Sao chép tập tin siêu dữ liệu đã tải xuống vào vị trí sau và đổi tên tập tin thành adobe-sp-metadata.xml:
%{idp.home}/metadata/
Cập nhật gần đây nhất vào
16 thg 12, 2024
Tổng quan
Adobe Admin Console cho phép quản trị viên hệ thống cấu hình các miền được sử dụng để đăng nhập thông qua Federated ID cho Single Sign-On (SSO). Sau khi miền được xác minh, thư mục chứa miền sẽ được cấu hình để cho phép người dùng đăng nhập vào Creative Cloud. Người dùng có thể đăng nhập bằng địa chỉ email trong miền đó thông qua Nhà cung cấp nhận dạng (IdP). Quy trình được cung cấp dưới dạng dịch vụ phần mềm chạy trong mạng công ty và có thể truy cập từ Internet hoặc dịch vụ đám mây do bên thứ ba lưu trữ, cho phép xác minh chi tiết đăng nhập của người dùng thông qua giao tiếp bảo mật bằng giao thức SAML.
Một IdP như vậy là Shibboleth.Để sử dụng Shibboleth, bạn cần một máy chủ có thể truy cập từ Internet và có quyền truy cập vào các dịch vụ thư mục trong mạng doanh nghiệp. Tài liệu này mô tả quy trình cấu hình Admin Console và máy chủ Shibboleth để có thể đăng nhập vào các ứng dụng Adobe Creative Cloud và các trang web liên quan cho Single Sign-On.
Quyền truy cập vào IdP thường được thực hiện bằng cách sử dụng một mạng riêng biệt được cấu hình với các quy tắc cụ thể để chỉ cho phép các loại giao tiếp cụ thể giữa các máy chủ và mạng nội bộ và bên ngoài, được gọi là DMZ (vùng phi quân sự). Việc cấu hình hệ điều hành trên máy chủ này và cấu trúc liên kết của mạng như vậy nằm ngoài phạm vi của tài liệu này.
Điều kiện tiên quyết
Trước khi cấu hình miền cho Single Sign-on bằng Shibboleth IDP, các yêu cầu sau phải được đáp ứng:
- Phiên bản mới nhất của Shibboleth được cài đặt và cấu hình.
- Tất cả các tài khoản Active Directory được liên kết với tài khoản Creative Cloud cho doanh nghiệp phải có địa chỉ email được liệt kê trong Active Directory.
Ghi chú
Các bước cấu hình Shibboleth IDP với Adobe SSO được mô tả trong tài liệu này đã được thử nghiệm với Phiên bản 3.
Cấu hình Shibboleth
Trước khi bắt đầu, tạo một thư mục Federated ID, chọn Các nhà cung cấp SAML khác làm nhà cung cấp nhận dạng. Sao chép các giá trị cho ACS URL và Entity ID từ màn hình Thêm hồ sơ SAML.
Cập nhật tập tin để đảm bảo thông tin chính xác được truyền lại cho Adobe.
Thay thế các dòng sau trong tập tin:
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
Với:
<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
Ngoài ra, thay thế:
<md:SPSSODescriptor AuthnRequestsSigned="true" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
Với:
<md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
Chỉnh sửa tệp metadata-providers.xml.
Cập nhật %{idp.home}/conf/metadata-providers.xml với vị trí của tệp metadata adobe-sp-metadata.xml (dòng 29 bên dưới) mà bạn đã tạo trong Bước 1 ở trên.
<!--
<MetadataProvider id="HTTPMetadata"
xsi:type="FileBackedHTTPMetadataProvider"
backingFile="%{idp.home}/metadata/localCopyFromXYZHTTP.xml"
metadataURL="http://WHATEVER">
<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true">
<PublicKey>
MIIBI..... </PublicKey>
</MetadataFilter>
<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P30D"/>
<MetadataFilter xsi:type="EntityRoleWhiteList">
<RetainedRole>md:SPSSODescriptor</RetainedRole>
</MetadataFilter>
</MetadataProvider>
-->
<!--
Example file metadata provider. Sử dụng cách này nếu bạn muốn tải siêu dữ liệu từ một tập tin cục bộ.Bạn có thể sử dụng cách này nếu bạn có một số SP cục bộ mà không được "liên kết" nhưng bạn muốn cung cấp dịch vụ cho chúng.Nếu bạn không cung cấp bộ lọc SignatureValidation, thì bạn có trách nhiệm đảm bảo rằng nội dung là đáng tin cậy. -->
<MetadataProvider id="LocalMetadata" xsi:type="FilesystemMetadataProvider" metadataFile="%{idp.home}/metadata/adobe-sp-metadata.xml"/>
Khắc phục sự cố thiết lập Shibboleth
Nếu bạn không thể đăng nhập thành công vào adobe.com, hãy kiểm tra các tập tin cấu hình Shibboleth sau để tìm các sự cố có thể xảy ra:
1. attribute-resolver.xml
Tập tin bộ lọc thuộc tính mà bạn đã cập nhật khi Cấu hình Shibboleth, định nghĩa các thuộc tính mà bạn cần cung cấp cho nhà cung cấp dịch vụ Adobe.Tuy nhiên, bạn cần ánh xạ các thuộc tính này với các thuộc tính phù hợp như được định nghĩa trong LDAP / Active Directory cho tổ chức của bạn.
Chỉnh sửa tập tin attribute-resolver.xml tại vị trí sau:
%{idp.home}/conf/attribute-resolver.xml
Đối với mỗi thuộc tính sau, hãy chỉ định ID thuộc tính nguồn như được định nghĩa cho tổ chức của bạn:
- FirstName (dòng 1 bên dưới)
- LastName (dòng 7 bên dưới)
- Email (dòng 13 bên dưới)
<resolver:AttributeDefinition xsi:type="ad:Simple" id="NameID" sourceAttributeID="mail">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="SAML2StringNameID"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
nameFormat="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="Email"
sourceAttributeID="mail">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="Email" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="FirstName"
sourceAttributeID="givenName">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="FirstName" />
</resolver:AttributeDefinition>
<resolver:AttributeDefinition xsi:type="ad:Simple" id="LastName"
sourceAttributeID="sn">
<resolver:Dependency ref="myLDAP" />
<resolver:AttributeEncoder xsi:type="enc:SAML2String" name="LastName" /></resolver:AttributeDefinition>
2. relying-party.xml
Cập nhật relying-party.xml tại vị trí sau để hỗ trợ định dạng saml-nameid theo yêu cầu của nhà cung cấp dịch vụ Adobe:
%{idp.home}/conf/relying-party.xml
Cập nhật thuộc tính p:nameIDFormatPrecedence (dòng 7 bên dưới) để bao gồm emailAddress.
<bean parent="RelyingPartyByName" c:relyingPartyIds="[entityId"> <property name="profileConfigurations"> <list> <bean parent="Shibboleth.SSO" p:postAuthenticationFlows="attribute-release" /> <ref bean="SAML1.AttributeQuery" /> <ref bean="SAML1.ArtifactResolution" /> <bean parent="SAML2.SSO" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress" p:postAuthenticationFlows="attribute-release" p:encryptAssertions="false" /> <ref bean="SAML2.ECP" /> <ref bean="SAML2.Logout" /> <ref bean="SAML2.AttributeQuery" /> <ref bean="SAML2.ArtifactResolution" /> <ref bean="Liberty.SSOS" /> </list> </property> </bean>
Ngoài ra, để tắt mã hóa của các khẳng định, trong phần DefaultRelyingParty cho mỗi loại SAML2:
Thay thế:
encryptAssertions="conditional"
Bằng:
encryptAssertions="never"
3. saml-nameid.xml
Cập nhật saml-nameid.xml tại vị trí sau:
%{idp.home}/conf/saml-nameid.xml
Cập nhật thuộc tính p:attributeSourceIds (dòng 3 bên dưới) thành "#{ {'Email'} }".
<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
p:attributeSourceIds="#{ {'Email'} }" />
Tải lên tệp metadata IdP vào Adobe Admin Console
Để cập nhật tập tin siêu dữ liệu Shibboleth:
Quay lại Adobe Admin Console.
Tải lên tập tin siêu dữ liệu Shibboleth vào màn hình Thêm hồ sơ SAML.
Sau khi cấu hình Shibboleth, tập tin siêu dữ liệu (idp-metadata.xml) có sẵn tại vị trí sau trên máy chủ Shibboleth của bạn:
<shibboleth>/metadata
Chọn Xong.
Tìm hiểu cách tạo thư mục trong Admin Console.
Kiểm tra Đăng nhập một lần
Kiểm tra quyền truy cập của người dùng mà bạn đã xác định trong hệ thống Identity Management của riêng mình và trong Adobe Admin Console bằng cách đăng nhập vào trang web Adobe hoặc ứng dụng Creative Cloud cho máy tính để bàn.
Nếu bạn gặp sự cố, hãy xem tài liệu khắc phục sự cố của chúng tôi.
Nếu bạn cần hỗ trợ về cấu hình đăng nhập một lần, hãy chuyển đến Adobe Admin Console > Hỗ trợ để liên hệ với bộ phận Chăm sóc khách hàng Adobe.
