Microsoft Azure Sync toevoegen aan uw directory

U kunt Azure Sync toevoegen aan elke directory in de Adobe Admin Console om het gebruikersbeheer te automatiseren. Azure Sync gebruikt het SCIM-protocol voor gebruikersbeheer en biedt controle over de gebruikers en groepen die naar Adobe worden verzonden. Azure AD-gebruikers die zijn gesynchroniseerd met de Adobe Admin Console, zijn uniek en kunnen worden toegewezen aan een of meer productprofielen.

Nadat u Azure Sync hebt geconfigureerd, begint Azure AD met het verzenden van gegevens naar de Adobe Admin Console in overeenstemming met de inrichting van gebruikers en groepen van de Azure AD-directory. Alle gegevens die aan de directory zijn gekoppeld, worden weergegeven in het gedeelte Instellingen van de Adobe Admin Console.

Voordelen van Azure-synchronisatie

De belangrijkste voordelen van Azure-synchronisatie met uw directory in de Adobe Admin Console zijn:

Algemene vereisten

Als u gebruikersbeheer in de Adobe Admin Console wilt integreren met Azure AD, hebt u het volgende nodig:

• Microsoft Azure AD-account met gebruikers- en groepsgegevens
  
• Adobe-producten die deel uitmaken een van de volgende: Creative Cloud voor ondernemingen, Document Cloud voor ondernemingen of Experience Cloud
• Een federatieve directory in de Adobe Admin Console met geverifieerde domeinen

Ondersteunde integratiescenario's

De directoryconfiguratie kan verschillen en Azure Sync ondersteunt verschillende scenario's, waarvoor extra stappen zijn vereist om Azure Sync in te stellen. Gebruik de tabel voor de stappen die u moet uitvoeren op basis van uw directoryconfiguratie:

Opmerkingen vooraf voor de synchronisatie

Lees en volg de onderstaande stappen met best practices en aanbevelingen van Adobe voordat u Azure Sync configureert:

• Exporteer de lijst met bestaande gebruikers voordat u Azure Sync toevoegt, zodat u een overzicht hebt van alle gebruikersaccounts en ingerichte licenties wanneer u de configuratie uitvoert.
• Als u Azure AD SSO hebt ingesteld met Open ID Connect (OIDC), moet u een nieuwe Adobe Identity Management-applicatie toevoegen in de Microsoft Azure Portal om directorysynchronisatie in te stellen.
• Als u Azure AD SSO met SAML hebt ingesteld, gebruikt u de bestaande applicatie Adobe Identity Management om directorysynchronisatie te configureren. Volg de stappen in dit Microsoft-document om automatische gebruikersinrichting te configureren met de applicatie Adobe Identity Management.
• Azure Sync koppelt het e-mailadres los van de gebruikersnaam, zodat gebruikers een ander e-mailadres en een andere gebruikersnaam kunnen gebruiken om zich aan te melden en toegang te krijgen tot Adobe-producten en -services, samen te werken in projecten, bestanden te delen enz.​ Voer de stappen in dit Microsoft-document uit om de kenmerktoewijzing voor gebruikersinrichting aan te passen.
• Als u Azure Sync integreert met een directory met Federated ID-gebruikers, controleer dan of de notatie van het veld met de gebruikersnaam overeenkomt met de User Principal Name (UPN) in Azure AD voordat u de eerste synchronisatie uitvoert.
  Als deze waarden niet overeenkomen, beschouwt de Admin Console dit als een nieuw gebruikersaccount en worden er dubbele records aangemaakt voor één gebruiker. U kunt de kenmerktoewijzing bijwerken om ervoor te zorgen dat de waarden die door synchronisatie worden doorgegeven, overeenkomen met de waarden in de gebruikersprofielen in de Admin Console, waarbij hun accounts automatisch worden bijgewerkt bij de volgende synchronisatie.
• Azure Sync kan alleen worden ingesteld in een Admin Console waarin ten minste één federatieve directory en één domein zijn geconfigureerd. Als de Admin Console met Azure Sync (hoofdconsole) een vertrouwensrelatie heeft met andere Admin Consoles (vertrouwde consoles), moeten de vertrouwde consoles een andere vorm van gebruikersbeheer gebruiken, zoals de tool Gebruikerssynchronisatie, ​User Management API of bulksgewijs uploaden via een CSV-bestand, om Federated ID-gebruikers te maken, te beheren en van licenties te voorzien.
  Als u gebruikers wilt toevoegen aan een vertrouwde console voor het inrichten van licenties, moet u de gebruiker eerst toevoegen aan de hoofdconsole.
• Als uw organisatie de tool Gebruikerssynchronisatie of een UMAPI-integratie gebruikt, moet u de integratie eerst onderbreken. Vervolgens voegt u Azure Sync toe om gebruikersbeheer te automatiseren vanuit Azure AD. Zodra Azure Sync is geconfigureerd en actief is, kunt u de tool Gebruikerssynchronisatie of UMAPI-integratie volledig verwijderen.
• Uw organisatie moet een Premium-abonnement (P1 of P2) of Microsoft 365-abonnement (E3 of A3) met Azure AD hebben om op groepen gebaseerde toewijzingsmogelijkheden te kunnen gebruiken. Hiermee kunt u specifieke groepen en gebruikers kiezen die moeten worden gesynchroniseerd met de Adobe Admin Console.
  Organisaties zonder deze abonnementsniveaus kunnen alleen alle gebruikers en groepen tegelijk synchroniseren met de Adobe Admin Console. Het systeem synchroniseert automatisch alle gebruikers en groepen en genereert een Adobe Federated ID voor de gesynchroniseerde gebruikers. Lees meer over Azure AD-abonnementen en update-opties.
• Als u een domein wilt verplaatsen van of naar een directory die is geconfigureerd met Azure Sync, moet u eerst tijdelijk bewerken inschakelen voor die directory. Als dit is ingeschakeld, verplaatst u het gewenste domein van of naar de met Azure AD gesynchroniseerde directory voordat u de bewerkingsmogelijkheden voor de directory weer uitschakelt.
• Azure Sync synchroniseert geen gebruikers uit groepen met het kenmerk HiddenMembership in Azure AD. Als u specifieke gebruikers wilt synchroniseren, maakt u een groep in Azure AD en kopieert u de desbetreffende gebruikers naar de nieuwe groep.

Azure Sync toevoegen aan een federatieve directory

U kunt Azure Sync toevoegen aan een federatieve directory in de Adobe Admin Console waaraan de vereiste domeinen zijn gekoppeld. Volg de onderstaande stappen om synchronisatie toe te voegen aan een bestaande federatieve directory:

Synchronisatie-instellingen bewerken

Een systeembeheerder kan instellingen voor de synchronisatiebron bijwerken zodra de configuratie is voltooid door Ga naar Instellingen te kiezen via Directory-instellingen > tabblad Synchroniseren. De beschikbare instellingen zijn:

Synchronisatie verwijderen

Beheerders kunnen ervoor kiezen om synchronisatie te verwijderen uit een federatieve directory in de Admin Console. Als synchronisatie wordt verwijderd, blijven de directory en de bijbehorende domeinen, gebruikersgroepen en gebruikers intact en wordt de alleen-lezen modus voor de directory en de gebruikers en groepen erin opgeheven.

Als u synchronisatie uit een directory wilt verwijderen, kiest u Ga naar Instellingen via Directory-instellingen > tabblad Synchroniseren en kiest u daarna Synchronisatie verwijderen. Als u dit doet, wordt de synchronisatieconfiguratie voorgoed uit de Admin Console verwijderd. Zo nodig kunt u de synchronisatie herstellen met dezelfde of een andere directory.

Gebruikers en groepen uitschakelen

Als u Azure Sync implementeert, worden nieuwe federatieve gebruikersaccounts gemaakt en worden gebruikers gesynchroniseerd met de Adobe Admin Console. Beheerders kunnen gebruikers en groepen die zijn toegevoegd via Azure Sync, verwijderen via de onderstaande drie methoden (in de Microsoft Azure Portal):

• De gebruiker verwijderen uit alle gesynchroniseerde groepen in Azure AD

• De gebruiker voorlopig verwijderen uit Azure AD

• Alle groepen waarvan de gebruiker deel uitmaakt, verwijderen uit het inrichtingsbereik in Azure AD

Bij deze drie bewerkingen worden gebruikers in de Adobe Admin Console uitgeschakeld. Een uitgeschakelde gebruiker kan zich niet meer aanmelden en wordt weergegeven als Uitgeschakeld in de lijst Directorygebruikers. Een gebruiker die via een van deze methoden is verwijderd, wordt nog steeds beheerd door Azure Sync. Het gebruikersaccount en de in de cloud opgeslagen assets worden niet uit de organisatie verwijderd.

Een gebruiker en de bijbehorende gegevens uit de Admin Console verwijderen: Kies Ga naar Instellingen via Directory-instellingen > tabblad Synchroniseren en klik op Bewerken inschakelen. Navigeer daarna naar Gebruikers > Directorygebruikers en kies de gebruiker in de lijst om het account definitief te verwijderen.

Zodra bewerken is ingeschakeld, kunnen de gesynchroniseerde gegevens gedurende één uur worden bewerkt, waarna bewerken automatisch weer wordt uitgeschakeld. We raden u aan te klikken op Bewerken uitschakelen direct nadat u gebruikers hebt verwijderd om ervoor te zorgen dat wijzigingen in Azure AD worden weerspiegeld in de Admin Console.

Quarantainebeleid

Adobe en Microsoft hebben een quarantainebeleid opgezet om allerlei foutaanroepen tijdens synchronisatiebewerkingen af te handelen. 

De Azure AD-inrichtingsservice controleert de status van uw configuratie en plaatst apps met een 'slechte' status in 'quarantaine'. Als de meeste of alle aanroepen van het doelsysteem consistent mislukken vanwege een fout, bijvoorbeeld ongeldige beheerdersreferenties, wordt de inrichtingstaak gemarkeerd als 'in quarantaine geplaatst'. In quarantaine wordt de frequentie van incrementele cycli geleidelijk teruggebracht tot eenmaal per dag. De inrichtingstaak wordt uit quarantaine verwijderd nadat alle fouten zijn verholpen en de volgende synchronisatiecyclus begint. Als de inrichtingstaak langer dan vier weken in quarantaine blijft, wordt de inrichtingstaak uitgeschakeld (niet meer uitgevoerd). Lees meer over het inrichten van applicaties in quarantaine binnen Azure AD.

De Adobe-service verifieert de synchronisatiestatus onafhankelijk om te controleren wanneer het foutpercentage een bepaalde drempel binnen een bepaalde tijd overschrijdt. Als een minimumaantal verzoeken resulteert in een fout die aan de drempel voldoet, wordt een tijdelijke quarantaine gestart, wat ertoe leidt dat alle aanroepen en updateverzoeken van Azure AD worden geweigerd gedurende een bepaalde periode. Na deze periode worden oproepen opnieuw geaccepteerd voor nieuwe synchronisatiepogingen. Als de foutaanroepen blijven voortduren, wordt de synchronisatie tijdelijk voor een langere periode in quarantaine geplaatst. Als Adobe de quarantaine start, kan dit leiden tot een eropvolgende quarantaine in Azure vanwege de geweigerde oproepen, die meetellen voor de foutpercentages in Azure. Houd er rekening mee dat Adobe zich het recht voorbehoudt om de quarantaineparameters aan te passen op basis van doorlopende gegevensanalyses. 

Veelvoorkomende foutberichten

Er kunnen allerlei veelvoorkomende foutberichten worden weergegeven waarop u moet letten wanneer u Azure Sync beheert vanuit Azure AD. Als u de oorzaak van de verschillende foutmeldingen begrijpt, kunt u eventuele fouten beter oplossen.

Lees meer over het controleren van uw distributie binnen Azure AD.

Synchronisatieprobleem oplossen

Aangezien de Adobe Admin Console de service Azure Sync van Microsoft gebruikt, moeten alle synchronisatieproblemen worden opgelost binnen Azure AD. Raadpleeg de configuratie-instructies van Microsoft om enkele veelvoorkomende problemen op te lossen. Als u geen oplossing kunt vinden, raden we u aan om voor hulp contact op te nemen met de ondersteuning van Microsoft.

Volg de onderstaande instructies om een diagnose te stellen van een synchronisatieprobleem:

Bestaande gebruikersaccounts beheren

Er zijn aanvullende stappen vereist als u alle bestaande gebruikers zonder Federated ID wilt omzetten naar een Federated ID.

Gebruikers met een bestaand account in de Admin Console dat geen Federated ID is, kunnen worden gemigreerd naar een Federated ID-account nadat Azure Sync is ingesteld. Nadat de accounts zijn omgezet, verzendt Azure AD ze naar de Adobe Admin Console.

Voer de onderstaande stappen uit om ervoor te zorgen dat assets die in de cloud zijn opgeslagen, worden gemigreerd naar het nieuwe identiteitstype van de gebruiker:

Volgende stappen

Nadat u Azure Sync aan uw directory hebt toegevoegd, worden alle gebruikers en gebruikersgroepen geïmporteerd in de Adobe Admin Console en regelmatig bijgewerkt. Vervolgens moet u deze gebruikers toegang geven tot de Adobe-apps waaraan ze zijn toegewezen:

1. Productprofielen maken en beheren: Maak geschikte productprofielen en koppel ze aan gebruikers en gebruikersgroepen om nauwkeurig te bepalen wie welke Adobe-apps en -services mag gebruiken. Lees hoe u producten en productprofielen beheert.
2. Wanneer gebruikers worden toegewezen aan de juiste producten, ontvangen ze hierover per e-mail bericht. Gebruikers kunnen de Creative Cloud desktop-app rechtstreeks downloaden en installeren.
   Als uw gebruikers geen beheerdersrechten hebben, moet u de juiste pakketten maken en distribueren.
3. Pakketten maken en distribueren: Als u uw gebruikers toegang wilt bieden tot de apps, maakt en distribueert u de app-pakketten op hun computers. Gebruikers moeten zich aanmelden met hun SSO-aanmeldingsgegevens om de apps en services te kunnen gebruiken. Zie Pakketten met gebruikerslicenties op naam maken voor meer informatie.

Als je de beheerder van een instelling bent, raden we je aan om na het instellen van Azure sync, rolsynchronisatie in te schakelen. Meer informatie over Rolsynchronisatie voor het onderwijs.