Добавление синхронизации Microsoft Entra ID в каталог

Если в качестве поставщика удостоверений используется Microsoft Entra ID, а в Adobe Admin Console отсутствует федеративный каталог, настройте федерацию одним из следующих способов:

• OpenID Connect (OIDC): создайте федеративный каталог за считанные секунды с помощью OIDC. Большая часть настройки выполняется в Adobe Admin Console.
• SSO с Microsoft Entra ID с использованием SAML: создайте федеративный каталог с помощью настройки SAML. Большая часть настройки выполняется на портале Microsoft Azure.
• Если вы используете рабочий федеративный каталог, вы можете добавить возможности для синхронизации к существующей настройке.
• После настройки синхронизации Microsoft Entra ID для каталога невозможно управлять пользователями вручную или с помощью других методов синхронизации. См. примечания перед синхронизацией и общие вопросы для получения дополнительных сведений.

Обзор

Добавьте синхронизацию Microsoft Entra ID (ранее Azure Sync) в любой каталог в Adobe Admin Console, чтобы автоматизировать процесс управление пользователями. Использует протокол SCIM и предоставляет контроль над пользователями и группами, отправляемыми в Adobe. Пользователи Microsoft Entra ID, синхронизированные с Adobe Admin Console, являются уникальными и могут быть назначены одному или нескольким профилям продуктов.

После настройки синхронизации Microsoft Entra ID служба Microsoft Entra ID отправляет данные в Adobe Admin Console на основе подготовки пользователей и групп каталога. Сведения о каталоге отображаются в разделе Настройки консоли Adobe Admin Console.

Преимущества синхронизации Microsoft Entra ID

Основные преимущества использования синхронизации Microsoft Entra ID с каталогом в Adobe Admin Console:

• Управляйте всем в Microsoft Entra ID.
• Контроль данных, отправляемых в Adobe.
• Избегайте настройки дополнительных служб или API.
• Настраивайте сопоставление атрибутов пользователей Microsoft Entra ID.
• Добавление синхронизации в ранее настроенные каталоги.
• Добавление синхронизации в каталоги, настроенные для любого поставщика удостоверений.
• Легко подключайте и отключайте пользователей с помощью Microsoft Entra ID.

Необходимые условия

Для интеграции управления пользователями Adobe Admin Console с Microsoft Entra ID потребуется:

• Учетная запись Microsoft Entra ID с данными пользователя и данными группы.
• Продукты Adobe, которые относятся к Creative Cloud для организаций, Document Cloud для организаций или Experience Cloud.
• федеративный каталог в Adobe Admin Console с подтвержденными доменами.

Поддерживаемые сценарии интеграции

Настройки каталогов различаются, и синхронизация Microsoft Entra ID поддерживает различные сценарии, требующие дополнительных шагов. Выполните действия по настройке, следуя указаниям в этой таблице:

Замечания перед настройкой синхронизации

Перед настройкой синхронизации с Microsoft Entra ID ознакомьтесь с передовыми методами и рекомендациями Adobe:

