użytkownikom w organizacji korzystanie z aplikacji i usług Adobe:
Więcej informacji o innych narzędziach i technikach związanych z identyfikatorami podano w artykule Konfigurowanie identyfikatorów.
Utwórz użytkownika testowego w usłudze Active Directory. Utwórz dla tego użytkownika wpis w serwisie Admin Console i przypisz mu licencję. Następnie zaloguj się testowo w serwisie Adobe.com i sprawdź, czy odpowiednie oprogramowanie jest widoczne jako dostępne do pobrania.
Można to również przetestować, logując się do programu Creative Cloud Desktop albo korzystając z aplikacji takiej jak Photoshop lub Illustrator.
Jeśli wystąpią problemy, zapoznaj się z dokumentacją dotyczącą ich rozwiązywania. Jeśli potrzebna jest dalsza pomoc w konfigurowaniu logowania SSO, przejdź do sekcji Pomoc techniczna w serwisie Adobe Admin Console i utwórz zgłoszenie pomocy.
