Додавання Microsoft Entra ID Sync до каталогу

Якщо постачальником ідентифікації є Microsoft Entra ID і у вас немає федеративного каталогу в Adobe Admin Console, налаштуйте федерацію одним із таких способів:

• OpenID Connect (OIDC): створіть федеративний каталог за лічені секунди за допомогою OIDC. Більшість налаштувань виконується в Adobe Admin Console.
• SSO з Microsoft Entra ID за допомогою SAML: створіть федеративний каталог за допомогою налаштування SAML. Більшість налаштувань виконується на порталі Microsoft Azure.
• Якщо у вас є робочий федеративний каталог, можна додати функцію синхронізації до наявного налаштування.
• Неможливо керувати користувачами вручну або за допомогою інших методів синхронізації після налаштування Microsoft Entra ID Sync для каталогу. Перегляньте примітки перед синхронізацією та поширені питання, щоб дізнатися більше.

Огляд

Додайте Microsoft Entra ID Sync (раніше Azure Sync) до будь-якого каталогу в консолі Adobe Admin Console для автоматизації керування користувачами. Використовується протокол SCIM, що дає змогу контролювати користувачів і групи, які надсилаються до Adobe. Користувачі Microsoft Entra ID, синхронізовані з консоллю Adobe Admin Console, унікальні та можуть бути призначені одному чи кільком профілям продуктів.

Після налаштування Microsoft Entra ID Sync служба Microsoft Entra ID надсилає дані до Adobe Admin Console на основі підготовки користувачів і груп каталогу.Відомості про каталог відображаються в розділі Параметри консолі Adobe Admin Console.

Переваги Microsoft Entra ID Sync

Ключові переваги Microsoft Entra ID Sync з каталогом в консолі Adobe Admin Console:

• Керуйте всім у Microsoft Entra ID.
• Контролюйте, які дані надсилаються до Adobe.
• Уникайте налаштування іншої служби чи API.
• Налаштовуйте зіставлення атрибутів користувача Microsoft Entra ID.
• Додавайте синхронізацію до попередньо налаштованих каталогів.
• Додайте синхронізацію до каталогів, налаштованих для будь-якого постачальника ідентифікаційних даних.
• Легко вводьте та виводьте користувачів за допомогою Microsoft Entra ID.

Обов’язкові умови

Для інтеграції керування користувачами Adobe Admin Console з Microsoft Entra ID потрібно:

• Обліковий запис Microsoft Entra ID з даними користувачів і груп.
• Продукти Adobe, що належать до Creative Cloud для підприємств, Document Cloud для підприємств або Experience Cloud.
• Федеративний каталог в Adobe Admin Console із перевіреними доменами.

Підтримувані сценарії інтеграції

Налаштування каталогів відрізняються, і синхронізація Microsoft Entra ID підтримує різні сценарії, які потребують додаткових кроків.Скористайтеся цією таблицею, щоб виконати кроки для свого налаштування:

Примітки перед налаштуванням синхронізації

Дотримуйтеся цих найкращих практик та рекомендацій Adobe перед налаштуванням синхронізації Microsoft Entra ID:

• Експортуйте список існуючих користувачів перед додаванням синхронізації, щоб зберегти записи всіх облікових записів користувачів і наданих ліцензій.
• Незалежно від того, використовуєте ви OIDC чи SAML для єдиного входу Microsoft Entra ID, налаштовуйте синхронізацію каталогу за допомогою наявної програми Adobe Identity Management.Дотримуйтеся кроків у документі Microsoft для налаштування автоматичного надання користувачів.
• Синхронізація Microsoft Entra ID відокремлює електронну пошту від імені користувача. Користувачі можуть використовувати іншу адресу електронної пошти та ім’я користувача для підтвердження входу й доступу до продуктів і сервісів Adobe.Дотримуйтеся інструкцій у документі Microsoft щодо налаштування зіставлення атрибутів підготовки користувачів.
• Якщо ви інтегруєте синхронізацію з каталогом, у якому є користувачі Federated ID, переконайтеся, що формат поля їхнього імені користувача збігається з основним ім'ям користувача (UPN) у Microsoft Entra ID до початкової синхронізації. Якщо ці значення не збігаються, Admin Console розглядає це як новий обліковий запис і створює дублікати записів.Оновіть зіставлення атрибутів, щоб синхронізовані значення збігалися з профілями користувачів консолі Admin Console. Це оновить облікові записи під час наступної синхронізації.
• Синхронізації Microsoft Entra ID потрібна консоль Admin Console з принаймні одним федеративним каталогом і доменом. Якщо Admin Console із синхронізацією (консоль-власник) має довірчі відносини з іншими консолями Admin Console (довіреними консолями), адміністратори цих консолей мають використовувати інший спосіб, наприклад User Sync Tool, API керування користувачами або масове завантаження CSV-файлу, щоб створювати, керувати обліковими записами користувачів із Federated ID і призначати їм ліцензії.Щоб додати користувача до довіреної консолі для надання ліцензії, спочатку додайте користувача до основної консолі.
• Якщо ваша організація використовує інструмент User Sync Tool або інтеграцію API керування користувачами, спочатку призупиніть інтеграцію. Потім додайте синхронізацію Microsoft Entra ID для автоматизації керування користувачами з Microsoft Entra ID. Після налаштування та запуску синхронізації ви можете видалити інструмент User Sync Tool або інтеграцію API керування користувачами.
• Ваша організація має мати передплату Premium (P1 або P2) або Microsoft 365 (E3 або A3) з Microsoft Entra ID для використання призначення на основі груп. Це дає змогу вибирати конкретні групи та користувачів для синхронізації з консоллю Adobe Admin Console. Організації без цих рівнів передплати можуть синхронізувати всіх користувачів і групи одразу. Система синхронізує всіх користувачів і групи автоматично та генерує Adobe Federated ID для синхронізованих користувачів.
• Щоб перемістити домен до каталогу або з каталогу, налаштованого із синхронізацією, спочатку увімкніть редагування для каталогу тимчасово. Перемістіть домен, потім вимкніть редагування.
• Служба синхронізації Microsoft Entra ID не синхронізує користувачів із груп з атрибутом HiddenMembership.Щоб синхронізувати конкретних користувачів, створіть групу в Microsoft Entra ID і скопіюйте користувачів до нової групи.

Додайте синхронізацію Microsoft Entra ID до федеративного каталогу

Додайте синхронізацію Microsoft Entra ID до федеративного каталогу Adobe Admin Console, до якого під'єднано потрібні домени.Щоб додати синхронізацію до наявного федеративного каталогу:

Змінити налаштування синхронізації

Системний адміністратор може оновлювати параметри джерела синхронізації після налаштування. Виберіть Перейти до налаштувань на вкладці Налаштування каталогу > Синхронізація.Доступні такі параметри налаштування:

• Дозволити редагування синхронізованих даних в Admin Console: після налаштування синхронізації Microsoft Entra ID усі користувачі та групи, створені під час синхронізації, у каталозі автоматично переходять під керування синхронізацією.Після ввімкнення редагування ви можете редагувати синхронізовані дані в Admin Console протягом короткого періоду. Редагування в цей час не впливає на інформацію про користувача в Microsoft Entra ID, і запити на зміни від вашого постачальника ідентифікації перезаписують їх.

• Стан синхронізації: вказує синхронізації відхиляти запити на внесення змін від Microsoft Entra ID.Коли статус синхронізації вимкнено, зміни в Microsoft Entra ID не передаються до консолі Adobe Admin Console.
• Редагувати конфігурацію синхронізації користувачів: перенаправляє до інструкцій з налаштування для редагування синхронізації користувачів.Використовуйте цю опцію, якщо діалогове вікно закривається до завершення налаштування або якщо потрібно змінити параметри в Microsoft Entra ID після початкової конфігурації.

Видалити синхронізацію

Адміністратори можуть видалити синхронізацію з федеративного каталогу в Admin Console.Видалення синхронізації залишає каталог та пов'язані з ним домени, групи користувачів і користувачів без змін, а також знімає режим «лише для читання» з каталогу, його користувачів і груп.

Щоб видалити синхронізацію з каталогу, виберіть Перейти до налаштувань на вкладці Параметри каталогу > Синхронізація, потім Видалити синхронізацію.Це остаточно видаляє налаштування синхронізації з Admin Console.За потреби можна відновити синхронізацію з тим самим або іншим каталогом.

Вимкнути користувачів і групи

Налаштування Microsoft Entra ID Sync створює нові федеративні облікові записи користувачів і синхронізує користувачів з Adobe Admin Console.Адміністратори також можуть скасувати надання доступу користувачам і групам, доданим через синхронізацію, використовуючи ці три методи на порталі Microsoft Azure:

• Видалити користувача з усіх синхронізованих груп у Microsoft Entra ID.
• Видалити користувача з Microsoft Entra ID з можливістю відновлення.
• Видалити всі групи, до яких входить користувач, з області надання доступу в Microsoft Entra ID.

Ці три операції вимикають користувачів у консолі Adobe Admin Console.Вимкнений користувач більше не може увійти в систему і показується як Вимкнено у списку Користувачі каталогу.Microsoft Entra ID Sync продовжує керувати користувачем, доступ якого було скасовано одним із цих методів.Ні обліковий запис користувача, ні активи, збережені у хмарі, не видаляються з організації.

Видалити користувача та пов'язані дані з Admin Console: виберіть Перейти до налаштувань на вкладці Параметри каталогу > Синхронізація і виберіть Увімкнути редагування.Потім перейдіть до Користувачі > Користувачі каталогу і виберіть користувача, щоб остаточно видалити обліковий запис.

Коли редагування увімкнено, можна редагувати синхронізовані дані протягом 1 години, після чого воно автоматично вимикається.Виберіть Вимкнути редагування відразу після видалення користувача, щоб Admin Console відображала зміни Microsoft Entra ID.

Політика карантину

Adobe та Microsoft мають політику карантину для обробки численних викликів помилок під час операцій синхронізації.

Служба підготовки Microsoft Entra ID відстежує стан вашої конфігурації та переводить несправні програми у стан карантину. Якщо більшість або всі виклики до цільової системи постійно завершуються помилкою, наприклад, через недійсні облікові дані адміністратора, завдання підготовки позначається як таке, що знаходиться в карантині. Під час карантину частота додаткових циклів поступово зменшується до одного разу на день. Завдання видаляється з карантину після виправлення всіх помилок та початку наступного циклу синхронізації. Якщо завдання залишається в карантині понад чотири тижні, воно вимикається та припиняє роботу. Докладніше про підготовку облікових записів у карантинному статусі в Microsoft Entra ID.

Служба Adobe незалежно відстежує стан синхронізації, щоб виявляти, коли рівень помилок перевищує поріг протягом встановленого часу.Мінімальна кількість запитів з помилками, що досягає порогу, запускає тимчасовий карантин, який відхиляє всі виклики та запити на оновлення від Microsoft Entra ID на деякий час, після чого виклики знову приймаються для повторної спроби синхронізації. Якщо виклики з помилками продовжуються, синхронізація переводиться на тимчасовий випробувальний термін на тривалий час у карантині. Якщо Adobe ініціює карантин, це може призвести до подальшого карантину з Microsoft через відхилені виклики, які враховуються у показниках помилок в Microsoft Entra ID. Adobe залишає за собою право оновлювати параметри карантину на основі поточної аналітики даних.

Повідомлення про загальну помилку

Набір поширених повідомлень про помилки з'являється під час керування Microsoft Entra ID Sync. Розуміння причини кожного повідомлення допомагає з усуненням неполадок. Докладніше про моніторинг розгортання в Microsoft Entra ID.

Усунення проблем синхронізації

Оскільки Adobe Admin Console використовує службу синхронізації Microsoft, усі проблеми синхронізації усуваються в Microsoft Entra ID.Зверніться до інструкцій з конфігурації Microsoft для вирішення поширених проблем. Якщо ви не можете знайти рішення, зверніться до служби підтримки Microsoft. Дотримуйтеся цих кроків для діагностики проблеми синхронізації:

Керування наявними обліковими записами користувачів

Щоб змінити тип ID усіх наявних користувачів, які не мають Federated ID, на Federated ID, потрібно виконати додаткові дії.

Користувачі з наявним обліковим записом не федеративного ID в Admin Console можуть бути перенесені до облікового запису Federated ID після встановлення синхронізації Microsoft Entra ID.Після перетворення Microsoft Entra ID надсилає ці облікові записи до консолі Adobe Admin Console. Щоб переконатися, що ресурси, збережені в хмарі, перенесено до нового типу ідентифікатора користувача, виконайте такі кроки: