Microsoft Entra ID Sync をディレクトリに追加

アイデンティティプロバイダーが Microsoft Entra ID で、Adobe Admin Console に連合ディレクトリがない場合は、次のいずれかの方法でフェデレーションを設定してください。

• OpenID Connect（OIDC）：OIDC を介して連合ディレクトリを数秒で作成します。設定のほとんどは Adobe Admin Console で行います。
• SAML を使用した Microsoft Entra ID での SSO：SAML 設定を使用してフェデレーテッドディレクトリを作成します。設定のほとんどは Microsoft Azure ポータルで行います。
• 動作中のフェデレーテッドディレクトリがある場合は、既存の設定に同期機能を追加できます。
• ディレクトリに Microsoft Entra ID Sync を設定すると、手動または他の同期方法でユーザーを管理することはできません。詳しくは、同期する前の注意事項とよくある質問を参照してください。

概要

Adobe Admin Console の任意のディレクトリに Microsoft Entra ID Sync（旧 Azure Sync）を追加して、ユーザー管理を自動化します。SCIM プロトコルを使用し、Adobe に送信されるユーザーとグループを管理できます。Adobe Admin Console と同期された Microsoft Entra ID ユーザーは一意であり、1つまたは複数の製品プロファイルに割り当てることができます。

Microsoft Entra ID Sync を設定すると、Microsoft Entra ID は、ディレクトリのユーザーとグループのプロビジョニングに基づいて Adobe Admin Console にデータを送信します。ディレクトリの詳細は、Adobe Admin Console の設定セクションに表示されます。

Microsoft Entra ID Sync の利点

Adobe Admin Console のディレクトリで Microsoft Entra ID Sync を使用する主な利点は次のとおりです：

• Microsoft Entra ID ですべてを管理します。
• アドビに送信されるデータを制御します。
• 別のサービスや API の設定が不要。
• Microsoft Entra ID ユーザー属性マッピングをカスタマイズする。
• 以前に設定したディレクトリに同期を追加。
• 任意のIDプロバイダー用に設定されたディレクトリに同期を追加します。
• Microsoft Entra ID を使用してユーザーのオンボーディングとオフボーディングを簡単に実行できます。

前提条件

Adobe Admin Console ユーザー管理と Microsoft Entra ID を統合するには、以下が必要です。

• ユーザーおよびグループデータを含む Microsoft Entra ID アカウント。
• Creative Cloud エンタープライズ版、Document Cloud エンタープライズ版、または Experience Cloud に属する Adobe 製品。
• 検証済みドメインを持つ Adobe Admin Console の連合ディレクトリ。

サポートされている統合シナリオ

ディレクトリのセットアップは異なり、Microsoft Entra ID Sync は追加手順が必要な様々なシナリオをサポートしています。次の表を使用して、セットアップに応じた手順に従ってください：

同期設定の準備

Microsoft Entra ID Sync をセットアップする前に、以下のベストプラクティスとアドビの推奨事項に従ってください：

• 同期を追加する前に既存ユーザーのリストを書き出し、すべてのユーザーアカウントとプロビジョニングされたライセンスの記録を保持します。
• OpenID Connect（OIDC）で Microsoft Entra ID SSO をセットアップしている場合は、Microsoft Azure ポータルに新しい Adobe Identity Management アプリケーションを追加してディレクトリ同期をセットアップします。
• SAML で Microsoft Entra ID SSO をセットアップしている場合は、既存の Adobe Identity Management アプリケーションを使用してディレクトリ同期を設定します。Microsoft ドキュメントの手順に従って、自動ユーザープロビジョニングを設定してください。
• Microsoft Entra ID Sync はメールアドレスとユーザー名を分離します。ユーザーは異なるメールアドレスとユーザー名を使用してログインを検証し、Adobe 製品とサービスにアクセスできます。Microsoft ドキュメントの手順に従って、ユーザープロビジョニング属性マッピングをカスタマイズしてください。
• フェデレーテッド ID ユーザーを持つディレクトリと同期を統合する場合は、初回同期前にユーザー名フィールドの形式が Microsoft Entra ID のユーザープリンシパル名（UPN）と一致することを確認してください。これらの値が一致しない場合、Admin Console は新しいアカウントとして処理し、重複レコードを作成します。同期された値が Admin Console ユーザープロファイルと一致するように属性マッピングを更新すると、次回の同期でアカウントが更新されます。
• Microsoft Entra ID Sync には、少なくとも 1 つのフェデレーテッドディレクトリとドメインを持つ Admin Console が必要です。同期を使用する Admin Console（所有コンソール）が他の Admin Console（受託者コンソール）との信頼関係にある場合、受託者は User Sync Tool、User Management API、または 一括 CSV アップロード などの他の方法を使用して、Federated ID ユーザーを作成、管理、ライセンス供与する必要があります。ライセンス供与のために受託者コンソールにユーザーを追加するには、まず所有コンソールにユーザーを追加してください。
• 組織で User Sync Tool または User Management API 統合を使用している場合は、まず統合を一時停止してください。次に Microsoft Entra ID Sync を追加して、Microsoft Entra ID からのユーザー管理を自動化します。同期が設定されて実行されたら、User Sync Tool または User Management API 統合を削除できます。
• グループベースの割り当てを使用するには、組織が Microsoft Entra ID でプレミアム（P1 または P2）または Microsoft 365（E3 または A3）サブスクリプションを持っている必要があります。これにより、Adobe Admin Console に同期する特定のグループとユーザーを選択できます。これらのサブスクリプションレベルを持たない組織は、すべてのユーザーとグループを一度に同期できます。システムはすべてのユーザーとグループを自動的に同期し、同期されたユーザーに対してアドビフェデレーテッド ID を生成します。
• 同期で設定されたドメインをディレクトリに移動または削除するには、まずディレクトリの編集を有効にしてください。ドメインを移動してから、編集を無効にします。
• Microsoft Entra ID Sync は、HiddenMembership 属性を持つグループからユーザーを同期しません。特定のユーザーを同期するには、Microsoft Entra ID でグループを作成し、ユーザーを新しいグループにコピーしてください。

フェデレーテッドディレクトリに Microsoft Entra ID Sync を追加

必要なドメインがリンクされた Adobe Admin Console フェデレーテッドディレクトリに Microsoft Entra ID Sync を追加します。確立されたフェデレーテッドディレクトリに同期を追加するには：

同期設定の編集

システム管理者は、設定後に同期ソースの設定を更新できます。ディレクトリ設定 > 同期タブから移動先 設定を選択します。設定オプションは次のとおりです。

• Admin Console で同期データの編集を許可：Microsoft Entra ID 同期が確立された後、ディレクトリ内のすべてのユーザーと同期で作成されたグループは、自動的に同期管理下に置かれます。編集を有効にすると、Admin Console で同期されたデータを短時間編集できます。 この間の編集は Microsoft Entra ID のユーザー情報に影響せず、アイデンティティプロバイダーからの変更リクエストによって上書きされます。

• 同期ステータス：Microsoft Entra ID からの変更リクエストを却下するよう同期に指示します。同期ステータスがオフになると、Microsoft Entra ID での変更は Adobe Admin Console にプッシュされません。
• ユーザー同期の構成を編集：ユーザー同期を編集するための構成手順が開始します。 これは、設定完了前にダイアログが閉じた場合、または初期設定後に Microsoft Entra ID で設定を変更する必要がある場合に使用します。

同期を削除

管理者は Admin Console でフェデレーテッドディレクトリから同期を削除できます。同期を削除することで、ディレクトリおよびそれに関連付けられたドメイン、ユーザーグループ、およびユーザーをそのまま残し、ディレクトリおよびそのユーザーとグループからの読み取り専用モードを削除します。

ディレクトリから同期を削除するには、ディレクトリ設定 > 同期タブから設定に移動を選択し、次に同期を削除を選択します。これにより Admin Console から同期設定が完全に削除されます。必要に応じて、同じディレクトリまたは別のディレクトリで同期を再確立できます。

グループとユーザーの無効化

Microsoft Entra ID Sync を設定すると、新しい連合ユーザーアカウントが作成され、ユーザーが Adobe Admin Console に同期されます。管理者は、Microsoft Azure ポータルで次の 3 つの方法を使用して、同期によって追加されたユーザーとグループのプロビジョニングを解除することもできます：

• Microsoft Entra ID のすべての同期されたグループからユーザーを削除します。
• Microsoft Entra ID からユーザーを論理削除します。
• Microsoft Entra ID のプロビジョニング範囲から、ユーザーが属するすべてのグループを削除します。

これら 3 つの操作を行うと、Adobe Admin Console でユーザーが無効になります。 無効化されたユーザーはログインできなくなり、「ディレクトリユーザー」リストで 無効 と表示されます。Microsoft Entra ID Sync は、これらの方法のいずれかでプロビジョニングを解除されたユーザーを引き続き管理します。ユーザーのアカウントもクラウドに保存されたアセットも組織から削除されません。

Admin Console からユーザーと関連データを削除：「ディレクトリ設定」>「同期」タブから「編集を有効にする」を選択し、「設定に移動」を選択します。次に「ユーザー」>「ディレクトリユーザー」に移動し、アカウントを 完全に削除 するユーザーを選択します。

編集が有効になると、自動的に無効になるまでの 1 時間、同期されたデータを編集できます。ユーザーを削除した直後に「編集を無効にする」を選択して、Admin Console が Microsoft Entra ID の変更を反映するようにします。

強制隔離ポリシー

Adobe と Microsoft には、同期操作中の多数のエラー呼び出しを処理するための検疫ポリシーがあります。

Microsoft Entra ID プロビジョニングサービスは設定の状態を監視し、正常でないアプリを 隔離状態 にします。無効な管理者資格情報などのエラーが原因で、対象システムに対する呼び出しの大部分またはすべてが継続的に失敗する場合、プロビジョニングジョブは隔離中としてマークされます。検疫中は、増分サイクルの頻度が 1 日 1 回徐々に減少します。 すべてのエラーが修正され、次の同期サイクルが開始された後、ジョブは隔離から解除されます。ジョブが 4 週間以上隔離状態にある場合、無効になり実行が停止されます。Microsoft Entra ID 内の隔離ステータスでのプロビジョニングについて詳細を見る。

アドビのサービスは独立して同期の状態を監視し、エラー率が設定時間内にしきい値を超えた時点を検出します。しきい値を満たす最小エラー要求数が一時隔離をトリガーし、Microsoft Entra ID からのすべての呼び出しと更新要求を一定時間拒否した後、同期の再試行のために再び呼び出しが受け入れられます。エラー呼び出しが継続する場合、同期は延長された隔離時間で一時的な執行猶予に置かれます。アドビが隔離を開始した場合、拒否された呼び出しが Microsoft Entra ID のエラー率にカウントされるため、Microsoft との後続の隔離につながる可能性があります。アドビは、継続的なデータ分析に基づいて強制隔離パラメーターを更新する権利を有します。

一般的なエラーメッセージ

Microsoft Entra ID Sync を管理する際に、一般的なエラーメッセージのセットが表示されます。各メッセージの原因を理解することは、トラブルシューティングに役立ちます。Microsoft Entra ID 内でのデプロイメントの監視について詳細を見る。

同期の問題のトラブルシューティング

Adobe Admin Console は Microsoft の同期サービスを使用するため、すべての同期の問題は Microsoft Entra ID 内でトラブルシューティングされます。一般的な問題を解決するには、Microsoft の設定手順を参照してください。解決策が見つからない場合は、Microsoft サポートにお問い合わせください。同期の問題を診断するには、次の手順に従ってください：

既存のユーザーアカウントの管理

Federated ID でないのすべての既存ユーザーを Federated ID タイプに変換するには、追加の手順が必要です。

Admin Console で既存の非フェデレーテッド ID アカウントを持つユーザーは、Microsoft Entra ID Sync が確立された後、フェデレーテッド ID アカウントに移行できます。変換されると、Microsoft Entra ID がこれらのアカウントを Adobe Admin Console にプッシュします。クラウドに保存されたアセットがユーザーの新しいアイデンティティ タイプに移行されることを確認するには、次の手順に従ってください：