Hinzufügen von Google Sync zum Verbundverzeichnis

Sie können Google Sync jedem Verzeichnis in der Adobe Admin Console hinzufügen, um dessen Anwenderverwaltungsprozess zu automatisieren. Google Sync verwendet das SCIM-Protokoll für die Anwenderverwaltung und ermöglicht Ihnen die Kontrolle über die gemeinsam mit Adobe verwendeten Anwenderinformationen. In der Google Admin Console definierte Anwender, die mit der Adobe Admin Console synchronisiert sind, können einem oder mehreren Produktprofilen zugewiesen werden.

Nachdem Sie Google Sync eingerichtet haben, beginnt Google damit, Daten gemäß der Konfiguration für die Anwenderbereitstellung im Google Admin Console-Verzeichnis an die Adobe Admin Console zu senden. Sie finden die Verzeichnisdetails im Abschnitt Einstellungen der Adobe Admin Console.

Vorteile von Google Sync

Dies sind die wichtigsten Vorteile der Verwendung von Google Sync mit Ihrem Verzeichnis in der Adobe Admin Console:

Voraussetzungen

Um die Adobe Admin Console-Anwenderverwaltung mit der Google Admin Console zu integrieren, benötigen Sie Folgendes:

• Ein Google Admin Console-Konto mit Administratorzugriff auf Anwenderdaten
• Ein Verbundverzeichnis in der Adobe Admin Console mit bestätigten Domänen

Unterstützte Integrationsszenarien

Hinweise zur Vorbereitung der Synchronisationskonfiguration

Befolgen Sie die nachstehenden Punkte, um den Best Practices und Adobe-Empfehlungen zu folgen, bevor Sie Google Sync einrichten:

• Exportieren Sie die Liste der vorhandenen Anwender vor dem Hinzufügen von Google Sync, um eine Aufzeichnung aller Anwenderkonten und bereitgestellten Lizenzen zum Zeitpunkt der Einrichtung zu erhalten.
• Wenn Sie Google Sync in ein Verzeichnis mit Federated ID-Anwendern integrieren, überprüfen Sie, ob deren Benutzername in der Adobe Admin Console mit dem Benutzernamen in den Anwenderbereitstellungszuordnungen in der Google Admin Console übereinstimmt. Wenn diese Werte nicht übereinstimmen, interpretiert dies die Adobe Admin Console als neues Anwenderkonto und erstellt doppelte Datensätze für einen einzelnen Anwender. Sie können die Attributzuordnung aktualisieren, um sicherzustellen, dass die bei der Synchronisation übergebenen Werte mit den Werten in den Anwenderprofilen in der Adobe Admin Console übereinstimmen. Dadurch werden die Konten bei der nächsten Synchronisation automatisch aktualisiert.
• In Ihrer Admin Console muss mindestens ein Verbundverzeichnis vorhanden sein, damit Sie Google Sync einrichten können. Wenn die Adobe Admin Console mit Google Sync (Eigentümer der Console) in einer Vertrauensbeziehung zu anderen Adobe Admin Consoles (Bevollmächtigten-Consoles) steht, müssen die Bevollmächtigten eine andere Form der Anwenderverwaltung verwenden, z. B. das Anwender-Synchronisationstool, die User Management API oder den Massenupload von CSV-Dateien, um Federated ID-Anwender zu verwalten.
• Um Anwender zu einer Bevollmächtigten-Console für die Lizenzbereitstellung hinzuzufügen, müssen Sie den Anwender der Eigentümer-Console hinzufügen.
• Wenn Ihre Organisation das Anwender-Synchronisationstool oder eine UMAPI-Integration verwendet, müssen Sie die Integration anhalten. Anschließend fügen Sie Google Sync hinzu, um die Anwenderverwaltung über die Google Admin Console zu automatisieren. Nachdem Google Sync konfiguriert wurde und ausgeführt wird, entfernen Sie das Anwender-Synchronisationstool bzw. die UMAPI-Integration.
• Um eine Domäne in ein oder aus einem mit Google Sync eingerichteten Verzeichnis zu verschieben, müssen Sie Google Sync aus dem gewählten Verzeichnis entfernen. Verschieben Sie dann die gewünschte Domäne in oder aus dem ausgewählten Verzeichnis und stellen Sie die Synchronisation mit dem Zielverzeichnis wieder her.

Google Sync zu einem Verbundverzeichnis hinzufügen

Führen Sie folgende Schritte aus, um Anwender aus der Google Admin Console zu synchronisieren:

Google-Organisationseinheiten synchronisieren

Sie können Google-Organisationseinheiten (OUs) mit Ihrem Verzeichnis mit Google Sync-Unterstützung in der Admin Console synchronisieren. Jede OU (einschließlich der Stamm-OU) in der Google Admin Console wird zusammen mit den zugeordneten Benutzern als separate Gruppe synchronisiert.

Angenommen, Sie haben drei Benutzer in separaten OUs in der Google Admin Console (Benutzer A, Benutzer B und Benutzer C). Die folgende Tabelle zeigt, wie diese Benutzer den entsprechenden Gruppen in der Adobe Admin Console hinzugefügt werden (Benutzer B und Benutzer C werden mehreren Gruppen hinzugefügt):

Sie müssen Ihre Google-OUs basierend auf Ihren Lizenzanforderungen einrichten, bevor Sie sie mit der Adobe Admin Console synchronisieren.

Melden Sie sich dann bei Ihrer Google Admin Console an und navigieren Sie zu Apps > Web- und mobile Apps > wählen Sie Adobe-SAML-App > gehen Sie zu Automatische Nutzerverwaltung > wählen Sie Attributzuordnung bearbeiten.

Wählen Sie im Fenster Attribute im Dropdown Pfad der Organisationseinheit für das App-Attribut urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

Synchronisationseinstellungen bearbeiten

Ein Systemadministrator kann die Einstellungen für Quelle synchronisieren aktualisieren, nachdem das Setup abgeschlossen ist, indem er Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren auswählt. Folgende Einstellungsoptionen sind verfügbar:

Synchronisation entfernen

Administratoren können die Synchronisation aus einem Verbundverzeichnis in der Admin Console entfernen. Beim Entfernen der Synchronisation bleiben das Verzeichnis und die zugehörigen Domänen, Anwendergruppen und Anwender intakt. Der Schreibschutzmodus für das Verzeichnis und dessen Anwender und Gruppen wird entfernt.

Um die Synchronisation aus einem Verzeichnis zu entfernen, wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und dann Synchronisation entfernen. Bitte deaktivieren Sie auch die automatische Bereitstellung für die Adobe SAML-App über die Google Admin Console, um eine Quarantäne zu verhindern. Durch diese Aktion wird die Einrichtung der Synchronisation endgültig aus der Adobe Admin Console entfernt. Bei Bedarf können Sie die Synchronisation mit demselben oder einem anderen Verzeichnis wiederherstellen.

Anwender deaktivieren

Durch die Implementierung von Google Sync werden neue Verbundanwenderkonten erstellt und Anwender mit der Adobe Admin Console synchronisiert. Administratoren können die Bereitstellung von Anwendern, die über Google Sync hinzugefügt wurden, auch über die folgenden drei Verfahren (in der Google Admin Console) aufheben:

• Löschen oder sperren Sie die Anwender über Google Workspace.
  
• Entfernen Sie alle mit den Anwendern verknüpften Gruppen aus dem Anwendungsbereich der Bereitstellung.
• Deaktivieren Sie die Adobe SAML-App für die zugeordneten Organisationseinheiten in Google Workspace.

Mit diesen drei Vorgängen werden Anwender in der Adobe Admin Console deaktiviert. Ein deaktivierter Anwender kann sich nicht mehr anmelden und wird in der Liste Verzeichnisanwender als Deaktiviert aufgeführt. Ein Anwender, dessen Bereitstellung mit einem dieser Verfahren aufgehoben wurde, wird weiterhin von Google Sync verwaltet. Weder das Anwenderkonto noch in der Cloud gespeicherte Assets werden aus der Organisation entfernt. 

Entfernen Sie einen Anwender und zugehörige Daten aus der Admin Console: Wählen Sie Einstellungen aufrufen auf der Registerkarte Verzeichniseinstellungen > Synchronisieren und klicken Sie auf Bearbeitung aktivieren. Navigieren Sie dann zu Anwender > Verzeichnisanwender und wählen Sie den Anwender in der Liste aus, um das Konto endgültig zu löschen.

Sobald die Bearbeitung aktiviert ist, können die synchronisierten Daten eine Stunde lang bearbeitet werden, bevor sie automatisch deaktiviert wird. Es wird empfohlen, unmittelbar nach dem Entfernen eines Anwenders auf Bearbeitung deaktivieren zu klicken, damit die Änderungen aus der Google Admin Console in der Admin Console widergespiegelt werden.

Quarantänerichtlinie

Adobe verfügt über eine Quarantänerichtlinie, mit der zahlreiche Fehleraufrufe während der Synchronisation verarbeitet werden. 

Der Adobe-Service überwacht den Synchronisationszustand unabhängig, um zu ermitteln, ob die Fehlerrate in einem festgelegten Zeitraum einen bestimmten Schwellenwert überschreitet. Eine Mindestanzahl von Anforderungen, die einen Fehler verursachen, der den Schwellenwert erreicht, führt zu einer vorübergehenden Quarantäne. Dadurch werden alle Aufrufe und Aktualisierungsanforderungen aus der Google Admin Console für einen bestimmten Zeitraum abgelehnt. Anschließend werden Aufrufe zum Wiederholen des Synchronisationsversuchs wieder akzeptiert. Wenn weiterhin Fehleraufrufe auftreten, wird die Synchronisation für einen längeren Zeitraum in Quarantäne gestellt. Wenn die Quarantäne von Adobe veranlasst wird, kann dies aufgrund der abgelehnten Aufrufe, die auf die Fehlerraten in Google angerechnet werden, auch zu einer nachfolgenden Quarantäne bei Google führen. Beachten Sie, dass Adobe sich das Recht vorbehält, die Quarantäneparameter auf Grundlage laufender Datenanalysen zu aktualisieren.

Häufige Fehlermeldungen

Es wird eine Reihe allgemeiner Fehlermeldungen angezeigt, die für die Verwaltung von Google Sync über die Google Admin Console relevant sind. Wenn Sie die Ursache der verschiedenen Fehlermeldungen kennen, erleichtert Ihnen dies die Fehlerbehebung.

Synchronisations- und Fehlerprotokolle finden Sie im Abschnitt Auto-provisioning (Automatische Bereitstellung) der Adobe SAML-App in der Google Admin Console. Weitere Informationen zur Überwachung der Bereitstellung erhalten Sie in der Google Admin Console.

Fehler bei der Google-OU-Synchronisation

Möglicherweise treten beim Synchronisieren von Google-Organisationseinheiten mit der Adobe Admin Console Synchronisationsfehler auf. In Google-Protokollen werden die folgenden Fehler aufgeführt:

• Fehlgeschlagen, weil die OU-Tiefe größer als 10 ist: Limit für die Höchsttiefe erreicht
  
• Fehlgeschlagen, weil das OU-Attribut zu lange Gruppen zurückgeben würde: Gruppenname darf nicht länger als 256 Zeichen sein
• Fehlgeschlagen, weil das OU-Attribut unzulässige Zeichen für Gruppennamen enthält: OU-Name enthält unzulässige Zeichen
  

Fehlerbehebung

Da die Adobe Admin Console den Google-Synchronisationsdienst verwendet, werden alle Synchronisationsprobleme in der Google Admin Console behoben. In den Konfigurationsanweisungen von Google finden Sie Hinweise zur Lösung einiger häufiger Probleme. Wenn Sie keine Lösung finden, empfehlen wir Ihnen, sich für weitere Unterstützung an den Google-Support zu wenden.

Befolgen Sie die nachstehenden Anweisungen, um ein Synchronisationsproblem zu diagnostizieren: