Dodawanie usługi Microsoft Azure Sync do katalogu

Funkcję Azure Sync można dodać do dowolnego katalogu w serwisie Adobe Admin Console, aby zautomatyzować proces zarządzania użytkownikami. Azure Sync używa protokołu SCIM do zarządzania kontami użytkowników i zapewnia kontrolę nad użytkownikami i grupami wysyłanymi do systemów Adobe. Konta użytkowników z katalogu Azure AD zsynchronizowane z serwisem Adobe Admin Console są niepowtarzalne i można je przypisywać do jednego lub wielu profilów produktowych.

Po skonfigurowaniu usługi Azure Sync usługa Azure AD rozpoczyna wysyłanie danych do serwisu Adobe Admin Console zgodnie z konfiguracją obsługi użytkowników i grup w katalogu Azure AD. Wszystkie dane związane z katalogiem są wyświetlane w sekcji Ustawienia serwisu Adobe Admin Console.

Zalety usługi Azure Sync

Główne korzyści wynikające ze stosowania usługi Azure Sync do obsługi katalogów w serwisie Adobe Admin Console są następujące:

Wymagania wstępne

W celu integracji zarządzania użytkownikami w systemach Adobe Admin Console oraz Azure AD niezbędne są następujące elementy:

• Konto Microsoft Azure AD z danymi użytkowników i grup
  
• Produkty Adobe należące do dowolnego z następujących rozwiązań: Creative Cloud dla przedsiębiorstw, Document Cloud dla przedsiębiorstw, Experience Cloud 
• Katalog federacyjny w serwisie Adobe Admin Console ze zweryfikowanymi domenami

Obsługiwane scenariusze integracji

Konfiguracja katalogu może być inna, a sama usługa Azure Sync obsługuje różne scenariusze, co wymaga podjęcia dodatkowych kroków w celu jej skonfigurowania. W poniższej tabeli podano czynności, które należy wykonać w zależności od konfiguracji katalogu:

Przed skonfigurowaniem synchronizacji: istotne zagadnienia

Poniżej przedstawiono sprawdzone procedury oraz rekomendacje Adobe dotyczące przygotowania do konfiguracji usługi Azure Sync:

• Zanim dodasz usługę Azure Sync, wyeksportuj listę istniejących kont użytkowników. Pozwoli to zachować dokumentację wszystkich kont i przydzielonych im licencji według stanu z chwili wdrożenia konfiguracji.
• Jeśli funkcja logowania jednokrotnego usługi Azure AD została skonfigurowana z użyciem narzędzia Open ID Connect (OIDC), to trzeba dodać nową aplikację Adobe Identity Management w serwisie Microsoft Azure Portal, aby skonfigurować synchronizację katalogów.
• Jeśli funkcja logowania jednokrotnego usługi Azure AD została skonfigurowana z użyciem protokołu SAML, użyj istniejącej aplikacji Adobe Identity Management, aby skonfigurować synchronizację katalogów. Wykonaj instrukcje wymienione w tym dokumencie firmy Microsoft, aby skonfigurować automatyczną obsługę administracyjną użytkowników z użyciem aplikacji Adobe Identity Management.
• Usługa Azure Sync oddziela adres e-mail od nazwy konta użytkownika. Pozwala to użytkownikom na stosowanie różnych wartości adresu e-mail i nazwy konta w celu logowania się i uzyskiwania dostępu do produktów i usług Adobe, współpracy nad projektami, udostępniania plików itp. Wykonaj instrukcje wymienione w tym dokumencie firmy Microsoft, aby zmienić odwzorowanie atrybutów w ramach obsługi administracyjnej użytkowników.
• Jeśli integrujesz usługę Azure Sync z katalogiem zawierającym konta Federated ID, przed uruchomieniem początkowej synchronizacji sprawdź, czy używany przez te konta format pola nazwy użytkownika (Username) jest zgodny z nazwą główną użytkownika (UPN) w katalogu Azure AD.
  Gdy te wartości się różnią, serwis Admin Console uznaje dane konto za nowe konto sieciowe, co skutkuje utworzeniem zduplikowanych rekordów tego samego użytkownika. Odwzorowania atrybutów można zmienić, tak aby wartości przekazywane przez usługę synchronizacji były zgodne z wartościami w profilu użytkownika w systemie Admin Console. Spowoduje to automatyczną aktualizację kont takich użytkowników w kolejnym przebiegu synchronizacji.
• Usługę Azure Sync można skonfigurować tylko w takim systemie Admin Console, w którym istnieje co najmniej jeden katalog federacyjny i skonfigurowana domena. Jeśli system Admin Console z usługą Azure Sync (konsola właścicielska) ma ustanowioną relację zaufania z innymi systemami Admin Console (konsolami powierniczymi), to tacy powiernicy muszą korzystać z innej formy zarządzania użytkownikami — np. narzędzia Synchronizacja użytkowników, interfejsu User Management API, lub procedury przesyłania zbiorczego w pliku CSV — aby tworzyć konta Federated ID, zarządzać nimi i przypisywać im licencje.
  Aby dodać użytkowników do konsoli powierniczej w celu przydzielenia im licencji, należy najpierw dodać tych użytkowników do konsoli właścicielskiej.
• Jeśli organizacja używa narzędzia Synchronizacja użytkowników albo integracji UMAPI, to należy najpierw zatrzymać tę integrację, Następnie dodaj usługę Azure Sync, aby zautomatyzować zarządzanie użytkownikami z poziomu usługi Azure AD. Po skonfigurowaniu i uruchomieniu usługi Azure Sync można całkowicie usunąć narzędzie Synchronizacja użytkowników lub integrację UMAPI.
• Aby korzystać z funkcji przypisywania na podstawie grup, Twoja organizacja musi mieć subskrypcję Premium (P1 lub P2) albo Microsoft 365 (E3 lub A3) z usługą Azure AD. Pozwala to na wybór określonych grup i użytkowników do synchronizacji z serwisem Adobe Admin Console.
  Organizacje bez tych poziomów subskrypcji mogą synchronizować tylko wszystkich użytkowników i grupy naraz z serwisem Adobe Admin Console. System automatycznie zsynchronizuje wszystkich użytkowników i grupy oraz wygeneruje identyfikator Adobe Federated ID dla zsynchronizowanych użytkowników. Przeczytaj więcej o planach subskrypcji usługi Azure AD i opcjach aktualizacji.
• Aby przenieść domenę z katalogu lub do katalogu synchronizowanego za pomocą usługi Azure Sync, należy najpierw tymczasowo włączyć edycję takiego katalogu. Po włączeniu możliwości edycji przenieś żądaną domenę do katalogu synchronizowanego z usługą Azure AD albo usuń ją z takiego katalogu, a następnie wyłącz edycję.
• Synchronizacja z Azure nie obejmuje synchronizacji użytkowników z grup z atrybutem HiddenMembership w usłudze Azure AD. Aby zsynchronizować określonych użytkowników, utwórz grupę w usłudze Azure AD i skopiuj odpowiednich użytkowników do nowej grupy.

Dodawanie usługi Azure Sync do katalogu federacyjnego

Usługę Azure Sync można dodać do katalogu federacyjnego zdefiniowanego w serwisie Adobe Admin Console, z którym połączono niezbędne domeny. Aby dodać synchronizację do istniejącego katalogu federacyjnego, wykonaj poniższą procedurę:

Edytowanie ustawień synchronizacji

Administrator systemu może aktualizować ustawienia opcji Źródło synchronizacji po zakończeniu konfiguracji, wybierając pozycję Przejdź do ustawień na karcie Ustawienia katalogu > Synchronizuj. Dostępne są następujące opcje:

Usuwanie synchronizacji

Administratorzy mogą usunąć usługę synchronizacji z katalogu federacyjnego w systemie Admin Console. Usunięcie usługi synchronizacji pozostawia bez zmian sam katalog oraz powiązane z nim domeny, grupy oraz konta użytkowników. Usuwany jest natomiast status „tylko do odczytu” z katalogu, kont i grup.

Aby usunąć usługę synchronizacji z katalogu, wybierz opcję Przejdź do ustawień na karcie Ustawienia katalogu > Synchronizacja, a następnie kliknij opcję Usuń synchronizację. To działanie spowoduje trwałe usunięcie konfiguracji synchronizacji z serwisu Admin Console. W razie potrzeby można będzie ponownie skonfigurować synchronizację na tym samym lub innym katalogu.

Wyłączanie kont użytkowników i grup

Wdrożenie usługi Azure Sync powoduje utworzenie nowych kont typu federacyjnego i zsynchronizowanie użytkowników do systemu Adobe Admin Console. Administratorzy mogą zdekonfigurować konta i grupy użytkowników utworzone za pośrednictwem usługi Azure Sync, korzystając z następujących trzech metod (wykonywanych w serwisie Microsoft Azure Portal):

• Usunięcie użytkownika ze wszystkich synchronizowanych grup w katalogu Azure AD

• Nietrwałe usunięcie użytkownika z katalogu Azure AD

• Usunięcie wszystkich grup, do których należy ten użytkownik, z zakresu inicjowania obsługi w usłudze Azure AD

Te trzy operacje wyłączają konta użytkowników w systemie Adobe Admin Console. Wyłączone konto powoduje, że użytkownik nie może się już zalogować i jest wyświetlany jako Wyłączony na liście Użytkownicy katalogu. Użytkownik, który został zdekonfigurowany za pomocą jednej z powyższych metod, nadal podlega zarządzaniu przez usługę Azure Sync. Ani konto użytkownika, ani zasoby przechowywane w chmurze są usuwane z organizacji.

Usuwanie konta użytkownika i powiązanych z nim danych z systemu Admin Console: Wybierz opcję Przejdź do ustawień na karcie Ustawienia katalogu > Synchronizacja. Kliknij opcję Włącz edycję. Następnie przejdź na kartę Użytkownicy > Użytkownicy katalogu i wybierz konto użytkownika z listy, aby je trwale usunąć.

Włączenie edycji umożliwia modyfikowanie zsynchronizowanych danych przez jedną godzinę. Po tym czasie edycja zostanie automatycznie wyłączona. Adobe zaleca kliknięcie opcji Wyłącz edycję natychmiast po usunięciu konta użytkownika, aby mieć pewność, że w serwisie Admin Console zostaną odzwierciedlone zmiany wprowadzane w usłudze Azure AD.

Polityka kwarantanny

Adobe i Microsoft stosują politykę kwarantanny w celu obsługi licznych błędów podczas operacji synchronizacji. 

Usługa inicjowania obsługi administracyjnej Azure AD monitoruje kondycję konfiguracji i przenosi nieprawidłowe aplikacje w stan „kwarantanny”. Jeśli całość lub większość wywołań do systemu docelowego kończy się niepowodzeniem z powodu błędu (na przykład w wyniku nieprawidłowych danych uwierzytelniających administratora), zadanie inicjowania obsługi jest przenoszone do kwarantanny. Podczas kwarantanny częstotliwość cykli przyrostowych jest stopniowo zmniejszana do jednego dziennie. Kwarantanna jest zdejmowana z zadania inicjowania obsługi administracyjnej po naprawieniu wszystkich błędów i rozpoczęciu następnego cyklu synchronizacji. Jeśli zadanie inicjowania obsługi pozostaje w kwarantannie przez ponad cztery tygodnie, to zostaje wyłączone (przestaje być uruchamiane). Więcej informacji: Inicjowanie obsługi aplikacji w trybie kwarantanny w systemie Azure AD.

Niezależnie od tego usługa Adobe monitoruje stan synchronizacji, aby stwierdzić, czy poziom błędów w określonym czasie przekracza określony próg. Osiągnięcie minimalnego progu liczby wywołań generujących błąd spowoduje wdrożenie kwarantanny tymczasowej, w wyniku czego wszystkie wywołania i żądania zmian z usługi Azure AD będą przez pewien czas odrzucane. Potem żądania zaczną być ponownie akceptowane w celu ponowienia próby synchronizacji. Jeśli błędy będą się utrzymywać, synchronizacja zostanie tymczasowo zastrzeżona i rozpocznie się przedłużony okres kwarantanny. Kwarantanna zainicjowana przez Adobe może również doprowadzić do późniejszej kwarantanny ze strony platformy Azure z powodu odrzucania wywołań (co powiększa liczbę błędów na platformie Azure). Adobe zastrzega sobie prawo zmiany parametrów kwarantanny na podstawie bieżącej analizy danych. 

Typowe komunikaty o błędach

Zarządzając usługą Azure Sync i synchronizacją z katalogu Azure AD, można spotkać się z pewnym zbiorem typowych komunikatów o błędach. Poznanie przyczyn zgłaszania tych komunikatów pomoże w zdiagnozowaniu problemu.

Więcej informacji: Monitorowaniu wdrożenia z poziomu katalogu Azure AD.

Rozwiązywanie problemu z synchronizacją

Ponieważ serwis Adobe Admin Console używa usługi synchronizacji Azure firmy Microsoft, wszystkie problemy z synchronizacją są rozwiązywane w ramach usługi Azure AD. Aby rozwiązać niektóre typowe problemy, można postępować według instrukcji konfiguracji od firmy Microsoft. Jeśli nie możesz znaleźć rozwiązania, zalecamy skontaktowanie się z pomocą techniczną Microsoft w celu uzyskania dalszej pomocy.

Postępuj zgodnie z poniższymi instrukcjami, aby zdiagnozować problem z synchronizacją:

Zarządzanie istniejącymi kontami użytkowników

Aby przekonwertować wszystkie istniejące konta użytkowników inne niż Federated ID na identyfikatory Federated ID, należy wykonać dodatkowe kroki.

Użytkownicy, którzy mają już w serwisie Admin Console konta inne niż Federated ID, mogą zostać przeniesieni na konta Federated ID po aktywowaniu usługi Azure Sync. Po przekonwertowaniu usługa Azure AD pomyślnie przenosi te konta do serwisu Adobe Admin Console.

Aby zagwarantować przeniesienie wszystkich zasobów przechowywanych w chmurze na nowy typ konta użytkownika, wykonaj następującą procedurę:

Dalsze kroki

Po dodaniu usługi Azure Sync do katalogu wszystkie konta i grupy użytkowników zostaną zaimportowane do serwisu Adobe Admin Console i będą aktualizowane w regularnych odstępach czasu. Teraz trzeba jeszcze umożliwić tym użytkownikom dostęp do odpowiednich aplikacji Adobe:

1. Utwórz profile produktowe i zarządzaj nimi: Utwórz odpowiednie profile produktowe i powiąż je z kontami i grupami użytkowników, aby precyzyjnie określić, kto może korzystać z poszczególnych aplikacji i usług Adobe. Więcej informacji: Zarządzanie produktami i profilami produktowymi.
2. Użytkownicy otrzymają powiadomienie pocztą elektroniczną, gdy zostaną im przypisane odpowiednie produkty. Użytkownik może bezpośrednio pobrać i zainstalować konsolę Creative Cloud.
   Jeśli użytkownicy nie mają uprawnień administracyjnych, to administrator musi utworzyć i wdrożyć odpowiednie pakiety.
3. Utwórz i wdróż pakiety: Aby umożliwić użytkownikom dostęp do aplikacji, utwórz i wdróż pakiety z aplikacjami na ich komputerach. Aby rozpocząć korzystanie z aplikacji i usług, użytkownicy muszą się zalogować za pomocą danych logowania SSO. Więcej informacji: Tworzenie pakietów licencji imiennych.

Jeśli pełnisz w instytucji rolę administratora, po skonfigurowaniu synchronizacji Azure zaleca się włączenie także synchronizacje ról. Zobacz Synchronizacja ról w konfiguracjach dla sektora edukacji.