Adicionar Microsoft Entra ID Sync ao diretório

Se o provedor de identidade for Microsoft Entra ID e você não tiver um diretório federado no Adobe Admin Console, configure a federação de uma destas maneiras:

• OpenID Connect (OIDC): crie um diretório federado em segundos via OIDC. A maior parte da configuração é feita no Adobe Admin Console.
• SSO com Microsoft Entra ID usando SAML: crie um diretório federado usando configuração SAML. A maior parte da configuração é feita no portal Microsoft Azure.
• Se você tiver um diretório federado funcionando, poderá adicionar o recurso de sincronização sobre a configuração existente.
• Você não pode gerenciar usuários manualmente ou com outros métodos de sincronização depois de configurar o Microsoft Entra ID Sync para um diretório. Consulte as observações antes da sincronização e perguntas comuns para saber mais.

Visão geral

Adicione o Microsoft Entra ID Sync (antigo Azure Sync) a qualquer diretório no Adobe Admin Console para automatizar o gerenciamento de usuários. Ele usa o protocolo SCIM e oferece controle sobre os usuários e grupos enviados para a Adobe. Os usuários do Microsoft Entra ID sincronizados com o Adobe Admin Console são únicos e podem ser atribuídos a um ou mais perfis de produto.

Depois de configurar o Microsoft Entra ID Sync, o Microsoft Entra ID envia dados para o Adobe Admin Console com base no provisionamento de usuários e grupos do diretório. Os detalhes do diretório aparecem na seção Configurações do Adobe Admin Console.

Benefícios do Microsoft Entra ID Sync

As principais vantagens do Microsoft Entra ID Sync com o diretório no Adobe Admin Console são:

• Gerencie tudo no Microsoft Entra ID.
• Controle quais dados são enviados para a Adobe.
• Evite configurar outro serviço ou API.
• Personalize o mapeamento de atributos de usuário do Microsoft Entra ID.
• Adicione sincronização a diretórios configurados anteriormente.
• Adicione sincronização a diretórios configurados para qualquer provedor de identidade.
• Integre e remova usuários facilmente usando o Microsoft Entra ID.

Pré-requisitos

Para integrar o gerenciamento de usuários do Adobe Admin Console com o Microsoft Entra ID, você precisa de:

• Uma conta do Microsoft Entra ID com dados de usuário e grupo.
• Produtos Adobe que pertencem ao Creative Cloud para corporações, Document Cloud para corporações ou Experience Cloud.
• Um diretório federado no Adobe Admin Console com domínios verificados.

Cenários de integração compatíveis

As configurações de diretório diferem e a Sincronização do Microsoft Entra ID oferece suporte a cenários variados que precisam de etapas extras.Use esta tabela para seguir as etapas da sua configuração:

Observações antes de configurar a sincronização

Siga essas práticas recomendadas e recomendações da Adobe antes de configurar a Sincronização do Microsoft Entra ID:

• Exporte a lista de usuários existentes antes de adicionar a sincronização, para manter um registro de todas as contas de usuário e licenças provisionadas.
• Se você configurar o SSO do Microsoft Entra ID com OpenID Connect (OIDC), adicione um novo aplicativo Adobe Identity Management no portal do Microsoft Azure para configurar a sincronização de diretórios.
• Se você configurar o SSO do Microsoft Entra ID com SAML, use o aplicativo Adobe Identity Management existente para configurar a sincronização de diretórios.Siga as etapas no documento da Microsoft para configurar o provisionamento automático de usuários.
• A Sincronização do Microsoft Entra ID desacopla email do nome de usuário.Os usuários podem usar um email e nome de usuário diferentes para validar o login e acessar produtos e serviços da Adobe.Siga as etapas no documento da Microsoft para personalizar o mapeamento de atributos do provisionamento de usuários.
• Se você integrar a sincronização com um diretório que tem usuários com Federated ID, verifique se o formato do campo de nome de usuário corresponde ao nome principal do usuário (UPN) no Microsoft Entra ID antes da sincronização inicial.Se esses valores não corresponderem, o Admin Console tratará isso como uma nova conta e criará registros duplicados.Atualize o mapeamento de atributos para que os valores sincronizados correspondam aos perfis de usuário do Admin Console, o que atualiza as contas na próxima sincronização.
• A sincronização do Microsoft Entra ID precisa de um Admin Console com pelo menos um diretório e um domínio federados.Se o Admin Console com sincronização (Console proprietário) estiver em uma relação de confiança com outros Admin Consoles (Consoles confiáveis), os confiáveis devem usar outro método, como a Ferramenta de sincronização de usuário, a API de gerenciamento de usuário ou o upload de CSV em massa, para criar, gerenciar e licenciar usuários de ID federado. Para adicionar um usuário a um Console confiável para provisionamento de licença, primeiro adicione o usuário ao Console proprietário.
• Se a organização usar a Ferramenta de sincronização de usuário ou uma integração da API de gerenciamento de usuário, primeiro pause a integração. Em seguida, adicione a Sincronização do Microsoft Entra ID para automatizar o gerenciamento de usuários do Microsoft Entra ID.Após a configuração e execução da sincronização, é possível remover a integração da ferramenta de sincronização de usuário ou da API de gerenciamento de usuário.
• A organização deve ter uma assinatura Premium (P1 ou P2) ou Microsoft 365 (E3 ou A3) com Microsoft Entra ID para usar atribuição baseada em grupo.Isso permite escolher grupos e usuários específicos para sincronizar com o Adobe Admin Console. Organizações sem esses níveis de assinatura podem sincronizar todos os usuários e grupos de uma só vez. O sistema sincroniza todos os usuários e grupos automaticamente e gera um Adobe Federated ID para os usuários sincronizados.
• Para mover um domínio para ou de um diretório configurado com sincronização, primeiro habilite a edição para o diretório temporariamente. Mova o domínio e depois desabilite a edição.
• A sincronização do Microsoft Entra ID não sincroniza usuários de grupos com o atributo HiddenMembership. Para sincronizar usuários específicos, crie um grupo no Microsoft Entra ID e copie os usuários para o novo grupo.

Adicionar sincronização do Microsoft Entra ID a um diretório federado

Adicione a sincronização do Microsoft Entra ID a um diretório federado do Adobe Admin Console que tenha os domínios necessários vinculados. Para adicionar sincronização a um diretório federado estabelecido:

Editar configurações de sincronização

Um administrador do sistema pode atualizar as configurações da origem da sincronização após a configuração. Selecione Ir para configurações na guia Configurações do diretório > Sincronizar. As opções de configuração incluem:

• Permitir edição de dados sincronizados no Admin Console: após a sincronização do Microsoft Entra ID ser estabelecida, todos os usuários e grupos criados por sincronização em um diretório ficam automaticamente sob gerenciamento de sincronização. Depois que permitir a edição, você poderá editar os dados sincronizados no Admin Console por um breve período. Edições durante esse período não afetam as informações do usuário no Microsoft Entra ID, e solicitações de alteração do provedor de identidade as substituem.

• Status de sincronização: instrui a sincronização a rejeitar solicitações de alteração do Microsoft Entra ID. Quando o status de sincronização está desativado, as alterações no Microsoft Entra ID não são enviadas para o Adobe Admin Console.
• Editar configuração de sincronização do usuário: redireciona você para as instruções de configuração para editar a sincronização do usuário. Use isso se a caixa de diálogo fechar antes de você concluir a configuração ou se precisar alterar configurações no Microsoft Entra ID após a configuração inicial.

Desabilitar sincronização

Os administradores podem remover a sincronização de um diretório federado no Admin Console. A desabilitação da sincronização deixa o diretório e seus domínios, grupos de usuários e usuários associados intactos, bem como remove o modo somente leitura do diretório e seus usuários e grupos.

Para remover a sincronização de um diretório, selecione Ir para configurações na guia Configurações do diretório > Sincronizar, depois Remover sincronização. Isso remove permanentemente a configuração de sincronização do Admin Console. Se necessário, você pode restabelecer a sincronização com o mesmo diretório ou com um diretório diferente.

Desativar usuários e grupos

A configuração do Microsoft Entra ID Sync cria novas contas de usuário federadas e sincroniza usuários para o Adobe Admin Console. Os administradores também podem desprovisionar usuários e grupos adicionados por meio da sincronização, usando estes três métodos no portal do Microsoft Azure:

• Remover o usuário de todos os grupos sincronizados no Microsoft Entra ID.
• Excluir temporariamente o usuário do Microsoft Entra ID.
• Remover todos os grupos dos quais o usuário faz parte do escopo de provisionamento no Microsoft Entra ID.

Essas três operações desabilitam os usuários no Adobe Admin Console. Um usuário desabilitado não pode mais fazer logon e aparece como Desabilitado na lista Usuários do diretório. O Microsoft Entra ID Sync continua a gerenciar um usuário que foi desprovisionado por um desses métodos. Nem a conta do usuário nem os ativos armazenados na nuvem são removidos da organização.

Remover um usuário e dados associados do Admin Console: selecione Ir para configurações na guia Configurações do diretório > Sync e selecione Habilitar edição. Em seguida, vá para Usuários > Usuários do diretório e escolha o usuário para excluir permanentemente a conta.

Depois que a edição for habilitada, você pode editar dados sincronizados por 1 hora antes de ser desabilitada automaticamente. Selecione Desabilitar edição imediatamente após remover um usuário, para que o Admin Console reflita as alterações do Microsoft Entra ID.

Política de quarentena

A Adobe e a Microsoft têm uma política de quarentena para lidar com várias chamadas de erro durante as operações de sincronização.

O serviço de provisionamento do Microsoft Entra ID monitora a integridade da sua configuração e coloca aplicativos com problemas em um estado de quarentena.Se a maioria ou todas as chamadas para o sistema de destino falharem consistentemente por causa de um erro, por exemplo, credenciais de administrador inválidas, o trabalho de provisionamento é marcado como em quarentena. Durante a quarentena, a frequência dos ciclos incrementais é gradualmente reduzida para uma vez por dia. O trabalho é removido da quarentena após todos os erros serem corrigidos e o próximo ciclo de sincronização começar. Se o trabalho permanecer em quarentena por mais de quatro semanas, ele será desabilitado e parará de ser executado. Saiba mais sobre provisionamento em status de quarentena dentro do Microsoft Entra ID.

O serviço da Adobe monitora de forma independente a integridade da sincronização para detectar quando a taxa de erro ultrapassa um limite em um período definido.Um número mínimo de solicitações de erro que atende ao limite aciona quarentena temporária, que rejeita todas as chamadas e solicitações de atualização do Microsoft Entra ID por um tempo, após o qual as chamadas são aceitas novamente para nova tentativa de sincronização. Se as chamadas de erro persistirem, a sincronização será colocada em suspensão temporária por um tempo prolongado em quarentena.Se a Adobe iniciar a quarentena, isso pode levar a uma quarentena subsequente com a Microsoft por causa das chamadas rejeitadas, que contam para as taxas de erro no Microsoft Entra ID. A Adobe se reserva o direito de atualizar os parâmetros de quarentena com base na análise de dados em andamento.

Mensagens de erro comuns

Um conjunto de mensagens de erro comuns aparece quando você gerencia o Microsoft Entra ID Sync. Compreender a causa de cada mensagem ajuda na solução de problemas. Saiba mais sobre o monitoramento da sua implantação no Microsoft Entra ID.

Resolver problema de sincronização

Como o Admin Console da Adobe usa o serviço de sincronização da Microsoft, todos os problemas de sincronização são solucionados no Microsoft Entra ID. Consulte as instruções de configuração da Microsoft para resolver problemas comuns. Se não conseguir encontrar uma solução, entre em contato com o Suporte da Microsoft. Siga estas etapas para diagnosticar um problema de sincronização:

Gerenciar contas de usuários existentes

Etapas adicionais são necessárias para converter todos os usuários que não têm uma conta do tipo Federated ID para o tipo Federated ID.

Usuários com uma conta de ID não federada existente no Admin Console podem ser migrados para uma conta de ID federada após o estabelecimento da sincronização do Microsoft Entra ID. Após a conversão, o Microsoft Entra ID envia essas contas para o Adobe Admin Console.Para garantir que os ativos armazenados na nuvem sejam migrados para o novo tipo de identidade do usuário, siga estas etapas: