I dokumentet visas hur du konfigurerar Adobe Admin Console med en Microsoft AD FS-server.
Identitetsleverantören måste inte vara tillgänglig utanför företagets nätverk, men om den är inte det kan bara arbetsstationer i nätverket (eller som är anslutna via VPN) utföra autentisering för att aktivera en licens eller inloggning efter att en session har inaktiverats.
Instruktioner och skärmbilder i det här dokumentet gäller AD FS version 3.0, men samma menyer finns i AD FS 2.0.
Innan du skapar en katalog för enkel inloggning med Microsoft AD FS måste följande krav vara uppfyllda:
Du måste göra följande för att konfigurera enkel inloggning (SSO) för domänen:
Följ hyperlänkarna om du vill läsa mer om varje steg.
Utför följande steg för att konfigurera SAML-integration med AD FS:
Alla efterföljande steg måste upprepas efter eventuella ändringar av värdena på Adobe Admin Console för en viss domän.
I AD FS-hanteringsprogrammet går du till AD FS -> Förtroenderelationer -> Förlitande part-förtroende och klickar på Lägg till förlitande part-förtroende för att starta guiden.
Namnge ditt förlitande part-förtroende och ange ytterligare anteckningar om så behövs.
Klicka på Nästa.
Bestäm om multifaktorautentisering behövs och välj lämpligt alternativ.
Klicka på Nästa.
Bestäm om alla användare kan logga in via AD FS.
Klicka på Nästa.
Granska inställningarna.
Klicka på Nästa.
Ditt förlitande part-förtroende har lagts till.
Lämna alternativet markerat för att öppna dialogrutan Redigera anspråksregler och snabbt få åtkomst till nästa steg.
Klicka på Stäng.
Om guiden Redigera anspråksregler inte öppnas automatiskt kan du få tillgång till den från AD FS-hanteringsprogrammet under AD FS -> Förtroenderelationer -> Förlitande part-förtroende genom att välja ditt förlitande part-förtroende för Adobe SSO och klicka på Redigera anspråksregler... till höger.
Klicka på Lägg till regel och konfigurera en regel med hjälp av mallen Skicka LDAP-attribut som anspråk för ditt attributarkiv och mappa LDAP-attributet E-Mail-Addresses till E-postadress för typ av utgående anspråk.
I skärmbilden ovan föreslår vi att du använder e-postadress som primär identifierare. Du kan också använda fältet User Principal Name (UPN) som LDAP-attribut som skickas i en försäkran som e-postadress. Vi rekommenderar dock inte det för att konfigurera anspråksregeln.
Ofta mappas inte UPN till en e-postadress, och namnet är i många fall ett annat. Det här kommer troligen att orsaka problem för aviseringar och delning av resurser i Creative Cloud.
Klicka på Slutför för att slutföra tillägget av anspråksregeln för transformering.
Använd guiden Redigera anspråksregler igen och lägg till en regel med hjälp av mallen Transformera ett inkommande anspråk för att omvandla inkommande anspråk av typen E-postadress med Namn-ID som typ av utgående anspråk och Namn-ID-format för utgående anspråk som E-post, släpp igenom alla anspråksvärden.
Klicka på Slutför för att slutföra tillägget av anspråksregeln för transformering.
Lägg med hjälp av guiden Redigera anspråksregler till en regel med mallen Skicka anspråk med en anpassad regel som innehåller följande regel:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Klicka på Slutför för att slutföra guiden för anpassad regel.
Klicka på OK i dialogrutan Redigera anspråksregler för att slutföra tillägget av de här tre reglerna till ditt förlitande part-förtroende.
Ordningen för anspråksreglerna är viktig; de måste visas som i den här bilden.
För att undvika anslutningsproblem mellan system där klockan kan visa lite olika tid, ställer du in standardtidsförskjutningen på 2 minuter. Mer information om tidsförskjutning finns i dokumentet om att felsöka.
Öppna AD FS-hanteringsprogrammet på servern och gå till mappen AD FS > Tjänst > Slutpunkter där du väljer Federationsmetadata.
Använd en webbläsare för att gå till den URL som angetts vid Federationsmetadata och hämta filen. Exempel: https://<värdnamn för din AD FS>/FederationMetadata/2007-06/FederationMetadata.xml.
Gå tillbaka till Adobe Admin Console-fönstret för att uppdatera det senaste certifikatet. Överför metadatafilen som hämtats från AD FS till skärmen Lägg till SAML-profil och klicka på Klart.
När du har konfigurerat katalogen gör du följande för att göra det möjligt för organisationens användare att använda Adobes program och tjänster:
Mer information om andra verktyg och tekniker som rör identitet finns i Konfigurera identitet.
Skapa en testanvändare med Active Directory. Skapa en post på Admin Console för den här användaren och tilldela den en licens. Testa sedan att logga in på Adobe.com för att bekräfta att det aktuella programmet visas för hämtning.
Du kan också testa genom att logga in på Creative Cloud-datorprogrammet eller i ett program som Photoshop eller Illustrator.
Om du stöter på problem kan du titta i felsökningsdokumentet. Om du fortfarande behöver hjälp med konfigurationen för enkel inloggning går du till Support i Adobe Admin Console och skapar ett supportärende.
