Handboek Annuleren

De tool Gebruikerssynchronisatie instellen

Zoeken

Laatst bijgewerkt op 13 feb. 2023 | Ook van toepassing op Creative Cloud for enterprise

Adobe voor ondernemingen en teams: Beheerdershandleiding
Uw distributie plannen
Uw organisatie instellen
1. Identiteitstypen | Overzicht
2. Identiteit instellen | Overzicht
3. Een organisatie instellen met Enterprise ID's
4. Azure AD-federatie en synchronisatie instellen
5. Google-federatie en -synchronisatie instellen
6. Een organisatie instellen met Microsoft ADFS
7. Een organisatie instellen voor schoolportals en LMS'en
8. Een organisatie instellen met andere identiteitsproviders
9. Veelgestelde vragen over en problemen oplossen met SSO
De configuratie van uw organisatie beheren
Gebruikers beheren
Producten en rechten beheren
1. Producten en productprofielen beheren
2. Licenties voor gedeelde apparaten beheren
Aan de slag met Global Admin Console
Opslag en assets beheren
1. Opslag
2. Assets migreren
3. Assets van een gebruiker terughalen
4. Migratie van studentassets | Alleen onderwijs
  1. Automatische migratie van studentassets
  2. Assets migreren
Services beheren
1. Adobe Stock
2. Eigen lettertypen
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud voor ondernemingen - gratis lidmaatschap
  1. Overzicht
Apps en updates distribueren
1. Overzicht
2. Pakketten maken
3. Pakketten aanpassen
  1. De Creative Cloud desktop-app aanpassen
  2. Extensies opnemen in uw pakket
4. Pakketten distribueren
5. Updates beheren
  1. Updates beheren voor klanten met Adobe voor ondernemingen en teams
  2. Updates distribueren
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
  1. Adobe Remote Update Manager gebruiken
  2. RUM-fouten oplossen
8. Problemen oplossen
Je teamaccount beheren
Verlengingen
1. Teamlidmaatschap: verlenging
2. Enterprise in VIP: verlengingen en naleving
Contracten beheren
Rapporten en logbestanden
Hulp krijgen

Dit document leidt u door de installatie van de tool Gebruikerssynchronisatie waarmee gebruikersbeheer wordt geautomatiseerd.

De tool Gebruikerssynchronisatie is een opdrachtregelprogramma dat gegevens over gebruikers en groepen uit het directorysysteem van uw organisatie (zoals Active Directory of een ander LDAP-systeem) verplaatst naar de directory van uw organisatie in de Adobe Admin Console. Telkens wanneer u de tool Gebruikerssynchronisatie uitvoert, wordt gezocht naar verschillen in de gegevens over gebruikers en groepen tussen de twee systemen en wordt de Adobe-directory bijgewerkt, zodat deze overeenkomt met de informatie in uw eigen directory.

Dit document biedt stapsgewijze instructies voor het koppelen van een Active Directory-systeem aan de Adobe Admin Console. Dit is een van de populairste combinaties die onze klanten in het basis- en voortgezet onderwijs en in het MKB gebruiken. De tool Gebruikerssynchronisatie is flexibel en kan worden gebruikt om een koppeling te maken met de meeste LDAP- en directorysystemen. Als u een ander directorysysteem dan Active Directory gebruikt, zijn de instructies in dit document niet rechtstreeks van toepassing. Breng waar nodig wijzigingen aan. Raadpleeg de Setup and Success Guide voor meer informatie.

Voordat u begint

U hebt de volgende gegevens over uw LDAP-systeem nodig. Neem contact op met uw IT-beheerder als u deze gegevens niet hebt.

Naam van domeincontroller (of IP-adres als dit een vast adres is) en poort.
Gebruikersnaam en wachtwoord voor een serviceaccount dat de tool kan gebruiken om gebruikers uit uw LDAP op te halen (alleen-lezen toegang).
Basisdomeinnaam. Dit is het punt vanaf waar de server naar gebruikers zoekt. Deze moet breed genoeg zijn om alle gebruikers en groepen te kunnen detecteren die moeten worden gesynchroniseerd.
Groepsnamen die deel uitmaken van de synchronisatie.
Het meest geschikte LDAP-kenmerk voor e-mail/gebruikersnaam voor alle gebruikers die moeten worden gemaakt in de Admin Console.
(Optioneel) U hebt mogelijk ook een aangepaste LDAP-query nodig die de reeks gebruikers selecteert die moeten worden gesynchroniseerd met Adobe als de standaardfilters niet aan de vereisten voldoen.

Het sleutelpaar wordt gebruikt om een JWT te ondertekenen en de legitimiteit ervan bij het verkrijgen van het access_token-proces te verifiëren. Neem voor hulp hierbij zo nodig contact op met uw beveiligingsteam.

Tips voor certificaten:

Een openbaar certificaat kan worden ondertekend door uw eigen certificeringsinstantie (dien zo nodig een ondersteuningsverzoek in). Zelfondertekende certificaten worden ook geaccepteerd.
De persoonlijke sleutel moet RSA zijn: ten minste 2048 bits
Het openbare certificaat moet de extensie .crt hebben
Onderteken met SHA-256
Geldigheid van openbare sleutel: drie jaar wordt aanbevolen, maar dit wordt bepaald door uw interne beveiligingsbeleid

Een zelfondertekend certificaat maken

Als u zelfondertekende certificaten met willekeurige waarden en een openbaar certificaat met een geldigheidsduur van één jaar wilt gebruiken, biedt de adobe.io-portal de mogelijkheid deze te genereren wanneer u het project maakt of via het menu Service Account (JWT) van een bestaand project. Zie Integratie met Adobe I/O maken voor meer informatie.

Volg deze stappen als u zelfondertekende certificaten wilt maken met gegevens en een geldigheidsduur die u zelf instelt:

Voor macOS/Linux opent u Terminal.

Voor Windows opent u een programma dat openssl-ondersteuning biedt, zoals Cygwin of cmd, als dit is geïnstalleerd. Vanaf versie 2.6.0 kan de tool Gebruikerssynchronisatie worden gebruikt om het openbare certificaat en de persoonlijke sleutel te genereren. Hiervoor moet de tool lokaal zijn gedownload en moet de volgende opdrachtregel worden uitgevoegd via de opdrachtprompt, vanuit de map met het bestand user-sync.exe:
```
user-sync.exe certgen
```
Voer de volgende opdracht uit:
```
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
```
Nadat de persoonlijke sleutel is gegenereerd, wordt u gevraagd aanvullende informatie in te voeren om een onderscheidende naam voor de openbare sleutel te maken. U kunt standaardwaarden accepteren of een relevante waarde invoeren. Als u het veld leeg wilt laten, voert u '.' (een punt) in.

De bestanden met het openbare certificaat en de persoonlijke sleutel worden standaard opgeslagen op de volgende locaties:

Windows: C:\cygwin64\home\<uw_gebruikersnaam>

(als u user-sync.exe hebt gebruikt, moet het bestand in dezelfde map als het script staan)

macOS: /Gebruikers/<uw_gebruikersnaam>

Als u van plan bent gebruikerssynchronisatie op uw computer te installeren, moet u ervoor zorgen dat deze aan de volgende vereisten voldoet:

Heeft toegang tot internet en uw directoryservice, zoals LDAP of AD.
Is veilig en beveiligd (uw beheerdersreferenties worden daar opgeslagen of geopend).
Blijft aanstaan, is betrouwbaar en heeft back-up- en herstelvoorzieningen.
Kan e-mails verzenden, zodat Gebruikerssynchronisatie rapporten naar beheerders kan verzenden.
Als het een Windows-computer is, moet deze een 64-bits processor hebben.

Werk anders samen met uw IT-afdeling om een geschikte server te vinden en er toegang toe te krijgen.

Zorg dat u de directory's hebt gemaakt voor uw organisatie en dat de productprofielen en gebruikersgroepen zijn gemaakt in de Adobe Admin Console.

De server instellen

Ga als volgt te werk om een adobe.io-integratie in te stellen:

Meld u als systeembeheerder aan bij de Adobe I/O-console en selecteer uw organisatie in de vervolgkeuzelijst rechtsboven. Klik op Create New Project (Nieuw project maken).
Klik op Edit Project (Project bewerken) rechtsboven en voer een titel en een beschrijving voor het project in. Klik op Save (Opslaan).
Klik op Add API (API toevoegen).
Filter het venster Add an API op Adobe Services en selecteer User Management API (API voor gebruikersbeheer). Klik op Next (Volgende).
- Een sleutelpaar genereren:
Als u een zelfondertekend certificaat wilt gebruiken met willekeurige waarden die zijn gegenereerd door adobe.io en 1 jaar geldig zijn, selecteert u Generate a Key Pair (Sleutelpaar genereren). Klik daarna op Generate Keypair (Sleutelpaar genereren).

Het bestand config.zip wordt gedownload naar uw lokale computer met het bestand certificate_pub.crt en de persoonlijke sleutel private.key. Het openbare certificaat wordt automatisch toegevoegd aan uw integratie en de persoonlijke sleutel wordt later in het configuratieproces gebruikt.
- Uw openbare sleutel uploaden:
Als u uw eigen openbare certificaat hebt of als u dit hebt gegenereerd met de stappen in De openbare en persoonlijke sleutel opvragen, selecteert u Upload Your Public Key (Uw openbare sleutel uploaden). Blader omlaag en upload het certificaatbestand met de openbare sleutel. Klik op Next (Volgende).
Klik op Save Configured API (Geconfigureerde API opslaan).
Als u de referentiegegevens wilt bekijken, navigeert u naar Service Account (JWT).

De informatie op deze pagina wordt later gebruikt in een van de configuratiebestanden van de tool Gebruikerssynchronisatie.

Maak een map met de naam user_sync_tool op een locatie op een station waartoe gebruikers met de vereiste machtigingen toegang hebben.
Ga naar GitHub en zoek de tag Latest release (Nieuwste versie).

Zoek in deze versie naar Assets en vouw dit uit. Zoek en download vervolgens:
- Het bestand examples.zip
- Het .zip-bestand van de tool Gebruikerssynchronisatie in de lijst die overeenkomt met uw besturingssysteem
Pak exemples.zip uit, navigeer naar config files - basic en kopieer de volgende bestanden naar de map user_sync_tool: connector-ldap.yml, connector-umapi.yml en user-sync-config.yml.
Pak uit het andere zip-bestand het bestand user-sync.exe uit en plaats het in dezelfde map user_sync_tool.
Zoek het bestand private.key dat is meegeleverd bij het openbare certificaat en verplaats dit naar dezelfde map user_sync_tool. De map bevat nu dus het volgende:
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml

Gebruikerssynchronisatie configureren

Bewerk het bestand connector-ldap.yml met een speciale teksteditor.
Voer waarden in voor de gebruikersnaam, het wachtwoord, de host en base_dn.
Stel search_page_size in op 200.
De standaardfilters zullen echter meestal volstaan. Als u een aangepaste LDAP-query nodig hebt om een reeks gebruikers te extraheren, wijzigt u de configuratieparameter all_users_filter.
Controleer de rest van de instellingen zonder opmerkingen en kijk naar welke LDAP-kenmerken ze wijzen. Wijzig ze op basis van uw behoeften.

Bij sommige distributies is aanmelden op basis van gebruikersnaam ingesteld (het veld Gebruikersnaam in de Admin Console voor een bepaalde gebruiker bevat geen e-mailadres).

In dat geval schakelt u ook de volgende regel in (verwijder het teken #):
user_username_format: {sAMAccountName}

Vervang sAMAccountName door het juiste kenmerk als dit niet het kenmerk is dat u moet gebruiken.

Bewerk connector-umapi.yml. Dit bestand bevat toegangsgegevens voor uw Adobe-organisatie.
Voer de volgende gegevens in van de adobe.io-integratie die u eerder hebt gemaakt:
- org_id
- api_key
- client_secret
- tech_acct
Zorg ervoor dat priv_key_path de exacte naam bevat van de persoonlijke sleutel in de map user_sync_tool.
Als de persoonlijke sleutel in dezelfde map staat als de rest van de UST-bestanden, kan priv_key_path alleen de naam van het bestand bevatten. Het werkt dan als relatief pad.

Als uw directory geen land voor elke gebruiker vermeldt, kunt u een standaardland instellen.

Bewerk het bestand user-sync-config.yml.
Verwijder # uit de regel default country code en voer de juiste landcode in. Bijvoorbeeld:
```
default_country_code: US
```
Opmerking:

Een landcode is vereist voor Federated ID's en wordt aanbevolen voor Enterprise ID's. Als er geen land is opgegeven voor Enterprise ID's, wordt de gebruiker gevraagd een land te kiezen wanneer deze zich voor het eerst aanmeldt.

Groepstoewijzing bepaalt welke groepen uit LDAP een overeenkomstige gebruikersgroep of PLC moeten hebben in de Admin Console.

Het doel hiervan is de tool een bron voor groepen/gebruikers te geven, zodat deze kunnen worden afgestemd op dezelfde leden van groepen/PLC's in de Admin Console.

Bewerk de groepstoewijzing in het bestand user-sync-config.yml.
Voor elke directorygroep die moet worden toegewezen aan een Adobe-productprofiel of -gebruikersgroep, voegt u een ingang toe in de sectie groups. Bijvoorbeeld:
```
groups: - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here
```
Opmerking:

Groepstoewijzing kan gebeuren via Adobe-gebruikersgroepen of -productprofielen, niet via productnamen. En u kunt één directorygroep toewijzen aan meer dan één Adobe-gebruikersgroep of -productprofiel.

