Podręcznik użytkownika Anuluj

Rozwiązywanie problemów: Brak możliwości zalogowania się do produktów, usług lub aplikacji mobilnych Adobe za pomocą identyfikatora Federated ID (SSO)

Szukaj

Ostatnia aktualizacja Oct 27, 2021 12:22:11 AM GMT

Plany Adobe dla przedsiębiorstw i zespołów: Przewodnik administratora
Planowanie wdrożenia
1. Podstawowe pojęcia
2. Przewodniki wdrożeniowe
3. Wdrażanie programu Creative Cloud dla sektora edukacji
Konfigurowanie organizacji
1. Typy identyfikatorów | Omówienie
2. Konfigurowanie identyfikatorów | Omówienie
3. Konfigurowanie organizacji przy użyciu identyfikatorów Enterprise ID
4. Konfigurowanie usługi federacyjnej Azure AD i przeprowadzanie synchronizacji
5. Konfigurowanie usługi federacji Google i przeprowadzanie synchronizacji
6. Konfigurowanie organizacji za pomocą Microsoft ADFS
7. Konfigurowanie organizacji na potrzeby portali szkolnych i systemów LMS
8. Konfigurowanie organizacji na potrzeby innych usług IdP
9. Często zadawane pytania i rozwiązywanie problemów dotyczących logowania SSO
Zarządzanie konfiguracją organizacji
Zarządzanie produktami i uprawnieniami
1. Zarządzaj użytkownikami
2. Zarządzanie produktami i profilami produktowymi
3. Zarządzanie licencjami urządzeń współużytkowanych
Zarządzanie przestrzenią dyskową i zasobami
1. Przestrzeń dyskowa
2. Migracja zasobów
3. Odzyskiwanie zasobów użytkownika
4. Migracja zasobów z konta szkolnego | Tylko dla sektora edukacji
  1. Automatyczna migracja zasobów z konta szkolnego
  2. Przenoszenie własnych zasobów
Zarządzanie usługami
1. Adobe Stock
2. Czcionki niestandardowe
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud dla przedsiębiorstw — bezpłatne konto
  1. Omówienie
  2. Pierwsze kroki
Wdrażanie aplikacji i aktualizacji
1. Omówienie
2. Tworzenie pakietów
3. Dostosowywanie pakietów
  1. Dostosowywanie programu Creative Cloud Desktop
  2. Dodawanie rozszerzeń do pakietu
4. Wdrażanie pakietów
5. Zarządzanie aktualizacjami
  1. Zarządzanie zmianami — informacje dla klientów Adobe korzystających z planów dla przedsiębiorstw i dla zespołów
  2. Wdrażanie aktualizacji
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
8. Rozwiązywanie problemów
9. Tworzenie pakietów za pomocą Creative Cloud Packager (CC 2018 lub starsze aplikacje)
Zarządzanie kontem
Raporty i dzienniki
Uzyskaj pomoc

Uwaga:

Ten artykuł nie ma zastosowania w przypadku logowania SSO skonfigurowanego z użyciem usług federacji Google lub Microsoft Azure Sync.

Jeśli Twoja organizacja skonfigurowała logowanie SSO z użyciem jednej z następujących usług IdP, zapoznaj się z następującymi artykułami:

Omówienie

Pamiętaj, aby po pomyślnym skonfigurowaniu logowania SSO w serwisie Adobe Admin Console kliknąć opcję Pobierz plik metadanych Adobe i zapisać ten plik XML z metadanymi usługi SAML na swoim komputerze. Plik ten trzeba przekazać do usługi IdP używanej przez przedsiębiorstwo, aby umożliwić włączenie logowania SSO. Te dane konfiguracyjne XML należy prawidłowo zaimportować do usługi IdP. Jest to konieczne w celu integracji rozwiązania SAML z usługą IdP i zapewnienia poprawności konfiguracji danych.

Jeśli masz pytania dotyczące sposobu korzystania z pliku XML z metadanymi SAML w celu konfigurowania usługi IdP, skontaktuj się bezpośrednio z operatorem tej usługi, aby uzyskać instrukcje — będą one różne w przypadku różnych usług IdP.

Podstawowa procedura rozwiązywania problemów

Problemy z logowaniem SSO wynikają często z podstawowych błędów, które łatwo przeoczyć. Sprawdź zwłaszcza następujące kwestie:

Użytkownik musi być przypisany do profilu produktowego z odpowiednim uprawnieniem.
Nazwa użytkownika wysyłana do usługi SAML musi być zgodna z nazwą użytkownika w konsoli przedsiębiorstwa.
Sprawdź wszystkie wpisy w serwisie Admin Console i usłudze IdP pod kątem błędów pisowni lub składni.
Program Creative Cloud Desktop musi być uaktualniony do najnowszej wersji.
Użytkownik musi logować się w odpowiednim miejscu (program Creative Cloud Desktop, aplikacja Creative Cloud lub serwis Adobe.com)

Błąd o treści: „Wystąpił błąd” z przyciskiem „Spróbuj ponownie”

Ten błąd występuje zwykle po prawidłowym uwierzytelnieniu użytkownika i pomyślnym przesłaniu przez usługę Okta odpowiedzi uwierzytelniającej do Adobe.

Sprawdź następujące elementy w serwisie Adobe Admin Console:

Na karcie Tożsamość:

Sprawdź, czy aktywowano odpowiednią domenę.

Na karcie Produkty:

Sprawdź, czy użytkownik jest powiązany z poprawnym pseudonimem produktu i znajduje się w domenie, którą przypisano na potrzeby konfiguracji identyfikatorów Federated ID.
Sprawdź, czy do pseudonimu produktu przypisano prawidłowe uprawnienia.

Na karcie Użytkownicy:

Sprawdź, czy nazwa użytkownika ma postać pełnego adresu e-mail.

Błąd podczas logowania: „Odmowa dostępu”

Możliwe przyczyny tego błędu:

Imię i nazwisko lub adres e-mail wysyłane w potwierdzeniu SAML nie są zgodne z informacjami wprowadzonymi w serwisie Admin Console.
Użytkownik nie został powiązany z odpowiednim produktem lub produkt nie został powiązany z prawidłowym uprawnieniem.
Nazwa użytkownika w kodzie SAML nie jest adresem e-mail. Wszyscy użytkownicy muszą należeć do domeny, którą przypisano w ramach procesu konfiguracji.
Klient logowania SSO używa języka JavaScript w ramach procesu logowania, a użytkownik próbuje zalogować się do klienta, który nie obsługuje tego języka (np. Creative Cloud Packager).

Jak rozwiązać ten problem:

Sprawdź konfigurację użytkownika w konsoli: dane użytkownika i profil produktowy.
Uruchom śledzenie SAML i sprawdź, czy wysyłane informacje są zgodne z informacjami w konsoli, a następnie popraw wszelkie niespójności.

Błąd „Obecnie jest zalogowany inny użytkownik”

Taki błąd występuje wtedy, gdy atrybuty wysłane w asercji SAML nie są zgodne z adresem e-mail użytym do rozpoczęcia procesu logowania.

Sprawdź, czy adres e-mail użytkownika używany podczas logowania jest zgodny z:

adresem e-mail użytkownika podanym w serwisie Admin Console;
nazwą konta użytkownika zwracaną w polu NameID asercji SAML.

Błąd „Wystawca w odpowiedzi SAML nie jest zgodny z wystawcą skonfigurowanym w usłudze IdP”

Wystawca IdP w asercji SAML różni się od wystawcy skonfigurowanego w przychodzącym komunikacie SAML. Przejrzyj dane w poszukiwaniu literówek (takich jak http/https). Porównując łańcuch wystawcy IdP z systemem SAML klienta, trzeba znaleźć dane IDENTYCZNE z podanymi przez tego klienta informacjami. Czasami problem ten występuje, ponieważ na końcu łańcucha brakuje ukośnika.

Jeśli potrzebna jest pomoc w związku z tym błędem, prześlij dane ze śledzenia SAML oraz wartości wprowadzone w konsoli Adobe.

Błąd „Podpis cyfrowy w odpowiedzi SAML nie został zweryfikowany za pomocą certyfikatu usługi IdP”

Ten problem występuje, gdy certyfikat katalogu wygasł. Aby go zaktualizować, należy pobrać ten certyfikat lub metadane z usługi IdP i przesłać je do serwisu Adobe Admin Console.

Przykład: Jeśli używasz rozwiązania Microsoft AD FS jako usługi IdP, wykonaj następujące czynności:

Otwórz aplikację Zarządzanie programem AD FS na serwerze. W folderze AD FS > Usługa > Punkty końcowe wybierz opcję Metadane federacji.
Użyj przeglądarki, aby przejść do adresu URL podanego w metadanych federacji i pobrać plik. Na przykład: https://<nazwa używanego hosta AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.

Uwaga:

Jeśli zostaną wyświetlone ostrzeżenia, zaakceptuj je.
Zaloguj się do serwisu Adobe Admin Console i przejdź do sekcji Ustawienia > Identyfikatory > Katalogi. Wybierz katalog, który chcesz uaktualnić, i kliknij opcję Konfiguruj na karcie Dostawca SAML.

Następnie prześlij plik metadanych usługi IdP i kliknij przycisk Zapisz.

Błąd „Bieżąca godzina jest wcześniejsza niż przedział czasu określony w warunkach asercji”

Serwer IdP oparty na systemie Windows:

1. Sprawdź, czy zegar systemowy jest zsynchronizowany z precyzyjnym serwerem czasu.

Sprawdź, czy zegar systemowy dokładnie zgadza się z godziną na serwerze czasu, używając następującego polecenia; przesunięcie fazy nie powinno być większe niż mały ułamek sekundy:

w32tm /query /status /verbose

Natychmiastową resynchronizację zegara systemowego z serwerem czasu można wymusić za pomocą następującego polecenia:

w32tm /resync

Jeśli zegar systemowy jest ustawiony prawidłowo, jednak powyższy błąd nadal występuje, może być konieczne dostosowanie opcji przesunięcia czasu, tak aby zwiększyć tolerancję różnicy między wskazaniami zegara na serwerze i na kliencie.

2. Zwiększ dozwoloną różnicę zegara systemowego między serwerami.

Otwórz okno programu PowerShell z uprawnieniami administratora i ustaw dozwoloną wartość opóźnienia na 2 minuty. Sprawdź, czy możesz się zalogować, a następnie zwiększ lub zmniejsz wprowadzoną wartość w zależności od rezultatu.

Określ bieżącą wartość opóźnienia odpowiedniej relacji zaufania strony uzależnionej za pomocą następującego polecenia:

Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew

Relacja zaufania strony uzależnionej w danej konfiguracji jest identyfikowana przez adres URL wyświetlany w polu „Identyfikator” w danych wyjściowych wygenerowanych przez uruchomienie poprzedniego polecenia. Ten adres URL jest również wyświetlany w narzędziu Zarządzanie programem ADFS, w oknie właściwości odpowiedniej relacji zaufania strony uzależnionej — w polu „Zaufania strony uzależnionej” na karcie „Identyfikatory”, tak jak na poniższym zrzucie ekranu.

Ustaw opóźnienie na 2 minuty za pomocą następującego polecenia, odpowiednio zastępując adres identyfikatora:

Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2

Serwer IdP oparty na systemie UNIX

Sprawdź, czy zegar systemowy jest poprawnie ustawiony za pomocą usługi ntpd lub ręcznie, używając polecenia ntpdate z powłoki głównej albo polecenia sudo (zob. poniżej). Uwaga: Jeśli czas zostanie przesunięty o więcej niż 0,5 sekundy, zmiana nie nastąpi natychmiast — zegar systemowy będzie korygowany stopniowo. Sprawdź, czy prawidłowo ustawiono także strefę czasową.

# ntpdate -u pool.ntp.org

Uwaga:

To rozwiązanie można zastosować w przypadku takich usług IdP, jak Shibboleth.

Błąd 401: Brak autoryzacji danych logowania

Ten błąd występuje wtedy, gdy aplikacja nie obsługuje logowania federacyjnego i trzeba się do niej logować za pomocą kont Adobe ID. Przykłady takich aplikacji to: FrameMaker, RoboHelp i Adobe Captivate.

Błąd „Niepowodzenie przychodzącego żądania logowania SAML z następującym komunikatem: Odpowiedź SAML nie zawierała żadnych asercji”

Sprawdź obieg pracy logowania. Jeśli dostęp do strony logowania jest możliwy na innym komputerze lub w sieci, ale nie w systemach wewnętrznych, problem może dotyczyć łańcucha block agent. Ponadto uruchom śledzenie SAML i sprawdź, czy w temacie SAML (element Subject) znajdują się parametry First Name (imię), Last Name (nazwisko) i Username (nazwa konta w postaci prawidłowego adresu e-mail).

Błąd 400: Nieprawidłowe żądanie / Błąd „Status żądania SAML to niepowodzenie” / Niepowodzenie walidacji certyfikatu SAML

Sprawdź, czy jest wysyłana prawidłowa asercja SAML:

Brak elementu NameID w temacie. Sprawdź, czy element Subject (temat) zawiera element NameId. Musi on być taki sam jak atrybut Email, który powinien zawierać adres e-mail uwierzytelnianego użytkownika.
Sprawdź pisownię, szczególnie pod kątem łatwych do przeoczenia błędów, takich jak https zamiast http.
Sprawdź, czy podano prawidłowy certyfikat. Usługi IdP muszą być skonfigurowane do używania nieskompresowanych żądań i odpowiedzi SAML.

Skorzystaj z narzędzi, takich jak SAML Tracer do przeglądarki Firefox, aby rozpakować i przejrzeć asercję. Plik ten będzie potrzebny, jeśli zwrócisz się o pomoc do działu obsługi klienta Adobe. Szczegółowe informacje: Jak przeprowadzić śledzenie SAML.

Poniższy przykład roboczy może pomóc we właściwym sformatowaniu asercji SAML:

Pobierz

Pobierz plik

Przykład roboczy SAML

Microsoft ADFS:

Każde konto z katalogu Active Directory musi mieć zdefiniowany w tym katalogu adres e-mail, bo w przeciwnym razie nie można pomyślnie się zalogować (dziennik zdarzeń: Odpowiedź SAML nie zawiera w asercji elementu NameId). Najpierw sprawdź następujące kwestie.
Otwórz konsolę.
Kliknij kartę Tożsamość i wybierz domenę.
Kliknij opcję Edytuj konfigurację.
Odszukaj opcję Wiązanie IdP. Zmień ją na wartość HTTP-POST, a potem zapisz.
Przetestuj ponownie logowanie.
Jeśli logowanie działa, ale wolisz wrócić do poprzedniego ustawienia, po prostu wybierz wartość HTTP-REDIRECT i ponownie prześlij metadane do programu ADFS.

Inne usługi IdP:

Wystąpienie błędu 400 oznacza, że pomyślne logowanie zostało odrzucone przez usługę IdP.
Przejrzyj dzienniki tej usługi IdP, aby odnaleźć źródło błędu.
Rozwiąż problem i spróbuj ponownie.

Zaloguj się na swoje konto