Adicionar sincronização do Microsoft Entra ID ao diretório

Se o seu provedor de identidade for o Microsoft Entra ID e você não tiver um diretório federado no Adobe Admin Console, configure a federação de uma das seguintes maneiras:

• OpenID Connect (OIDC): crie um diretório federado em segundos por meio do OIDC. A maior parte da configuração é feita no Adobe Admin Console.
• SSO com Microsoft Entra ID usando SAML: crie um diretório federado usando a configuração do SAML.A maior parte da configuração é feita no portal do Microsoft Azure.
• Se você tiver um diretório federado em funcionamento, poderá adicionar a funcionalidade de sincronização à sua configuração atual.
• Não é possível gerenciar usuários manualmente ou com outros métodos de sincronização depois de configurar a sincronização do Microsoft Entra ID para um diretório. Consulte as observações antes da sincronização e perguntas comuns para saber mais.

Visão geral

Adicione o Microsoft Entra ID Sync (anteriormente conhecido como Azure Sync) a qualquer diretório no Adobe Admin Console para automatizar o gerenciamento de usuários. Usa o protocolo SCIM e oferece controle sobre os usuários e grupos enviados para a Adobe.Os usuários do Microsoft Entra ID sincronizados com o Adobe Admin Console são únicos e podem ser atribuídos a um ou mais perfis de produto.

Depois de configurar o Microsoft Entra ID Sync, o Microsoft Entra ID envia dados para o Adobe Admin Console com base no provisionamento de usuários e grupos do diretório. Os detalhes do diretório aparecem na seção Configurações do Adobe Admin Console.

Benefícios da sincronização do Microsoft Entra ID.

As principais vantagens da sincronização do Microsoft Entra ID com seu diretório no Adobe Admin Console são:

• Gerencie tudo no Microsoft Entra ID.
• Controle quais dados são enviados à Adobe.
• Evite configurar outro serviço ou API.
• Personalize o mapeamento de atributos de usuário do Microsoft Entra ID.
• Adicionar sincronização aos diretórios configurados anteriormente.
• Adicione a sincronização aos diretórios configurados para qualquer provedor de identidade.
• Integre e remova usuários facilmente usando o Microsoft Entra ID.

Pré-requisitos

Para integrar o gerenciamento de usuários do Adobe Admin Console com o Microsoft Entra ID, você precisa de:

• Uma conta do Microsoft Entra ID com dados de usuários e grupos.
• Produtos da Adobe que fazem parte do Creative Cloud para corporações, do Document Cloud para empresas ou do Experience Cloud.
• Um diretório federado no Adobe Admin Console com domínios verificados.

Cenários de integração compatíveis

As configurações de diretório diferem, e a sincronização do Microsoft Entra ID suporta cenários variados que precisam de etapas extras. Use esta tabela para seguir as etapas da sua configuração:

Observações antes de configurar a sincronização

Siga estas práticas recomendadas e recomendações da Adobe antes de configurar o Microsoft Entra ID Sync:

• Exporte a lista de usuários existentes antes de adicionar a sincronização, para manter um registro de todas as contas de usuário e licenças provisionadas.
• Independentemente de usar OIDC ou SAML para logon único do Microsoft Entra ID, configure a sincronização de diretório usando o aplicativo Adobe Identity Management existente.Siga as etapas descritas no documento da Microsoft para configurar o provisionamento automático de usuários.
• A sincronização do Microsoft Entra ID desacopla email do nome de usuário. Os usuários podem usar um email e um nome de usuário diferentes para confirmar o logon e acessar os produtos e serviços da Adobe. Siga as etapas descritas no documento da Microsoft para personalizar o mapeamento de atributos de provisionamento de usuários.
• Se você integrar a sincronização com um diretório que contenha usuários com Federated ID, verifique se o formato do campo de nome de usuário corresponde ao nome principal do usuário (UPN) no Microsoft Entra ID antes da sincronização inicial. Se esses valores não corresponderem, o Admin Console considera isso como uma nova conta e cria registros duplicados. Atualize o mapeamento de atributos para que os valores sincronizados correspondam aos perfis de usuário do Admin Console, que atualiza as contas na próxima sincronização.
• A sincronização do Microsoft Entra ID precisa de um Admin Console com pelo menos um diretório federado e um domínio federado.Se o Admin Console com sincronização (Console proprietário) estiver em uma relação de confiança com outros Admin Consoles (Consoles confiados), os confiados deverão utilizar outro método, como a Ferramenta de sincronização de usuários, a API de gerenciamento de usuários ou o upload em massa de CSV, para criar, gerenciar e licenciar usuários com Federated ID. Para adicionar um usuário a um Console de administrador para o provisionamento de licenças, primeiro adicione o usuário ao Console proprietário.
• Se a sua organização utiliza a Ferramenta de sincronização de usuários ou uma integração com a API de gerenciamento de usuários, primeiro suspenda a integração. Em seguida, adicione o Microsoft Entra ID Sync para automatizar o gerenciamento de usuários a partir do Microsoft Entra ID. Depois que a sincronização estiver configurada e em funcionamento, você poderá remover a integração com a Ferramenta de sincronização de usuários ou com a API de gerenciamento de usuários.
• Sua organização deve ter uma assinatura Premium (P1 ou P2) ou do Microsoft 365 (E3 ou A3) com o Microsoft Entra ID para utilizar a atribuição baseada em grupos. Isso permite que você selecione grupos e usuários específicos para sincronizar com o Adobe Admin Console. Organizações que não possuam esses níveis de assinatura podem sincronizar todos os usuários e grupos de uma só vez. O sistema sincroniza todos os usuários e grupos automaticamente e gera uma Adobe Federated ID para os usuários sincronizados.
• Para mover um domínio para ou de um diretório configurado com sincronização, primeiro ative a edição do diretório temporariamente. Mova o domínio e depois desative a edição.
• O Microsoft Entra ID Sync não sincroniza usuários de grupos com o atributo HiddenMembership. Para sincronizar usuários específicos, crie um grupo no Microsoft Entra ID e copie os usuários para o novo grupo.

Adicionar a sincronização do Microsoft Entra ID a um diretório federado

Adicione o Microsoft Entra ID Sync a um diretório federado do Adobe Admin Console que tenha os domínios necessários vinculados.Para adicionar sincronização a um diretório federado estabelecido:

Editar configurações de sincronização

Um administrador do sistema pode atualizar as configurações da origem de sincronização após a configuração.Selecione Ir para Configurações na guia Configurações do diretório > Sincronização. As opções de configuração incluem:

• Permitir a edição de dados sincronizados no Admin Console: após o estabelecimento da sincronização do Microsoft Entra ID, todos os usuários e grupos criados por sincronização em um diretório passam a ser gerenciados automaticamente pelo sistema de sincronização. Depois que permitir a edição, você poderá editar os dados sincronizados no Admin Console por um breve período. As edições durante esse período não afetam as informações do usuário no Microsoft Entra ID, e as solicitações de alteração do provedor de identidade as substituem.

• Status da sincronização: indica que a sincronização deve rejeitar solicitações de alteração do Microsoft Entra ID. Quando o status da sincronização estiver desativado, as alterações no Microsoft Entra ID não serão enviadas para o Adobe Admin Console.
• Editar configuração de sincronização do usuário: redireciona você para as instruções de configuração para editar a sincronização do usuário. Utilize esta opção caso a caixa de diálogo seja fechada antes de você concluir a configuração ou caso seja necessário alterar as configurações no Microsoft Entra ID após a configuração inicial.

Desabilitar sincronização

Os administradores podem remover a sincronização de um diretório federado no Admin Console. A desabilitação da sincronização deixa o diretório e seus domínios, grupos de usuários e usuários associados intactos, bem como remove o modo somente leitura do diretório e seus usuários e grupos.

Para remover a sincronização de um diretório, selecione Ir para Configurações na guia Configurações do diretório > Sincronização e, em seguida, Remover sincronização. Isso remove definitivamente a configuração de sincronização do Admin Console. Se necessário, você pode restabelecer a sincronização com o mesmo diretório ou com um diretório diferente.

Desativar usuários e grupos

A configuração do Microsoft Entra ID Sync cria novas contas de usuário federadas e sincroniza os usuários com o Adobe Admin Console. Os administradores também podem revogar o acesso de usuários e grupos adicionados por meio da sincronização, utilizando estes três métodos no portal do Microsoft Azure:

• Remover o usuário de todos os grupos sincronizados no Microsoft Entra ID.
• Excluir temporariamente o usuário do Microsoft Entra ID.
• Remover todos os grupos dos quais o usuário faz parte do escopo de provisionamento no Microsoft Entra ID.

Essas três operações desabilitam os usuários no Adobe Admin Console. Um usuário desativado não consegue mais fazer logon e aparece como Desativado na lista Usuários do diretório. O Microsoft Entra ID Sync continua a gerenciar um usuário cujo acesso foi revogado por um desses métodos. Nem a conta do usuário nem os recursos armazenados na nuvem são removidos da organização.

Remover um usuário e os dados associados do Admin Console: selecione Ir para Configurações na guia Configurações do diretório > Sincronização e selecione Ativar edição. Em seguida, acesse Usuários > Diretório de usuários e selecione o usuário cuja conta você deseja excluir permanentemente.

Depois que a edição for ativada, você poderá editar os dados sincronizados por 1 hora antes que ela seja desativada automaticamente. Selecione Desabilitar edição imediatamente após remover um usuário, para que o Admin Console reflita as alterações do Microsoft Entra ID.

Política de quarentena

A Adobe e a Microsoft têm uma política de quarentena para lidar com várias chamadas de erro durante as operações de sincronização.

O serviço de provisionamento do Microsoft Entra ID monitora a integridade da sua configuração e coloca os aplicativos com problemas em um estado de quarentena. Se a maioria ou todas as chamadas ao sistema de destino falharem consistentemente devido a um erro, por exemplo, credenciais de administrador inválidas, a tarefa de provisionamento é marcada como em quarentena. Durante a quarentena, a frequência dos ciclos incrementais é gradualmente reduzida para uma vez por dia. A tarefa é removida da quarentena depois que todos os erros forem corrigidos e o próximo ciclo de sincronização for iniciado. Se a tarefa permanecer em quarentena por mais de quatro semanas, ela será desativada e deixará de ser executada. Saiba mais sobre o provisionamento no status de quarentena no Microsoft Entra ID.

O serviço da Adobe monitora de forma independente o desempenho da sincronização para detectar quando a taxa de erros ultrapassa um limite em um determinado período. Um número mínimo de solicitações de erro que atende ao limite aciona a quarentena temporária, que rejeita todas as chamadas e solicitações de atualização do Microsoft Entra ID por um tempo, após o qual as chamadas são aceitas novamente para nova tentativa de sincronização.Se as chamadas de erro persistirem, a sincronização é colocada em quarentena por um período prolongado. Se a Adobe iniciar a quarentena, isso pode levar a uma quarentena subsequente por parte da Microsoft devido às chamadas rejeitadas, que são contabilizadas nas taxas de erro do Microsoft Entra ID. A Adobe se reserva o direito de atualizar os parâmetros de quarentena com base em análises contínuas de dados.

Mensagens de erro comuns

Um conjunto de mensagens de erro comuns aparece quando você gerencia o Microsoft Entra ID Sync.Compreender a causa de cada mensagem ajuda na solução de problemas.Saiba mais sobre como monitorar sua implantação no Microsoft Entra ID.

Resolver problema de sincronização

Como o Adobe Admin Console utiliza o serviço de sincronização da Microsoft, todos os problemas de sincronização são resolvidos no Microsoft Entra ID. Consulte as instruções de configuração da Microsoft para resolver problemas comuns. Se não conseguir encontrar uma solução, entre em contato com o Suporte da Microsoft.Siga estas etapas para diagnosticar um problema de sincronização:

Gerenciar contas de usuários existentes

Etapas adicionais são necessárias para converter todos os usuários que não têm uma conta do tipo Federated ID para o tipo Federated ID.

Os usuários que já tiverem uma conta que não é do tipo Federated ID no Admin Console poderão ser migrados para uma conta do tipo Federated ID após o estabelecimento da sincronização do Microsoft Entra ID. Uma vez convertidas, o Microsoft Entra ID envia essas contas para o Adobe Admin Console.Para garantir que os ativos armazenados na nuvem sejam migrados para o novo tipo de identidade do usuário, siga estas etapas: