Добавление Microsoft Azure Sync к своему каталогу

Можете добавить Azure Sync в любой каталог в Adobe Admin Console, чтобы автоматизировать процесс управления пользователями. Azure Sync использует протокол SCIM для управления пользователями и позволяет вам контролировать отправку пользователей и групп в Adobe. Пользователи Azure AD, синхронизированные с Adobe Admin Console, являются уникальными и могут быть назначены одному или нескольким профилям продуктов.

После настройки Azure Sync Azure AD начинает отправлять данные в Adobe Admin Console в соответствии с параметрами подготовки пользователей и групп каталога Azure AD. Все подробности, связанные с каталогом, отображаются в разделе Настройки в Adobe Admin Console.

Преимущества Azure Sync

Основные преимущества использования Azure Sync с каталогом в Adobe Admin Console:

Необходимые условия

Чтобы интегрировать управление пользователями Adobe Admin Console с Azure AD необходимо выполнить следующие условия.

• Учетная запись Microsoft Azure AD с данными пользователя и данными группы
  
• Продукты Adobe, которые относятся к любому из следующих компонентов: Creative Cloud для организаций, Document Cloud для организаций или Experience Cloud 
• федеративный каталог в Adobe Admin Console с подтвержденными доменами.

Поддерживаемые сценарии интеграции

Процедура настройки каталога может отличаться, также Azure Sync поддерживает различные сценарии, что может предусматривать дополнительные действия для настройки Azure Sync. Выполните указанные в таблице шаги в зависимости от настроек вашего каталога:

Замечания перед настройкой синхронизации

Используйте приведенные ниже пункты справки, чтобы ознакомиться с передовыми практиками и рекомендациями Adobe перед настройкой синхронизации Azure Sync:

• Экспортируйте список существующих пользователей перед добавлением Azure Sync, чтобы зарегистрировать все учетные записи пользователей и предоставленные лицензии во время выполнения настройки.
• Если вы настроили сервис единого входа в Azure AD с помощью Open ID Connect (OIDC), вам необходимо добавить новое приложение Adobe Identity Management на портале Microsoft Azure, чтобы настроить синхронизацию каталогов.
• Если вы настроили сервис единого входа в Azure AD с помощью SAML, используйте существующее приложение Adobe Identity Management для настройки синхронизации каталогов. С помощью приложения Adobe Identity Management выполните шаги, указанные в документации Microsoft для настройки автоматической подготовки пользователей.
• Azure Sync рассматривает электронную почту и имя пользователя как отдельные атрибуты, позволяя пользователям использовать разные адреса электронной почты и значения имени пользователя для подтверждения входа и доступа к продуктам и службам Adobe, совместной работы над проектами, обмена файлами и т. д.​ Выполните шаги, указанные в документации Microsoft для настройки сопоставления атрибутов для подготовки пользователей.
• Если вы интегрируете Azure Sync в каталог с пользователями, имеющими идентификаторы Federated ID, убедитесь в том, что формат поля с их именем совпадает с основным именем пользователя (UPN, user principal name) в Azure AD перед первым запуском синхронизации.
  Если значения этих полей не совпадают, Admin Console воспринимает такую ситуацию как необходимость создания новой учетной записи пользователя, при этом будут созданы повторяющиеся записи для одного пользователя. Вы можете обновить сопоставление атрибутов, чтобы гарантировать, что значения, передаваемые при синхронизации, совпадают со значениями в профилях пользователей в Admin Console, при этом их учетные записи будут автоматически обновлены при следующей синхронизации.
• Синхронизацию Azure Sync можно установить только в Admin Console с хотя бы одним настроенным федеративным каталогом и доменом. Если консоль Admin Console с Azure Sync (консоль-владелец) находится в доверительных отношениях с другими консолями Admin Console (доверенными консолями), то доверенные консоли должны использовать другую форму управления пользователями, например Инструмент синхронизации пользователей User Sync Tool, User Management API или массовую загрузку с использованием CSV-файла для создания, управления и лицензирования пользователей с идентификаторами Federated ID.
  Чтобы добавить пользователя в доверенную консоль для предоставления лицензии, необходимо сначала добавить этого пользователя в консоли-владельце.
• Если ваша организация использует инструмент синхронизации пользователей User Sync Tool или интеграцию с UMAPI, то необходимо сначала приостановить интеграцию. Затем следует добавить Azure Sync для автоматизации управления пользователями с Azure AD. После настройки и запуска Azure Sync вы можете полностью удалить инструмент синхронизации пользователей User Sync Tool или интеграцию с UMAPI.
• Организациям необходимо иметь подписку Premium (P1 или P2) или Microsoft 365 (E3 или A3) с Azure Active Directory, чтобы использовать возможности группового назначения. Эти возможности позволяют администратору выбирать определенные группы и пользователей в качестве единственных объектов для синхронизации с Adobe Admin Console.
  Организации, не имеющие этих уровней подписки, могут использовать только синхронизацию всех пользователей и групп с Adobe Admin Console. При этом автоматически синхронизируются все группы и пользователи, а также для синхронизируемых пользователей формируется Adobe Federated ID. Узнайте подробнее о планах подписки Azure AD и вариантах обновления.
• Чтобы переместить домен в каталог или из каталога, установленного с помощью Azure Sync, необходимо сначала временно разрешить редактирование для этого каталога. После разрешения редактирования переместите требуемый домен в каталог, синхронизируемый с помощью Azure AD, либо из этого каталога, после чего отключите возможность редактирования для этого каталога.
• Синхронизация Azure не затрагивает пользователей из групп с атрибутом HiddenMembership в Azure AD. Для синхронизации определенных пользователей создайте группу в Azure AD и скопируйте соответствующих пользователей в новую группу.

Добавление Azure Sync в федеративный каталог

Вы можете добавить Azure Sync в федеративный каталог Adobe Admin Console, с которым связаны требуемые домены. Чтобы добавить синхронизацию в установленный федеративный каталог, выполните следующие действия:

Изменение настроек синхронизации

Системный администратор может обновить настройки в разделе Источник синхронизации после завершения настройки, для этого необходимо выбрать Перейти к настройкам на вкладке Настройки каталога > Синхронизация. Возможности настройки:

Удалить синхронизацию

Администраторы могут удалить синхронизацию из федеративного каталога в Admin Console. При удалении синхронизации каталог и связанные с ним домены, группы пользователей и сами пользователи остаются без изменений. При этом для каталога и его пользователей и групп удаляется режим «только для чтения».

Чтобы удалить синхронизацию из каталога, выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация, после чего нажмите Удалить синхронизацию. Это действие навсегда удаляет настройку синхронизации из Admin Console. При необходимости вы можете восстановить синхронизацию повторно с тем же или другим каталогом.

Отключение пользователей и групп

При внедрении Azure Sync создаются новые объединенные учетные записи пользователей и выполняется синхронизация пользователей с Adobe Admin Console. Администраторы также могут отменить инициализацию пользователей и групп, добавленных через Azure Sync, с помощью следующих трех методов (на портале Microsoft Azure):

• Удалить пользователя из всех синхронизируемых групп в Azure AD

• Удалить пользователя (soft-удаление) из Azure AD

• Удалить все группы, частью которых является пользователь, из области подготовки в Azure AD

Эти три операции блокируют пользователей в Adobe Admin Console. Заблокированный пользователь больше не может войти в систему и имеет статус Отключен в списке Пользователи каталога. Azure Sync будет по-прежнему управлять пользователем, подготовка которого была отменена с помощью одного из этих методов. Ни учетная запись пользователя, ни его ресурсы, хранящиеся в облаке, не удалены из организации. 

Удаление пользователя и связанных с ним данных из Admin Console: чтобы удалить пользователя навсегда, выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация и нажмите Включить редактирование. После этого перейдите в раздел Пользователи > Пользователи каталога и выберите пользователя из списка, чтобы удалить окончательно его учетную запись.

Включенный режим редактирование позволяет редактировать синхронизированные данные в течение часа, прежде чем автоматически отключится. Мы рекомендуем вам нажать Отключить редактирование сразу после удаления пользователя, чтобы убедиться, что Admin Console отражает изменения Azure AD.

Политика карантина

Adobe и Microsoft имеют политику карантина для обработки многочисленных ошибочных вызовов во время операций синхронизации. 

Служба подготовки Azure AD отслеживает состояние вашей конфигурации и помещает неработоспособные приложения в «карантинное» состояние. Если большая часть вызовов (все вызовы) на целевой системе постоянно терпят неудачу из-за ошибки, например из-за неверных учетных данных администратора, то задание по подготовке помечается как «находящееся в карантине». При нахождении в карантине частота дополнительных циклов постепенно снижается до одного раза в день. Задание на подготовку удаляется из карантина после исправления всех ошибок и запуска следующего цикла синхронизации. Если задание на подготовку остается в карантине более четырех недель, то оно отключается (перестает выполняться). Узнайте подробнее о подготовке приложений со статусом «на карантине» в Azure AD.

Служба Adobe самостоятельно контролирует состояние синхронизации для проверки того, что частота ошибок превышает определенный порог в течение заданного периода времени. При достижении минимального порогового количества запросов, приводящих к ошибке, включается временный карантин, который приводит к отклонению всех вызовов и запросов на обновление из Azure AD на определенный период времени, после чего вызовы будут снова приняты к исполнению для повторной попытки синхронизации. Если вызовы продолжают завершаться ошибкой, синхронизация помещается на карантин в течение длительного периода времени для временной проверки. Если Adobe инициирует карантин, это также может привести к последующему карантину в Azure из-за отклоненных вызовов, которые будут учитываться при подсчете количества ошибок в Azure. Обратите внимание, что Adobe оставляет за собой право обновлять параметры карантина на основе текущей аналитики данных. 

Распространенные сообщения об ошибках

При управлении синхронизацией Azure Sync из Azure AD используется набор сообщений о типичных ошибках, которые отображаются для уведомления пользователя. Понимание причины различных сообщений об ошибке поможет устранить соответствующие ошибки в случае их возникновения.

Узнайте подробнее о мониторинге вашего развертывания внутри Azure AD.

Устранение проблемы с синхронизацией

Поскольку Adobe Admin Console использует службу синхронизации Azure Microsoft, все проблемы с синхронизацией устраняются в Azure AD. Для решения некоторых распространенных проблем см. инструкции Microsoft по настройке. Если не удается найти решение, рекомендуем вам обратиться в службу поддержки Майкрософт за дополнительной помощью.

Следуйте приведенным ниже инструкциям для диагностирования проблемы с синхронизацией:

Управление существующими учетными записями пользователей

Требуются дополнительные действия для преобразования всех существующих пользователей без Federated ID в пользователей с типом Federated ID.

Пользователи, имеющие существующую учетную запись, отличную от Federated ID, в Admin Console, могут быть перенесены в учетную запись Federated ID после установки Azure Sync. После преобразования Azure AD успешно отправит эти учетные записи в Adobe Admin Console.

Чтобы обеспечить перенос любого ресурса, хранящегося в облаке, на новый тип удостоверения пользователя, выполните следующие действия.

Следующие шаги

После добавления Azure Sync в каталог все пользователи и группы пользователей импортируются в Adobe Admin Console и регулярно обновляются. Затем нужно предоставить этим пользователям доступ к назначенным им приложениям Adobe:

1. Создание профилей продуктов и управление ими: создайте соответствующие профили продуктов и свяжите их с пользователями и группами пользователей для детальной настройки полномочий доступа к тем или иным приложениям и услугам Adobe. Ознакомьтесь с информацией об управлении продуктами и профилями продуктов.
2. Когда пользователям назначают продукты, они получают уведомление по электронной почте. Пользователи могут самостоятельно загружать и устанавливать приложение Creative Cloud для настольных ПК.
   Если у ваших пользователей нет прав администратора, вам необходимо создать соответствующие пакеты и выполнить их развертывание.
3. Создание и развертывание пакетов: чтобы предоставить доступ к приложениям своим пользователям, создайте и разверните пакеты приложений на их компьютерах. Пользователи должны будут войти в систему, используя свои учетные данные SSO, чтобы начать использовать приложения и службы. Дополнительные сведения см. в разделе Создание пакетов именованных пользовательских лицензий.

Если вы являетесь администратором учреждения, после настройки синхронизации Azure рекомендуется включить синхронизацию ролей. О синхронизации ролей для образовательных учреждений.