Füge Microsoft Entra ID Sync zu deinem Verzeichnis hinzu

Wenn dein Identitätsanbieter „Microsoft Entra ID“ ist und du in der Adobe Admin Console noch kein Verbundverzeichnis hast, richte den Verbund auf eine der folgenden Arten ein:

• OpenID Connect (OIDC): Erstelle in Sekundenschnelle ein Verbundverzeichnis über OIDC.Der größte Teil der Einrichtung erfolgt in der Adobe Admin Console.
• SSO mit Microsoft Entra ID über SAML: Erstelle ein Verbundverzeichnis mithilfe von SAML-Einrichtung.Der größte Teil des Setups erfolgt im Microsoft Azure-Portal.
• Wenn du über ein funktionierendes Verbundverzeichnis verfügst, kannst du die Synchronisationsfunktion zusätzlich zum bestehenden Setup hinzufügen.
• Du kannst Benutzer nicht manuell oder mit anderen Synchronisierungsmethoden verwalten, sobald du Microsoft Entra ID Sync für ein Verzeichnis eingerichtet hast. Weitere Informationen finden Sie unter Hinweise vor der Synchronisationskonfiguration und Häufige Fragen.

Übersicht

Füge „Microsoft Entra ID Sync“ (früher „Azure Sync“) zu einem beliebigen Verzeichnis in der Adobe Admin Console hinzu, um die Benutzerverwaltung zu automatisieren.Es verwendet das SCIM-Protokoll und gibt dir die Kontrolle über die Benutzer und Gruppen, die an Adobe gesendet werden. Microsoft Entra ID-Benutzer, die mit der Adobe Admin Console synchronisiert sind, sind eindeutig und können einem oder mehreren Produktprofilen zugewiesen werden.

Nachdem du Microsoft Entra ID Sync eingerichtet hast, sendet Microsoft Entra ID Daten an die Adobe Admin Console basierend auf der Benutzer- und Gruppenbereitstellung des Verzeichnisses. Die Verzeichnisdetails werden im Abschnitt Einstellungen der Adobe Admin Console angezeigt.

Vorteile von Microsoft Entra ID Sync

Die wichtigsten Vorteile von Microsoft Entra ID Sync mit deinem Verzeichnis in der Adobe Admin Console sind:

• Verwalte alles in Microsoft Entra ID.
• Bestimme, welche Daten an Adobe gesendet werden.
• Vermeide die Einrichtung eines weiteren Dienstes oder einer API.
• Passe die Microsoft Entra ID-Benutzerattribut-Zuordnung an.
• Füge die Synchronisierung zu zuvor konfigurierten Verzeichnissen hinzu.
• Füge die Synchronisierung zu Verzeichnissen hinzu, die für einen beliebigen Identitätsanbieter eingerichtet wurden.
• Integriere und entferne Benutzer ganz einfach mit Microsoft Entra ID.

Voraussetzungen

Um die Adobe Admin Console-Benutzerverwaltung mit Microsoft Entra ID zu integrieren, benötigst du:

• Ein Microsoft Entra ID-Konto mit Benutzer- und Gruppendaten.
• Adobe-Produkte, die zu Creative Cloud für Unternehmen, Document Cloud für Unternehmen oder Experience Cloud gehören.
• Ein Verbundverzeichnis in der Adobe Admin Console mit bestätigten Domänen.

Unterstützte Integrationsszenarien

Verzeichnis-Setups unterscheiden sich, und Microsoft Entra ID Sync unterstützt verschiedene Szenarien, die zusätzliche Schritte erfordern. Nutze diese Tabelle, um die Schritte für deine Konfiguration zu befolgen:

Hinweise vor der Synchronisationskonfiguration

Befolge diese Best Practices und die Empfehlungen von Adobe, bevor du Microsoft Entra ID Sync einrichtest:

