Adobe 串接 Zluri 管理帳號與授權：準備事項、設定步驟與常見錯誤

Zluri 是一套「幫公司盤點所有雲端軟體帳號」的管理平台。把 Adobe 接上 Zluri 之後，IT 可以在同一個地方看到誰有 Adobe 帳號、拿了哪些授權。Creative Cloud 與 Acrobat 用的是同一套 Adobe 帳號，串接一次，兩邊都看得到。

先講結論

1. 想知道「誰在用、多久沒用」，Adobe 一定要改成用公司帳號登入（SSO）Adobe 只會告訴 Zluri「有哪些帳號、拿了哪些授權」，不會告訴它「誰什麼時候登入過」。登入紀錄要從公司的登入系統（例如 Microsoft Entra ID）拿。
2. 帳號類型要是 Federated ID只有這種帳號，每次登入都一定會經過公司的登入系統；其他類型的帳號登入時繞過公司系統，就不會留下紀錄，要先轉成 Federated ID。
3. 紀錄多密，看 Entra ID 設定「多久要重新登入一次」每經過公司系統登入一次，就多一筆紀錄。要求重新登入的間隔越短，紀錄就越接近實際使用情形。

先認識幾個名詞

四條連線各負責什麼

串接會牽涉四條連線，先分清楚誰負責什麼，後面比較不會亂：

四條連線分別要在微軟、Adobe、Zluri 三個地方設定。下圖是總覽，每一格的詳細步驟在後面各段：

開始前要準備的

順序很重要。如果公司已經有其他工具透過 User Management API 或 User Sync Tool（Adobe 的帳號同步小工具）在管 Adobe 帳號，Adobe 規定要先暫停那個工具，再開 Entra ID 同步。建議順序：先把 Entra ID 同步設好、跑穩，最後再接 Zluri。

Entra ID 同步（自動開帳號）設定

整件事分成三段：動手前在 Adobe 後台做準備、接上同步、第一次同步之後在 Adobe 後台把群組綁到授權。不是客戶在 Entra ID 建好群組就能串，Adobe 後台前後都有要做的事。

動手前（Adobe 後台）先做這四件事：

接上同步：

1. Adobe 端：建立同步Admin Console →「設定」→「目錄詳細資料」→「同步」→「新增同步」→ 選「從 Microsoft Azure 同步使用者」。
2. Adobe 端：複製兩個值畫面會給「Tenant URL」（租用戶網址）和「Secret Token」（秘密權杖），這是讓 Entra ID 連進 Adobe 用的，先複製起來。Admin Console 這個視窗先不要關。
3. Entra ID 端：加入 Adobe 應用程式在「企業應用程式」加入「Adobe Identity Management (SAML)」。如果之前已經用 SAML 設好 SSO，就直接用那個現有的應用程式，不要重加。
4. Entra ID 端：貼上兩個值並測試進入「佈建」分頁（也就是自動開帳號的設定）→「+ 新配置」→ 貼上 Tenant URL 與 Secret Token → 按「Test Connection」→ 成功後按「建立」。
5. 先小量試，再正式開始先指派一兩個人或群組試同步，確認 Adobe 那邊有正確開出帳號，再正式開始佈建。
6. Adobe 端：回來把同步打開（容易漏）回到 Admin Console 那個視窗，勾選確認後按「完成」。這時同步只是「接上了、還沒開始」，要到「目錄詳細資料」→「同步」→「前往設定」把同步開啟。

開啟之後要知道的三件事：

分群組發授權：Entra ID 管人，Admin Console 管授權

開了 Entra ID 同步之後，群組在 Entra ID 建就好，不用在 Adobe 另外建。Entra ID 的群組和成員會自動同步到 Admin Console；在 Adobe 這邊，群組和成員都是唯讀，要加人、移人一律回 Entra ID 做。

Adobe 這邊只需要做一件事：決定每個群組拿什麼授權，也就是把群組指派到產品設定檔。這件事只要做一次。

1. Admin Console：先建好產品設定檔產品設定檔要先存在，後面才能把群組指派進去。
2. Entra ID：建群組，並加進 Adobe 應用程式的同步範圍只挑特定群組同步，需要 Entra ID P1／P2 或 Microsoft 365 E3／A3（見上方「開始前要準備的」）。
3. 等第一次同步完成第一次同步比較久，之後大約每 40 分鐘一次；沒辦法從 Admin Console 手動加快。
4. Admin Console：把群組指派到產品設定檔「使用者」→「使用者群組」（Users > User groups）→ 點同步過來的群組 →「指派的產品設定檔」（Assigned Product Profiles）標籤 →「指派產品設定檔」（Assign Product Profile）→ 勾選要給的設定檔 →「儲存」。
5. 用一個人測試在 Entra ID 把一位同事加進群組，等下一輪同步後，到 Admin Console 確認他有拿到對應授權，再全面開放。

綁好之後就自動了：在 Entra ID 把人加進群組，下一輪同步他就會拿到那個群組的授權；把人移出同步範圍，他的 Adobe 帳號會被停用，雲端檔案仍會保留。

Zluri 串接步驟

以下截圖取自 Zluri 官方說明頁，照順序做即可。點圖可放大看清楚。

1. 登入 Adobe Developer Console，建立新專案用系統管理員帳號登入 console.adobe.io，點「Create new project」。

   

2. 點「Add API」準備加入讀取帳號用的管道。

   

3. 選「User Management API」上方篩選點「Adobe Services」，在清單裡選「User Management API」，按 Next。

   

4. 登入方式選「OAuth Server-to-Server」並命名幫這組鑰匙取個好認的名字（例如 Zluri Integration），按「Save configured API」。

   

5. 點進剛建好的「OAuth Server-to-Server」

   

6. 複製三個值：Client ID、Client Secret、Organization ID點「Retrieve client secret」後，把三個值複製下來。

   

   值	白話說明
   Client ID	像帳號
   Client Secret	像密碼，不要外流
   Organization ID	貴公司在 Adobe 的組織編號

7. 到 Zluri 找「Adobe Creative Cloud V2」，點 Connect打開 Zluri 的整合目錄，搜尋「adobe」。

   

8. 確認三項權限，按 Continue畫面會列出 Zluri 需要的權限：AdobeId、OpenID、Read Users。

   

9. 貼上三個值，按 Connect把步驟 6 複製的三個值貼上，按 Connect，再幫這條連線取個名字就完成了。

   

Zluri 連接 Entra ID 步驟（讀登入紀錄）

這一段是總覽表的 ④：讓 Zluri 讀到 Entra ID 的登入紀錄，才能判斷誰真的有在用 Adobe。Zluri 提供三種接法，以下是 Zluri 官方推薦的「Machine to Machine」（系統對系統，不綁任何人的帳號）。Zluri 畫面是英文；微軟畫面可能顯示中文，以下按鈕名稱以英文為準。

微軟端（第 1–4 步在 Microsoft Entra 系統管理中心，第 5 步在 Microsoft 365 系統管理中心）：

1. 註冊應用程式「App registrations」→「New registration」→ 取個名字（例如 Zluri）→ 帳戶類型選「Accounts in this organizational directory only」→「Register」。
2. 建立用戶端密碼「Certificates & secrets」→「Client secrets」→「New client secret」→ 取名、設到期日 →「Add」。複製「Value」欄的字串並妥善保存，等一下當 Client Secret 用。
3. 加上讀取權限「API permissions」→ 新增應用程式權限（Application permissions）：AuditLog.Read.All（讀登入紀錄）、Directory.Read.All（讀使用者與群組）、Reports.Read.All（讀報表）→「Add permissions」→ 按「Grant admin consent」並確認。Zluri 的連線教學只列前兩項，但它的錯誤代碼表把三項都列為必要，缺 Reports.Read.All 會出現 MSE-104，所以三項一起加。
4. 複製兩個 ID回到「Overview」，複製「Application (client) ID」和「Directory (tenant) ID」。
5. 取消隱藏使用者資料（在 Microsoft 365 系統管理中心）微軟報表預設會把使用者名稱隱藏起來，要取消隱藏 Zluri 才讀得到。用全域管理員登入 Microsoft 365 系統管理中心（admin.microsoft.com）→「Settings」→「Org Settings」→「Services」→「Reports」，取消勾選「Conceal user, group, and site names in all reports」→「Save」。注意這一步不在 Entra 系統管理中心。

Zluri 端：

1. 找到 Azure AD (Machine to Machine)打開 Zluri 整合目錄，搜尋「azure」，在「Azure AD (Machine to Machine)」按「Connect」。
2. 選擇讀取範圍勾選要開的範圍後按「Continue」。有些選用範圍需要比上面更多的權限，勾之前先點範圍右側的箭頭看說明。
3. 貼上三個值，按 ConnectClient ID 填「Application (client) ID」、Client Secret 填剛才複製的「Value」、Tenant ID 填「Directory (tenant) ID」→「Connect」→ 幫連線取名就完成了。

串接後 Zluri 看得到什麼

Adobe 對讀取次數有上限（每組鑰匙每分鐘 25 次），並建議兩次同步之間至少隔 2 小時，一般使用不會碰到。

看不到登入紀錄？依序檢查這六項

登入紀錄是 Zluri 另外連 Entra ID 拿的，跟上面的 Adobe 串接是兩條分開的連線，兩條都要接。

最容易踩的坑：Entra ID 那條權限沒給成功時，畫面照樣顯示「已連線」、帳號也照樣同步得過來，只有登入資料一直是空的，而且不會跳任何錯誤。所以開通後至少等一輪同步再看；兩輪之後還是空白，就依序檢查下表。

另外，設好 SSO 不等於強制走 SSO。還要把「不經公司系統、直接登入 Adobe」的路關掉，同時保留一個緊急用的管理員登入方式，以免公司登入系統故障時整個被鎖在門外。

常見錯誤

連線失敗時，Zluri 會顯示錯誤代碼，對照下表處理：