Ajouter Microsoft Entra ID Sync à votre répertoire

Si votre fournisseur d’identité est Microsoft Entra ID et que vous ne disposez pas d’un répertoire fédéré dans Adobe Admin Console, configurez la fédération de l’une des manières suivantes :

• OpenID Connect (OIDC) : créez un répertoire fédéré en quelques secondes via OIDC.La majeure partie de la configuration se fait dans Adobe Admin Console.
• SSO avec Microsoft Entra ID via SAML : créez un répertoire fédéré à l'aide de la configuration SAML.La majeure partie de la configuration se fait dans le portail Microsoft Azure.
• Si vous avez un répertoire fédéré actif, vous pouvez ajouter la fonctionnalité de synchronisation à votre configuration existante.
• Vous ne pouvez pas gérer les utilisateurs manuellement ou avec d'autres méthodes de synchronisation une fois que vous avez configuré Microsoft Entra ID Sync pour un répertoire. Consultez la section Remarques avant la configuration de la synchronisation et les questions courantes pour en savoir plus.

Présentation

Ajoutez Microsoft Entra ID Sync (anciennement Azure Sync) à un répertoire Adobe Admin Console pour automatiser la gestion des utilisateurs.Il utilise le protocole SCIM et vous donne le contrôle sur les utilisateurs et les groupes envoyés à Adobe. Les utilisateurs Microsoft Entra ID synchronisés avec Adobe Admin Console sont uniques et peuvent être attribués à un ou plusieurs profils de produit.

Après avoir configuré Microsoft Entra ID Sync, Microsoft Entra ID envoie des données à Adobe Admin Console en fonction de l'approvisionnement des utilisateurs et des groupes du répertoire.Les détails du répertoire apparaissent dans la section Paramètres d'Adobe Admin Console.

Avantages de Microsoft Entra ID Sync

Les principaux avantages inhérents à l’ajout de Microsoft Entra ID Sync à votre répertoire dans Adobe Admin Console sont les suivants :

• Gérez tout dans Microsoft Entra ID.
• Contrôlez les données envoyées à Adobe.
• Évitez de configurer un autre service ou API.
• Personnalisez le mappage des attributs utilisateur Microsoft Entra ID.
• Ajoutez la synchronisation à des répertoires configurés précédemment.
• Ajoutez la synchronisation à des répertoires configurés pour n’importe quel fournisseur d’identité.
• Intégrez et retirez facilement des utilisateurs à l'aide de Microsoft Entra ID.

Conditions préalables

Pour intégrer la gestion des utilisateurs d'Adobe Admin Console avec Microsoft Entra ID, vous avez besoin de :

• Un compte Microsoft Entra AD avec données d’utilisateur et de groupe.
• Des produits Adobe appartenant à Creative Cloud abonnement Entreprise, Document Cloud abonnement Entreprise ou Experience Cloud.
• Un répertoire fédéré dans Adobe Admin Console avec des domaines vérifiés.

Scénarios d’intégration pris en charge

Les configurations de répertoire diffèrent, et Microsoft Entra ID Sync prend en charge différents scénarios qui nécessitent des étapes supplémentaires. Utilisez le tableau pour suivre les étapes de votre configuration :

Remarques avant la configuration de la synchronisation

Suivez ces bonnes pratiques et recommandations Adobe avant de configurer Microsoft Entra ID Sync :

• Exportez la liste des utilisateurs existants avant d’ajouter la synchronisation, afin de conserver un enregistrement de tous les comptes d’utilisateurs et des licences provisionnées.
• Que vous utilisiez OIDC ou SAML pour le SSO Microsoft Entra ID, configurez la synchronisation de répertoire en utilisant votre application Adobe Identity Management existante.Suivez les étapes indiquées dans le document Microsoft pour configurer l'approvisionnement automatique des utilisateurs.
• Microsoft Entra ID Sync découple l'e-mail du nom d'utilisateur.Les utilisateurs et utilisatrices peuvent utiliser un e-mail et un nom d’utilisateur différents pour valider la connexion et accéder aux produits et services Adobe.Suivez les étapes indiquées dans le document Microsoft pour personnaliser le mappage d’attributs d'approvisionnement des utilisateurs.
• Si vous intégrez la synchronisation à un répertoire ayant des utilisateurs Federated ID, vérifiez que le format du champ de leur nom d’utilisateur correspond au nom d’utilisateur principal (UPN) dans Microsoft Entra ID avant la synchronisation initiale.Si ces valeurs ne correspondent pas, Admin Console considère qu’il s’agit d’un nouveau compte net et crée des enregistrements en double.Mettez à jour le mappage d'attributs pour que les valeurs synchronisées correspondent aux profils utilisateur d'Admin Console, ce qui met à jour les comptes lors de la synchronisation suivante.
• Microsoft Entra ID Sync nécessite un Admin Console avec au moins un répertoire fédéré et un domaine. Si Admin Console avec la synchronisation (propriétaire de la console) est dans une relation d’approbation avec d’autres Admin Console (consoles approbatrices), les approbateurs doivent utiliser une autre méthode de gestion, telle que l’outil de synchronisation des utilisateurs et utilisatrices, l’API User Management, ou la fonction de chargement CSV en masse, pour créer et gérer des utilisateurs et utilisatrices Federated ID et leur attribuer des licences.Pour ajouter un utilisateur ou une utilisatrice à une console approbatrice en vue de l'approvisionnement de licence, ajoutez d’abord cette personne à la console propriétaire.
• Si votre organisation utilise l’outil de synchronisation des utilisateurs ou une API User Management, suspendez d’abord l’intégration.Ajoutez ensuite Microsoft Entra ID Sync pour automatiser la gestion des utilisateurs depuis Microsoft Entra ID. Une fois la synchronisation configurée et exécutée, vous pouvez supprimer l’outil de synchronisation des utilisateurs ou l’intégration de l'API User Management.
• Votre organisation doit disposer d’un abonnement Premium (P1 ou P2) ou Microsoft 365 (E3 ou A3) avec Microsoft Entra ID pour utiliser l’attribution basée sur des groupes.Il vous permet de choisir des groupes et des utilisateurs et utilisatrices spécifiques à synchroniser avec Adobe Admin Console.Les organisations sans ces niveaux d’abonnement peuvent synchroniser tous les utilisateurs et groupes en même temps.Le système synchronise automatiquement tous les utilisateurs et groupes, puis génère un Adobe Federated ID pour les utilisateurs synchronisés.
• Pour déplacer un domaine vers ou depuis un répertoire établi avec la synchronisation, activez d’abord la modification temporairement pour le répertoire.Déplacez le domaine, puis désactivez la modification.
• Microsoft Entra ID Sync ne synchronise pas les utilisateurs qui font partie de groupes avec l’attribut HiddenMembership.Pour synchroniser des utilisateurs spécifiques, créez un groupe sur Microsoft Entra ID et copiez les utilisateurs dans le nouveau groupe.

Ajouter Microsoft Entra ID Sync à un répertoire fédéré

Ajoutez Microsoft Entra ID Sync à un répertoire fédéré Adobe Admin Console auquel les domaines requis sont liés. Pour ajouter la synchronisation à un répertoire fédéré établi :

Modification des paramètres de synchronisation

Un administrateur système peut mettre à jour les paramètres de la source de synchronisation après la configuration.Sélectionnez Accéder aux paramètres dans l’onglet Paramètres du répertoire > Synchronisation .Les options de paramètres suivantes sont disponibles :

• Autoriser la modification des données synchronisées dans Admin Console : une fois Microsoft Entra ID Sync établi, tous les utilisateurs et les groupes créés par synchronisation dans un répertoire passent dans la gestion de la synchronisation automatiquement.Après avoir activé la modification, vous pouvez modifier les données synchronisées dans Admin Console pendant une courte période. Les modifications apportées pendant cette période n'affectent pas les informations d'utilisateur dans Microsoft Entra ID, et les demandes de modification de votre fournisseur d'identité les remplacent.

• Statut de la synchronisation : demande à la synchronisation de rejeter les demandes de modification de Microsoft Entra ID.Une fois que le statut de la synchronisation est Désactivé, les modifications dans Microsoft Entra ID ne sont pas transmises à Adobe Admin Console.
• Modifier la configuration de synchronisation d’utilisateurs et d’utilisatrices : vous redirige vers les instructions de configuration pour modifier la synchronisation d’utilisateurs et d’utilisatrices. Utilisez cette option si la boîte de dialogue se ferme avant que la configuration soit terminée ou si vous devez modifier des paramètres dans Microsoft Entra ID après la configuration initiale.

Suppression de la synchronisation

Les administrateurs peuvent supprimer la synchronisation d’un répertoire fédéré dans Admin Console.Le fait de supprimer la synchronisation laisse le répertoire et ses domaines, groupes d’utilisateurs et utilisateurs associés intacts et supprime le mode lecture seule du répertoire et de ses utilisateurs et groupes.

Pour supprimer la synchronisation d’un répertoire, sélectionnez Accéder aux paramètres dans l’onglet Paramètres du répertoire > Synchronisation, puis Supprimer la synchronisation.Cette action supprime définitivement la configuration de synchronisation dans Admin Console.Si nécessaire, vous pouvez rétablir la synchronisation avec le même répertoire ou un répertoire différent.

Désactivation des utilisateurs et des groupes

La configuration de Microsoft Entra ID Sync crée de nouveaux comptes d’utilisateurs fédérés et synchronise les utilisateurs avec Adobe Admin Console.Les administrateurs peuvent également déprovisionner des utilisateurs et des groupes ajoutés par synchronisation à l'aide des trois méthodes suivantes dans le portail Microsoft Azure :

• Supprimez l'utilisateur de tous les groupes synchronisés dans Microsoft Entra ID.
• Supprimez de manière réversible l'utilisateur de Microsoft Entra ID.
• Supprimez tous les groupes dont l’utilisateur fait partie de la portée d’approvisionnement Microsoft Entra ID.

Ces trois opérations désactivent les utilisateurs dans Adobe Admin Console.Un utilisateur désactivé ne peut plus se connecter et apparaît comme Désactivé dans la liste Utilisateurs du répertoire.Microsoft Entra ID Sync continue à gérer un utilisateur déprovisionné via l’une de ces méthodes.Ni le compte de l’utilisateur ou l’utilisatrice, ni les ressources stockées dans le cloud ne sont supprimés de l’organisation.

Supprimer un utilisateur et les données associées d'Admin Console : sélectionnez Accéder aux paramètres dans l’onglet Paramètres du répertoire > Synchronisation et sélectionnez Activer la modification.Accédez ensuite à Utilisateurs > Utilisateurs du répertoire et choisissez l’utilisateur pour supprimer définitivement le compte.

Une fois la modification activée, vous pouvez modifier les données synchronisées pendant 1 heure avant qu’elle soit automatiquement désactivée.Sélectionnez Désactiver la modification immédiatement après avoir supprimé un utilisateur, afin qu'Admin Console reflète les modifications de Microsoft Entra ID.

Politique de quarantaine

Adobe et Microsoft ont une politique de quarantaine pour gérer de nombreux appels d’erreur lors des opérations de synchronisation.

Le service d'approvisionnement Microsoft Entra ID surveille l’intégrité de votre configuration et place les applications défectueuses dans un état de quarantaine.Si la plupart ou tous les appels sur le système cible échouent systématiquement en raison d’une erreur, par exemple, des informations d’identification d’administrateur non valides, le traitement d'approvisionnement est marqué comme étant en quarantaine.En quarantaine, la fréquence des cycles incrémentiels est progressivement réduite à une fois par jour. Le traitement d’approvisionnement est supprimé de la quarantaine une fois que toutes les erreurs sont corrigées et que le cycle de synchronisation suivant démarre.Si le traitement de l’approvisionnement reste en quarantaine pendant plus de quatre semaines, il est désactivé et cesse de s’exécuter.En savoir plus sur l'approvisionnement des applications au statut de quarantaine dans Microsoft Entra ID.

Le service d’Adobe surveille indépendamment l’intégrité de la synchronisation pour détecter si le taux d’erreur dépasse un seuil dans un délai défini.Un nombre minimal de demandes d'erreur atteignant le seuil déclenche une mise en quarantaine temporaire, qui rejette tous les appels et demandes de mise à jour de Microsoft Entra ID pendant un certain temps, après quoi les appels sont à nouveau acceptés pour une nouvelle tentative de synchronisation.Si les appels d’erreur persistent, la synchronisation est mise en probation temporaire pendant une période de temps prolongée en quarantaine.Si Adobe initie la mise en quarantaine, cela peut également conduire à une mise en quarantaine ultérieure avec Microsoft en raison des appels rejetés, qui comptent dans les taux d’erreur dans Microsoft Entra ID.Adobe se réserve le droit de mettre à jour les paramètres de quarantaine en fonction de l’analyse des données en cours.

Messages d’erreur courants

Un ensemble de messages d'erreur courants apparaît lorsque vous gérez Microsoft Entra ID Sync.Comprendre la cause de chaque message aide au dépannage.En savoir plus à propos de la surveillance de votre déploiement dans Microsoft Entra ID.

Résolution de problème de synchronisation

Comme Adobe Admin Console utilise le service de synchronisation de Microsoft, tous les problèmes de synchronisation sont résolus dans Microsoft Entra ID.Consultez les instructions de configuration de Microsoft pour résoudre des problèmes courants.Si vous ne trouvez pas de solution, contactez le support Microsoft.Suivez ces étapes pour diagnostiquer un problème de synchronisation :

Gestion des comptes utilisateur existants

Des étapes supplémentaires sont nécessaires pour convertir tous les utilisateurs disposant d’identifiants existants autres que Federated ID en utilisateurs de type Federated ID.

Les utilisateurs disposant d’identifiants existants autres que Federated ID dans Admin Console peuvent être migrés vers un compte Federated ID une fois que Microsoft Entra ID Sync est établi.Une fois convertis, Microsoft Entra ID pousse ces comptes vers Adobe Admin Console.Pour vous assurer que les ressources stockées dans le cloud sont migrées vers le nouveau type d'identité de l'utilisateur, suivez les étapes suivantes :