向目录添加 Microsoft Entra ID 同步

如果您的身份提供程序是 Microsoft Entra ID，并且您在 Adobe Admin Console 中没有联合目录，请通过以下任一方式设置联合：

• OpenID Connect (OIDC)：通过 OIDC，只需短短几秒即可创建联合目录。大部分设置都在 Adobe Admin Console 中。
• 使用 SAML 通过 Microsoft Entra ID 进行单点登录：使用 SAML 设置创建联合目录。大部分设置都在 Microsoft Azure 门户中。
• 如果有正常运行的联合目录，则可在现有设置的基础上添加同步功能。
• 为目录设置 Microsoft Entra ID 同步后，您无法手动管理用户或使用其他同步方法。请参阅同步前的注意事项和常见问题以了解详情。

概述

将 Microsoft Entra ID 同步（以前称为 Azure 同步）添加到 Adobe Admin Console 中的任意目录，以实现用户管理自动化。它使用 SCIM 协议，允许您控制发送到 Adobe 的用户和组。与 Adobe Admin Console 同步的 Microsoft Entra ID 用户是唯一的，可以分配给一个或多个产品配置。

设置 Microsoft Entra ID 同步后，Microsoft Entra ID 会根据目录的用户和组预配向 Adobe Admin Console 发送数据。目录详细信息显示在 Adobe Admin Console 的设置部分中。

Microsoft Entra ID 同步的优势

将 Microsoft Entra ID 同步与 Adobe Admin Console 中的目录配合使用的主要优势包括：

• 在 Microsoft Entra ID 中管理一切。
• 可以控制将哪些数据发送给 Adobe。
• 避免设置其他服务或 API。
• 自定义 Microsoft Entra ID 用户属性映射。
• 可以将同步功能添加到以前配置的目录中。
• 可以将同步功能添加到为任何身份提供程序设置的目录中.
• 使用 Microsoft Entra ID 轻松管理用户的入职和离职。

先决条件

要将 Adobe Admin Console 用户管理与 Microsoft Entra ID 集成，您需要：

• 包含用户和组数据的 Microsoft Entra ID 帐户。
• 属于 Creative Cloud 企业版、Document Cloud 企业版或 Experience Cloud 的 Adobe 产品。
• Adobe Admin Console 中包含已验证域的联合目录。

支持的集成场景

目录设置有所不同，Microsoft Entra ID 同步支持需要额外步骤的各种情况。使用此表按照适用于您的设置的步骤进行操作：

进行同步配置前的注意事项

在设置 Microsoft Entra ID 同步之前，请遵循以下最佳做法和 Adobe 建议：

• 在添加同步之前，导出现有用户列表，以记录所有用户帐户和已预配的许可证。
• 无论您是使用 OIDC 还是 SAML 进行 Microsoft Entra ID 单点登录，都使用现有的 Adobe Identity Management 应用程序配置目录同步。按照 Microsoft 文档中的步骤配置自动用户预配。
• Microsoft Entra ID 同步将电子邮件与用户名分离。用户可以使用不同的电子邮件和用户名来验证登录，并访问 Adobe 产品和服务。按照 Microsoft 文档中的步骤自定义用户预配属性映射。
• 如果要将同步集成到具有 Federated ID 用户的目录中，请在首次同步前验证其用户名字段格式是否与 Microsoft Entra ID 中的用户主体名称 (UPN) 匹配。如果这些值不匹配，则 Admin Console 会将其视为新帐户，并创建重复记录。更新属性映射，使同步的值与 Admin Console 用户配置文件匹配，这会在下次同步时更新帐户。
• Microsoft Entra ID 同步需要具有至少一个联合目录和域的 Admin Console。如果具有同步功能的 Admin Console（所有者控制台）与其他 Admin Console（受托人控制台）建立了信任关系，则受托人必须使用其他方法（例如用户同步工具、用户管理 API 或批量 CSV 上传）来创建、管理 Federated ID 用户并为其分配许可证。要将用户添加到受托人控制台以进行许可证预配，必须先将该用户添加到所有者控制台。
• 如果您的组织使用的是用户同步工具或用户管理 API 集成，请先暂停该集成。然后添加 Microsoft Entra ID 同步以从 Microsoft Entra ID 自动管理用户。在配置并运行同步之后，您可以移除用户同步工具或用户管理 API 集成。
• 您的组织必须拥有 Microsoft Entra ID 的 Premium（P1 或 P2）或 Microsoft 365（E3 或 A3）订阅，才能使用基于组的分配功能。它允许您选择要同步到 Adobe Admin Console 的特定组和用户。没有这些订阅级别的组织只能一次性同步所有用户和组。系统会自动同步所有用户和组，并为已同步的用户生成 Adobe Federated ID。
• 要将域移入或移出已设置同步的目录，必须先暂时为该目录启用编辑。移动域，然后禁用编辑。
• Microsoft Entra ID 同步不会从具有 HiddenMembership 属性的组中同步用户。要同步特定用户，请在 Microsoft Entra ID 中创建一个组，然后将这些用户复制到该新组中。

向联合目录添加 Microsoft Entra ID 同步

将 Microsoft Entra ID 同步添加到已关联所需域的 Adobe Admin Console 联合目录中。要将同步添加到已建立的联合目录：

编辑同步设置

系统管理员可以在设置后更新同步来源的设置。从目录设置 > 同步选项卡中，选择转到设置。设置选项包括：

• 允许在 Admin Console 中编辑同步数据：建立 Microsoft Entra ID 同步后，目录中的所有用户以及通过同步创建的组都将自动归入同步管理。启用编辑后，可短暂地在 Admin Console 中编辑所同步的数据。 此期间的编辑不会影响 Microsoft Entra ID 中的用户信息，来自身份提供商的更改请求会覆盖这些编辑。

• 同步状态：指示同步拒绝来自 Microsoft Entra ID 的更改请求。一旦同步状态为“关闭”，Microsoft Entra ID 中的更改将不会推送到 Adobe Admin Console。
• 编辑用户同步配置：将您重定向到配置说明以便您编辑用户同步。 如果在完成设置之前对话框已关闭，或者在初始配置后必须在 Microsoft Entra ID 中更改设置，请使用此项。

删除同步

管理员可以从 Admin Console 的联合目录中删除同步。删除同步将目录及其关联的域、用户组和用户保持不变，并从目录及其用户和组中删除只读模式。

要从目录中删除同步，请从目录设置 > 同步选项卡中选择转到设置，然后选择删除同步。此操作将从 Admin Console 中永久删除同步设置。如果需要，您可以与同一目录或不同目录重新建立同步。

禁用用户和用户组

设置 Microsoft Entra ID 同步将创建新的联合用户帐户，并将用户同步到 Adobe Admin Console。管理员还可以在 Microsoft Azure 门户中使用以下三种方法，取消预配通过同步添加的用户和组：

• 从 Microsoft Entra ID 中的所有已同步组中移除该用户。
• 从 Microsoft Entra ID 中软删除该用户。
• 从 Microsoft Entra ID 的预配范围中删除该用户所属的所有组。

这三项操作将在 Adobe Admin Console 中禁用用户。 已禁用的用户将无法再登录，并在目录用户列表中显示为已禁用。Microsoft Entra ID 同步会继续管理已通过上述任一方法取消预配的用户。用户的帐户和云端存储的资产均不会从组织中删除。

从 Admin Console 中删除用户和关联数据：从目录设置 > 同步选项卡中选择转到设置，然后选择启用编辑。然后转到用户 > 目录用户，选择该用户以永久删除其帐户。

启用编辑后，您可以在 1 小时内编辑已同步的数据，之后该功能将自动禁用。在移除用户后立即选择禁用编辑，以便 Admin Console 反映 Microsoft Entra ID 的更改。

隔离策略

Adobe 和 Microsoft 制定了一项隔离策略以处理同步操作期间产生的大量错误调用。

Microsoft Entra ID 预配服务会监控您的配置运行状况，并将不正常的应用程序置于隔离状态。如果针对目标系统的大多数或所有调用因某种错误（例如无效的管理员凭据）而持续失败，则预配作业将被标记为隔离。在被隔离时，递增周期的频率逐渐降低到每天一次。 在修复所有错误并且下一个同步周期开始后，该作业将从隔离状态中移除。如果作业处于隔离状态超过四周，则会被禁用并停止运行。详细了解 Microsoft Entra ID 中处于隔离状态下的预配。

Adobe 的服务会单独监视同步运行状况，以检测错误率是否在设定时间内超过阈值。达到阈值的最少错误请求数会触发临时隔离，在一段时间内拒绝来自 Microsoft Entra ID 的所有调用和更新请求，之后重新接受调用以进行同步重试。如果错误调用持续存在，同步将被置于临时观察期，并延长隔离时间。如果 Adobe 发起隔离，由于调用被拒绝，还可能导致随后被 Microsoft 隔离，因为这些被拒绝的调用会计入 Microsoft Entra ID 中的错误率。Adobe 保留根据持续的数据分析更新隔离参数的权利。

常见的错误消息

管理 Microsoft Entra ID 同步时会显示一组常见错误消息。了解每条消息的原因有助于进行故障排除。详细了解如何在 Microsoft Entra ID 中监控您的部署。

解决同步问题

由于 Adobe Admin Console 使用的是 Microsoft 的同步服务，因此所有同步问题都需要在 Microsoft Entra ID 中进行排查。请参阅 Microsoft 的配置说明以解决常见问题。如果您无法找到解决方案，请联系 Microsoft 支持。按照以下步骤诊断同步问题：

管理现有用户帐户

必须执行其他步骤才能将所有现有的非 Federated ID 用户转换为 Federated ID 类型。

建立 Microsoft Entra ID 同步后，在 Admin Console 中拥有现有非 Federated ID 帐户的用户可以迁移至 Federated ID 帐户。转换完成后，Microsoft Entra ID 将这些帐户推送到 Adobe Admin Console。要确保云存储的资源迁移到用户的新身份类型，请按照以下步骤操作：