В документе описывается процесс настройки Adobe Admin Console с сервером Microsoft AD FS.
Поставщик удостоверений не должен быть обязательно доступен за пределами корпоративной сети, но если он не доступен, только рабочие станции в сети (или подключенные через VPN) смогут выполнять проверку подлинности, чтобы активировать лицензию или войти после завершения их сеанса.
Инструкции и снимки экрана в этом документе относятся к версии 3.0 AD FS, но те же меню присутствуют в AD FS 2.0.
Перед созданием каталога для единого входа с использованием служб федерации Microsoft AD FS необходимо обеспечить выполнение следующих требований:
Чтобы настроить функцию единого входа для домена, выполните действия, описанные ниже:
Чтобы узнать подробную информацию по каждому шагу, перейдите по гиперссылкам.
Чтобы настроить интеграцию SAML со службами федерации Active Directory, выполните следующие действия:
Все последующие действия необходимо повторять после внесения любых изменений в значения в Adobe Admin Console для данного домена.
В приложении управления AD FS откройте AD FS -> Доверительные отношения -> Отношение доверия с проверяющей стороной и нажмите Добавить отношение доверия с проверяющей стороной для запуска мастера.
Дайте название отношению доверия с проверяющей стороной и при необходимости введите любые дополнительные примечания.
Нажмите кнопку Далее.
Установите, требуется ли многофакторная аутентификация и выберите соответствующий вариант.
Нажмите кнопку Далее.
Определите, все ли пользователи могут входить в систему с помощью AD FS.
Нажмите кнопку Далее.
Проверьте свои настройки.
Нажмите кнопку Далее.
Отношение доверия с проверяющей стороной добавлено.
Оставьте флажок в поле для открытия диалогового окна Изменение правил утверждений для быстрого доступа к следующим шагам.
Нажмите кнопку Закрыть.
Если мастер Изменить правила утверждений не открывается автоматически, доступ к нему можно получить из приложения управления AD FS, открыв AD FS -> Доверительные отношения -> Отношения доверия с проверяющей стороной, выбрав соответствующее отношение доверия с проверяющей стороной Adobe SSO и нажав Изменить правила утверждений... с правой стороны.
Нажмите Добавить правило и настройте правило, используя шаблон Отправка атрибутов LDAP как утверждений для хранилища атрибутов, сопоставив адреса электронной почты для атрибутов LDAP с адресом электронной почты для типа исходящего утверждения.
Как показано на снимке экрана выше, мы предлагаем использовать адрес электронной почты в качестве основного идентификатора. Кроме того, можно использовать поле имени участника-пользователя (UPN) в качестве атрибута LDAP, отправляемого в утверждении в качестве адреса электронной почты. Однако это не рекомендуется делать для настройки правила утверждения.
Часто UPN не сопоставляется с адресом электронной почты и во многих случаях может отличаться. Это, скорее всего, вызовет проблемы с уведомлениями и совместным использованием ресурсов в Creative Cloud.
Нажмите Завершить для завершения добавления правила утверждения преобразования.
Как и в предыдущем случае, с помощью мастера Изменить правила утверждений добавьте правило, используя шаблон Преобразование входящего утверждения, чтобы преобразовать входящие утверждения с типом «Адрес электронной почты», где для параметра «Тип исходящего утверждения» выбрано значение «ИД имени», а для параметра «Формат ИД исходящего имени» — «Эл. почта», установив флажок «Пройти по всем значениям утверждений».
Нажмите Завершить для завершения добавления правила утверждения преобразования.
С помощью мастера Изменить правила утверждений добавьте правило, используя шаблон Отправка утверждений с помощью настраиваемого правила, содержащий следующее правило:
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("Email", "FirstName", "LastName"), query = ";mail,givenName,sn;{0}", param = c.Value);
Нажмите Завершить для завершения работы мастера настраиваемых правил.
Нажмите ОК в диалоговом окне Изменение правил утверждений, чтобы завершить добавление этих трех правил в отношение доверия с проверяющей стороной.
Порядок правил утверждений важен (он должен выглядеть так, как показано здесь).
Во избежание проблем с подключением между системами, в которых время немного отличается, установите временной сдвиг по умолчанию равным 2 минутам. Для получения дополнительной информации о временном сдвиге см. документ Поиск и устранение ошибок.
Откройте приложение управления службами федерации AD FS на своем сервере и в папке AD FS> Сервис > Конечные точки выберите Метаданные федерации.
С помощью браузера перейдите по URL-адресу, указанному для метаданных федерации, и загрузите файл. Например, https://<your AD FS hostname>/FederationMetadata/2007-06/FederationMetadata.xml.
Чтобы обновить самый последний сертификат, вернитесь в окно Adobe Admin Console. Загрузите файл метаданных, скачанный из AD FS, на экране Добавление профиля SAML и нажмите Готово.
После настройки каталога выполните действия, описанные ниже, для того чтобы пользователи вашей организации могли использовать приложения и службы Adobe.
Чтобы узнать больше о других инструментах и методах, связанных с удостоверениями, см. раздел Настройка удостоверений.
Создайте тестового пользователя с Active Directory. Создайте запись в Admin Console для данного пользователя и назначьте ему лицензию. Затем протестируйте вход на сайт Adobe.com, чтобы убедиться, что соответствующее программное обеспечение указано в списке для загрузки.
Выполнить тестирование также можно, войдя в Creative Cloud для настольных ПК и из такого приложения, как Photoshop или Illustrator.
При возникновении проблем см. наш документ для устранения неполадок. Если все еще требуется помощь с настройкой единого входа, перейдите в раздел Поддержка в консоли Adobe Admin Console и откройте заявку в службе технической поддержки клиентов.
