Adobe SSO 導入指南

可能原因：

• 網域尚未啟用 SSO（Directory 設定未完成）
• 使用者帳號類型不符（Adobe ID vs Federated ID）
• 使用者未被指派任何產品授權
• 使用者名稱格式不是完整 email（如只有 user 而非 user@company.com）

解法：確認 Admin Console 中 Directory 狀態為「Active」、使用者已指派 Product Profile、NameID 格式為 emailAddress。

• SAML Assertion 中的 NameID/email 與 Admin Console 中的使用者不匹配
• NameID 不是 email 格式（用了 persistent 或 unspecified）
• 瀏覽器不支援 JavaScript 或已停用

解法：用 SAML-tracer 查看 NameID 值，確認格式為 emailAddress 且與 Admin Console 中的 email 完全一致（含大小寫）。

• IdP 回傳的 email 和 Admin Console 中的 email 大小寫不一致
• 使用者在 IdP 和 Adobe 中的帳號 email 不同
• 瀏覽器 Session 衝突（多帳號同時登入）

解法：清除瀏覽器 Cookie 和快取後重試。確認 IdP 和 Adobe 中的 email 完全一致。使用無痕模式測試。

• IdP 端的 Entity ID 與 Adobe Admin Console 設定不完全一致
• HTTP vs HTTPS 協議不一致
• 尾端有/無斜線的差異（例如 https://sts.example.com/ vs https://sts.example.com）

解法：Adobe 做字串完全比對（exact string match）。確保 IdP 的 Issuer URL 與 Admin Console 中的設定字元完全一致，包含協議、路徑和尾端斜線。

• 最常見：IdP 的 SAML 憑證已過期
• 上傳到 Adobe 的憑證不是目前 IdP 使用的那張
• IdP 輪換了新憑證但沒更新 Adobe 端

解法：從 IdP 重新下載最新的 X.509 憑證，上傳到 Admin Console（Settings → Identity → Directory → Edit）。ADFS 使用者需在 ADFS Management Console 重新匯出 Token-signing 憑證。

• IdP 伺服器的系統時鐘與 Adobe 伺服器不同步（差距超過 2 分鐘）
• SAML Assertion 的 NotBefore / NotOnOrAfter 時間窗口太短

解法：
Windows 伺服器：執行 w32tm /resync 同步系統時鐘，並將 ADFS 的 NotBeforeSkew 調整至 2 分鐘。
Linux 伺服器：執行 ntpdate pool.ntp.org 或設定 ntpd 服務。

部分 Adobe 舊版應用程式不支援 Federated ID 登入：FrameMaker、RoboHelp、Adobe Captivate。

解法：這些應用程式需要改用 Adobe ID 帳號登入，無法走 SSO 流程。可為這些使用者另外建立 Adobe ID 帳號。

• IdP 的 SAML Response 缺少 Assertion 元素
• IdP 端的使用者代理字串（Agent String）被封鎖
• SAML Response 中缺少 FirstName、LastName 或 Email 屬性

解法：用 SAML-tracer 檢查 Response XML，確認包含完整的 <saml:Assertion> 元素，且 Assertion 中有 NameID、FirstName、LastName、Email 四個屬性。

• SAML Request 缺少 NameID 元素
• SAML Request 使用了壓縮格式但 IdP 不支援解壓
• ADFS 使用了 HTTP-REDIRECT binding 而非 HTTP-POST

解法：用 SAML-tracer 確認 Request 格式。ADFS 使用者需確認 Relying Party Trust 的 binding 設為 HTTP-POST。確認 NameID 元素存在於 Assertion 中。

Google 自動輪換了 SAML 憑證，但 Adobe 端還在用舊的。

解法：前往 Google Admin Console → Apps → Web and mobile apps → Adobe，下載最新的 Metadata，然後重新上傳到 Adobe Admin Console。

• Google Admin Console 中的 Adobe SAML App Entity ID 與 Adobe 設定不符
• 該使用者未被指派到 Google 中的 Adobe SAML App

解法：在 Google Admin Console 更新 Adobe SAML App 的 Entity ID（從 Adobe Admin Console 的 Metadata 取得），並確認使用者所在的 OU 已啟用該 App。

Microsoft Entra ID 的 Conditional Access Policy 封鎖了 Adobe 應用程式的存取。常見於公司啟用了 Managed Device Only 或特定網路位置限制。

解法：在 Microsoft Entra ID 中建立包含瀏覽器驗證的 Managed Package。或在 Creative Cloud 桌面應用程式中啟用「使用瀏覽器登入」選項，讓驗證走瀏覽器端的 Conditional Access 流程。

• IdP 端（Okta / Azure / Google）的 Adobe SAML App 沒有指派該使用者
• 管理員未將使用者新增到 IdP 端的 Adobe SAML 應用程式

解法：在 IdP 的 Adobe App 設定中將使用者加入指派清單。Google 在 Admin Console → Apps → Web and mobile apps；Microsoft Entra ID 在 Enterprise Applications → Users and groups；Okta 在 Applications → Assignments。

• SAML Assertion 中的 NameID / Email 與 Adobe Admin Console 中的使用者資料不匹配
• 使用者名稱格式錯誤（例如用了 sAMAccountName 而非 email）
• IdP 傳回的 email 大小寫與 Adobe 端不一致

解法：使用 SAML-tracer 檢查 SAML 記錄，確認 NameID 和 email 屬性的值與 Admin Console 中的使用者 email 完全一致（含大小寫）。必要時在 IdP 端修改 Attribute Mapping。