Hinzufügen von Microsoft Azure Sync zum Verzeichnis

Sie können Azure Sync jedem Verzeichnis in der Adobe Admin Console hinzufügen, um dessen Benutzerverwaltungsprozess zu automatisieren. Azure Sync verwendet das SCIM-Protokoll für die Benutzerverwaltung und ermöglicht Ihnen die Kontrolle über Benutzer und Gruppen, die an Adobe gesendet werden. Mit der Adobe Admin Console synchronisierte Azure AD-Benutzer sind eindeutig und können einem oder mehreren Produktprofilen zugewiesen werden.

Nachdem Sie Azure Sync AD eingerichtet haben, beginnt Azure damit, Daten gemäß der Benutzer- und Gruppenbereitstellung des Azure AD-Verzeichnisses an die Adobe Admin Console zu senden. Alle mit dem Verzeichnis verknüpften Details werden im Abschnitt Einstellungen der Adobe Admin Console angezeigt.

Vorteile von Azure Sync

Dies sind die wichtigsten Vorteile der Verwendung von Azure Sync mit Ihrem Verzeichnis in der Adobe Admin Console:

Voraussetzungen

Um die Adobe Admin Console-Benutzerverwaltung mit Azure AD zu integrieren, benötigen Sie Folgendes:

• Microsoft Azure AD-Konto mit Benutzer- und Gruppendaten
  
• Adobe-Produkte, die zu einem der folgenden gehören: Creative Cloud für Unternehmen, Document Cloud für Unternehmen oder Experience Cloud 
• Ein Verbundverzeichnis in der Adobe Admin Console mit bestätigten Domänen

Unterstützte Integrationsszenarien

Die Verzeichniseinrichtung kann abweichen und Azure Sync unterstützt verschiedene Szenarien, für die zusätzliche Schritte zum Einrichten von Azure Sync erforderlich sind. In dieser Tabelle finden Sie die für Ihre Verzeichniseinrichtung auszuführenden Schritte:

Hinweise vor der Synchronisationskonfiguration

Befolgen Sie die nachstehenden Punkte, um die Best Practices und Adobe Recommendations zu sehen, bevor Sie Azure Sync einrichten:

