Añadir Microsoft Azure Sync a su directorio

Puede añadir Azure Sync a cualquier directorio de Adobe Admin Console para automatizar las operaciones de administración de usuarios. Azure Sync se sirve del protocolo SCIM para la administración de usuarios y le ofrece control sobre los usuarios y grupos que se remiten a Adobe. Los usuarios de Azure AD sincronizados con la Adobe Admin Console son únicos y pueden asignarse a uno o varios perfiles de productos.

Después de configurar Azure Sync, Azure AD comenzará a enviar datos a la Adobe Admin Console en función del aprovisionamiento de usuarios y grupos del directorio de Azure AD. Todos los detalles relativos al directorio aparecen en la sección Configuración de la Adobe Admin Console.

Ventajas de usar Azure Sync

Las principales ventajas del método de sincronización de Azure Sync con su directorio de Adobe Admin Console son las siguientes:

Requisitos previos

Para integrar la administración de usuarios de Adobe Admin Console con Azure AD, necesitará lo siguiente:

• Una cuenta de Microsoft Azure AD con los datos de usuarios y grupos
  
• Los productos de Adobe que pertenezcan a cualquiera de los siguientes servicios o planes: Creative Cloud para empresas, Document Cloud para empresas o Experience Cloud 
• Un directorio federado en la Adobe Admin Console con dominios verificados

Supuestos de integración contemplados

La configuración de directorios puede ser diferente según el caso y se pueden dar diferentes supuestos al configurar Azure Sync, lo que hace necesario realizar otros procedimientos para ello. Consulte la tabla para seguir los pasos según la configuración del directorio:

Observaciones antes de configurar la sincronización

Siga los siguientes puntos para ver las prácticas recomendadas y las recomendaciones de Adobe antes de configurar Azure Sync:

• Exporte la lista de usuarios existentes antes de añadir Azure Sync para llevar un registro de todas las cuentas de usuario y licencias suministradas cuando realice la configuración.
• Si ha configurado Azure AD SSO con Open ID Connect (OIDC), deberá añadir una nueva aplicación Adobe Identity Management en el portal de Microsoft Azure para configurar la sincronización de directorios.
• Si ha configurado Azure AD SSO con SAML, use la aplicación Adobe Identity Management existente para configurar la sincronización de directorios. Siga los pasos indicados en la documentación de Microsoft para configurar el aprovisionamiento automático de usuarios con la aplicación Adobe Identity Management.
• Azure Sync desvincula el correo electrónico del nombre de usuario, lo que permite a los usuarios utilizar valores de correo electrónico y nombre de usuario distintos para validar el inicio de sesión y acceder a los productos y servicios de Adobe, colaborar en proyectos, compartir archivos, etc.​ Siga los pasos de la documentación de Microsoft para personalizar la asignación de atributos de aprovisionamiento de usuarios.
• Si está integrando Azure Sync en un directorio que tenga usuarios Federated ID, verifique que su formato del campo de nombre de usuario coincida con el nombre principal de usuario (UPN) de Azure AD antes de ejecutar la sincronización inicial.
  Si estos valores no coinciden, en la Admin Console se considerará una nueva cuenta de usuario y se crearán registros duplicados para un solo usuario. Puede actualizar la asignación de atributos para asegurarse de que los valores transmitidos mediante la sincronización coincidan con los valores de los perfiles de usuario de Admin Console, que actualizará automáticamente sus cuentas en la siguiente sincronización.
• Azure Sync solo se puede establecer en una Admin Console que tenga al menos un directorio federado y una configuración de dominio. Si la Admin Console con Azure Sync (consola propietaria) mantiene una relación de confianza con otras Admin Consoles (consolas de confianza), los administradores deben usar otra forma de administración de usuarios, como la Herramienta de sincronización de usuarios, la API de organización de usuarios o la carga por lotes mediante CSV, para crear, administrar y otorgar licencias a los usuarios Federated ID.
  Para añadir usuarios a una consola de confianza para el aprovisionamiento de licencias, debe primero añadir el usuario a la consola propietaria.
• Si su organización utiliza la Herramienta de sincronización de usuarios o una integración de UMAPI, primero debe anular dicha integración. Tras esto, añada y active Azure Sync para automatizar las tareas de administración de usuarios a través de Azure AD. Podrá eliminar por completo la Herramienta de sincronización de usuarios o la integración de UMAPI una vez que Azure Sync se haya configurado y esté en funcionamiento.
• Su organización debe tener una suscripción Premium (P1 o P2) o a Microsoft 365 (E3 o A3) con Azure AD para usar las funcionalidades de asignación basada en grupos. Esto le permitirá elegir los grupos y usuarios específicos para sincronizarlos en la Adobe Admin Console.
  Las organizaciones que no tengan estas modalidades de suscripción solo podrán sincronizar a la vez todos los usuarios y grupos en la Adobe Admin Console. El sistema sincronizará todos los usuarios y grupos automáticamente y generará un Adobe Federated ID para los usuarios sincronizados. Consulte más información sobre los planes de suscripción de Azure AD y las opciones para actualizarlo.
• Para mover un dominio hacia o desde un directorio configurado con Azure Sync, primero debe habilitar las funciones de edición en el directorio temporalmente. Una vez habilitadas las funciones de edición, mueva el dominio deseado hacia o desde el directorio sincronizado con Azure AD antes de deshabilitarlas en el directorio.
• El sistema de sincronización de Azure no sincroniza usuarios de grupos con el atributo HiddenMembership en el Azure AD. Para sincronizar usuarios específicos, cree un grupo en Azure AD y copie los usuarios respectivos en el nuevo grupo.

Añadir Azure Sync a un directorio federado

Puede añadir Azure Sync a un directorio federado de Adobe Admin Console con los dominios necesarios vinculados a él. Para activar la sincronización en un directorio federado establecido, siga el procedimiento que se indica a continuación:

Editar ajustes de sincronización

Un administrador del sistema puede ajustar la configuración del Origen de sincronización al finalizar la configuración si elige Ir a configuración en la pestaña Configuración de directorio > Sincronizar. Entre las opciones de configuración se incluyen las siguientes:

Eliminar la sincronización

Los administradores tienen la capacidad de eliminar la sincronización de un directorio federado en la Admin Console. Tras quitar la sincronización, dejará intactos el directorio y sus dominios asociados, los grupos de usuarios y los usuarios y se anulará el modo de solo lectura del directorio y sus usuarios y grupos.

Para eliminar la sincronización de un directorio, elija Ir a configuración en la pestaña Configuración de directorio > Sincronizar y luego Quitar sincronización. Después de esta operación, se eliminará la configuración de la sincronización de la Admin Console. En caso necesario, se puede restablecer la sincronización con el mismo directorio o con uno diferente.

Deshabilitar usuarios y grupos

Al implementar Azure Sync, se crearán nuevas cuentas de usuario federadas y se sincronizarán los usuarios en la Adobe Admin Console. Los administradores también pueden retirar usuarios y grupos añadidos a través de Azure Sync por medio de los siguientes tres métodos (en el Portal de Microsoft Azure):

• Eliminar al usuario de todos los grupos sincronizados en Azure AD

• Eliminar temporalmente al usuario de Azure AD

• Eliminar todos los grupos a los que pertenece el usuario para que no se les aplique el aprovisionamiento en Azure AD

Estas tres operaciones hacen que se deshabiliten los usuarios en la Adobe Admin Console. Un usuario deshabilitado ya no podrá iniciar sesión y aparecerá como Desactivado en la lista de Usuarios del directorio. Azure Sync seguirá ocupándose de la administración del usuario que se retire mediante uno de estos métodos. Ni la cuenta del usuario ni los activos almacenados en la nube se eliminarán de la organización. 

Eliminar un usuario y sus datos asociados de la Admin Console: elija Ir a configuración en la pestaña Configuración de directorio > Sincronizar y haga clic en Habilitar edición. Luego, diríjase a Usuarios > Usuarios del directorio y escoja al usuario correspondiente en la lista para eliminar permanentemente la cuenta.

Una vez que las funciones de edición se habiliten, podrá modificar los datos sincronizados durante una hora antes de que se desactiven automáticamente. Le recomendamos que haga clic en Deshabilitar edición justo después de eliminar al usuario para garantizar que en la Admin Console se reflejen los cambios de Azure AD.

Política de cuarentena

Adobe y Microsoft cuentan con una política de cuarentena para gestionar un elevado número de llamadas de error durante las operaciones de sincronización. 

El servicio de aprovisionamiento de Azure AD supervisa el estado de su configuración y pone las aplicaciones con errores en un estado de “cuarentena”. Si la mayoría o todas las llamadas que lleguen al sistema de destino fallan constantemente a causa de un error, por ejemplo, las credenciales del administrador no son válidas, el proceso de aprovisionamiento pasará a estar en cuarentena. Mientras se encuentre en cuarentena, la frecuencia de los ciclos incrementales se reducirá poco a poco hasta llegar a una vez al día. El proceso de aprovisionamiento se eliminará de la cuarentena una vez que se subsanan todos los errores y comienza el siguiente ciclo de sincronización. Si el proceso de aprovisionamiento permanece en cuarentena durante más de cuatro semanas, este se anulará (dejará de ejecutarse). Obtenga más información sobre el aprovisionamiento de aplicaciones en estado de cuarentena en Azure AD.

El servicio de Adobe hace un seguimiento por su cuenta del estado de la sincronización para comprobar el momento en que el índice de error supera un límite concreto en un período de tiempo determinado. Si un número mínimo de solicitudes genera un error y llega a dicho límite, se activará una cuarentena temporal, trayendo consigo que se rechacen todas las llamadas y solicitudes de actualización de Azure AD durante un período de tiempo, tras el cual las llamadas volverán a aceptarse de nuevo para reiniciar la sincronización. En caso de que se sigan produciendo las llamadas de error, la sincronización pasará a una fase de pruebas provisional durante un intervalo prolongado de tiempo en cuarentena. Si Adobe activa la cuarentena, esto puede dar lugar a una cuarentena posterior en Azure debido a las llamadas rechazadas, que computarán de cara a los índices de error en Azure. Tenga en cuenta que Adobe se reserva el derecho a modificar los parámetros de activación de una cuarentena según el análisis de datos de cada momento. 

Mensajes de error habituales

Hay una serie de mensajes de error habituales que debe tener en cuenta a la hora de administrar Azure Sync a través de Azure AD. Si conoce la causa de los distintos mensajes de error, podrá solucionar los problemas cuando se produzcan dichos errores.

Obtenga más información sobre cómo supervisar su proceso de implementación en Azure AD.

Solucionar problemas de sincronización

Dado que la Adobe Admin Console usa el servicio de sincronización de Azure de Microsoft, todos los problemas de sincronización se resuelven en el ámbito de Azure AD. Consulte las instrucciones de configuración de Microsoft para solucionar ciertos problemas comunes. Si no consigue encontrar la solución, le recomendamos que se ponga en contacto con el servicio de asistencia de Microsoft para obtener ayuda.

Siga las instrucciones que se indican a continuación para diagnosticar un problema de sincronización:

Administrar cuentas de usuario existentes

Es necesario seguir otros pasos para hacer que todos los usuarios existentes con cuentas que no son Federated ID pasen a tener Federated ID.

Los usuarios que tengan una cuenta existente que no sea de tipo Federated ID en la Admin Console pueden migrar a una cuenta Federated ID una vez que se haya implementado Azure Sync. Tras realizar la conversión, Azure AD pasará estas cuentas a la Adobe Admin Console.

Para garantizar que todos los activos almacenados en la nube migren al nuevo tipo de identidad del usuario, siga el proceso que se indica a continuación:

Pasos siguientes

Una vez que haya añadido Azure Sync al directorio, todos los usuarios y grupos de usuarios se importarán a Adobe Admin Console y los cambios se aplicarán a intervalos regulares. Tras esto, debe dar permiso a los usuarios para que accedan a sus aplicaciones de Adobe designadas:

1. Crear y administrar perfiles de productos: cree perfiles de productos adecuados y vincúlelos a usuarios y grupos de usuarios para determinar quién puede usar determinadas aplicaciones y servicios de Adobe. Obtenga más información sobre cómo administrar productos y perfiles de producto.
2. Cuando se les asignan a los usuarios los productos designados, reciben una notificación por correo electrónico. Los usuarios pueden descargar e instalar la aplicación de escritorio de Creative Cloud directamente.
   Si los usuarios finales no tienen permisos de administrador, deberá crear e implementar los paquetes correspondientes.
3. Crear e implementar paquetes: para dar acceso a los usuarios finales a las aplicaciones, cree e implemente los paquetes de las aplicaciones en sus equipos. Los usuarios tendrán que iniciar sesión con sus credenciales de SSO para empezar a usar las aplicaciones y los servicios. Para obtener más información, consulte Crear paquetes de licencias de usuario designadas.

Si es el administrador de una institución, después de configurar la sincronización de Azure, le recomendamos que habilite la sincronización de funciones. Obtenga más información sobre la sincronización de funciones para el sector educativo.