Microsoft Entra ID を使用した自動ユーザー プロビジョニング用に Adobe Identity Management (SAML) を構成する

この記事では、自動ユーザー プロビジョニングを構成するために Adobe Identity Management (SAML) と Microsoft Entra ID の両方で実行する必要がある手順について説明します。 構成すると、Microsoft Entra ID は、Microsoft Entra プロビジョニング サービスを使用して、ユーザーとグループを Adobe Identity Management (SAML) に自動的にプロビジョニングおよびプロビジョニング解除します。 このサービスの機能、しくみ、よく寄せられる質問の重要な詳細については、「 Microsoft Entra ID を使用して SaaS アプリケーションへのユーザー プロビジョニングとプロビジョニング解除を自動化する」を参照してください。

サポートされている機能

• Adobe Identity Management (SAML) でユーザーを作成します。
• アクセスが不要になった場合は、Adobe Identity Management (SAML) のユーザーを削除します。
• Microsoft Entra ID と Adobe Identity Management (SAML) の間でユーザー属性の同期を維持します。
• Adobe Identity Management (SAML) でグループとグループ メンバーシップをプロビジョニングします。
• Adobe Identity Management (SAML) へのシングル サインオン (推奨)。

[前提条件]

この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。

• Microsoft Entra テナント。
• アプリケーション管理者、クラウド アプリケーション管理者、またはアプリケーション所有者のいずれかのロール。
• 検証済みドメインを含む Adobe Admin Console のフェデレーション ディレクトリ。
• ユーザー プロビジョニングに関する adobe ドキュメント を確認する

注

組織でユーザー同期ツールまたは UMAPI 統合を使用している場合は、最初に統合を一時停止する必要があります。 次に、ユーザー管理を自動化するために Microsoft Entra 自動プロビジョニングを追加します。 Microsoft Entra 自動プロビジョニングが構成されて実行されたら、ユーザー同期ツールまたは UMAPI 統合を完全に削除できます。

注

この統合は、Microsoft Entra 米国政府クラウド環境から利用することもできます。 このアプリケーションは、Microsoft Entra 米国政府クラウドのアプリケーション ギャラリーにあり、パブリック クラウドの場合と同じように構成できます。

手順 1: プロビジョニングデプロイメントを計画する

1. プロビジョニング サービスのしくみについて説明します。
2. プロビジョニングのスコープに含まれるユーザーを決定します。
3. Microsoft Entra ID と Adobe Identity Management (SAML) の間でマップするデータを決定します。

手順 2: Microsoft Entra ID を使用したプロビジョニングをサポートするように Adobe Identity Management (SAML) を構成する

1. Adobe Admin Console にログインします。 [ 設定] > [ディレクトリの詳細] > [同期] に移動します。

2. [ 同期の追加] を選択します。

   

3. [ Microsoft Azure からユーザーを同期する ] を選択し、[ 次へ] を選択します。

   

4. テナント URL とシークレット トークンをコピーして保存します。 これらの値は、Adobe Identity Management (SAML) アプリケーションの [プロビジョニング] タブの [テナント URL ] フィールドと [ シークレット トークン ] フィールドに入力されます。

   

手順 3: Microsoft Entra アプリケーション ギャラリーから Adobe Identity Management (SAML) を追加する

Microsoft Entra アプリケーション ギャラリーから Adobe Identity Management (SAML) を追加して、Adobe Identity Management (SAML) へのプロビジョニングの管理を開始します。 SSO 用に Adobe Identity Management (SAML) を以前に設定している場合は、同じアプリケーションを使用できます。 ただし、最初に統合をテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからのアプリケーションの追加の詳細については、 こちらをご覧ください。

手順 4: プロビジョニングのスコープに含まれるユーザーを定義する

Microsoft Entra プロビジョニング サービスを使用すると、アプリケーションへの割り当てに基づいて、またはユーザーまたはグループの属性に基づいてプロビジョニングされるユーザーをスコープできます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合は、 手順を使用してユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合は、 スコープ フィルターを使用できます。

• 小規模から始めます。 すべてのユーザーとグループにロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当てられたユーザーとグループに設定されている場合は、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てることで、これを制御できます。 スコープがすべてのユーザーとグループに設定されている場合は、 属性ベースのスコープ フィルターを指定できます。

• 追加のロールが必要な場合は、 アプリケーション マニフェストを更新 して新しいロールを追加できます。

手順 5: Adobe Identity Management (SAML) への自動ユーザー プロビジョニングを構成する

このセクションでは、Microsoft Entra ID のユーザーやグループの割り当てに基づいて TestApp でユーザーやグループを作成、更新、無効化するように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。

Microsoft Entra ID で Adobe Identity Management (SAML) の自動ユーザー プロビジョニングを構成するには:

1. Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。

2. Entra ID>Enterprise アプリケーションを参照する

   

3. アプリケーションの一覧で、 Adobe Identity Management (SAML) を選択します。

   

4. [プロビジョニング] タブ を 選択します。

   

5. [プロビジョニング モード] を[自動] に設定します。

   

6. [ 管理者資格情報 ] セクションで、手順 2 で前に取得した Adobe Identity Management (SAML) テナント URL とシークレット トークンを入力します。 [ テスト接続] を選択して、Microsoft Entra ID が Adobe Identity Management (SAML) に接続できることを確認します。 接続に失敗した場合は、Adobe Identity Management (SAML) アカウントに管理者アクセス許可があることを確認してから、もう一度やり直してください。

   

7. [ 通知メール ] フィールドに、プロビジョニング エラー通知を受け取るユーザーまたはグループのメール アドレスを入力し、[ エラーが発生したときに電子メール通知を送信 する] チェック ボックスをオンにします。

   

8. [保存] を選択します。

9. [マッピング] セクション で 、[ Microsoft Entra ユーザーを Adobe Identity Management (SAML) に同期する] を選択します。

10. [属性マッピング] セクションで、Microsoft Entra ID から Adobe Identity Management (SAML) に同期されるユーザー 属性 を確認します。 [照合プロパティ] として選択されている属性は、更新操作で Adobe Identity Management (SAML) のユーザー アカウントとの照合に使用されます。 一致するターゲット属性を変更する場合は、Adobe Identity Management (SAML) API で、その属性に基づくユーザーのフィルター処理がサポートされていることを確認する必要があります。 [ 保存 ] ボタンを選択して変更をコミットします。

    特性	タイプ	フィルター処理でサポートされます	Adobe Identity Management (SAML) で必須
    ユーザー名	糸	✓	✓
    活動中	ボーリアン
    emails[type eq "仕事"].value	糸
    アドレス[タイプ Eq "仕事"].国	糸
    名前.名	糸
    名前.姓	糸
    urn:ietf:params:scim:schemas:extension:Adobe:2.0:User:emailAliases	糸
    urn:ietf:params:scim:schemas:extension:Adobe:2.0:User:eduRole	糸

    注

    eduRole フィールドは、Teacher or Studentなどの値を受け取ります。それ以外の値は無視されます。

11. [マッピング] セクション で 、[ Microsoft Entra グループを Adobe Identity Management (SAML) に同期する] を選択します。

12. [属性マッピング] セクションで、Microsoft Entra ID から Adobe Identity Management (SAML) に同期されるグループ 属性 を確認します。 [照合プロパティ] として選択されている属性は、更新操作で Adobe Identity Management (SAML) のグループとの照合に使用されます。 [ 保存 ] ボタンを選択して変更をコミットします。

    特性	タイプ	フィルター処理でサポートされます	Adobe Identity Management (SAML) で必須
    表示名	糸	✓	✓
    メンバー	リファレンス

13. スコープ フィルターを構成するには、スコープ フィルターに関する記事に記載されている次の手順 を参照してください。

14. Adobe Identity Management (SAML) に対して Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニングの状態] を [オン] に変更します。

    

15. [設定] セクションの [スコープ] で目的の値を選択して、Adobe Identity Management (SAML) にプロビジョニングするユーザーやグループを定義します。

    

16. プロビジョニングの準備ができたら、[ 保存] を選択します。

    

この操作により、[設定] セクションの [スコープ] で定義されているすべてのユーザーとグループの初期同期サイクルが開始されます。 最初のサイクルは、Microsoft Entra プロビジョニング サービスが実行されている限り、約 40 分ごとに発生する後続のサイクルよりも実行に時間がかかります。

手順 6: デプロイを監視する

プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。

1. プロビジョニング ログを使用して、どのユーザーが正常にプロビジョニングされたか、または正常にプロビジョニングされなかったかを判断する
2. 進行状況バーを確認して、プロビジョニング サイクルの状態と完了までの近さを確認します
3. プロビジョニング構成が異常な状態にあると思われる場合、アプリケーションは検疫に入ります。 検疫状態の詳細については、 アプリケーションプロビジョニングの検疫状態 に関する記事を参照してください。

変更ログ

• 2023 年 7 月 18 日 - アプリが Gov Cloud に追加されました。
• 2023 年 8 月 15 日 - スキーマ検出のサポートが追加されました。

その他のリソース

• Enterprise Apps のユーザー アカウント プロビジョニングの管理
• Microsoft Entra ID を使用したアプリケーション アクセスとシングル サインオンとは

関連コンテンツ

• ログを確認し、プロビジョニング アクティビティに関するレポートを取得する方法について説明します