Legge til Microsoft Azure Sync i en katalog

Du kan legge til Azure Sync i hvilken som helst katalog i Adobe Admin Console for å automatisere brukeradministrasjonsprosessen. Azure Sync bruker SCIM-protokoll for administrering av brukere og gir deg kontroll over brukere og grupper som sendes til Adobe. Azure AD-brukere som synkroniseres med Adobe Admin Console, er unike og kan tilordnes én eller flere produktprofiler.

Når du har konfigurert Azure Sync, begynner Azure AD å sende data til Adobe Admin Console i henhold til bruker- og gruppetildelingen for Azure AD-katalogen. All informasjon knyttet til katalogen vises i Innstillinger-delen i Adobe Admin Console.

Fordeler ved Azure Sync

De viktigste fordelene ved å bruke Azure Sync med katalogen i Adobe Admin Console, er:

Forutsetninger

For å integrere Adobe Admin Consoles brukeradministrasjon med Azure AD trenger du følgende:

• En Microsoft Azure AD-konto med bruker- og gruppedata
  
• Ett eller flere Adobe-produkter som tilhører Creative Cloud for enterprise, Document Cloud for enterprise eller Experience Cloud 
• En samlet katalog i Adobe Admin Console med bekreftede domener

Støttede scenarier for integrering

Konfigurasjonen av kataloger kan variere, og Azure Sync støtter ulike scenarier, noe som krever ytterligere trinn for å konfigurere Azure Sync. Bruk tabellen og følg trinnene basert på katalogoppsettet ditt:

Merknader før synkronisering av konfigurasjon

Følg punktene under for å se beste praksis og Adobes anbefalinger før du konfigurerer Azure Sync:

• Eksporter listen over eksisterende brukere før du legger til Azure Sync, slik at du beholder et register over alle brukerkontoer og klargjorte lisenser når du skal utføre konfigurasjonen.
• Hvis du har konfigurert Azure AD SSO med Open ID Connect (OIDC), må du legge til en ny Adobe Identity Management-applikasjon i Microsoft Azure Portal for å konfigurere katalogsynkronisering.
• Hvis du har konfigurert Azure AD SSO med SAML, bruker du den eksisterende Adobe Identity Management-applikasjonen for å konfigurere katalogsynkronisering. Følg trinnene i Microsoft-dokumentet for å konfigurere automatisk brukerklargjøring med Adobe Identity Management-applikasjonen.
• Azure Sync frakobler e-poster fra brukernavn slik at brukerne kan benytte forskjellige e-post- og brukernavnverdier for å bekrefte pålogging og få tilgang til Adobe-produkter og -tjenester, samarbeide på prosjekter, dele filer osv.​ Følg trinnene i Microsoft-dokumentet for å tilpasse attributtilordningen for brukerklargjøring.
• Hvis du integrerer Azure Sync i en katalog som har Federated ID-brukere, må du kontrollere at brukernavnfeltformatet samsvarer med user principal-navnet (UPN) i Azure AD før du kjører den første synkroniseringen.
  Hvis disse verdiene ikke samsvarer, vil Admin Console tolke dette som en ny brukerkonto og opprette duplikatposter for en enkeltbruker. Du kan oppdatere attributtilordningen for å sikre at verdiene som sendes ved synkronisering, samsvarer med verdiene i brukerprofilene i Admin Console, som automatisk oppdaterer kontoene ved neste synkronisering.
• Azure Sync kan bare opprettes i en Admin Console med minst én samlet katalog og ett domeneoppsett. Hvis Admin Console-enheten med Azure Sync (eierkonsoll) er i et tillitsforhold med andre Admin Console-enheter (forvalterkonsoller), må forvalterne bruke en annen form for brukeradministrasjon – for eksempel verktøyet for brukersynkronisering, Brukeradministrasjons-API eller CSV-masseopplasting for å opprette, administrere og lisensiere Federated ID-brukere.
  For å legge til brukere i en forvalterkonsoll for lisensklargjøring må du først legge til brukeren i eierkonsollen.
• Hvis organisasjonen bruker User Sync Tool eller en UMAPI-integrering, må du først sette integreringen på pause. Deretter legger du til Azure Sync for å automatisere brukeradministreringen fra Azure AD. Når Azure Sync er konfigurert og kjører, kan du fjerne verktøyet for brukersynkronisering eller UMAPI-integrasjonen helt.
• Organisasjonen din må ha et Premium- (P1 eller P2) eller Microsoft 365-abonnement (E3 eller A3) med Azure AD for å bruke gruppebaserte tildelingsfunksjoner. Det gjør at du kan velge bestemte grupper og brukere som skal synkroniseres med Adobe Admin Console.
  Organisasjoner uten disse abonnementsnivåene kan bare synkronisere alle brukere og grupper med Adobe Admin Console samtidig. Systemet synkroniserer alle brukere og grupper automatisk, og genererer en Adobe Federated ID for de synkroniserte brukerne. Les mer om Azure AD-abonnementsplaner og alternativer for oppdatering.
• For å flytte et domene til eller fra en katalog som er opprettet med Azure Sync, må du først aktivere redigering for katalogen midlertidig. Når dette er aktivert, flytter du det ønskede domenet til eller fra den Azure AD-synkroniserte katalogen før du deaktiverer redigeringsfunksjonene for katalogen.
• Azure Sync synkroniserer ikke brukere fra grupper med HiddenMembership-attributtet i Azure AD. For å synkronisere bestemte brukere må du opprette en gruppe i Azure AD og kopier de respektive brukerne til den nye gruppen.

Legge til Azure Sync i en samlet katalog

Du kan legge til Azure Sync i en samlet Adobe Admin Console-katalog som er knyttet til de nødvendige domenene. Følg fremgangsmåten nedenfor for å legge til synkronisering i en etablert samlet katalog:

Rediger innstillinger for synkronisering

En systemadministrator kan oppdatere innstillingene for synkroniseringskilden når konfigurasjonen er fullført ved å velge Gå til Innstillinger fra Kataloginnstillinger > Synkroniser-fanen. Alternativene for innstillinger inkluderer:

Fjern synkronisering

Administratorer kan velge å fjerne synkronisering fra en samlet katalog i Admin Console. Ved fjerning av synkronisering oppheves skrivebeskyttet modus for katalogen og de tilhørende brukerne og gruppene, men katalogen og tilknyttede domener, brukergrupper og brukere beholdes.

For å fjerne synkronisering for en katalog velger du Gå til innstillinger på fanen Kataloginnstillinger > Synkroniser, og velger deretter Fjern synkronisering. Synkroniseringskonfigurasjonen fjernes da permanent fra Admin Console. Du kan eventuelt gjenopprette synkronisering med samme eller en annen katalog.

Deaktivere brukere og grupper

Ved implementering av Azure Sync opprettes nye Federated-brukerkontoer, og brukerne synkroniseres med Adobe Admin Console. Administratorer kan også fjerne tilgangen for brukere og grupper som er lagt til gjennom Azure Sync, ved å følge en av de tre metodene under (i Microsoft Azure Portal):

• Fjerne brukeren fra alle synkroniserte grupper i Azure AD

• Myk sletting av brukeren fra Azure AD

• Fjerne alle gruppene som brukeren inngår i, fra klargjøringsomfanget i Azure AD

Disse tre operasjonene deaktiverer brukere i Adobe Admin Console. En deaktivert bruker kan ikke lenger logge på og vises som Deaktivert i Katalogbrukere-listen. En bruker som fratas tilgang via en av disse metodene, vil fortsatt bli administrert av Azure Sync. Brukerens konto eller ressurser i nettskyen blir ikke fjernet fra organisasjonen. 

Fjerne en bruker og tilknyttede data fra Admin Console: Velg Gå til Innstillinger fra Kataloginnstillinger > Synkroniser-fanen og klikk på Aktiver redigering. Naviger deretter til Brukere > Katalogbrukere og velg brukeren på listen for å permanent slette kontoen.

Når redigering er aktivert, tillates endringer i de synkroniserte dataene i én time før redigering blir deaktivert automatisk. Vi anbefaler at du klikker på Deaktiver redigering umiddelbart etter at brukerne er fjernet, for å sikre at Admin Console gjenspeiler Azure AD-endringer.

Karantenepolicy

Adobe og Microsoft har en karantenepolicy for håndtering av flere feilkall under skriftsynkroniseringsoperasjoner. 

Klargjøringstjenesten for Azure AD overvåker tilstanden til konfigurasjonen din og setter usunne applikasjoner i en "karantenetilstand". Hvis de fleste eller samtlige av kallene til målsystemet konsekvent mislykkes på grunn av en feil (f.eks. ugyldig administratorinformasjonen), settes klargjøringsjobben i karantene. Når jobben er i karantene, blir frekvensen av trinnvise sykluser redusert gradvis til én gang om dagen. Klargjøringsjobben tas ut av karantene når alle feil er rettet opp og neste synkroniseringssyklus starter. Hvis klargjøringsjobben blir værende i karantene i mer enn fire uker, blir den deaktivert (slutter å kjøre). Finn ut mer om klargjøring av applikasjoner i karantenetilstand i Azure AD.

Adobe-tjenesten overvåker uavhengig synkroniseringstilstanden for å fastslå når feilprosenten overstiger en bestemt terskel i løpet av et bestemt tidsrom. Et minimumsantall forespørsler som resulterer i en feil som når terskelen, vil medføre en midlertidig karantene som gjør at alle kall og oppdateringsforespørsler fra Azure AD avvises i en periode. Når denne er utløpt, vil kall igjen aksepteres for synkroniseringsforsøk. Hvis feilkallene fortsetter, settes synkroniseringen midlertidig i en lengre karantene. Hvis karantenen initieres av Adobe, kan det også føre til en etterfølgende karantene i Azure på grunn av de avviste kallene, som regnes med i feilprosenten i Azure. Merk: Adobe forbeholder seg retten til å oppdatere karanteneparametrene basert på løpende dataanalyser. 

Vanlige feilmeldinger

Når du administrerer Azure Sync fra Azure AD, finnes det visse vanlige feilmeldinger du bør være oppmerksom på. Innsikt i årsaken til de forskjellige feilmeldingene vil forenkle feilsøkingen når det oppstår feil.

Finn ut mer om hvordan du overvåker distribusjonen i Azure AD.

Feilsøke synkroniseringsproblemer

Ettersom Adobe Admin Console bruker Microsofts Azure-synkroniseringstjenesten, blir alle synkroniseringsproblemer feilsøkt i Azure AD. Du kan se i Microsofts konfigurasjonsinstruksjoner for å løse noen vanlige problemer. Hvis du ikke finner noen løsning, anbefaler vi at du kontakter Microsoft Support for å få hjelp.

Følg instruksjonene nedenfor for å diagnostisere et synkroniseringsproblem:

Administrere eksisterende brukerkontoer

Ytterligere trinn kreves for å konvertere alle eksisterende ikke-Federated ID-brukere til Federated ID-type.

Brukere som har en eksisterende ikke-Federated ID-konto i Admin Console, kan overføres til en Federated ID-konto så snart Azure Sync er etablert. Når overføringen er gjort, flytter Azure AD disse kontoene til Adobe Admin Console.

Følg fremgangsmåten nedenfor for å sikre at ressurser som er lagret i nettskyen, overføres til brukerens nye identitetstype.

Neste trinn

Når du har lagt til Azure Sync i katalogen din, importeres alle brukere og brukergrupper til Adobe Admin Console og oppdateres med jevne mellomrom. Deretter må du aktivere disse brukerne for å få tilgang til de angitte Adobe-applikasjonene:

1. Opprette og administrere produktprofiler: Opprett egnede produktprofiler og knytt dem til brukere og brukergrupper for å finjustere hvem som får bruke hvilke Adobe-applikasjoner og -tjenester. Se hvordan du administrerer produkter og produktprofiler.
2. Når de angitte produktene blir tilordnet brukere, mottar de en e-postmelding. Brukere kan laste ned og installere Creative Cloud-skrivebordsprogrammet direkte.
   Hvis brukerne dine ikke har administratorrettigheter, må du opprette og utrullere egnede pakker.
3. Opprette og utrullere pakker: Hvis du vil gi brukerne tilgang til applikasjonene, må du opprette og utrullere applikasjonspakkene på datamaskinene deres. Brukerne må logge på ved hjelp av SSO-legitimasjon for å ta i bruk applikasjonene og tjenestene. Hvis du vil ha mer informasjon, kan du se Opprette lisenspakker for navngitte brukere.

Hvis du er administrator for en institusjon, anbefaler vi at du aktiverer rollesynkronisering etter at Azure-synkroniseringen er konfigurert. Finn ut mer om Rollesynkronisering for utdanning.