Om te voorkomen dat accounts per ongeluk worden verwijderd door een verkeerde configuratie of een ander probleem, kunt u een limiet instellen voor het maximum aantal verwijderde accounts dat u zou verwachten bij een dagelijkse synchronisatie.

Als u deze limiet wilt wijzigen, zoekt u max_adobe_only_users in het bestand user-sync-config.yml.
Als u verwacht dat het aantal accounts dat wordt verwijderd wanneer u Gebruikerssynchronisatie uitvoert, groter is dan de ingestelde waarde voor max_adobe_only_users, verhoogt u de waarde, zodat het juiste aantal accounts wordt verwijderd.

Opmerking:

Als het aantal te verwijderen accounts groter is dan de waarde voor max_adobe_only_users, verwerkt de tool geen enkel verwijderd account. Er wordt een kritieke vermelding toegevoegd aan het logbestand dat aangeeft dat die limiet is bereikt.

Deze limiet is niet van invloed op het maken van accounts.

Er zijn situaties waarin bepaalde accounts moeten worden uitgesloten van de synchronisatie. U kunt dit doen door het bestand user-sync-config.yml te bewerken.
De tool biedt drie uitsluitingsfuncties: op identiteitstype, op groepsnaam en op reguliere expressie.
Elk account dat wordt gevonden in de Admin Console en dat voldoet aan ten minste één van de genoemde criteria, wordt beschermd en niet verwijderd (uit de groep of uit de organisatie).

Het is een goede gewoonte om Adobe ID's te gebruiken voor systeembeheerders in de Admin Console en deze uit te sluiten via exclude_identity_types: adobeID.

Hier is een voorbeeld:

adobe_users:

  exclude_identity_types:

    - adobeID           # adobeID, enterpriseID of federatedID

  exclude_adobe_groups:

    - naam_adobe_groep  # leden worden niet verwijderd door Gebruikerssynchronisatie

    - naam_andere_groep  # u kunt meerdere groepen uitsluiten

  exclude_users:

    - ".*@voorbeeld.com"

    - belangrijke_gebruiker@domein.com

Gebruikerssynchronisatie creëert logboekvermeldingen die naar de standaarduitvoer worden verzonden en ook worden weggeschreven in een logbestand. De configuratie-instellingen bepalen waar en hoeveel logboekgegevens worden uitgevoerd.

Als u het logbestand wilt in- of uitschakelen, bewerkt u de waarde log_to_file in het bestand user-sync-config.yml.
Controleer de instellingen voor logbestanden en breng de gewenste wijzigingen aan. Het wordt aanbevolen om voor de eerste configuratie het volgende te gebruiken:
log_to_file: True
file_log_level: debug

Als u een Windows-server hebt, kunt u ook de configuratiewizard voor de tool Gebruikerssynchronisatie gebruiken om Gebruikerssynchronisatie te configureren.

De configuratiewizard voor de tool Gebruikerssynchronisatie is een hulpprogramma met een grafische interface waarmee u de tool Gebruikerssynchronisatie eenvoudig kunt configureren met behulp van de API voor gebruikersbeheer (Adobe.io), Enterprise Directory (LDAP) en synchronisatie-instellingen. De wizard biedt contextgebaseerde hulp en koppelingen naar documentatie over de tool Gebruikerssynchronisatie. Zie Configuratiewizard voor de Adobe-tool Gebruikerssynchronisatie voor meer informatie.

Distribueren en automatiseren

Nu de tool Gebruikerssynchronisatie is ingesteld op uw server of computer, kunt u controleren of deze naar verwachting werkt. Voor het oplossen van veelvoorkomende problemen bij het gebruik van de tool Gebruikerssynchronisatie raadpleegt u deze tips.

Open de opdrachtprompt.
Gebruik de volgende opdracht om naar de map user_sync_tool te navigeren.
```
cd pad/naar/tool_gebruikerssynchronisatie
```
Als u wilt controleren of uw configuratie is voltooid, voert u de volgende opdrachten uit:

Voor Windows:
```
user-sync.exe -v user-sync.exe -h
```
Voor UNIX:
```
./user-sync –v ./user-sync –h
```
-v meldt de versie, -h toont hulp bij opdrachtregelargumenten.
Voer in de testmodus een synchronisatie uit die is beperkt tot de toegewezen groepen die in het configuratiebestand worden genoemd, waarbij bestaande accounts aan de Adobe-zijde worden uitgesloten.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action exclude
```
De bovenstaande opdracht synchroniseert alleen de gebruikers in de toegewezen groep die is opgegeven in het bestand user-sync-config.yml. Als de gebruikers niet bestaan in de Admin Console, wordt geprobeerd de gebruikers te maken en toe te voegen aan groepen die zijn toegewezen vanuit hun directorygroepen.

Als u gebruikerssynchronisatie uitvoert in de testmodus (-t), wordt alleen geprobeerd of de gebruiker kan worden gemaakt en wordt deze niet daadwerkelijk gemaakt. De optie --adobe-only-user-action exclude voorkomt dat bestaande gebruikersaccounts in de Adobe-organisatie worden verwijderd.
Hoewel invocation_defaults de standaardargumenten instelt waarmee de tool wordt uitgevoerd, kunt u deze overschrijven door ze in de opdrachtregel te vermelden. Voer in de testmodus een synchronisatie uit die is beperkt tot de toegewezen groepen die in het configuratiebestand worden genoemd, waarbij de extra accounts die aan de Adobe-zijde worden gevonden en die niet zijn gevonden in de LDAP-extractie, worden verwijderd.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action remove
```
-t

een simulatie, geen echte synchronisatie, uitvoeren en kijken wat er zou gebeuren.

--users-mapped

gebruikers uit LDAP extraheren die het resultaat zijn van all_user_filter en tevens lid zijn van de opgegeven namen bij directory_group in het configuratiebestand.

--process-groups

gebruikers toevoegen aan/verwijderen uit gebruikersgroepen of PLC's aan de Adobe-zijde, op basis van het feit of het account lid is van de toegewezen LDAP-groepen.

--adobe-only-user-action remove

elk account dat aan de Adobe-zijde wordt gevonden, wordt verwijderd uit het menu Gebruikers en wordt alle rechten ontnomen als het niet wordt gevonden in de LDAP-extractie en niet wordt uitgesloten van de synchronisatie.

Meer informatie over opdrachtparameters vindt u hier.

Hier leest u meer over enkele andere gebruiksscenario's.

Als alle tests volgens verwachting verlopen, bent u klaar om een volledige run uit te voeren (zonder de vlag test-mode).

Opmerking:

De vermelde opdrachtregels zijn slechts voorbeelden en dekken mogelijk niet alle gebruiksscenario's.
De eerste synchronisatie kan enkele seconden tot enkele uren duren, afhankelijk van het aantal accounts dat moet worden gesynchroniseerd. Elke 1,5 tot 2 minuten worden ongeveer 250 gebruikers gemaakt (inclusief time-out).
Berichten met waarschuwingscode 429 over een UMAPI-time-out kunnen worden verwacht. De tool probeert het dan opnieuw.

Gebruikerssynchronisatie kan handmatig worden uitgevoerd, maar u kunt dit ook automatiseren, zodat het een of enkele malen per dag wordt uitgevoerd.

Opmerking:

Als u een logboeksysteem voor analyse en waarschuwingen gebruikt, moet u ervoor zorgen dat het logbestand van Gebruikerssynchronisatie naar het logboekanalysesysteem wordt verzonden. Stel ook waarschuwingen in voor fouten of kritieke berichten die in het logboek worden weergegeven.

Als u relevante logboekvermeldingen voor een samenvatting wilt verzamelen, maakt u een batchbestand in de map user_sync_tool waarbij gebruikerssynchronisatie wordt aangeroepen en wordt doorgestuurd naar een scan. Maak bijvoorbeeld het bestand run_sync.bat met de volgende inhoud:

cd pad/naar/map_voor_gebruikerssynchronisatie user-sync.exe --users file example.users-file.csv --process-groups | findstr /I &quot;==== ----- WARNING ERROR CRITICAL Number&quot; > temp.file.txt rem email the contents of temp.file.txt to the user sync administration your-mail-tool –send file temp.file.txt

U kunt ook een opdrachtregelprogramma voor e-mail instellen.

Windows biedt geen standaard opdrachtregelprogramma voor e-mail, maar er zijn verschillende tools in de handel verkrijgbaar waarin u uw specifieke opdrachtregelopties kunt invoeren.
Stel Windows-taakplanner in om de tool Gebruikerssynchronisatie uit te voeren.

De onderstaande code voert de tool Gebruikerssynchronisatie bijvoorbeeld elke dag om 16:00 uur uit:
```
C:\> schtasks /create /tn &quot;Adobe User Sync&quot; /tr path_to_bat_file/run_sync.bat /sc DAILY /st 16:00
```