Adicionar a sincronização do Microsoft Azure ao diretório

Você pode adicionar a sincronização do Azure a qualquer diretório no Adobe Admin Console para automatizar o processo de gerenciamento de usuários. A sincronização do Azure usa o protocolo SCIM para o gerenciamento de usuários e oferece controle sobre os usuários e os grupos enviados à Adobe. Os usuários do Azure AD sincronizados com o Adobe Admin Console são exclusivos e podem ser atribuídos a um ou mais perfis de produto.

Depois que o Azure Sync é configurada, o Azure AD começa a enviar dados ao Adobe Admin Console de acordo com o provisionamento de usuários e grupos do diretório do Azure AD. Todos os detalhes associados ao diretório são exibidos na seção Configurações do Adobe Admin Console.

Vantagens da sincronização do Azure

As principais vantagens da sincronização do Azure com seu diretório no Adobe Admin Console são:

Pré-requisitos

Para integrar o gerenciamento de usuários do Adobe Admin Console com o Azure AD, você precisa do seguinte:

• Conta do Microsoft Azure AD com dados de usuários e grupos
  
• Produtos da Adobe que pertencem a qualquer um dos seguintes: Creative Cloud para corporações, Document Cloud para corporações ou Experience Cloud 
• Um diretório federado no Adobe Admin Console com domínios verificados

Cenários de integração compatíveis

A configuração do diretório pode variar, e a sincronização do Azure é compatível com diferentes cenários, o que exige etapas adicionais para configurar a sincronização do Azure. Use a tabela para seguir etapas com base na configuração do diretório:

Observações antes de configurar a sincronização

Siga os itens abaixo para ver as práticas recomendadas e Adobe Recommendations antes de configurar o Azure Sync:

• Exporte a lista de usuários existentes antes de adicionar a sincronização do Azure para manter um registro de todas as contas de usuário e licenças provisionadas no momento da configuração.
• Se você configurou o Azure AD SSO com o Open ID Connect (OIDC), precisará adicionar um novo aplicativo do Adobe Identity Management ao Portal do Microsoft Azure para configurar a sincronização do diretório.
• Se você configurou o Azure AD SSO com SAML, use o aplicativo existente do Adobe Identity Management para configurar a sincronização do diretório. Siga as etapas mencionadas no documento da Microsoft para configurar o provisionamento automático de usuários com o aplicativo do Adobe Identity Management.
• A sincronização do Azure separa o email do nome de usuário, permitindo que usuários utilizem um valor diferente de email e nome de usuário para validar o logon e acessar produtos e serviços da Adobe, colaborar em projetos, compartilhar arquivos etc. Siga as etapas no documento da Microsoft para personalizar o mapeamento de atributos do provisionamento de usuários.
• Se você pretende integrar a sincronização do Azure a um diretório com usuários de Federated ID, verifique se o formato do campo Nome de usuário corresponde ao nome principal do usuário (UPN) no Azure AD antes de realizar a sincronização inicial.
  Se esses valores não forem os mesmos, o Admin Console interpretará isso como uma nova conta de usuário e criará registros duplicados para o mesmo usuário. Você pode atualizar o mapeamento de atributos para garantir que os valores enviados pela sincronização correspondam aos valores nos perfis de usuário no Admin Console, que atualizará automaticamente a conta deles na próxima sincronização.
• A sincronização do Azure só pode ser estabelecida em um Admin Console com pelo menos um diretório federado e domínio configurados. Se o Admin Console com a sincronização do Azure (console proprietário) estiver em uma relação de confiança com outros Admin Consoles (consoles confiáveis), os consoles confiáveis precisarão usar outra forma de gerenciamento de usuários, como a ferramenta User Sync, a API de gerenciamento de usuários ou o upload de CSV em massa, para criar, gerenciar e licenciar usuários de Federated ID.
  Para adicionar usuários a um console confiável e realizar o provisionamento de licenças, você deve adicionar o usuário ao console proprietário primeiro.
• Se a sua organização utiliza a ferramenta User Sync ou uma integração UMAPI, você deve pausar a integração primeiro. Depois, adicione a Azure Sync para automatizar o gerenciamento de usuários pelo Azure AD. Depois que a sincronização do Azure estiver configurada e funcionando, você poderá remover completamente a ferramenta User Sync ou a integração UMAPI.
• Sua organização deve ter uma assinatura Premium (P1 ou P2) ou Microsoft 365 (E3 ou A3) com o Azure AD para usar recursos de atribuição baseados em grupo. Isso permite que você escolha grupos e usuários específicos a serem sincronizados com o Adobe Admin Console.
  Organizações sem esses níveis de assinatura só podem sincronizar todos os usuários e grupos com o Adobe Admin Console de uma vez. O sistema sincronizará todos os usuários e grupos automaticamente e gerará uma Adobe Federated ID para os usuários sincronizados. Leia mais sobre os planos de assinatura do Azure AD e as opções de atualização.
• Para adicionar ou remover um domínio de um diretório com a sincronização do Azure estabelecida, você deve primeiro ativar a edição do diretório temporariamente. Após ativá-la, adicione ou remova o domínio desejado do diretório sincronizado com o Azure AD antes de desativar os recursos de edição do diretório.
• O Azure Sync não sincroniza usuários de grupos com o atributo HiddenMembership no Azure AD. Para sincronizar usuários específicos, crie um grupo no Azure AD e copie os respectivos usuários para o novo grupo.

Adicionar a sincronização do Azure a um diretório federado

Você pode adicionar a sincronização do Azure a um diretório federado do Adobe Admin Console com os domínios necessários vinculados a ele. Para adicionar a sincronização a um diretório federado estabelecido, siga o processo abaixo:

Editar configurações de sincronização

Um administrador de sistema poderá atualizar as configurações da Fonte de sincronização depois que a configuração for concluída selecionando Ir para configurações na guia Configurações do diretório > Sincronização. As opções de configuração incluem:

Desabilitar sincronização

Os administradores podem escolher remover a sincronização de um diretório federado no Admin Console. A desabilitação da sincronização deixa o diretório e seus domínios, grupos de usuários e usuários associados intactos, bem como remove o modo somente leitura do diretório e seus usuários e grupos.

Para desabilitar a sincronização de um diretório, escolha Ir para configurações na guia Configurações do diretório > Sincronização e Desabilitar sincronização. Essa ação desabilitará permanentemente a configuração de sincronização do Admin Console. Se necessário, você poderá restabelecer a sincronização com o mesmo diretório ou com um diretório diferente.

Desativar usuários e grupos

A implementação da sincronização do Azure cria contas de usuário federado e sincroniza os usuários com o Adobe Admin Console. Os administradores também podem desprovisionar usuários e grupos adicionados usando a sincronização do Azure por meio dos três métodos a seguir (no Portal do Microsoft Azure):

• Remover o usuário de todos os grupos sincronizados no Azure AD

• Excluir temporariamente o usuário do Azure AD

• Remover todos os grupos dos quais o usuário faz parte do escopo de provisionamento no Azure AD

Essas três operações desabilitam os usuários no Adobe Admin Console. Um usuário desativado não consegue mais fazer logon e aparece como Desativado na lista de Usuários do diretório. O Azure Sync continuará gerenciando um usuário desprovisionado por um desses métodos. Nem a conta do usuário nem os ativos armazenados na nuvem são removidos da organização. 

Remover um usuário e dados associados do Admin Console: Escolha Ir para configurações na guia Configurações do diretório > Sincronização e clique em Ativar edição. Em seguida, navegue até Usuários > Usuários de diretório e escolha o usuário da lista para excluir permanentemente a conta.

Quando a edição é ativada, ela permite fazer alterações nos dados sincronizados por até uma hora antes de ser desativada automaticamente. Recomendamos clicar em Desativar edição imediatamente após a remoção do usuário para garantir que as alterações no Admin Console sejam as mesmas do Azure AD.

Política de quarentena

A Adobe e a Microsoft têm uma política de quarentena para lidar com várias chamadas de erro durante as operações de sincronização. 

O serviço de provisionamento do Azure AD monitora a integridade da sua configuração e coloca os aplicativos não íntegros em um estado de “quarentena”. Se a maioria ou todas as chamadas feitas no sistema de destino falharem consistentemente em razão de um erro (por exemplo, credenciais de administrador inválidas), o trabalho de provisionamento será marcado como em quarentena. Durante a quarentena, a frequência dos ciclos incrementais é gradualmente reduzida para uma vez por dia. O trabalho de provisionamento é removido da quarentena depois que todos os erros são corrigidos e o próximo ciclo de sincronização é iniciado. Se o trabalho de provisionamento permanecer em quarentena por mais de quatro semanas, ele será desabilitado (parará de funcionar). Saiba mais sobre o provisionamento de aplicativos em status de quarentena no Azure AD.

O serviço da Adobe monitora de forma independente a integridade da sincronização para verificar quando a taxa de erro ultrapassa certo limite em determinado período. Um número mínimo de solicitações que resultem em um erro que atinja o limite determinará a quarentena temporária, resultando na rejeição de todas as chamadas e solicitações de atualização do Azure AD por determinado período, após o qual as chamadas serão aceitas novamente para nova tentativa de sincronização. Se as chamadas de erro persistirem, a sincronização será colocada em teste temporário por um longo período em quarentena. Se a quarentena for iniciada pela Adobe, ela também poderá levar a uma quarentena subsequente com o Azure em razão das chamadas rejeitadas, que contarão para as taxas de erro no Azure. Observe que a Adobe se reserva o direito de atualizar os parâmetros de quarentena com base em análise de dados contínua. 

Mensagens de erro comuns

Ao gerenciar a sincronização do Azure pelo Azure AD, você precisa estar ciente de que há um conjunto de mensagens de erro comuns exibidas. Compreender a causa das várias mensagens de erro ajudará na solução de problemas quando ocorrerem erros.

Saiba mais sobre como monitorar sua implantação no Azure AD.

Resolver problema de sincronização

Como o Adobe Admin Console usa o serviço de sincronização do Azure da Microsoft, todos os problemas de sincronização são detectados no Azure AD. Você pode consultar as instruções de configuração da Microsoft para resolver alguns problemas comuns. Se você não conseguir encontrar uma solução, recomendamos que entre em contato com o Suporte da Microsoft para obter mais assistência.

Siga as instruções abaixo para diagnosticar um problema de sincronização:

Gerenciar contas de usuários existentes

Etapas adicionais são necessárias para converter todos os usuários que não têm uma conta do tipo Federated ID para o tipo Federated ID.

Os usuários que já tiverem uma conta que não é do tipo Federated ID no Admin Console poderão ser migrados para uma conta do tipo Federated ID depois que a sincronização do Azure for estabelecida. Depois de convertidas, o Azure AD envia essas contas para o Adobe Admin Console com êxito.

Para garantir que os ativos armazenados na nuvem sejam migrados para o novo tipo de identidade do usuário, siga o processo abaixo:

Próximas etapas

Depois que você adicionar a sincronização do Azure ao diretório, todos os usuários e grupos de usuários serão importados para o Adobe Admin Console e atualizados em intervalos regulares. Em seguida, você deverá permitir que esses usuários acessem os aplicativos da Adobe designados a eles.

1. Criar e gerenciar perfis de produto: crie perfis de produto apropriados e os associe aos usuários e grupos de usuários para determinar quem usará quais aplicativos e serviços da Adobe. Saiba como gerenciar produtos e perfis de produto.
2. Quando os usuários são atribuídos aos produtos designados, eles recebem uma notificação por email. Os usuários podem baixar e instalar diretamente o aplicativo de desktop da Creative Cloud.
   Se os usuários não tiverem permissões de administrador, você precisará criar e implantar pacotes apropriados.
3. Criar e implantar pacotes: para que os usuários tenham acesso aos aplicativos, crie e implante os pacotes de aplicativo em seus computadores. Os usuários precisarão fazer logon com suas credenciais de SSO para começarem a usar os aplicativos e os serviços. Para obter mais informações, consulte Criar pacotes de licenciamento por usuário nomeado.

Se for o administrador de uma instituição, depois de configurar a sincronização do Azure, recomendamos que ative a sincronização de funções. Saiba mais sobre a Sincronização de funções para instituições de ensino.