• Экспортируйте список существующих пользователей перед настройкой синхронизации, чтобы сохранить сведения обо всех учетных записях пользователей и назначенных лицензиях.
• Независимо от того, используете ли вы OIDC или SAML для SSO Microsoft Entra ID, настройте синхронизацию каталога с помощью существующего приложения Adobe Identity Management. Выполните действия, описанные в документе Microsoft, чтобы настроить автоматическую подготовку пользователей.
• Синхронизация Microsoft Entra ID разделяет адрес электронной почты и имя пользователя. Пользователи могут использовать другой адрес электронной почты и имя пользователя для подтверждения входа и доступа к продуктам и сервисам Adobe. Выполните шаги, указанные в документации Microsoft для настройки сопоставления атрибутов для подготовки пользователей.
• сли вы настраиваете синхронизацию с каталогом, содержащим пользователей с Federated ID, перед выполнением начальной синхронизации убедитесь, что формат поля имени пользователя соответствует формату UPN (User Principal Name) в Microsoft Entra ID. Если эти значения не совпадают, Admin Console воспринимает это как новую учетную запись и создает дублирующие записи. Обновите сопоставление атрибутов, чтобы синхронизированные значения соответствовали профилям пользователей Admin Console, что обновит учетные записи при следующей синхронизации.
• Для синхронизации Microsoft Entra ID требуется консоль Admin Console, содержащая как минимум один федеративный каталог и домен. Если консоль Admin Console с функцией синхронизации (консоль-владелец) находится в доверительных отношениях с другими консолями Admin Console (доверенными консолями), то для создания, управления и лицензирования пользователей с идентификатором Federated ID доверенным консолям необходимо использовать другие методы, например Инструмент синхронизации пользователей User Sync Tool, API управления пользователями или массовую загрузку с использованием CSV-файла. Чтобы добавить пользователя в доверенную консоль для предоставления лицензии, сначала добавьте этого пользователя в консоли-владельце.
• Если ваша организация использует инструмент синхронизации пользователей User Sync Tool или интеграцию с API управления пользователями, то необходимо сначала приостановить интеграцию. Затем добавьте синхронизацию Microsoft Entra ID для автоматизации управления пользователями из Microsoft Entra ID. После настройки и запуска синхронизации вы сможете удалить инструмент синхронизации пользователей User Sync Tool или интеграцию с API управления пользователями.
• Для использования назначения на основе групп ваша организация должна иметь подписку Premium (P1 или P2) или Microsoft 365 (E3 или A3) с Microsoft Entra ID. Это позволяет вам выбирать определенные группы и пользователей для синхронизации с Adobe Admin Console. Организации, не имеющие таких уровней подписки, могут синхронизировать всех пользователей и группы одновременно. При этом автоматически синхронизируются все группы и пользователи, а также для синхронизируемых пользователей создается Adobe Federated ID.
• Чтобы переместить домен в каталог (или из него), для которого настроена синхронизация, сначала временно включите редактирование для этого каталога. Переместите домен, затем отключите редактирование.
• Синхронизация Microsoft Entra ID не затрагивает пользователей из групп с атрибутом HiddenMembership. Для синхронизации определенных пользователей создайте группу в Microsoft Entra ID и скопируйте соответствующих пользователей в новую группу.

Добавить синхронизацию Microsoft Entra ID в федеративный каталог

Добавьте синхронизацию Microsoft Entra ID Sync в федеративный каталог Adobe Admin Console, к которому привязаны требуемые домены. Чтобы добавить синхронизацию в существующий федеративный каталог:

Изменение настроек синхронизации

Системный администратор может обновить настройки источника синхронизации после настройки. Выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация. Возможности настройки:

• Разрешить редактирование синхронизированных данных в Admin Console. После установки синхронизации Microsoft Entra ID все пользователи и созданные для синхронизации группы в каталоге автоматически добавляются в синхронизацию. После того как вы разрешите редактирование, вы можете редактировать синхронизированные данные в Admin Console в течение короткого периода. Изменения в это время не влияют на информацию о пользователях в Microsoft Entra ID, и запросы изменений от вашего поставщика удостоверений перезаписывают их.

• Статус синхронизации: указывает системе синхронизации отклонять запросы на внесение изменений, поступающие из Microsoft Entra ID. Если статус синхронизации — «Выкл.», изменения в Microsoft Entra ID не передаются в Adobe Admin Console.
• Изменить конфигурацию синхронизации пользователей: перенаправляет вас к инструкциям по настройке для редактирования синхронизации пользователей. Используйте этот вариант, если диалоговое окно закрывается до завершения настройки или если вам необходимо изменить параметры в Microsoft Entra ID после первоначальной настройки.

Удалить синхронизацию

Администраторы могут удалить синхронизацию из федеративного каталога в Admin Console. При удалении синхронизации каталог и связанные с ним домены, группы пользователей и сами пользователи остаются без изменений. При этом для каталога и его пользователей и групп удаляется режим «только для чтения».

Чтобы отключить синхронизацию для каталога, перейдите в раздел Настройки каталога > Синхронизация, выберите Перейти к настройкам, а затем — Удалить синхронизацию. Это действие навсегда удаляет настройку синхронизации из Admin Console. При необходимости вы можете восстановить синхронизацию повторно с тем же или другим каталогом.

Отключение пользователей и групп

При настройке синхронизации Microsoft Entra ID создаются новые объединенные учетные записи пользователей и выполняется синхронизация пользователей с Adobe Admin Console. Администраторы также могут удалять пользователей и группы, добавленные посредством синхронизации, используя следующие три способа на портале Microsoft Azure:

• Удалите пользователя из всех синхронизированных групп в Microsoft Entra ID.
• Программно удалите пользователя из Microsoft Entra ID.
• Удалить все группы, частью которых является пользователь, из области подготовки в Microsoft Entra ID.

Эти три операции блокируют пользователей в Adobe Admin Console. Заблокированный пользователь больше не может войти в систему; в списке Пользователи каталога он отображается со статусом Отключен. Синхронизация Microsoft Entra ID будет по-прежнему управлять пользователем, подготовка которого была отменена с помощью одного из этих методов. Ни учетная запись пользователя, ни его ресурсы, хранящиеся в облаке, не удалены из организации.

Удаление пользователя и связанных с ним данных из Admin Console. Выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация и нажмите Включить редактирование. Затем перейдите в раздел Пользователи > Пользователи каталога и выберите пользователя, чью учетную запись необходимо окончательно удалить.

Включенный режим редактирование позволяет редактировать синхронизированные данные в течение 1 часа, прежде чем он автоматически отключится. Выберите Отключить редактирование сразу после удаления пользователя, чтобы Admin Console отражала изменения Microsoft Entra ID.

Политика карантина

Adobe и Microsoft имеют политику карантина для обработки многочисленных ошибочных вызовов во время операций синхронизации.

Служба подготовки Microsoft Entra ID отслеживает состояние вашей конфигурации и переводит неработоспособные приложения в карантинное состояние. Если большая часть вызовов (все вызовы) на целевой системе постоянно терпят неудачу из-за ошибки, например из-за неверных учетных данных администратора, то задание по подготовке помечается как «находящееся в карантине». При нахождении в карантине частота дополнительных циклов постепенно снижается до одного раза в день. Задание удаляется из карантина после исправления всех ошибок и запуска следующего цикла синхронизации. Если задание остается в карантине более четырех недель, то оно отключается и перестает выполняться. Узнайте больше о подготовке учетных записей со статусом «на карантине» в Microsoft Entra ID.

Служба Adobe автоматически отслеживает состояние синхронизации, чтобы выявлять случаи, когда частота ошибок превышает пороговое значение за определенный период времени. При достижении порогового значения количества запросов, завершившихся ошибкой, активируется временный карантин: все вызовы и запросы на обновление из Microsoft Entra ID отклоняются в течение определенного времени, после чего прием вызовов для повторной попытки синхронизации возобновляется. Если вызовы продолжают завершаться ошибкой, синхронизация помещается на карантин в течение длительного времени для временной проверки. Если Adobe инициирует карантин, это может привести к последующему введению карантина со стороны Microsoft из-за отклоненных запросов, которые учитываются при подсчете количества ошибок в Microsoft Entra ID. Adobe оставляет за собой право обновлять параметры карантина на основе текущей аналитики данных.

Распространенные сообщения об ошибках

Набор распространенных сообщений об ошибках появляется при управлении синхронизацией Microsoft Entra ID. Понимание причины каждого сообщения помогает при устранении неполадок. Узнайте подробнее о мониторинге вашего развертывания внутри Microsoft Entra ID.

Устранение проблемы с синхронизацией

Поскольку Adobe Admin Console использует службу синхронизации Microsoft, все проблемы с синхронизацией устраняются в Microsoft Entra ID. Для решения распространенных проблем обратитесь к инструкциям Microsoft по настройке. Если вы не можете найти решение, обратитесь в службу поддержки Microsoft. Выполните следующие шаги для диагностики проблемы синхронизации:

Управление существующими учетными записями пользователей

Требуются дополнительные действия для преобразования всех существующих пользователей без Federated ID в пользователей с типом Federated ID.

Пользователей, у которых уже есть учетная запись, отличная от Federated ID, в Admin Console, можно перенести в учетную запись Federated ID после установки синхронизации Microsoft Entra ID. После преобразования Microsoft Entra ID передает эти учетные записи в Adobe Admin Console. Чтобы убедиться, что ресурсы, хранящиеся в облаке, перенесены к новому типу удостоверения пользователя, выполните следующие шаги: