Otwórz aplikację Zarządzanie programem AD FS na serwerze. W folderze AD FS > Usługa > Punkty końcowe wybierz opcję Metadane federacji.
Ostatnia aktualizacja
19 sie 2024
- Plany Adobe dla przedsiębiorstw i zespołów: Przewodnik administratora
- Planowanie wdrożenia
- Podstawowe pojęcia
- Przewodniki wdrożeniowe
- Wdrażanie programu Creative Cloud dla sektora edukacji
- Strona główna wdrażania
- Kreator wdrażania dla szkół podstawowych i ponadpodstawowych
- Proste konfigurowanie
- Synchronizowanie użytkowników
- Synchronizowanie list uczniów szkół podstawowych i ponadpodstawowych (USA)
- Najważniejsze koncepcje związane z licencjonowaniem
- Opcje wdrażania
- Szybkie wskazówki
- Zatwierdzanie aplikacji Adobe w konsoli administracyjnej Google
- Aktywowanie aplikacji Adobe Express w rozwiązaniu Google Classroom
- Integracja z Canvas LMS
- Integracja z systemem Blackboard Learn
- Konfigurowanie jednokrotnego logowania na potrzeby portali szkolnych i systemów LMS
- Dodawanie użytkowników za pomocą rozwiązania Roster Sync
- Kivuto — często zadawane pytania
- Wytyczne dotyczące kwalifikacji dla szkół podstawowych i ponadpodstawowych
- Konfigurowanie organizacji
- Typy identyfikatorów | Omówienie
- Konfigurowanie identyfikatorów | Omówienie
- Konfigurowanie organizacji przy użyciu identyfikatorów Enterprise ID
- Konfigurowanie usługi federacyjnej Azure AD i przeprowadzanie synchronizacji
- Konfigurowanie usługi federacji Google i przeprowadzanie synchronizacji
- Konfigurowanie organizacji za pomocą Microsoft ADFS
- Konfigurowanie organizacji na potrzeby portali szkolnych i systemów LMS
- Konfigurowanie organizacji na potrzeby innych usług IdP
- Często zadawane pytania i rozwiązywanie problemów dotyczących logowania SSO
- Zarządzanie konfiguracją organizacji
- Zarządzanie istniejącymi domenami i katalogami
- Włączanie automatycznego tworzenia kont
- Konfigurowanie organizacji z użyciem relacji powierniczych katalogu
- Migracja do nowego dostawcy usługi uwierzytelniania
- Ustawienia zasobów
- Ustawienia uwierzytelniania
- Osoby kontaktowe ds. poufności i bezpieczeństwa
- Ustawienia serwisu Admin Console
- Zarządzanie szyfrowaniem
- Zarządzanie istniejącymi domenami i katalogami
- Zarządzaj użytkownikami
- Omówienie
- Role administracyjne
- Strategie zarządzania użytkownikami
- Przypisywanie licencji użytkownikowi subskrypcji zespołowej
- Zarządzanie użytkownikami bezpośrednio w aplikacji w planach dla zespołów
- Dodawanie użytkowników ze zgodnymi domenami e-mail
- Zmiana typu identyfikatora użytkownika
- Zarządzanie grupami użytkowników
- Zarządzanie kontami użytkowników z katalogu
- Zarządzanie programistami
- Migracja istniejących kont użytkowników do serwisu Adobe Admin Console
- Migracja zarządzania użytkownikami do serwisu Adobe Admin Console
- Omówienie
- Zarządzanie produktami i uprawnieniami
- Zarządzanie produktami i profilami produktowymi
- Zarządzanie produktami
- Nabywanie produktów i licencji
- Zarządzanie profilami produktowymi w przypadku użytkowników korporacyjnych
- Zarządzanie zasadami automatycznego przydziału
- Uprawnianie użytkowników do trenowania niestandardowych modeli Firefly
- Rozpatrywanie próśb o produkt
- Zarządzanie zasadami samoobsługi
- Zarządzanie integracjami aplikacji
- Zarządzanie uprawnieniami produktowymi za pomocą serwisu Admin Console
- Włączanie i wyłączanie usług w ramach profilu produktowego
- Pojedyncza aplikacja | Creative Cloud dla przedsiębiorstw
- Usługi opcjonalne
- Zarządzanie licencjami urządzeń współużytkowanych
- Zarządzanie produktami i profilami produktowymi
- Rozpoczynanie pracy z serwisem Global Admin Console
- Wdrażanie administracji globalnej
- Wybór organizacji
- Zarządzanie hierarchią organizacyjną
- Zarządzanie profilami produktowymi
- Zarządzanie administratorami
- Zarządzanie grupami użytkowników
- Aktualizowanie zasad organizacyjnych
- Zarządzanie szablonami zasad
- Przydzielanie produktów do organizacji podrzędnych
- Realizacja oczekujących zadań
- Przeglądanie statystyk
- Eksportowanie lub importowanie struktury organizacyjnej
- Zarządzanie przestrzenią dyskową i zasobami
- Przestrzeń dyskowa
- Migracja zasobów
- Odzyskiwanie zasobów użytkownika
- Migracja zasobów z konta szkolnego | Tylko dla sektora edukacji
- Zarządzanie usługami
- Adobe Stock
- Czcionki niestandardowe
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud dla przedsiębiorstw — bezpłatne konto
- Wdrażanie aplikacji i aktualizacji
- Omówienie
- Tworzenie pakietów
- Dostosowywanie pakietów
- Wdrażanie pakietów
- Wdrażanie pakietów
- Wdrażanie pakietów Adobe za pomocą rozwiązania Microsoft Intune
- Wdrażanie pakietów Adobe za pomocą narzędzia SCCM
- Wdrażanie pakietów Adobe za pomocą narzędzia ARD
- Instalowanie produktów CC w folderze wyjątków
- Dezinstalacja produktów Creative Cloud
- Korzystanie z narzędzia Adobe Provisioning Toolkit Enterprise Edition
- Wdrażanie pakietów
- Zarządzanie aktualizacjami
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- Rozwiązywanie problemów
- Zarządzanie kontem zespołu
- Odnawianie
- Zarządzanie umowami
- Raporty i dzienniki
- Uzyskaj pomoc
Instrukcje rozwiązywania typowych problemów z uwierzytelnianiem i logowaniem SSO na podstawie identyfikatorów Federated ID (logowaniem SSO) oraz weryfikowania powiązanej konfiguracji w produktach Adobe. Porady pozwalające usunąć błędy SAML, błędy certyfikatów oraz inne problemy z uwierzytelnianiem.
Uwaga:
Jeżeli w organizacji skonfigurowano logowanie jednokrotne (SSO) z użyciem usługi Google Federation lub Microsoft Azure Sync, zapoznaj się z następującymi artykułami:
Omówienie
Pamiętaj, aby po pomyślnym skonfigurowaniu logowania SSO w serwisie Adobe Admin Console wybrać opcję Pobierz plik metadanych Adobe i zapisać ten plik XML z metadanymi usługi SAML na swoim komputerze. Plik ten trzeba przekazać do usługi IdP używanej przez przedsiębiorstwo, aby umożliwić włączenie logowania SSO. Te dane konfiguracyjne XML należy prawidłowo zaimportować do usługi IdP. Jest to konieczne w celu integracji rozwiązania SAML z usługą IdP i zapewnienia poprawności konfiguracji danych.
Jeśli masz pytania dotyczące sposobu korzystania z pliku XML z metadanymi SAML w celu konfigurowania usługi IdP, skontaktuj się bezpośrednio z operatorem tej usługi, aby uzyskać instrukcje — będą one różne w przypadku różnych usług IdP.
Podstawowa procedura rozwiązywania problemów
Problemy z logowaniem SSO wynikają często z podstawowych błędów, które łatwo przeoczyć. Sprawdź zwłaszcza następujące kwestie:
- Użytkownik musi być przypisany do profilu produktowego z odpowiednim uprawnieniem.
- Nazwa użytkownika wysyłana do usługi SAML musi być zgodna z nazwą użytkownika w konsoli przedsiębiorstwa.
- Sprawdź wszystkie wpisy w serwisie Admin Console i usłudze IdP pod kątem błędów pisowni lub składni.
- Program Creative Cloud Desktop musi być uaktualniony do najnowszej wersji.
- Użytkownik musi logować się w odpowiednim miejscu (program Creative Cloud Desktop, aplikacja Creative Cloud lub serwis Adobe.com)
Rozwiązania innych często występujących błędów
Błąd o treści: „Wystąpił błąd” z przyciskiem „Spróbuj ponownie”
Ten błąd występuje zwykle po prawidłowym uwierzytelnieniu użytkownika i pomyślnym przesłaniu przez usługę Okta odpowiedzi uwierzytelniającej do Adobe.
Sprawdź następujące elementy w serwisie Adobe Admin Console:
Na karcie Tożsamość:
- Sprawdź, czy aktywowano odpowiednią domenę.
Na karcie Produkty:
- Sprawdź, czy użytkownik jest powiązany z poprawnym pseudonimem produktu i znajduje się w domenie, którą przypisano na potrzeby konfiguracji identyfikatorów Federated ID.
- Sprawdź, czy do pseudonimu produktu przypisano prawidłowe uprawnienia.
Na karcie Użytkownicy:
- Sprawdź, czy nazwa użytkownika ma postać pełnego adresu e-mail.
Błąd: „Odmowa dostępu” podczas logowania
Możliwe przyczyny tego błędu:
- Imię i nazwisko lub adres e-mail wysyłane w potwierdzeniu SAML nie są zgodne z informacjami wprowadzonymi w serwisie Admin Console.
- Użytkownik nie został powiązany z odpowiednim produktem lub produkt nie został powiązany z prawidłowym uprawnieniem.
- Nazwa użytkownika w kodzie SAML nie jest adresem e-mail. Wszyscy użytkownicy muszą należeć do domeny, którą przypisano w ramach procesu konfiguracji.
- Klient logowania SSO używa języka JavaScript w ramach procesu logowania, a użytkownik próbuje zalogować się do klienta, który nie obsługuje tego języka.
Jak rozwiązać ten problem:
- Sprawdź nazwę użytkownika i adres e-mail w serwisie Adobe Admin Console. Wartości tych opcji muszą być zgodne z atrybutami NameID i Email w dziennikach SAML.
- Sprawdź konfigurację użytkownika w konsoli: dane użytkownika i profil produktowy.
- Uruchom śledzenie SAML i sprawdź, czy wysyłane informacje są zgodne z informacjami w konsoli, a następnie popraw wszelkie niespójności.
Błąd „Obecnie jest zalogowany inny użytkownik”
Taki błąd występuje wtedy, gdy atrybuty wysłane w asercji SAML nie są zgodne z adresem e-mail użytym do rozpoczęcia procesu logowania.
Wykonaj operację SAML Trace i zweryfikuj, czy adres e-mail użytkownika używany do logowania jest zgodny z:
- adresem e-mail użytkownika podanym w serwisie Admin Console;
- nazwą konta użytkownika zwracaną w polu NameID asercji SAML.
Błąd „Wystawca w odpowiedzi SAML nie jest zgodny z wystawcą skonfigurowanym w usłudze IdP”
Wystawca IdP w asercji SAML różni się od wystawcy skonfigurowanego w przychodzącym komunikacie SAML. Przejrzyj dane w poszukiwaniu literówek (takich jak http/https). Porównując łańcuch wystawcy IdP z systemem SAML klienta, trzeba znaleźć dane IDENTYCZNE z podanymi przez tego klienta informacjami. Czasami problem ten występuje, ponieważ na końcu łańcucha brakuje ukośnika.
Jeśli potrzebna jest pomoc w związku z tym błędem, prześlij dane ze śledzenia SAML oraz wartości wprowadzone w konsoli Adobe.
Błąd „Podpis cyfrowy w odpowiedzi SAML nie został zweryfikowany za pomocą certyfikatu usługi IdP”
Ten problem występuje, gdy certyfikat katalogu wygasł. Aby go zaktualizować, należy pobrać ten certyfikat lub metadane z usługi IdP i przesłać je do serwisu Adobe Admin Console.
Przykład: Jeśli używasz rozwiązania Microsoft AD FS jako usługi IdP, wykonaj następujące czynności:
-
-
Użyj przeglądarki, aby przejść do adresu URL podanego w metadanych federacji i pobrać plik. Na przykład: https://<nazwa używanego hosta AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Uwaga:Jeśli zostaną wyświetlone ostrzeżenia, zaakceptuj je.
-
Na karcie Ustawienia w serwisie Admin Console wybierz opcje Ustawienia identyfikatorów > Katalogi. Wybierz katalog, który chcesz uaktualnić, i kliknij opcję Konfiguruj na karcie Dostawca SAML.
Następnie prześlij plik metadanych usługi IdP i kliknij przycisk Zapisz.
Błąd „Bieżąca godzina jest wcześniejsza niż przedział czasu określony w warunkach asercji”
Serwer IdP oparty na systemie Windows:
1. Sprawdź, czy zegar systemowy jest zsynchronizowany z precyzyjnym serwerem czasu.
Sprawdź, czy zegar systemowy dokładnie zgadza się z godziną na serwerze czasu, używając następującego polecenia; przesunięcie fazy nie powinno być większe niż mały ułamek sekundy:
w32tm /query /status /verbose
Natychmiastową resynchronizację zegara systemowego z serwerem czasu można wymusić za pomocą następującego polecenia:
w32tm /resync
Jeśli zegar systemowy jest ustawiony prawidłowo, jednak powyższy błąd nadal występuje, może być konieczne dostosowanie opcji przesunięcia czasu, tak aby zwiększyć tolerancję różnicy między wskazaniami zegara na serwerze i na kliencie.
2. Zwiększ dozwoloną różnicę zegara systemowego między serwerami.
Otwórz okno programu PowerShell z uprawnieniami administratora i ustaw dozwoloną wartość opóźnienia na 2 minuty. Sprawdź, czy możesz się zalogować, a następnie zwiększ lub zmniejsz wprowadzoną wartość w zależności od rezultatu.
Określ bieżącą wartość opóźnienia odpowiedniej relacji zaufania strony uzależnionej za pomocą następującego polecenia:
Get-ADFSRelyingPartyTrust | Format-List -property Identifier,Name,NotBeforeSkew
Relacja zaufania strony uzależnionej w danej konfiguracji jest identyfikowana przez adres URL wyświetlany w polu „Identyfikator” w danych wyjściowych wygenerowanych przez uruchomienie poprzedniego polecenia. Ten adres URL jest również wyświetlany w narzędziu Zarządzanie programem ADFS, w oknie właściwości odpowiedniej relacji zaufania strony uzależnionej — w polu „Zaufania strony uzależnionej” na karcie „Identyfikatory”, tak jak na poniższym zrzucie ekranu.
Ustaw opóźnienie na 2 minuty za pomocą następującego polecenia, odpowiednio zastępując adres identyfikatora:
Set-ADFSRelyingPartyTrust –TargetIdentifier 'https://www.okta.com/saml2/service-provider/xxxxxxxxxxxxxxxxxxxx' –NotBeforeSkew 2
Serwer IdP oparty na systemie UNIX
Sprawdź, czy zegar systemowy jest poprawnie ustawiony za pomocą usługi ntpd lub ręcznie, używając polecenia ntpdate z powłoki głównej albo polecenia sudo (zob. poniżej). Uwaga: Jeśli czas zostanie przesunięty o więcej niż 0,5 sekundy, zmiana nie nastąpi natychmiast — zegar systemowy będzie korygowany stopniowo. Sprawdź, czy prawidłowo ustawiono także strefę czasową.
# ntpdate -u pool.ntp.org
Uwaga:
To rozwiązanie można zastosować w przypadku takich usług IdP, jak Shibboleth.
Błąd 401: Brak autoryzacji danych logowania
Ten błąd występuje wtedy, gdy aplikacja nie obsługuje logowania federacyjnego i trzeba się do niej logować za pomocą kont Adobe ID. Przykłady takich aplikacji to: FrameMaker, RoboHelp i Adobe Captivate.
Błąd „Niepowodzenie przychodzącego żądania logowania SAML z następującym komunikatem: Odpowiedź SAML nie zawierała żadnych asercji”
Sprawdź proces logowania. Jeśli dostęp do strony logowania jest możliwy na innym komputerze lub w sieci, ale nie w systemach wewnętrznych, problem może dotyczyć łańcucha block agent. Ponadto przeprowadź śledzenie żądania SAML i sprawdź, czy w temacie SAML (element Subject) znajdują się parametry First Name (imię), Last Name (nazwisko) i Username (nazwa konta w postaci prawidłowego adresu e-mail).
Sprawdź, czy jest wysyłana prawidłowa asercja SAML:
- Brak elementu NameID w temacie. Sprawdź, czy element Subject (temat) zawiera element NameId. Musi on być taki sam jak atrybut Email, który powinien zawierać adres e-mail uwierzytelnianego użytkownika.
- Sprawdź pisownię, szczególnie pod kątem łatwych do przeoczenia błędów, takich jak https zamiast http.
- Sprawdź, czy podano prawidłowy certyfikat. Usługi IdP muszą być skonfigurowane do używania nieskompresowanych żądań i odpowiedzi SAML.
Skorzystaj z narzędzi, takich jak SAML Tracer do przeglądarki Firefox, aby rozpakować i przejrzeć asercję. Plik ten będzie potrzebny, jeśli zwrócisz się o pomoc do działu obsługi klienta Adobe. Szczegółowe informacje: Jak przeprowadzić śledzenie SAML.
Poniższy przykład roboczy może pomóc we właściwym sformatowaniu asercji SAML:
Pobierz
Microsoft ADFS:
- Każde konto z katalogu Active Directory musi mieć zdefiniowany w tym katalogu adres e-mail, bo w przeciwnym razie nie można pomyślnie się zalogować (dziennik zdarzeń: Odpowiedź SAML nie zawiera w asercji elementu NameId). Najpierw sprawdź następujące kwestie.
- Otwórz konsolę.
- Kliknij kartę Tożsamość i wybierz domenę.
- Kliknij opcję Edytuj konfigurację.
- Odszukaj opcję Wiązanie IdP. Zmień ją na wartość HTTP-POST, a potem zapisz.
- Przetestuj ponownie logowanie.
- Jeśli logowanie działa, ale wolisz wrócić do poprzedniego ustawienia, po prostu wybierz wartość HTTP-REDIRECT i ponownie prześlij metadane do programu ADFS.
Inne usługi IdP:
- Wystąpienie błędu 400 oznacza, że pomyślne logowanie zostało odrzucone przez usługę IdP.
- Przejrzyj dzienniki tej usługi IdP, aby odnaleźć źródło błędu.
- Rozwiąż problem i spróbuj ponownie.
Błąd 403 „Nieprawidłowe działanie certyfikatu”
Zaktualizuj certyfikat w systemie Google Console w sekcji aplikacji Adobe SAML, a następnie prześlij ponownie pliki metadanych do serwisu Adobe Admin Console.
Błąd 403 „Nie skonfigurowano aplikacji dla użytkownika”
Zaktualizuj atrybut Entity ID (identyfikator jednostki) w systemie Google Console. Następnie wyeksportuj plik metadanych i prześlij go do serwisu Adobe Admin Console.
Błąd: „Obecnie brak dostępu” lub „Dostęp do tego elementu stąd nie jest możliwy”
Ten błąd na ogół występuje w sytuacji, gdy organizacja włączyła zasady dostępu warunkowego w konfiguracji usługi IdP.
Jeśli do wdrażania produktów stosuje się pakiety zarządzane, to należy utworzyć pakiet zarządzany w serwisie Adobe Admin Console z zaznaczoną opcją uwierzytelniania w przeglądarce. Następnie pakiet ten należy wdrożyć na urządzeniu użytkownika.
W przeciwnym razie użytkownicy mogą samodzielnie otworzyć program Creative Cloud Desktop i wybrać opcję Zaloguj się przy użyciu przeglądarki z menu Pomoc.
Błąd: „Aplikacja nie została przypisana”
W takim przypadku administrator musi dodać użytkowników do aplikacji Adobe SAML utworzonej na ich dostawcy tożsamości. Przeczytaj instrukcje tworzenia aplikacji Adobe SAML w systemie Google Admin Console lub Microsoft Azure Portal.
Błąd: „Nie masz dostępu do tej usługi.” Skontaktuj się z administratorem w celu uzyskania dostępu lub zaloguj się przy użyciu identyfikatora Adobe ID.
Przejrzyj dzienniki SAML. Imię, nazwisko lub adres e-mail wysyłane w potwierdzeniu SAML nie są zgodne z informacjami wprowadzonymi w serwisie Admin Console.
