新增 Microsoft Entra ID 同步至您的目錄

如果您的身分識別提供者是 Microsoft Entra ID，而且在 Adobe Admin Console 中沒有聯合目錄，請使用下列其中一種方式設定聯合：

• OpenID Connect (OIDC)：在數秒內透過 OIDC 建立聯合目錄。 大部分的設定都在 Adobe Admin Console 中。
• 使用 SAML 的 Microsoft Entra ID SSO：使用 SAML 設定建立聯合目錄。大部分的設定都在 Microsoft Azure 入口網站中。
• 如果您有運作中的聯合目錄，就可以在現有設定上新增同步功能。
• 一旦您為目錄設定了 Microsoft Entra ID 同步，就無法手動或使用其他同步方法管理使用者。請參閱同步前的注意事項和常見問題以深入了解。

總覽

將 Microsoft Entra ID 同步 (先前稱為 Azure Sync) 新增至 Adobe Admin Console 中的任何目錄，以自動執行使用者管理。 它使用 SCIM 通訊協定，讓您能夠控制傳送至 Adobe 的使用者和群組。與 Adobe Admin Console 同步的 Microsoft Entra ID 使用者是唯一的，可以指派給一個或多個產品設定檔。

設定 Microsoft Entra ID 同步後，Microsoft Entra ID 會根據目錄的使用者和群組佈建將資料傳送至 Adobe Admin Console。目錄詳細資料會顯示在 Adobe Admin Console 的設定區段。

Microsoft Entra ID 同步的優勢

在 Adobe Admin Console 中對目錄使用 Microsoft Entra ID 同步的主要優點如下：

• 在 Microsoft Entra ID 中管理所有內容。
• 控制傳送給 Adobe 的資料。
• 避免設定其他服務或 API。
• 自訂 Microsoft Entra ID 使用者屬性對應。
• 將同步新增至先前設定的目錄。
• 將同步新增至為任何身分識別提供者設定的目錄。
• 使用 Microsoft Entra ID 輕鬆管理使用者的加入與離職。

先決條件

若要將 Adobe Admin Console 使用者管理與 Microsoft Entra ID 整合，您需要：

• 具備使用者和群組資料的 Microsoft Entra ID 帳戶。
• 屬於 Creative Cloud 企業版、Document Cloud 企業版或 Experience Cloud 的 Adobe 產品。
• Adobe Admin Console 中具有已驗證網域的聯合目錄。

支援的整合案例

目錄設定各不相同，Microsoft Entra ID 同步支援各種需要額外步驟的情況。使用此表，依照您的設定執行下列步驟：

同步設定前的注意事項

在設定 Microsoft Entra ID 同步之前，請遵循這些最佳做法和 Adobe 建議：

• 匯出清單，在新增同步之前保留現有使用者的所有帳戶和已佈建授權記錄。
• 無論您使用 OIDC 或 SAML 進行 Microsoft Entra ID SSO，都請使用現有的 Adobe Identity Management 應用程式來配置目錄同步。依照 Microsoft 文件中的步驟來設定自動使用者佈建。
• Microsoft Entra ID 同步會將電子郵件與使用者名稱分離。使用者可以使用不同的電子郵件和使用者名稱來驗證登入，以及存取 Adobe 產品和服務。 請依照自訂使用者佈建屬性對應的 Microsoft 文件中的步驟進行。
• 如果要將同步整合到具有 Federated ID 使用者的目錄，請在初次同步之前，確認其使用者名稱欄位格式與 Microsoft Entra ID 中的使用者主體名稱 (UPN) 相符。 如果這些值不相符，Admin Console 會將其視為新帳戶，並建立重複的記錄。 更新屬性對應，以便同步的值符合 Admin Console 使用者設定檔，這會在下次同步時更新帳戶。
• Microsoft Entra ID 同步需要至少具有一個聯合目錄和網域的 Admin Console。如果已設定同步的 Admin Console (擁有主控台) 與其他 Admin Console (受託主控台) 有信任關係，受託主控台必須使用其他方法來建立、管理和授權 Federated ID 使用者，例如使用者同步工具、使用者管理 API或大量 CSV 上傳。 若要將使用者新增至受託主控台以佈建授權，請先將該使用者新增至擁有主控台。
• 如果您的組織使用使用者同步工具或使用者管理 API整合，請先暫停該整合。 然後新增 Microsoft Entra ID 同步，以自動化 Microsoft Entra ID 的使用者管理。同步設定完成並開始執行後，就可以移除使用者同步工具或使用者管理 API 整合。
• 您的組織必須擁有含 Microsoft Entra ID 的 Premium (P1 或 P2) 或 Microsoft 365 (E3 或 A3) 訂閱，才能使用以群組為基礎的指派。 這可讓您選擇要同步至 Adobe Admin Console 的特定群組和使用者。 沒有這些訂閱等級的組織可以一次同步所有使用者和群組。 系統會自動同步所有使用者和群組，並為同步的使用者產生 Adobe Federated ID。
• 若要將網域移入或移出已設定同步的目錄，請先暫時為該目錄啟用編輯。 移動網域，然後停用編輯。
• Microsoft Entra ID 同步不會同步具有 HiddenMembership 屬性的群組中的使用者。 若要同步特定使用者，請在 Microsoft Entra ID 中建立群組，並將這些使用者複製到新群組。

新增 Microsoft Entra ID 同步至聯合目錄

新增 Microsoft Entra ID 同步至已連結必要網域的 Adobe Admin Console 聯合目錄。要將同步新增至已建立的聯合目錄：

編輯同步設定

系統管理員可在設定後更新同步來源的設定。選取前往設定，從目錄設定 >同步標籤。 設定選項包括：

• 允許在 Admin Console 中編輯同步資料：建立 Microsoft Entra ID 同步後，目錄中的所有使用者和由同步建立的群組都會自動納入同步管理。 啟用編輯後，您可以在 Admin Console 中短暫編輯同步資料。 此時間內的編輯不會影響 Microsoft Entra ID 中的使用者資訊，而來自身分提供者的變更要求會覆寫這些編輯。

• 同步狀態：指示同步拒絕來自 Microsoft Entra ID 的變更要求。 同步狀態變成關閉後，Microsoft Entra ID 中的變更就不會推送至 Adobe Admin Console。
• 編輯使用者同步設定：將您重新導向設定說明，以編輯使用者同步。 如果對話框在您完成設定之前關閉，或在初始設定後必須在 Microsoft Entra ID 中變更設定，請使用這個方式。

移除同步

管理員可以從 Admin Console 中的聯合目錄移除同步。 移除同步會保留目錄及其相關聯的網域、使用者群組和使用者的完整性，而從目錄及其使用者和群組移除唯讀模式。

若要從目錄移除同步，請在目錄設定 > 同步標籤中選取前往設定，然後選取移除同步。 此動作會從 Admin Console 永久移除同步設定。 如有需要，您可以重新建立與相同或不同目錄的同步。

停用使用者和群組

設定 Microsoft Entra ID 同步會建立新的聯合使用者帳戶，並將使用者同步至 Adobe Admin Console。 管理員也可以在 Microsoft Azure 入口網站中，使用下列三種方法取消佈建透過同步新增的使用者和群組：

• 從 Microsoft Entra ID 中的所有已同步群組移除使用者。
• 從 Microsoft Entra ID 虛刪除使用者。
• 從 Microsoft Entra ID 的佈建範圍中移除該使用者所屬的所有群組。

這三個作業會停用 Adobe Admin Console 中的使用者。 停用的使用者無法再登入，並在目錄使用者清單中顯示為已停用。 Microsoft Entra ID 同步會繼續管理以這些方法之一取消佈建的使用者。 使用者的帳戶和雲端儲存的資產都不會從組織中移除。

從 Admin Console 移除使用者和相關資料：請在目錄設定 >同步標籤中選取前往設定，然後選取啟用編輯。 然後前往使用者 > 目錄使用者，並選擇要永久刪除帳戶的使用者。

啟用編輯後，您可以在自動停用前編輯同步資料 1 小時。 在移除使用者後，立即選取 停用編輯，讓 Admin Console 反映 Microsoft Entra ID 的變更。

隔離原則

Adobe 和 Microsoft 都具備隔離原則，可在同步作業期間處理大量錯誤呼叫。

Microsoft Entra ID 佈建服務會監視設定的狀況，並將狀況不良的應用程式放入隔離狀態。 如果對目標系統的大多數或所有呼叫因為錯誤而持續失敗，例如管理員認證無效，佈建工作就會標示為隔離中。 在隔離中時，遞增週期的頻率會逐漸減少到每天一次。 所有錯誤都修正且下一個同步週期開始後，佈建工作就會從隔離中移除。 如果佈建工作在隔離中超過四週，就會停用並停止執行。 了解更多 Microsoft Entra ID 中處於隔離狀態的佈建。

Adobe 的服務會獨立監視同步狀況，以偵測錯誤率是否在設定時間內超過臨界值。 當錯誤要求數量達到臨界值時，將觸發臨時隔離，在一段時間內拒絕來自 Microsoft Entra ID 的所有呼叫和更新要求，之後再次接受呼叫以重試同步。如果錯誤呼叫持續發生，同步會在隔離中進入較長的臨時觀察期。 如果 Adobe 啟動隔離，已拒絕的呼叫可能接著讓 Microsoft 也進入隔離，因為這些呼叫會計入 Microsoft Entra ID 的錯誤率。 Adobe 保留根據持續進行的資料分析更新隔離參數的權利。

常見錯誤訊息

管理 Microsoft Entra ID 同步時會顯示一組常見錯誤訊息。了解每個訊息的原因有助於疑難排解。了解更多如何在 Microsoft Entra ID 中監視部署。

同步問題疑難排解

由於 Adobe Admin Console 使用 Microsoft 的同步服務，所有同步問題都會在 Microsoft Entra ID 中進行疑難排解。 請參考Microsoft 的設定指示來解決常見問題。 如果您找不到解決方案，請聯絡 Microsoft 支援。請按照這些步驟診斷同步問題：

管理現有的使用者帳戶

需要完成其他步驟才能將所有現有的非 Federated ID 使用者轉換為 Federated ID 類型。

建立 Microsoft Entra ID 同步後，Admin Console 中已有非 Federated ID 帳戶的使用者可以遷移為 Federated ID 帳戶。 轉換完成後，Microsoft Entra ID 會將這些帳戶推播到 Adobe Admin Console。要確保雲端儲存的資產移轉至使用者的新身分類型，請按照以下步驟：