• Exportieren Sie die Liste der vorhandenen Benutzer vor dem Hinzufügen von Azure Sync, um eine Aufzeichnung aller Benutzerkonten und bereitgestellten Lizenzen zum Zeitpunkt der Einrichtung zu erhalten.
• Wenn Sie Azure AD SSO mit Open ID Connect (OIDC) eingerichtet haben, müssen Sie im Microsoft Azure-Portal eine neue Adobe Identity Management-Anwendung hinzufügen, um die Verzeichnissynchronisation einzurichten.
• Wenn Sie Azure AD SSO mit SAML eingerichtet haben, verwenden Sie die vorhandene Adobe Identity Management-Anwendung, um die Verzeichnissynchronisation zu konfigurieren. Führen Sie dann die im Microsoft-Dokument genannten Schritte aus, um die automatische Benutzerbereitstellung mit der Adobe Identity Management-Anwendung zu konfigurieren.
• Bei Azure Sync sind E-Mail-Adressen vom Benutzernamen entkoppelt, sodass Benutzer einen abweichenden Wert für E-Mail-Adresse und Benutzernamen verwenden können, um die Anmeldung zu überprüfen und auf Adobe-Produkte und -Services zuzugreifen, Funktionen zur Zusammenarbeit in Projekten zu nutzen und Dateien freizugeben.​ Führen Sie dann die im Microsoft-Dokument genannten Schritte aus, um die Benutzerbereitstellungsattribut-Zuordnung anzupassen.
• Wenn Sie Azure Sync in ein Verzeichnis mit Federated ID-Benutzern integrieren, überprüfen Sie, ob ihr Feldformat für den Benutzernamen dem Benutzerprinzipalnamen (UPN) in Azure AD entspricht, bevor Sie die erste Synchronisation ausführen.
  Wenn diese Werte nicht übereinstimmen, erkennt die Admin Console dies als ein neues Benutzerkonto und erstellt doppelte Datensätze für einen einzelnen Benutzer. Sie können die Attributzuordnung aktualisieren, um sicherzustellen, dass die bei der Synchronisation übergebenen Werte mit den Werten in den Benutzerprofilen in der Admin Console übereinstimmen. Dadurch werden ihre Konten bei der nächsten Synchronisation automatisch aktualisiert.
• Azure Sync kann nur in einer Admin Console mit mindestens einem Verbundverzeichnis und einer eingerichteten Domäne eingerichtet werden. Wenn die Admin Console mit Azure Sync (Eigentümer der Console) in einer Vertrauensbeziehung zu anderen Admin Consoles (Trustee-Consoles) steht, müssen die Trustees eine andere Form der Benutzerverwaltung verwenden, z. B. das Benutzer-Synchronisationstool, die User Management API oder den Massenupload von CSV-Dateien, um Federated ID-Benutzer zu erstellen, zu verwalten und zu lizenzieren.
  Um Benutzer zu einer Bevollmächtigtenkonsole für die Lizenzbereitstellung hinzuzufügen, müssen Sie den Benutzer zunächst der Eigentümerkonsole hinzufügen.
• Wenn Ihre Organisation das Benutzer-Synchronisationstool oder eine UMAPI-Integration verwendet, müssen Sie die Integration zuerst anhalten. Anschließend fügen Sie Azure Sync hinzu, um die Benutzerverwaltung über Azure AD zu automatisieren. Nachdem Azure Sync konfiguriert wurde und ausgeführt wird, können Sie das Benutzer-Synchronisationstool bzw. die UMAPI-Integration vollständig entfernen.
• Ihre Organisation muss über ein Premium- (P1 oder P2) oder Microsoft 365-Abonnement (E3 oder A3) mit Azure AD verfügen, um gruppenbasierte Zuweisungsfunktionen verwenden zu können. Sie können bestimmte Gruppen und Benutzer auswählen, die mit der Adobe Admin Console synchronisiert werden sollen.
  Organisationen ohne Abonnements dieser Stufen können nur alle Benutzer und Gruppen mit der Adobe Admin Console synchronisieren. Das System synchronisiert alle Benutzer und Gruppen automatisch und generiert eine Adobe Federated ID für die synchronisierten Benutzer. Informieren Sie sich über Azure AD-Abonnements und Optionen für die Aktualisierung.
• Um eine Domain in oder aus einem Verzeichnis zu verschieben, das mit Azure Sync eingerichtet wurde, müssen Sie zunächst die Bearbeitung für das Verzeichnis vorübergehend aktivieren. Nach der Aktivierung verschieben Sie die gewünschte Domäne in oder aus dem mit Azure AD synchronisierten Verzeichnis, bevor Sie die Bearbeitungsfunktionen für das Verzeichnis deaktivieren.
• Die Azure-Synchronisation synchronisiert keine Benutzer mit dem Attribut HiddenMembership in Azure AD. Erstellen Sie zum Synchronisieren bestimmter Benutzer eine Gruppe in Azure AD und kopieren Sie die entsprechenden Benutzer in die neue Gruppe.

Azure Sync zu einem Verbundverzeichnis hinzufügen

Sie können Azure Sync einem Adobe Admin Console-Verbundverzeichnis hinzufügen, mit dem die erforderlichen Domänen verknüpft sind. Gehen Sie wie folgt vor, um die Synchronisation einem eingerichteten Verbundverzeichnis hinzuzufügen:

Synchronisationseinstellungen bearbeiten

Ein Systemadministrator kann die Einstellungen für Quelle synchronisieren aktualisieren, nachdem das Setup abgeschlossen ist, indem er Einstellungen aufrufen auf dem Tab Verzeichniseinstellungen > Synchronisieren auswählt. Folgende Einstellungsoptionen sind verfügbar:

Synchronisation entfernen

Administratoren können die Synchronisation aus einem Verbundverzeichnis in der Admin Console entfernen. Beim Entfernen der Synchronisation bleiben das Verzeichnis und die zugehörigen Domänen, Benutzergruppen und Benutzer intakt. Der Schreibschutzmodus für das Verzeichnis und dessen Benutzer und Gruppen wird entfernt.

Um die Synchronisation aus einem Verzeichnis zu entfernen, wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und dann Synchronisation entfernen. Durch diese Aktion wird die Einrichtung der Synchronisation endgültig aus der Admin Console entfernt. Bei Bedarf können Sie die Synchronisation mit demselben oder einem anderen Verzeichnis wiederherstellen.

Benutzer und Gruppen deaktivieren

Durch die Implementierung von Azure Sync werden neue Verbundbenutzererkonten erstellt und Benutzer mit der Adobe Admin Console synchronisiert. Administratoren können die Bereitstellung von Benutzern und Gruppen, die über Azure Sync hinzugefügt wurden, auch über die folgenden drei Verfahren (im Microsoft Azure-Portal) aufheben:

• Benutzer aus allen synchronisierten Gruppen in Azure AD entfernen

• Benutzer vorläufig aus Azure AD löschen

• Alle Gruppen, denen der Benutzer angehört, aus dem Anwendungsbereich der Bereitstellung in Azure AD entfernen

Mit diesen drei Vorgängen werden Benutzer in der Adobe Admin Console deaktiviert. Ein deaktivierter Benutzer kann sich nicht mehr anmelden und wird in der Liste Verzeichnisbenutzer als Deaktiviert aufgeführt. Azure Sync verwaltet weiterhin einen Benutzer, dessen Bereitstellung mit einem dieser Verfahren aufgehoben wurde. Weder das Benutzerkonto noch in der Cloud gespeicherte Assets werden aus der Organisation entfernt. 

Entfernen Sie einen Benutzer und zugehörige Daten aus der Admin Console: Wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und klicken Sie auf Bearbeitung aktivieren. Navigieren Sie dann zu Benutzer > Verzeichnisbenutzer und wählen Sie den Benutzer in der Liste aus, um das Konto endgültig zu löschen.

Sobald die Bearbeitung aktiviert ist, können die synchronisierten Daten eine Stunde lang bearbeitet werden, bevor sie automatisch deaktiviert wird. Es wird empfohlen, unmittelbar nach dem Entfernen eines Benutzers auf Bearbeitung deaktivieren zu klicken, damit die Änderungen in Azure AD in der Admin Console widergespiegelt werden.

Quarantänerichtlinie

Adobe und Microsoft verfügen über eine Quarantänerichtlinie, mit der zahlreiche Fehleraufrufe während der Synchronisation verarbeitet werden. 

Der Azure AD-Bereitstellungs-Service überwacht den Zustand Ihrer Konfiguration und platziert fehlerhafte Programme in einem „Quarantänezustand“. Wenn die meisten oder alle Aufrufe des Zielsystems aufgrund eines Fehlers, z. B. ungültiger Administratoranmeldeinformationen, durchgehend fehlschlagen, wird der Bereitstellungsauftrag als „In Quarantäne“ gekennzeichnet. Während er sich in Quarantäne befindet, wird die Frequenz inkrementeller Zyklen schrittweise auf einmal pro Tag reduziert. Der Bereitstellungsauftrag wird aus der Quarantäne entfernt, nachdem alle Fehler behoben wurden und der nächste Synchronisationszyklus gestartet wurde. Wenn der Bereitstellungsauftrag länger als vier Wochen in Quarantäne bleibt, wird der Bereitstellungsauftrag deaktiviert (nicht mehr ausgeführt). Weitere Informationen zur Anwendungsbereitstellung mit dem Status „In Quarantäne“ in Azure AD

Der Adobe-Service überwacht den Synchronisationszustand unabhängig, um zu ermitteln, ob die Fehlerrate in einem festgelegten Zeitraum einen bestimmten Schwellenwert überschreitet. Eine Mindestanzahl von Anforderungen, die einen Fehler verursachen, der den Schwellenwert erreicht, führt zu einer vorübergehenden Quarantäne. Dadurch werden alle Aufrufe und Aktualisierungsanforderungen von Azure AD für einen bestimmten Zeitraum abgelehnt. Anschließend werden Aufrufe zum Wiederholen des Synchronisationsversuchs wieder akzeptiert. Wenn weiterhin Fehleraufrufe auftreten, wird die Synchronisation für einen längeren Zeitraum in Quarantäne gestellt. Wenn Adobe die Quarantäne veranlasst, kann dies aufgrund der abgelehnten Aufrufe, die auf die Fehlerraten in Azure angerechnet werden, auch zu einer nachfolgenden Quarantäne bei Azure führen. Beachten Sie, dass Adobe sich das Recht vorbehält, die Quarantäneparameter auf Grundlage laufender Datenanalysen zu aktualisieren. 

Häufige Fehlermeldungen

Es gibt eine Reihe allgemeiner Fehlermeldungen, die für die Verwaltung von Azure Sync über Azure AD relevant sind. Wenn Sie die Ursache der verschiedenen Fehlermeldungen kennen, erleichtert Ihnen dies die Fehlerbehebung.

Weitere Informationen zur Überwachung der Bereitstellung in Azure AD

Synchronisationsprobleme beheben

Da die Adobe Admin Console den Azure-Snchronisationsdienst von Microsoft verwendet, werden alle Synchronisationsprobleme in Azure AD behoben. In den Konfigurationsanweisungen von Microsoft finden Sie Hinweise zur Lösung einiger häufiger Probleme. Wenn Sie keine Lösung finden, empfehlen wir Ihnen, sich für weitere Unterstützung an den Microsoft-Support zu wenden.

Befolgen Sie die nachstehenden Anweisungen, um ein Synchronisationsproblem zu diagnostizieren:

Vorhandene Benutzerkonten verwalten

Zusätzliche Schritte sind erforderlich, um alle bestehenden Benutzer ohne Federated ID in den Typ Federated ID zu konvertieren.

Benutzer in der Admin Console mit einem bestehenden Konto ohne Federated ID können zu einem Federated ID-Konto migriert werden, nachdem Azure Sync eingerichtet wurde. Nach der Konvertierung überträgt Azure AD diese Konten erfolgreich an die Adobe Admin Console.

Gehen Sie wie folgt vor, um sicherzustellen, dass in der Cloud gespeicherte Assets in den neuen Identitätstyp des Benutzers migriert werden:

Nächste Schritte

Nachdem Sie Azure Sync Ihrem Verzeichnis hinzugefügt haben, werden alle Benutzer und Benutzergruppen in die Adobe Admin Console importiert und in regelmäßigen Abständen aktualisiert. Als Nächstes müssen Sie diesen Benutzern den Zugriff auf die von ihnen festgelegten Adobe-Programme ermöglichen:

1. Produktprofile erstellen und verwalten: Erstelle geeignete Produktprofile und ordne sie Benutzern und Benutzergruppen zu, um genau festzulegen, wer welche Adobe-Anwendungen und ‑Dienste verwenden darf. Informieren Sie sich über die Verwaltung von Produkten und Produktprofilen.
2. Wenn Benutzer den angegebenen Produkten zugewiesen werden, erhalten sie eine E-Mail-Benachrichtigung. Die Benutzer können die Creative Cloud-Desktop-Anwendung direkt herunterladen und installieren.
   Wenn Ihre Benutzer über keine Administratorrechte verfügen, müssen Sie entsprechende Pakete erstellen und bereitstellen.
3. Pakete erstellen und bereitstellen: Um den Benutzern Zugriff auf die Anwendungen zu ermöglichen, erstellen Sie die Anwendungspakete und stellen Sie sie auf ihren Computern bereit. Benutzer müssen sich mit ihren SSO-Zugangsdaten anmelden, um die Anwendungen und Dienste nutzen zu können. Weitere Informationen findest du unter Erstellen von Paketen für die personengebundene Lizenzierung.

Wenn du Administrator einer Institution bist, empfehlen wir dir, nach der Einrichtung von Azure Sync die Rollensynchronisation zu aktivieren. Weitere Informationen zur Rollensynchronisation im Bildungsbereich