• Exportiere die Liste der bestehenden Benutzer, bevor du die Synchronisierung einrichtest, um einen Überblick über alle Benutzerkonten und bereitgestellten Lizenzen zu behalten.
• Ob du OIDC oder SAML für Microsoft Entra ID Single Sign-on verwendest, konfiguriere die Verzeichnissynchronisation mit deiner bestehenden Adobe Identity Management-Anwendung.Befolge die Schritte im Microsoft-Dokument, um die automatische Benutzerbereitstellung zu konfigurieren.
• Microsoft Entra ID Sync entkoppelt E-Mail vom Benutzernamen. Benutzer können eine andere E-Mail-Adresse und einen anderen Benutzernamen verwenden, um sich anzumelden und auf Adobe-Produkte und -Dienste zuzugreifen.Befolge die Schritte im Microsoft-Dokument, um die Zuordnung der Attribute für die Benutzerbereitstellung anzupassen.
• Wenn du die Synchronisierung mit einem Verzeichnis integrierst, das Benutzer mit Federated ID enthält, überprüfe vor der ersten Synchronisierung, ob das Format des Benutzernamenfelds mit dem User Principal Name (UPN) in Microsoft Entra ID übereinstimmt.Wenn diese Werte nicht übereinstimmen, behandelt die Admin Console dies als neues Konto und erstellt doppelte Datensätze. Aktualisiere die Attributzuordnung, damit die synchronisierten Werte mit den Benutzerprofilen in der Admin Console übereinstimmen. Dadurch werden die Konten bei der nächsten Synchronisierung aktualisiert.
• Microsoft Entra ID Sync benötigt eine Admin Console mit mindestens einem Verbundverzeichnis und einer Domain. Wenn die Admin Console mit Synchronisierung (eigene Konsole) in einer Vertrauensbeziehung zu anderen Admin-Konsolen (Vertrauenskonsolen) steht, müssen die Vertrauenskonsolen eine andere Methode verwenden, wie zum Beispiel das Benutzer-Synchronisationstool, die Benutzerverwaltungs-API oder den CSV-Massen-Upload nutzen, um Verbund-ID-Benutzer anzulegen, zu verwalten und zu lizenzieren.Um einen Benutzer zur Bevollmächtigten-Konsole für die Lizenzvergabe hinzuzufügen, füge den Benutzer zunächst zur zugehörigen Konsole hinzu.
• Falls deine Organisation das User Sync Tool oder eine Benutzerverwaltungs-API nutzt, setze die Integration zunächst aus.Füge dann Microsoft Entra ID Sync hinzu, um die Benutzerverwaltung von Microsoft Entra ID zu automatisieren. Nachdem Sync konfiguriert wurde und ausgeführt wird, können Sie das Benutzer-Synchronisationstool bzw. die User Management API-Integration entfernen.
• Ihre Organisation muss über ein Premium- (P1 oder P2) oder Microsoft 365-Abonnement (E3 oder A3) mit Microsoft Entra ID verfügen, um gruppenbasierte Zuweisung verwenden zu können. Du kannst bestimmte Gruppen und Benutzende auswählen, die mit der Adobe Admin Console synchronisiert werden sollen. Organisationen ohne diese Abonnementstufen können nur alle Benutzer und Gruppen gleichzeitig synchronisieren. Das System synchronisiert alle Benutzer und Gruppen automatisch und generiert eine Adobe Federated ID für die synchronisierten Benutzer.
• Um eine Domain in oder aus einem Verzeichnis zu verschieben, das mit Sync eingerichtet wurde, müssen Sie zunächst die Bearbeitung für das Verzeichnis vorübergehend aktivieren. Verschiebe die Domain und deaktiviere dann die Bearbeitung.
• Die Microsoft Entra ID-Synchronisation synchronisiert keine Benutzer mit dem HiddenMembership-Attribut. Erstellen Sie zum Synchronisieren bestimmter Benutzer eine Gruppe in Microsoft Entra ID und kopieren Sie die Benutzer in die neue Gruppe.

Füge Microsoft Entra ID Sync zu einem Verbundverzeichnis hinzu

Füge Microsoft Entra ID Sync zu einem Verbundsverzeichnis im Adobe Admin Console hinzu, dem die erforderlichen Domänen zugeordnet sind. So fügst du die Synchronisierung zu einem bestehenden Verbundsverzeichnis hinzu:

Synchronisationseinstellungen bearbeiten

Ein Systemadministrator kann die Einstellungen für die Synchronisierungsquelle nach der Einrichtung aktualisieren. Wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren. Folgende Einstellungsoptionen sind verfügbar:

• Bearbeitung synchronisierter Daten in der Admin Console aktivieren: Nach der Einrichtung von Microsoft Entra ID Sync werden alle Benutzer und über die Synchronisation erstellten Gruppen in einem Verzeichnis automatisch der Synchronisationsverwaltung unterstellt. Nachdem Sie die Bearbeitung aktiviert haben, können Sie synchronisierte Daten für kurze Zeit in der Admin Console bearbeiten. Änderungen während dieser Zeit beeinflussen die User-Informationen in Microsoft Entra ID nicht, und Änderungsanfragen von deinem Identitätsanbieter überschreiben sie.

• Synchronisationsstatus: Weist die Synchronisation an, Änderungsanforderungen von Microsoft Entra ID abzulehnen. Sobald der Synchronisationsstatus aus ist, werden keine Änderungen in Microsoft Entra ID mehr an die Adobe Admin Console übertragen.
• Benutzersynchronisationskonfiguration bearbeiten: Leitet dich zu den Konfigurationsanweisungen zum Bearbeiten der Benutzersynchronisation weiter. Verwende diese Option, wenn der Dialog vor Abschluss der Einrichtung geschlossen wurde oder wenn du nach der Erstkonfiguration Änderungen in Microsoft Entra ID vornehmen musst.

Synchronisation entfernen

Administratoren können die Synchronisation aus einem Verbundverzeichnis in der Admin Console entfernen. Beim Entfernen der Synchronisation bleiben das Verzeichnis und die zugehörigen Domänen, Benutzergruppen und Benutzer intakt. Der Schreibschutzmodus für das Verzeichnis und dessen Benutzer und Gruppen wird entfernt.

Um die Synchronisation aus einem Verzeichnis zu entfernen, wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und dann Synchronisation entfernen. Durch diese Aktion wird die Einrichtung der Synchronisation endgültig aus der Admin Console entfernt. Bei Bedarf können Sie die Synchronisation mit demselben oder einem anderen Verzeichnis wiederherstellen.

Benutzer und Gruppen deaktivieren

Durch die Einrichtung von Microsoft Entra ID Sync werden neue Verbundbenutzererkonten erstellt und Benutzer mit der Adobe Admin Console synchronisiert. Administratoren können die Bereitstellung von Benutzern und Gruppen, die über Sync hinzugefügt wurden, und zwar über die folgenden drei Verfahren (im Microsoft Azure-Portal) aufheben:

• Entferne den Benutzer aus allen synchronisierten Gruppen in Microsoft Entra ID.
• Den Benutzer vorläufig aus Microsoft Entra ID löschen.
• Entferne alle Gruppen, denen der Benutzer angehört, aus dem Anwendungsbereich der Bereitstellung in Microsoft Entra ID.

Diese drei Vorgänge deaktivieren Benutzende in der Adobe Admin Console. Ein deaktivierter Benutzer kann sich nicht mehr anmelden und wird in der Liste Verzeichnisbenutzer als Deaktiviert aufgeführt. Ein Anwender, dessen Bereitstellung mit einem dieser Verfahren aufgehoben wurde, wird weiterhin von Microsoft Entra ID Sync verwaltet. Weder das Benutzerkonto noch in der Cloud gespeicherte Assets werden aus der Organisation entfernt.

Entfernen Sie einen Benutzer und zugehörige Daten aus der Admin Console: Wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und klicken Sie auf Bearbeitung aktivieren. Navigieren Sie dann zu Benutzer > Verzeichnisbenutzer und wählen Sie den Benutzer in der Liste aus, um das Konto endgültig zu löschen.

Sobald die Bearbeitung aktiviert ist, können die synchronisierten Daten 1 Stunde lang bearbeitet werden, bevor sie automatisch deaktiviert wird. Wähle Bearbeitung deaktivieren sofort nach dem Entfernen eines Benutzers aus, damit die Microsoft Entra ID-Änderungen in der Admin Console widergespiegelt werden.

Quarantänerichtlinie

Adobe und Microsoft verfügen über eine Quarantänerichtlinie, mit der zahlreiche Fehleraufrufe während der Synchronisation verarbeitet werden.

Der Microsoft Entra ID-Bereitstellungs-Service überwacht den Zustand deiner Konfiguration und versetzt fehlerhafte Programme in den Quarantänestatus. Wenn die meisten oder alle Aufrufe des Zielsystems aufgrund eines Fehlers, z. B. ungültiger Administratoranmeldeinformationen, durchgehend fehlschlagen, wird der Bereitstellungsauftrag als „In Quarantäne“ gekennzeichnet. Während er sich in Quarantäne befindet, wird die Frequenz inkrementeller Zyklen schrittweise auf einmal pro Tag reduziert. Der Auftrag wird aus der Quarantäne entfernt, nachdem alle Fehler behoben wurden und der nächste Synchronisationszyklus gestartet wurde. Wenn der Auftrag länger als vier Wochen in Quarantäne bleibt, wird er deaktiviert und nicht mehr ausgeführt. Weitere Informationen zur Bereitstellung mit dem Status „In Quarantäne“ in Microsoft Entra ID.

Der Adobe-Service überwacht den Synchronisationszustand unabhängig, um zu ermitteln, ob die Fehlerrate in einem festgelegten Zeitraum einen Schwellenwert überschreitet. Wenn eine Mindestanzahl von Fehleranfragen den Schwellenwert erreicht, wird eine temporäre Quarantäne ausgelöst, die alle Aufrufe und Aktualisierungsanfragen von Microsoft Entra ID für eine bestimmte Zeit ablehnt. Danach werden Aufrufe wieder für einen erneuten Synchronisierungsversuch akzeptiert.Wenn weiterhin Fehleraufrufe auftreten, wird die Synchronisation für einen längeren Zeitraum in Quarantäne gestellt. Wenn Adobe die Quarantäne veranlasst, kann dies aufgrund der abgelehnten Aufrufe, die auf die Fehlerraten in Microsoft Entra ID angerechnet werden, auch zu einer nachfolgenden Quarantäne bei Microsoft führen. Adobe behält sich das Recht vor, die Quarantäneparameter auf Grundlage laufender Datenanalysen zu aktualisieren.

Häufige Fehlermeldungen

Eine Reihe gängiger Fehlermeldungen erscheint, wenn du Microsoft Entra ID Sync verwaltest. Das Verständnis der Ursache jeder Meldung hilft bei der Fehlerbehebung. Weitere Informationen zur Überwachung der Bereitstellung in Microsoft Entra ID.

Synchronisationsprobleme beheben

Da die Adobe Admin Console den Microsoft-Snchronisationsdienst von Microsoft verwendet, werden alle Synchronisationsprobleme in Microsoft Entra ID behoben. In den Konfigurationsanweisungen von Microsoft finden Sie Hinweise zur Lösung einiger häufiger Probleme. Wenn du keine Lösung finden kannst, wende dich an den Microsoft Support. Folge diesen Schritten, um ein Synchronisierungsproblem zu diagnostizieren:

Vorhandene Benutzerkonten verwalten

Zusätzliche Schritte sind erforderlich, um alle bestehenden Benutzer ohne Federated ID in den Typ Federated ID zu konvertieren.

Benutzer in der Admin Console mit einem bestehenden Konto ohne Federated ID können zu einem Federated ID-Konto migriert werden, nachdem Microsoft Entra ID Sync eingerichtet wurde. Nach der Konvertierung überträgt Microsoft Entra ID diese Konten an die Adobe Admin Console.Um sicherzustellen, dass in der Cloud gespeicherte Assets zur neuen Identitätsart des Benutzers migriert werden, folge diesen Schritten: