Kopirajte preneseno datoteko metapodatkov na naslednje mesto in preimenujte datoteko v adobe-sp-metadata.xml:
%{idp.home}/metadata/
Zadnja posodobitev
16. dec. 2024
Pregled
Adobe Admin Console omogoča sistemskemu administratorju konfiguriranje domen, ki se uporabljajo za prijavo prek Federated ID za enkratno prijavo (SSO). Ko je domena preverjena, se imenik, ki vsebuje domeno, konfigurira tako, da se uporabniki lahko prijavijo v Creative Cloud. Uporabniki se lahko prijavijo z e-poštnimi naslovi v tej domeni prek ponudnika identitete (IdP). Postopek se zagotavlja kot programska storitev, ki deluje v omrežju podjetja in je dostopna iz interneta, ali kot storitev v oblaku, ki jo gosti tretja stranka in omogoča preverjanje podatkov za prijavo uporabnika prek varne komunikacije z uporabo protokola SAML.
Eden takšnih IdP je Shibboleth. Za uporabo programa Shibboleth potrebujete strežnik, ki je dostopen iz interneta in ima dostop do imenišnih storitev v omrežju podjetja. Ta dokument opisuje postopek konfiguriranja Admin Console in strežnika Shibboleth za prijavo v programe Adobe Creative Cloud in povezane spletne strani za enkratno prijavo.
Dostop do IdP se običajno doseže z uporabo ločenega omrežja, konfiguriranega s posebnimi pravili, ki omogočajo le posebne vrste komunikacije med strežniki ter notranjim in zunanjim omrežjem, kar se imenuje demilitarizirana cona (DMZ). Konfiguracija operacijskega sistema na tem strežniku in topologija takšnega omrežja presegata obseg tega dokumenta.
Predpogoji
Preden konfigurirate domeno za enkratno prijavo z uporabo Shibboleth IDP, morajo biti izpolnjene naslednje zahteve:
- Najnovejša različica programa Shibboleth je nameščena in konfigurirana.
- Vsi računi Active Directory, ki naj bi bili povezani z računom Creative Cloud za podjetja, imajo e-poštni naslov naveden v imeniku Active Directory.
Opomba
Koraki za konfiguracijo Shibboleth IDP z Adobe SSO, opisani v tem dokumentu, so bili preizkušeni z različico 3.
Konfigurirajte Shibboleth
Preden začnete, ustvarite imenik Federated ID in izberite Drugi ponudniki SAML kot ponudnika identitete. Kopirajte vrednosti za URL ACS in ID entitete z zaslona Dodaj profil SAML.
Posodobite datoteko, da zagotovite, da se pravilni podatki pošljejo nazaj v Adobe.
Zamenjajte naslednje vrstice v datoteki:
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
Z:
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
Prav tako zamenjajte:
<md:SPSSODescriptor AuthnRequestsSigned="true" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
Z:
<md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
Uredite datoteko metadata-providers.xml.
Posodobite %{idp.home}/conf/metadata-providers.xml z lokacijo datoteke metapodatkov adobe-sp-metadata.xml (vrstica 29 spodaj), ki ste jo ustvarili v 1. koraku zgoraj.
<!--
<MetadataProvider id="HTTPMetadata"
xsi:type="FileBackedHTTPMetadataProvider"
backingFile="%{idp.home}/metadata/localCopyFromXYZHTTP.xml"
metadataURL="http://WHATEVER">
<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true">
<PublicKey>
MIIBI..... </PublicKey>
</MetadataFilter>
<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P30D"/>
<MetadataFilter xsi:type="EntityRoleWhiteList">
<RetainedRole>md:SPSSODescriptor</RetainedRole>
</MetadataFilter>
</MetadataProvider>
-->
<!--
Primer ponudnika metapodatkov datotek.To uporabite, če želite naložiti metapodatke iz krajevne datoteke.To lahko uporabite, če imate krajevne ponudnike storitev, ki niso »združeni«, vendar jim želite ponuditi storitev.
Če ne posredujete filtra SignatureValidation, ste odgovorni za zagotovitev, da je vsebina zaupanja vredna.
-->
<MetadataProvider id="LocalMetadata" xsi:type="FilesystemMetadataProvider" metadataFile="%{idp.home}/metadata/adobe-sp-metadata.xml"/>
Odpravite težave z nastavitvijo Shibboleth
Če se ne morete uspešno prijaviti v adobe.com, preverite naslednje konfiguracijske datoteke Shibboleth za morebitne težave:
1. attribute-resolver.xml
Datoteka filtra atributov, ki ste jo posodobili med konfiguracijo Shibboleth, definira atribute, ki jih morate posredovati ponudniku storitev Adobe.Vendar pa morate te atribute preslikati v ustrezne atribute, kot so definirani v LDAP / Active Directory za vašo organizacijo.
Uredite datoteko attribute-resolver.xml na naslednji lokaciji:
%{idp.home}/conf/attribute-resolver.xml
Za vsakega od naslednjih atributov določite ID izvornega atributa, kot je definiran za vašo organizacijo:
- FirstName (vrstica 1 spodaj)
- Priimek (vrstica 7 spodaj)
- E-pošta (vrstica 13 spodaj)
<resolver:AttributeDefinition xsi:type="ad:Simple" id="NameID" sourceAttributeID="mail">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="SAML2StringNameID"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
nameFormat="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="Email"
sourceAttributeID="mail">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="Email" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="FirstName"
sourceAttributeID="givenName">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="FirstName" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="LastName"
sourceAttributeID="sn">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="LastName" /></resolver:AttributeDefinition>
2. relying-party.xml
Posodobite relying-party.xml na naslednji lokaciji, da podpira obliko saml-nameid, kot jo zahteva ponudnik storitev Adobe:
%{idp.home}/conf/relying-party.xml
Posodobite atribut p:nameIDFormatPrecedence (vrstica 7 spodaj), da vključuje emailAddress.
<bean parent="RelyingPartyByName" c:relyingPartyIds="[entityId"> <property name="profileConfigurations"> <list> <bean parent="Shibboleth.SSO" p:postAuthenticationFlows="attribute-release" /> <ref bean="SAML1.AttributeQuery" /> <ref bean="SAML1.ArtifactResolution" /> <bean parent="SAML2.SSO" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" p:postAuthenticationFlows="attribute-release" p:encryptAssertions="false" /> <ref bean="SAML2.ECP" /> <ref bean="SAML2.Logout" /> <ref bean="SAML2.AttributeQuery" /> <ref bean="SAML2.ArtifactResolution" /> <ref bean="Liberty.SSOS" /> </list> </property> </bean>
Za izklop šifriranja trditev v razdelku DefaultRelyingParty za vsak tip SAML2:
Zamenjajte:
encryptAssertions="conditional"
Z:
encryptAssertions="never"
3. saml-nameid.xml
Posodobite saml-nameid.xml na naslednji lokaciji:
%{idp.home}/conf/saml-nameid.xml
Posodobite atribut p:attributeSourceIds (vrstica 3 spodaj) na "#{ {'Email'} }".
<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
p:attributeSourceIds="#{ {'Email'} }" />
Naložite datoteko z metapodatki IdP v Adobe Admin Console
Za posodobitev datoteke z metapodatki Shibboleth:
Vrnite se v Adobe Admin Console.
Naložite datoteko z metapodatki Shibboleth na zaslon Dodaj profil SAML.
Po konfiguriranju Shibboleth je datoteka z metapodatki (idp-metadata.xml) na voljo na naslednji lokaciji na strežniku Shibboleth:
<shibboleth>/metadata
Izberite možnost Končano.
Naučite se ustvarjati imenike v Admin Console.
Preizkusite enkratno prijavo
Preverite dostop uporabnika za uporabnika, ki ste ga opredelili v svojem sistemu za upravljanje identitete in v konzoli Adobe Admin Console, tako da se prijavite na spletno mesto Adobe ali v namizni program Creative Cloud.
Če naletite na težave, si oglejte naš dokument za odpravljanje težav.
Če potrebujete pomoč pri konfiguraciji enkratne prijave, se pomaknite v Adobe Admin Console > Podpora, da stopite v stik s Skrbjo za stranke Adobe.
