Azure Sync は、Admin Console ディレクトリのユーザー管理を自動化します。Azure Sync は、ID プロバイダー（IdP）に関係なく、Admin Console で任意のフェデレーションディレクトリに簡単に追加できます。Azure Sync を使用するには、組織のユーザーとグループのデータが Microsoft Azure Active Directory（Azure AD）に保存されている必要があります。
|
Microsoft Azure を使用したユーザー認証 | YouTube ビデオ この動画では、Adobe Admin Console においてIDプロバイダーとして Microsoft Azure を使用してユーザー認証を行うためのシングルサインオンを構成する方法について説明しています。
00:06 Microsoft Azure でのユーザー認証について 01:02 ディレクトリの作成 01:49 Azure ADからのドメインの追加 02:32 ユーザーおよびユーザーグループの追加について
|
Adobe Admin Console の任意のディレクトリに Azure Sync を追加して、ユーザー管理プロセスを自動化することができます。Azure Sync は、ユーザー管理に SCIM プロトコルを使用し、アドビに送信されるユーザーとグループを制御することができます。Adobe Admin Console と同期された Azure AD ユーザーは一意であり、1 つ以上の製品プロファイルに割り当てることができます。
Azure Sync を設定すると、Azure AD は、Azure AD ディレクトリのユーザーとグループのプロビジョニングに従って、Adobe Admin Console へのデータの送信を開始します。ディレクトリに関連付けられているすべての詳細は、Adobe Admin Console の「設定」セクションに表示されます。
Adobe Admin Console でディレクトリに Azure Sync を使用することには、次のメリットがあります。
Azure AD のすべてを管理
アドビに送信するデータを制御
他のサービスや API のセットアップが不要
Azure AD ユーザーの属性マッピングをカスタマイズ
以前設定したディレクトリに同期を追加
任意の IdP 用に設定されたディレクトリに Azure 同期を追加
Azure AD を使用してユーザーのオンボードとオフボードを簡単に実行
Adobe Admin Console のユーザー管理を Azure AD と統合するには、次の前提条件を満たす必要があります。
|
ディレクトリの設定シナリオ |
同期を追加する方法 |
|---|---|
|
単一のフェデレーションディレクトリで、同じ Azure AD テナント内に 1 つ以上のドメインがある場合。 |
「同期を追加」の手順に従って Azure Sync を設定します。 |
|
複数のフェデレーションディレクトリで、同じ Azure AD テナントに 1 つ以上のドメインが属する場合。 |
|
|
複数のフェデレーションディレクトリで、異なる Azure AD テナントに 1 つ以上のドメインが属する場合。 |
|
以下の各ポイントに沿って、Azure Sync 設定準備のベストプラクティスと推奨事項を確認してください。
Adobe Admin Console のフェデレーションディレクトリに Azure Sync を追加し、必要なドメインをリンクすることができます。確立されたフェデレーションディレクトリに同期を追加するには、以下の手順に従います。
Adobe Admin Console の「設定」タブで、ディレクトリの詳細／同期に移動します。「同期を追加」をクリックします。
「Microsoft Azure からユーザーを同期」カードをクリックし、「次へ」をクリックします。
Microsoft Azure Portal で次の手順を実行します。
参照用に Admin Console ウィンドウを開いたままにし、別のブラウザーで Microsoft Azure Portal を開きます。次に、Microsoft Docs に記載されている手順に従い、自動ユーザープロビジョニングを構成します。
グループの親ノードが同期スコープに追加されたときにネストされたグループは自動的に同期されませんが、Azure AD から Azure Sync 統合を介してネストされたグループを同期できます。また、入れ子のグループもスコープに追加して自動同期に含める必要があります。
組織は、Azure Active Directory で Premium（P1 または P2）や Microsoft 365（E3 または A3）サブスクリプションを持っており、Adobe Admin Console と同期する唯一のオブジェクトとして、管理者が特定のグループとユーザーを選択できる割り当て機能に基づくグループを利用する必要があります。
これらのサブスクリプションレベルをお持ちでない組織は、個々のユーザー（グループではない）、または Azure AD 内のすべてのユーザーとすべてのグループのみを Adobe Admin Console に同期できます。組織のレベルは、Microsoft Azure のサブスクリプションで確認できます。必要に応じて Microsoft の担当者にお問い合わせください。
設定後、Azure の処理が開始され、Adobe にプロビジョニングするためのデータの送信が開始されます。その他の手順について詳しくは、Microsoft アプリケーション管理のチュートリアル
を参照してください。
Adobe Admin Console ウィンドウで、チェックボックスをオンにして、アドビのアクセス許可と Azure AD でのセットアップの完了を確認します。「完了」を選択します。
ディレクトリの詳細／同期に戻ります。「ソースを同期」が表示されます。
Azure Sync はディレクトリと統合されていますが、まだ開始されていません。同期を開始するには、「設定に移動」をクリックし、同期設定を編集する必要があります。
システム管理者は、設定が完了したら、ディレクトリ設定の「同期」タブで「設定に移動」を選択して、「ソースの同期」の設定を更新することができます。設定オプションは次のとおりです。
Admin Console で同期されたデータの編集を許可する：Azure Sync が確立されると、ディレクトリ内のすべてのユーザーと同期によって作成されたグループが、自動的に同期管理の対象となります。編集を有効にすると、Admin Console で同期されたデータを短時間編集できます。この期間中の編集は、Azure AD 内のユーザー情報には影響を及ぼさず、ID プロバイダーからの変更要求によって上書きされます。
デフォルトでは、ID プロバイダーから同期されたデータを編集し、同期を通じて変更内容を反映させる必要があります。絶対に必要な場合を除いて、Admin Console でデータを手動で変更することはお勧めしません。
同期ステータス：Azure AD からの変更要求を拒否するように Azure Sync に指示します。「ユーザー同期」ステータスを「オフ」にすると、Azure AD（ユーザー情報ソース）での変更が、Adobe Admin Console にプッシュされなくなります。
ユーザー同期の構成を編集：ユーザー同期を編集するための構成手順が開始します。これは、同期設定を完了する前にモーダルを閉じる場合、または初期構成後に Azure AD で変更を加える必要がある場合に使用します。
管理者は、Admin Console 内のフェデレーションディレクトリから同期の削除を選択できます。同期を削除することで、ディレクトリおよびそれに関連付けられたドメイン、ユーザーグループ、およびユーザーをそのまま残し、ディレクトリおよびそのユーザーとグループからの読み取り専用モードを削除します。
ディレクトリから同期を削除するには、設定に移動からディレクトリ設定の「同期」タブに移動して同期を削除を実行します。これを実行することで、Admin Console から同期設定が完全に削除されます。必要に応じて、同じディレクトリまたは異なるディレクトリとの同期を再度確立できます。
同じ組織内で Azure Sync によって管理されているディレクトリとの間でドメインを移動することはできません。Azure Sync がソースディレクトリやターゲットディレクトリから削除されると、そのディレクトリのドメインは、別のターゲットディレクトリに移動し、他のソースディレクトリのドメインは、Azure Sync で管理されなくなったディレクトリに移動できます。
Azure Sync を実装すると、新しいフェデレーションユーザーアカウントが作成され、ユーザーが Adobe Admin Console に同期されます。管理者は、Azure Sync を介して追加されたユーザーとグループを次の 3 つの方法（Microsoft Azure Portal 内）でプロビジョニング解除することもできます。
Azure AD のすべての同期されたグループからユーザーを削除する
Azure AD からユーザーをソフト削除する
ユーザーが参加しているすべてのグループを Azure AD のプロビジョニングスコープから削除する
これら 3 つの操作を行うと、Adobe Admin Console でユーザーが無効になります。無効にされたユーザーはログインできなくなり、ディレクトリユーザーリストに「無効」と表示されます。これらの方法のいずれかによってプロビジョニングが解除されたユーザーは、引き続き Azure Sync で管理されます。ユーザーのアカウントもクラウドに保存されたアセットも組織から削除されていません。
Admin Console からユーザーと関連データを削除する：ディレクトリ設定の「同期」タブで「設定に移動」を選択し、「編集を有効にする」をクリックします。次に、ユーザー／ディレクトリユーザーに移動します。その後、リストからユーザーを選択してアカウントを完全に削除します。
編集を有効にすると、同期されたデータを 1 時間編集できるようになり、その後自動的に無効になります。ユーザーを削除した後は、即座に「編集を無効にする」をオンにして、Azure AD の変更を Admin Console に反映させることをお勧めします。
ユーザーを完全に削除すると、そのユーザーが、そのユーザーに属するすべてのクラウドに保存されたアセットとともに削除されます。一度このアクションが実行されると、ユーザーとアセットは復元できません。
Adobe と Microsoft には、同期操作中の多数のエラー呼び出しを処理するための検疫ポリシーがあります。
Azure AD プロビジョニングサービスは、構成が正常かどうかを監視し、異常なアプリを「隔離」状態にします。管理者の資格情報が無効であるなどのエラーが原因で、ターゲットシステムに対して行われた呼び出しのほとんどまたはすべてが一貫して失敗する場合、プロビジョニングジョブは検疫の対象としてマークされます。検疫中は、増分サイクルの頻度が 1 日 1 回徐々に減少します。すべてのエラーが修正され、次の同期サイクルが開始されると、プロビジョニングジョブは強制隔離状態から削除されます。プロビジョニングジョブが 4 週間以上隔離されたままになると、プロビジョニングジョブは無効になります（実行が停止します）。Azure AD 内の検疫ステータスでのアプリケーションプロビジョニングについて詳しくはこちらを参照してください。
アドビのサービスは、同期の状態を個別に監視して、設定された時間内にエラー率が特定のしきい値を超えたことを確認します。しきい値を満たすエラーが発生する最小のリクエストにより、一時的な検疫が実行され、Azure AD からのすべての呼び出しと更新リクエストが一定期間拒否されます。その後、呼び出しは同期の再試行のために再度受け入れられます。エラー呼び出しが続く場合、同期は隔離された状態で長期間一時的な保護観察に置かれます。検疫がアドビによって開始された場合、呼び出しが拒否されたために Azure での後続の検疫につながる可能性があり、Azure のエラー率にカウントされます。アドビは、進行中のデータ分析に基づいて検疫パラメーターを更新する権利を留保することに注意してください。
Azure AD から Azure Sync を管理するときに注意する必要がある一連の一般的なエラーメッセージが表示されます。さまざまなエラーメッセージの原因に対する理解は、エラーが発生したときのトラブルシューティングに役立ちます。
Azure AD 内でのデプロイメントの監視について詳しくはこちらを参照してください。
Adobe Admin Console は、Microsoft の Azure 同期サービスを使用しているため、すべての同期問題は Azure AD 内でトラブルシューティングします。一般的な問題は、Microsoft の設定手順を参照して解決することができます。解決策が見つからない場合は、Microsoft サポートに問い合わせることをお勧めします。
同期の問題を診断する手順は以下のとおりです。
ユーザー詳細のマッピングを確認します（Microsoft ドキュメント）。
プロビジョニングアプリケーションを監視して、同期に影響を与える可能性のある問題を発見します。
プロビジョニングログにユーザーが表示されない場合、そのユーザーは範囲外である可能性があります。プロビジョニングログに問題がある場合は、ユーザーが同期できるように修正します。Microsoft のドキュメント
Federated ID でないのすべての既存ユーザーを Federated ID タイプに変換するには、追加の手順が必要です。
ID の編集切り替えを行う際、同期したフェデレーションユーザーに製品を割り当てないでください。切り替えは、同期の直後、製品の割り当て前に行う必要があります。
Adobe Admin Console に既に Federated ID 以外のアカウントを持つユーザーに対して、Azure Sync を設定します。既存の非 Federated ID を持つユーザーは、Adobe Admin Console で非 Federated ID と Federated ID の両方を持つようになりました。
ID のタイプを一括編集の手順に従って、非 Federated ID ユーザーを Federated ID タイプに変更します。以下の詳細と一致していることを確認します。
新しい Federated ID でログインすると、ユーザーは、クラウドに保存されたアセットを新しいアカウントに自動的に移行するオプションのプロンプトが表示されます。
ディレクトリに Azure Sync を追加すると、すべてのユーザーとユーザーグループが Adobe Admin Console に読み込まれ、定期的に更新されます。次に、これらのユーザーが指定されたアドビアプリにアクセスできるように設定する必要があります。
教育機関の管理者である場合は、Azure 同期を設定した後、ロールの同期を有効にすることをお勧めします。教育機関向けのロールの同期について詳しくは、こちらを参照してください。
