Encontre erros comuns da Ferramenta de sincronização de usuários e como resolvê-los.
Esta página lista erros comuns que você pode encontrar ao executar a Ferramenta de sincronização de usuários, junto com etapas para resolver cada um.Para uma visão geral da ferramenta e onde encontrar a configuração, configuração e referência de comandos, consulte Configurar a Ferramenta de sincronização de usuários.
Instalação e ambiente
Isso pode aparecer no Windows quando os caminhos excedem 256 caracteres.Crie uma variável de ambiente chamada PEX_ROOT com o valor C:\pex.Se você executar o script de uma unidade diferente de C:, altere a letra da unidade para corresponder.Às vezes, é necessário reiniciar o sistema para que a alteração tenha efeito.
Execute o comando python de dentro da pasta onde user-sync.pex está localizado.
- Verifique se a versão do Python instalada no seu sistema é de 32 bits.Desinstale a versão de 32 bits e instale a versão de 64 bits.
- Verifique se a versão user-sync.pex baixada do GitHub corresponde à sua versão do Python e sistema operacional.Por exemplo, baixe user-sync-v2.3-win64-py365.zip para Windows 64 bits e Python 3.Use a versão do Python com a qual o .pex foi construído em vez de usar o Python mais recente.O sufixo do .zip identifica a versão: para user-sync-v2.3-win64-py365.zip, que é Python 3.6.5.
Este erro foi registrado no macOS High Sierra usando a Ferramenta de sincronização de usuários v2.3 e Python 3.7.0.Executar brew install openssl no Terminal resolveu o problema nesse cenário.
Conexão, tempos limite e limitação
Se o timeout for menor que 30 minutos, esses Avisos aparecem quando a cota de chamadas de API permitidas em um minuto é atingida.A ferramenta usa um mecanismo de recuo exponencial para tentar novamente, aumentando o tempo entre tentativas, e para após três tentativas falhadas.Deixe o script executar até o final.
Se o timeout for superior a 1000 segundos, a limitação está relacionada à frequência com que cada instância da User Sync Tool é executada. Uma instância executada com muita frequência fica limitada por 30 a 75 minutos. O tempo-limite apenas pausa a ferramenta por um período; a ferramenta se recupera e continua a sincronização em seguida.
Como a ferramenta detecta quando duas instâncias começam ao mesmo tempo, nenhuma nova instância é executada até que a primeira termine. Nesse caso, o log pode mostrar uma mensagem de que um processo já está em andamento.
Para obter o melhor desempenho, siga estas recomendações de frequência de execução:
- Configure a tarefa agendada para repetir com pelo menos 2 horas de intervalo.
- Configure o acionador da tarefa agendada para que não inicie no minuto :00 ou :30, evitando horários de pico de tráfego.
- Se for necessário executar a ferramenta com mais frequência, considere usar a estratégia de notificação por push (delta de alterações) em vez de uma sincronização completa.
- Combine o cronograma de execução da ferramenta ao dia útil da organização. Por exemplo, não execute trabalhos de sincronização à noite se a organização não precisar modificar o provisionamento nesse período.
A ferramenta não consegue se conectar aos pontos de acesso da API pública. Configurações locais como regras de firewall, um proxy que bloqueia o tráfego ou configurações de acesso à internet da conta podem impedir o acesso.Adicionar a variável de ambiente https_proxy com um valor como http://<proxyAddress>:<porta> ou https://<proxyAddress>:<porta> pode ajudar.Em outros casos, permita acesso a esses endpoints: ims-na1.adobelogin.com:443 e usermanagement.adobe.io:443.Isso só pode ser resolvido localmente liberando o acesso a esses pontos de acesso para a conta em execução.
A inspeção SSL no servidor proxy local causa isso.
Solução 1: Obtenha o certificado CA raiz do proxy no formato PEM (por exemplo, thecert.crt). Se estiver no formato DER, converta-o para PEM com este comando openssl: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Um arquivo PEM mostra uma string codificada em base64 entre as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. Crie uma Variável de ambiente chamada REQUESTS_CA_BUNDLE e defina seu Valor como o caminho de thecert.pem.
Solução 2: No Windows, esse erro pode ocorrer se a ferramenta for executada de uma unidade diferente daquela onde o sistema operacional e o Python estão instalados. Mova todo o script para a unidade onde o sistema operacional está.Se essa não for uma opção, copie o arquivo cacert.pem que contém as CAs raiz confiáveis para a outra unidade e defina seu caminho como REQUESTS_CA_BUNDLE. Se um proxy também inspecionar o tráfego SSL, copie o conteúdo do certificado CA raiz do proxy no cacert.pem para que o certificado do proxy seja confiável. Uma instalação padrão do Python mantém o pacote de certificado em C:\Python36\Lib\site-packages\certifi\cacert.pem.
Solução 3: Desative a inspeção SSL no proxy para os pontos de acesso da API ims-na1.adobelogin.com e usermanagement.adobe.io.
Autenticação e credenciais
A entrada do repositório de credenciais para umapi_api_key pode estar ausente.Crie a entrada na loja de credenciais.Consulte a documentação da ferramenta de sincronização de usuário sobre armazenar credenciais no armazenamento em nível de SO.
O valor também pode ter sido adicionado ao repositório de credenciais em uma conta de usuário diferente enquanto não há entrada para o usuário conectado atualmente.Adicione-o ou altere as contas de usuário.
- Se não conseguir identificar rapidamente o problema, reemita o par de chaves.
- Não use o atributo umapi_private_key_data ao executar o script no Windows.Em vez disso, criptografe a chave e armazene a senha no gerenciador de credenciais.
- Se usou um formato diferente para emitir o par de chaves, tente uma chave privada RSA 256, 2048 bits.
- Você pode ter definido secure_priv_key_pass_key: umapi_private_key_passphrase no arquivo connector-umapi.yml.Certifique-se de que a entrada correspondente na loja de credenciais e seus valores associados sejam correspondentes.
No Adobe Admin Console, acesse Configurações e depois Configurações de autenticação.Uma opção diferente de Mais fácil para usuários (senha nunca expira) pode ser selecionada.A opção Mais segura ou Mais segura pode expirar a senha da conta técnica vinculada à integração.Para corrigir isso, crie uma nova integração e renove os metadados no arquivo connector-umapi.yml.Uma correção foi implantada para isso, mas pode afetar integrações criadas antes de outubro de 2018.
- O valor tech_acct no arquivo connector-umapi.yml pode diferir do ID da conta técnica na integração no Adobe Developer Console.Verifique o ID da conta técnica na integração atual e copie-o para o arquivo.
- O certificado público da integração pode estar expirado. Renove a chave privada e pública, faça upload da chave pública e substitua a chave privada antiga pela nova. Verifique se o caminho no arquivo connector-umapi.yml aponta para o arquivo correto.
- Confirme se a integração é para a organização correta. Selecione a organização no menu suspenso no canto superior esquerdo do Adobe Developer Console e verifique o ID da conta técnica para a integração principal junto com os outros metadados (ID da organização, segredo e ID do cliente).
Este erro aparece em integrações mais antigas. Crie uma nova integração (ou projeto) no Adobe Developer Console além da existente usada para a mesma finalidade.A nova integração fornece novas credenciais, então atualize-as no arquivo connector-umapi.yml. O par de chaves (chave privada e pública) provavelmente foi reemitido, então a nova chave privada deve substituir a existente.
LDAP e grupos
- O grupo não existe no LDAP com esse nome exato. Adicione o nome LDAP correto do grupo.
- O grupo não pode ser descoberto sob o base_dn declarado (consulte o arquivo connector-ldap.yml). Altere o valor base_dn para incluir o grupo. Isso ocorre principalmente quando base_dn aponta para uma OU específica em vez de ser o mais amplo possível.
O grupo de usuários group_name na saída não existe no lado da Adobe. Crie-o. Se você pretendia definir o nome de uma configuração de licença de produto (PLC) em vez de um grupo de usuários, consulte a documentação da Ferramenta de Sincronização de Usuário sobre criação de grupos correspondentes no diretório corporativo.
Os grupos de interesse podem estar em um subdomínio enquanto o valor host é um dos domínios raiz. Altere o valor host para um subdomínio onde os grupos de usuários são encontrados. Se usuários ou grupos estão tanto no domínio raiz quanto em seus subdomínios, use a porta do catálogo global no domínio raiz e altere os grupos do subdomínio para Universal em vez de Global. Exemplo de valor host usando o catálogo global: ldap://domain.local:3268 ou ldaps://domain.local:3269. Ao usar a porta do catálogo global, defina base_dn como um valor em branco: base_dn: "".
Usuários e criação de conta
O domínio usado para criar a conta pode não ter sido reivindicado nem ser confiável na sua organização.Um sinalizador ou ponto verde aparece para domínios principal no Adobe Admin Console em Configurações. Se não aparecer, concluir o processo de reivindicação de domínio pode resolver isso.
Foi feita uma tentativa de criar uma conta de Federated ID, mas o diretório foi criado para Enterprise ID, ou o contrário.Localize o atributo user_identity_type no arquivo user-sync-config.yml. Defina o valor para corresponder ao tipo de diretório mostrado no Adobe Admin Console (Configurações, depois Identidade, depois Domínios, depois o valor do tipo de diretório para o domínio).
Às vezes, o domínio @claimed-domain.com pertence a uma organização diferente que configurou um conector do Azure ou Google para sincronizar contas com o Admin Console, e o domínio é então confiável para uma organização diferente que usa a ferramenta de sincronização de usuário para sincronizar contas no formato @claimed-domain.com. A mensagem aparece quando a ferramenta extrai a conta user@claimed-domain.com de um servidor LDAP para criá-la na organização secundária, mas a conta ainda não foi criada ou sincronizada na organização principal por meio do conector do Azure ou Google.Criar ou sincronizar a conta user@claimed-domain.com na organização que usa o conector do Azure ou Google, depois tentar novamente a sincronização com a ferramenta de sincronização de usuário na organização fiduciária.
Este erro genérico tem múltiplas causas, mas o problema usual é que o domínio usado na ação criar está sob uma configuração de sincronização do Azure ou Google. Para verificar, Fazer logon no Adobe Admin Console com a conta de administrador do sistema, ir para Configurações, selecionar o diretório que contém o domínio e selecionar a guia Sincronizar. Se um cartão de origem de sincronização estiver presente, a correção depende de como a sincronização deve continuar:
- Se o conector do Azure ou Google deve fazer a sincronização, continuar com a configuração da origem de sincronização e remover completamente a ferramenta de sincronização de usuário.
- Se a ferramenta de sincronização de usuário deve fazer a sincronização, selecionar Ir para configurações, depois Remover sincronização na parte inferior da página. A ferramenta então é executada normalmente.
Se nenhum cartão de origem de sincronização estiver presente, a ferramenta atual pode ser executada contra um console onde o domínio é confiado de um console diferente (a organização proprietária). Essa organização pode ter a sincronização do Azure ou Google ativada, o que causa este erro. Sincronizar a conta no console proprietário primeiro, depois usar a ferramenta para criar a conta no console atual.
Se nenhuma dessas opções se adequar, entre em contato com o suporte corporativo.
