Lägg till Microsoft Entra ID-synkronisering till din katalog

Om din identitetsleverantör är Microsoft Entra ID och du inte har en federerad katalog i Adobe Admin Console, ställ in federation på något av följande sätt:

• OpenID Connect (OIDC): skapa en federerad katalog på några sekunder via OIDC. Det mesta av konfigurationen sker i Adobe Admin Console.
• SSO med Microsoft Entra ID med SAML: skapa en federerad katalog med SAML-konfiguration. Det mesta av konfigurationen sker i Microsoft Azure-portalen.
• Om du har en fungerande federerad katalog kan du lägga till synkroniseringsfunktion ovanpå din befintliga konfiguration.
• Du kan inte hantera användare manuellt eller med andra synkroniseringsmetoder när du har konfigurerat Microsoft Entra ID-synkronisering för en katalog. Se kommentarer före synkning och vanliga frågor om du vill veta mer.

Översikt

Lägg till Microsoft Entra ID-synkronisering (tidigare Azure Sync) till vilken katalog som helst i Adobe Admin Console för att automatisera användarhantering. Den använder SCIM-protokollet och ger dig kontroll över de användare och grupper som skickas till Adobe. Microsoft Entra ID-användare som synkroniseras med Adobe Admin Console är unika och kan tilldelas en eller flera produktprofiler.

Efter att du har konfigurerat Microsoft Entra ID-synkronisering skickar Microsoft Entra ID data till Adobe Admin Console baserat på katalogens användar- och grupprovisioning. Information om katalogen visas i avsnittet Inställningar i Adobe Admin Console.

Fördelar med Microsoft Entra ID-synkronisering

De främsta fördelarna med Microsoft Entra ID-synkronisering med din katalog i Adobe Admin Console är:

• Hantera allt i Microsoft Entra ID.
• Kontrollera vilka data som skickas till Adobe.
• Undvik att konfigurera en annan tjänst eller API.
• Anpassa mappning av Microsoft Entra ID-användarattribut.
• Lägg till synkronisering till tidigare konfigurerade kataloger.
• Lägg till synkronisering till kataloger som konfigurerats för vilken identitetsleverantör som helst.
• Lägg till och ta bort användare enkelt med Microsoft Entra ID.

Förutsättningar

För att integrera användarhantering i Adobe Admin Console med Microsoft Entra ID behöver du:

• Ett Microsoft Entra ID-konto med användar- och gruppdata.
• Adobe-produkter som tillhör Creative Cloud for enterprise, Document Cloud for enterprise eller Experience Cloud.
• En federerad katalog i Adobe Admin Console med verifierade domäner.

Scenarier där integrering stöds

Kataloginställningar skiljer sig åt och Microsoft Entra ID Sync stöder olika scenarier som behöver extra steg.Använd den här tabellen för att följa stegen för din konfiguration:

Kommentarer före synkningskonfiguration

Följ dessa bästa metoder och Adobes rekommendationer innan du konfigurerar Microsoft Entra ID Sync:

• Exportera listan över befintliga användare innan du lägger till synkronisering, för att behålla en post över alla användarkonton och tilldelade licenser.
• Om du konfigurerar Microsoft Entra ID SSO med OpenID Connect (OIDC) lägger du till en ny Adobe Identity Management-applikation i Microsoft Azure-portalen för att konfigurera katalogsynkronisering.
• Om du konfigurerar Microsoft Entra ID SSO med SAML använder du den befintliga Adobe Identity Management-applikationen för att konfigurera katalogsynkronisering.Följ stegen i Microsoft-dokumentet för att konfigurera automatisk användartilldelning.
• Microsoft Entra ID Sync frikopplar e-postadress från användarnamn.Användare kan använda olika e-postadresser och användarnamn för att validera inloggning och komma åt Adobe-produkter och -tjänster.Följ stegen i Microsoft-dokumentet för att anpassa attributmappningen för användartilldelning.
• Om du integrerar synkronisering med en katalog som har Federated ID-användare kontrollerar du att deras användarnamnsformat matchar user principal name (UPN) i Microsoft Entra ID före den första synkroniseringen.Om dessa värden inte matchar behandlar Admin Console det som ett nytt konto och skapar dubblettposter.Uppdatera attributmappningen så att de synkroniserade värdena matchar Admin Console-användarprofilerna, vilket uppdaterar kontona vid nästa synkronisering.
• Microsoft Entra ID Sync behöver en Admin Console med minst en federerad katalog och domän. Om Admin Console med synkronisering (ägande konsol) har en förtroenderelation med andra Admin Consoles (förvaltarkonsol), måste förvaltarna använda en annan metod, såsom User Sync Tool, User Management API, eller bulk CSV-uppladdning, för att skapa, hantera och licensiera Federated ID-användare. För att lägga till en användare till en förvaltar-konsol för licensprovisionering, lägg först till användaren i den ägande konsolen.
• Om din organisation använder User Sync Tool eller en User Management API-integration, pausa först integrationen. Lägg sedan till Microsoft Entra ID Sync för att automatisera användarhantering från Microsoft Entra ID. När synkroniseringen är konfigurerad och körs kan du ta bort User Sync Tool- eller User Management API-integrationen.
• Din organisation måste ha en Premium-prenumeration (P1 eller P2) eller Microsoft 365-prenumeration (E3 eller A3) med Microsoft Entra ID för att använda gruppbaserad tilldelning.Det låter dig välja specifika grupper och användare att synkronisera till Adobe Admin Console. Organisationer utan dessa prenumerationsnivåer kan synkronisera alla användare och grupper på en gång. Systemet synkroniserar alla användare och grupper automatiskt och genererar en Adobe Federated ID för de synkroniserade användarna.
• För att flytta en domän till eller från en katalog som är konfigurerad med synkronisering, aktivera redigering för katalogen tillfälligt först. Flytta domänen och inaktivera sedan redigering.
• Microsoft Entra ID Sync synkroniserar inte användare från grupper med attributet HiddenMembership. För att synkronisera specifika användare, skapa en grupp i Microsoft Entra ID och kopiera användarna till den nya gruppen.

Lägg till Microsoft Entra ID Sync i en federerad katalog

Lägg till Microsoft Entra ID Sync i en Adobe Admin Console federerad katalog som har de nödvändiga domänerna kopplade.För att lägga till synkronisering till en etablerad federerad katalog:

Redigera synkningsinställningar

En systemadministratör kan uppdatera inställningar för synkroniseringskällan efter installation. Välj Gå till Inställningar från fliken Kataloginställningar > Synkronisera. De här inställningsalternativen finns:

• Tillåt redigering av synkroniserad data i Admin Console: Efter att Microsoft Entra ID Sync har upprättats hamnar alla användare och synkroniseringsskapade grupper i en katalog under synkroniseringshantering automatiskt.När du har aktiverat redigering kan du redigera synkade data i Admin Console under en kort period. Redigeringar under denna tid påverkar inte användarinformation i Microsoft Entra ID, och ändringsförfrågningar från din identitetsleverantör skriver över dem.

• Synkroniseringsstatus: Instruerar synkronisering att avvisa ändringsförfrågningar från Microsoft Entra ID. När synkroniseringsstatus är av kommer ändringar i Microsoft Entra ID inte att skickas till Adobe Admin Console.
• Redigera konfiguration av användarsynkning: Dirigerar om dig till konfigurationsinstruktionerna för att redigera användarsynkning. Använd detta om dialogrutan stängs innan du slutför installationen, eller om du måste ändra inställningar i Microsoft Entra ID efter den första konfigurationen.

Ta bort synkning

Administratörer kan ta bort synkronisering från en federerad katalog i Admin Console. Om du slutar synka blir katalogen och dess tillhörande domäner, användargrupper och användare kvar. Det enda som sker är att det skrivskyddade läget tas bort från katalogen och dess användare och grupper.

För att ta bort synkronisering från en katalog väljer du Gå till Inställningar från fliken Kataloginställningar > Synkronisera, sedan Ta bort synkronisering. Detta tar permanent bort synkroniseringsinställningen från Admin Console. Om det behövs kan du återupprätta synkronisering med samma eller en annan katalog.

Inaktivera användare och grupper

Att konfigurera Microsoft Entra ID Sync skapar nya federerade användarkonton och synkroniserar användare till Adobe Admin Console. Administratörer kan också avetablera användare och grupper som lagts till genom synkronisering, med dessa tre metoder i Microsoft Azure-portalen:

• Ta bort användaren från alla synkroniserade grupper i Microsoft Entra ID.
• Mjukradera användaren från Microsoft Entra ID.
• Ta bort alla grupper som användaren är del av från etableringsomfånget i Microsoft Entra ID.

De här tre åtgärderna inaktiverar användare i Adobe Admin Console. En inaktiverad användare kan inte längre logga in och visas som Inaktiverad i listan Kataloganvändare. Microsoft Entra ID Sync fortsätter att hantera en användare som har avetablerats genom någon av dessa metoder. Varken användarens konto eller molnlagrade resurser tas bort från organisationen.

Ta bort en användare och tillhörande data från Admin Console: Välj Gå till Inställningar från fliken Kataloginställningar > Sync och välj Aktivera redigering. Gå sedan till Användare > Kataloganvändare och välj användaren vars konto du vill ta bort permanent.

När redigering är aktiverat kan du redigera synkroniserad data i 1 timme innan redigeringen automatiskt inaktiveras.Välj Inaktivera redigering omedelbart efter att du har tagit bort en användare, så att Admin Console återspeglar Microsoft Entra ID-ändringar.

Karantänpolicy

Adobe och Microsoft har en karantänpolicy för att hantera många felanrop under synkningsoperationer.

Microsoft Entra ID etableringstjänst övervakar hälsan hos din konfiguration och placerar ohälsosamma program i ett karantäntillstånd. Om de flesta eller alla anrop mot målsystemet konsekvent misslyckas på grund av ett fel, till exempel ogiltiga administratörsautentiseringsuppgifter, markeras etableringsjobbet som i karantän.Under karantänen minskas frekvensen av inkrementella cykler gradvis till en gång per dag. Jobbet tas bort från karantän efter att alla fel har åtgärdats och nästa synkroniseringscykel startar. Om jobbet stannar i karantän i mer än fyra veckor inaktiveras det och slutar köra. Upptäck mer om etablering i karantänstatus inom Microsoft Entra ID.

Adobes tjänst övervakar synkroniseringens hälsa oberoende för att upptäcka när felfrekvensen passerar ett tröskelvärde under en angiven tid.Ett minsta antal felbegäranden som uppfyller tröskelvärdet utlöser tillfällig karantän, som avvisar alla anrop och uppdateringsbegäranden från Microsoft Entra ID under en tid, varefter anrop accepteras igen för synkroniseringsförsök.Om felanrop kvarstår placeras synkroniseringen på tillfällig prövotid under en förlängd tid i karantän. Om Adobe initierar karantänen kan det leda till en efterföljande karantän hos Microsoft på grund av de avvisade anropen, som räknas mot felfrekvenser i Microsoft Entra ID. Adobe förbehåller sig rätten att uppdatera karantänparametrarna baserat på pågående dataanalys.

Vanliga felmeddelanden

En uppsättning vanliga felmeddelanden visas när du hanterar Microsoft Entra ID Sync. Att förstå orsaken till varje meddelande hjälper vid felsökning. Upptäck mer om att övervaka din driftsättning inom Microsoft Entra ID.

Felsöka synkningsproblem

Eftersom Adobe Admin Console använder Microsofts synkroniseringstjänst felsöks alla synkroniseringsproblem inom Microsoft Entra ID. Se Microsofts konfigurationsinstruktioner för att lösa vanliga problem. Om du inte kan hitta en lösning kontaktar du Microsoft Support. Följ dessa steg för att diagnostisera ett synkroniseringsproblem:

Hantera befintliga användarkonton

Ytterligare steg krävs för att konvertera alla befintliga användare utan Federated ID till Federated ID-typen.

Användare med ett befintligt icke-federerat ID-konto i Admin Console kan migreras till ett Federated ID-konto efter att Microsoft Entra ID Sync har etablerats.När de konverterats skickar Microsoft Entra ID dessa konton till Adobe Admin Console.För att se till att molnlagrade resurser migreras till användarens nya identitetstyp följer du dessa steg: