Microsoft Entra ID Sync をディレクトリに追加

ID プロバイダーが Microsoft Entra ID で、Adobe Admin Console にフェデレーションディレクトリがない場合は、次のいずれかの方法でフェデレーションを設定します。

• OpenID Connect（OIDC）：OIDC を使用して、数秒でフェデレーションディレクトリを作成します。設定の大部分は Adobe Admin Console で行います。
• SAML を使用した Microsoft Entra ID での SSO：SAML 設定を使用して統合ディレクトリを作成します。設定の大部分は Microsoft Azure ポータルで行います。
• 既に機能しているフェデレーションディレクトリがある場合は、既存の設定に同期機能を追加できます。
• ディレクトリで Microsoft Entra ID Sync を設定すると、手動やその他の同期方法でユーザーを管理することはできなくなります。詳しくは、同期する前の注意事項とよくある質問を参照してください。

概要

Adobe Admin Console の任意のディレクトリに Microsoft Entra ID Sync（旧 Azure Sync）を追加して、ユーザー管理を自動化します。SCIM プロトコルを使用し、Adobe に送信するユーザーとグループをコントロールできます。Adobe Admin Console と同期された Microsoft Entra ID ユーザーはそれぞれ一意であり、1 つ以上の製品プロファイルに割り当てることができます。

Microsoft Entra ID Sync を設定すると、Microsoft Entra ID はディレクトリのユーザーとグループのプロビジョニングに基づいて Adobe Admin Console にデータを送信します。ディレクトリの詳細は、Adobe Admin Console の 「設定」セクションに表示されます。

Microsoft Entra ID Sync のメリット

Adobe Admin Console のディレクトリで Microsoft Entra ID Sync を使用する主な利点は次のとおりです。

• Microsoft Entra ID ですべてを管理できます。
• Adobe に送信するデータを制御します。
• 別のサービスや API を設定する必要がありません。
• Microsoft Entra ID ユーザー属性マッピングをカスタマイズできます。
• 以前に設定したディレクトリに同期機能を追加します。
• 任意の ID プロバイダー用に設定されたディレクトリに同期機能を追加します。
• Microsoft Entra ID を使用して、ユーザーのオンボーディングとオフボーディングを簡単に行えます。

前提条件

Adobe Admin Console ユーザー管理を Microsoft Entra ID と統合するには、以下が必要です：

• ユーザーとグループのデータを含む Microsoft Entra ID アカウント。
• Creative Cloud エンタープライズ版、Document Cloud エンタープライズ版、または Experience Cloud に属する Adobe 製品。
• ドメインが検証済みの Adobe Admin Console のフェデレーションディレクトリ。

サポートされている統合シナリオ

ディレクトリの設定はさまざまで、Microsoft Entra ID Sync は追加手順が必要なさまざまなシナリオをサポートします。この表を参照して、ご利用の環境に応じた手順に従います。

同期設定前の注意事項

Microsoft Entra ID Sync を設定する前に、以下のベストプラクティスとアドビの推奨事項に従ってください。

• 同期を追加する前に、既存のユーザーのリストをエクスポートして、すべてのユーザーアカウントとプロビジョニングされたライセンスの記録を保持します。
• Microsoft Entra ID SSO で OIDC または SAML を使用するかどうかに関係なく、既存の Adobe Identity Management アプリケーションを使用してディレクトリ同期を設定します。ユーザーの自動プロビジョニングを設定するための Microsoft のドキュメントに記載されている手順に従います。
• Microsoft Entra ID Sync はメールとユーザー名を分離します。ユーザーは、異なるメールアドレスとユーザー名を使用してサインインを認証し、Adobe 製品およびサービスにアクセスできます。ユーザープロビジョニングの属性マッピングをカスタマイズするための Microsoft のドキュメントに記載されている手順に従います。
• Federated ID ユーザーがいるディレクトリに同期を統合する場合は、初回の同期前に、ユーザー名フィールドの形式が Microsoft Entra ID のユーザープリンシパル名（UPN）と一致していることを確認します。これらの値が一致しない場合、Admin Console は新しいアカウントとして扱い、重複するレコードを作成します。同期される値が Admin Console ユーザープロファイルと一致するように属性マッピングを更新すると、次の同期でアカウントが更新されます。
• Microsoft Entra ID Sync には、少なくとも 1 つの統合ディレクトリとドメインを持つ Admin Console が必要です。同期が設定された Admin Console（所有側の Console）が他の Admin Console（信頼先の Console）と信頼関係にある場合、信頼先の Console では、User Sync Tool、User Management API、CSV の一括アップロードなどの別の方法を使用して、Federated ID ユーザーの作成、管理、ライセンスの割り当てを行う必要があります。ライセンスをプロビジョニングするために信頼先の Console にユーザーを追加するには、まず所有側の Console にユーザーを追加します。
• 組織でユーザー同期ツールまたは User Management API の統合を使用している場合は、まず統合を一時停止します。次に Microsoft Entra ID Sync を追加して、Microsoft Entra ID からのユーザー管理を自動化します。同期の設定が完了し、同期が実行されていることを確認したら、ユーザー同期ツールまたは User Management API の統合を削除できます。
• グループベースの割り当てを使用するには、組織が Microsoft Entra ID の Premium（P1 または P2）または Microsoft 365（E3 または A3）のサブスクリプションを所有している必要があります。Adobe Admin Console に同期する特定のグループとユーザーを選択できます。これらのサブスクリプションレベルを利用していない組織は、すべてのユーザーとグループを一度に同期できます。システムはすべてのユーザーとグループを自動的に同期し、同期されたユーザーの Adobe Federated ID を生成します。
• 同期が設定されたディレクトリにドメインを移動する、またはディレクトリからドメインを移動するには、まずディレクトリの編集を一時的に有効にします。ドメインを移動してから、編集を無効にします。
• Microsoft Entra ID Sync は、HiddenMembership 属性を持つグループのユーザーを同期しません。特定のユーザーを同期するには、Microsoft Entra ID でグループを作成し、その新しいグループにユーザーをコピーします。

統合ディレクトリに Microsoft Entra ID Sync を追加

必要なドメインがリンクされている Adobe Admin Console のフェデレーテッドディレクトリに Microsoft Entra ID Sync を追加します。既存のフェデレーションディレクトリに同期機能を追加するには、次の手順に従います。

同期設定の編集

システム管理者は、セットアップ後に同期ソースの設定を更新できます。「ディレクトリ設定」／「同期」タブから、「設定に移動」を選択します。設定オプションは次のとおりです。

• Admin Console で同期データの編集を許可：Microsoft Entra ID Sync が確立されると、ディレクトリ内のすべてのユーザーと同期によって作成されたグループは、自動的に同期管理の対象になります。編集を有効にすると、Admin Console で同期されたデータを短時間編集できます。 この期間中の編集は Microsoft Entra ID のユーザー情報に影響せず、アイデンティティプロバイダーからの変更リクエストによって上書きされます。

• 同期ステータス：Microsoft Entra ID からの変更要求を拒否するように同期機能を設定します。同期ステータスがオフになると、Microsoft Entra ID での変更は Adobe Admin Console に反映されなくなります。
• ユーザー同期設定を編集：ユーザー同期を編集するための設定手順にリダイレクトします。設定を完了する前にダイアログが閉じた場合、または初期設定後に Microsoft Entra ID の設定を変更する必要がある場合は、「ユーザー同期設定を編集」を使用します。

同期を削除

管理者は、Admin Console でフェデレーションディレクトリから同期機能を削除できます。同期を削除することで、ディレクトリおよびそれに関連付けられたドメイン、ユーザーグループ、およびユーザーをそのまま残し、ディレクトリおよびそのユーザーとグループからの読み取り専用モードを削除します。

ディレクトリから同期機能を削除するには、「ディレクトリ設定」／「同期」タブで「設定に移動」を選択し、「同期を削除」を選択します。これにより、Admin Console から同期設定が完全に削除されます。必要に応じて、同じディレクトリまたは異なるディレクトリとの同期を再度確立できます。

グループとユーザーの無効化

Microsoft Entra ID Sync を設定すると、新しいフェデレーションユーザーアカウントが作成され、ユーザーが Adobe Admin Console に同期されます。管理者は、Microsoft Azure ポータルで次の 3 つの方法を使用して、同期によって追加されたユーザーとグループのプロビジョニングを解除することもできます。

• Microsoft Entra ID の同期されたすべてのグループからユーザーを削除します。
• Microsoft Entra ID からユーザーを論理削除します。
• Microsoft Entra ID で、ユーザーが所属するすべてのグループをプロビジョニングの対象範囲から削除します。

これら 3 つの操作を行うと、Adobe Admin Console でユーザーが無効になります。 無効になったユーザーはサインインできなくなり、ディレクトリユーザーのリストに「無効」と表示されます。Microsoft Entra ID Sync は、これらのいずれかの方法でプロビジョニングが解除されたユーザーの管理を継続します。ユーザーのアカウントもクラウドに保存されたアセットも、組織から削除されません。

Admin Console からユーザーと関連データを削除：「ディレクトリ設定」／「同期」タブで「設定に移動」を選択し、「編集を有効にする」を選択します。次に、ユーザー／ディレクトリユーザーに移動し、アカウントを完全に削除するユーザーを選択します。

編集を有効にすると、自動的に無効になるまでの 1 時間、同期データを編集できます。ユーザーを削除した直後に 「編集を無効にする」 を選択して、Admin Console が Microsoft Entra ID の変更を反映するようにします。

強制隔離ポリシー

Adobe と Microsoft には、同期操作中の多数のエラー呼び出しを処理するための検疫ポリシーがあります。

Microsoft Entra ID プロビジョニングサービスは、設定の正常性を監視し、正常に機能していないアプリを隔離状態にします。管理者の資格情報が無効であるなどのエラーが原因で、ターゲットシステムへの呼び出しの大部分またはすべてが継続的に失敗する場合、プロビジョニングジョブは隔離状態としてマークされます。強制隔離状態の間、増分サイクルの頻度は徐々に減少し、1 日 1 回になります。すべてのエラーが修正され、次の同期サイクルが開始されると、ジョブの強制隔離状態が解除されます。ジョブが 4 週間を超えて強制隔離状態のままの場合、ジョブは無効になり、実行が停止します。Microsoft Entra ID でのプロビジョニングの隔離状態について詳しくは、こちらを参照してください。

Adobe のサービスは、同期の正常性を独自に監視し、一定期間内にエラー率がしきい値を超えたことを検出します。エラーが発生した要求の数がしきい値に達すると、一時的な隔離状態になり、Microsoft Entra ID からのすべての呼び出しと更新要求が一定期間拒否されます。その後、同期を再試行できるように、呼び出しが再び受け入れられます。エラーが発生する呼び出しが続く場合、同期は一時的な監視状態に置かれ、強制隔離期間が延長されます。Adobe が強制隔離を開始した場合、拒否された呼び出しが Microsoft Entra ID のエラー率にカウントされるため、その後 Microsoft 側でも強制隔離状態になる可能性があります。Adobe は、継続的なデータ分析に基づいて強制隔離パラメーターを更新する権利を留保します。

一般的なエラーメッセージ

Microsoft Entra ID Sync を管理する際に表示される一般的なエラーメッセージの一覧です。各メッセージの原因を理解することで、トラブルシューティングに役立ちます。Microsoft Entra ID でのデプロイメントの監視について詳しくは、こちらを参照してください。

同期の問題のトラブルシューティング

Adobe Admin Console は Microsoft の同期サービスを使用しているため、同期に関するすべての問題は Microsoft Entra ID 内でトラブルシューティングを行います。一般的な問題を解決するには、Microsoft の設定手順を参照してください。解決策が見つからない場合は、Microsoft サポートにお問い合わせください。同期の問題を診断するには、以下の手順に従ってください：

既存のユーザーアカウントの管理

Federated ID でないのすべての既存ユーザーを Federated ID タイプに変換するには、追加の手順が必要です。

Microsoft Entra ID Sync の設定後、Admin Console に既存の Federated ID 以外のアカウントを持つユーザーを Federated ID アカウントに移行できます。変換されると、Microsoft Entra ID がこれらのアカウントを Adobe Admin Console にプッシュします。クラウドに保存されたアセットがユーザーの新しい ID タイプに移行されるようにするには、以下の手順に従ってください：