Adicionar o Google Sync ao seu diretório federado

Você pode adicionar o Google Sync a qualquer diretório no Adobe Admin Console para automatizar o processo de gerenciamento de usuários. O Google Sync usa o protocolo SCIM para o gerenciamento de usuários e oferece controle sobre as informações do usuário compartilhadas com a Adobe. Os usuários especificados no Admin Console do Google sincronizados com o Adobe Admin Console podem ser atribuídos a um ou mais perfis de produto.

Depois de configurar o Google Sync, o Google começa a enviar dados ao Adobe Admin Console de acordo com a configuração de aprovisionamento de usuário do diretório do Admin Console do Google. Você pode ver os detalhes do diretório na seção Configurações do Adobe Admin Console.

Vantagens do Google Sync

As principais vantagens do Google Sync com seu diretório no Adobe Admin Console são:

Pré-requisitos

Para integrar o gerenciamento de usuários do Adobe Admin Console ao Admin Console do Google, você precisa do seguinte:

• Uma conta do Admin Console do Google com acesso de administrador aos dados do usuário
• Um diretório federado no Adobe Admin Console com domínios verificados

Cenários de integração compatíveis

Observações antes de configurar a sincronização

Siga os itens abaixo para ver as práticas recomendadas e Adobe Recommendations antes de configurar o Google Sync:

• Exporte a lista de usuários existentes antes de adicionar o Google Sync para manter um registro de todas as contas de usuário e licenças provisionadas no momento da configuração.
• Se você integrar o Google Sync a um diretório com usuários de Federated ID, verifique se o nome de usuário no Adobe Admin Console corresponde ao nome de usuário nos mapeamentos de aprovisionamento de usuário no Admin Console do Google. Se esses valores não forem os mesmos, o Adobe Admin Console interpretará isso como uma nova conta de usuário e criará registros duplicados para o mesmo usuário. Você pode atualizar o mapeamento de atributos para garantir que os valores enviados pela sincronização correspondam aos valores nos perfis de usuário no Adobe Admin Console, que atualizará automaticamente a conta deles até a próxima sincronização.
• Seu Admin Console deve ter pelo menos um diretório federado para que você possa estabelecer o Google Sync. Se o Adobe Admin Console com o Google Sync (console proprietário) estiver em uma relação de confiança com outros Adobe Admin Consoles (consoles confiáveis), os consoles confiáveis precisarão usar outra forma de gerenciamento de usuários, como a ferramenta User Sync, a API de gerenciamento de usuários ou o upload de CSV em massa, para criar, gerenciar e licenciar usuários de Federated ID.
• Para adicionar usuários a um console confiável e realizar o provisionamento de licenças, você deve adicionar o usuário ao console proprietário.
• Se os usuários da organização usarem a ferramenta User Sync ou uma integração UMAPI, você precisará pausar a integração. Depois, adicione o Google Sync para automatizar o gerenciamento de usuários do Admin Console do Google. Depois que o Google Sync estiver configurado e em execução, remova a ferramenta de sincronização do usuário ou integração UMAPI.
• Para mover um domínio de ou para um diretório estabelecido com o Google Sync, você deve remover o Google Sync do diretório escolhido. Em seguida, mova o domínio desejado de ou para o diretório escolhido e restabeleça a sincronização com o diretório de destino.

Adicionar o Google Sync a um diretório federado

Siga as etapas abaixo para sincronizar usuários do Admin Console do Google:

Sincronizar unidades organizacionais do Google

Você pode sincronizar unidades organizacionais (UOs) do Google ao seu diretório habilitado com Google Sync no Admin Console. Cada UO (incluindo a UO raiz) no Admin Console do Google é sincronizado como um grupo separado junto com os usuários associados.

Por exemplo, você tem três usuários no Google Admin Console (Usuário A, Usuário B e Usuário C) em UOs separadas. A tabela seguinte mostra como esses usuários serão adicionados a grupos correspondentes no Adobe Admin Console (Usuário B e Usuário C são adicionados a mais do que grupos):

Você deve configurar suas UOs do Google de acordo com seus requisitos de licenciamento antes de sincronizá-las com o Adobe Admin Console.

Depois, faça logon no Google Admin Console, acesse Aplicativos > Aplicativos para Web e dispositivos móveis, selecione Aplicativo SAML da Adobe, vá para Provisionamento automático e selecione Editar mapeamento de atribuição.

Na janela Atributos, selecione o caminho da unidade organizacional no menu suspenso ao lado do atributo do aplicativo urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

Editar configurações de sincronização

Um administrador de sistema poderá atualizar as configurações da Fonte de sincronização depois que a configuração for concluída selecionando Ir para configurações na guia Configurações do diretório > Sincronização. As opções de configuração incluem:

Desabilitar sincronização

Os administradores podem escolher remover a sincronização de um diretório federado no Admin Console. A desabilitação da sincronização deixa o diretório e seus domínios, grupos de usuários e usuários associados intactos, bem como remove o modo somente leitura do diretório e seus usuários e grupos.

Para desabilitar a sincronização de um diretório, escolha Ir para configurações na guia Configurações do diretório > Sincronização e Desabilitar sincronização. Desative também o provisionamento automático do aplicativo SAML da Adobe no Admin Console do Google para evitar que ele seja colocado em quarentena. Essa ação desabilitará permanentemente a configuração de sincronização do Adobe Admin Console. Se necessário, você poderá restabelecer a sincronização com o mesmo diretório ou com um diretório diferente.

Desativar usuários

A implementação do Google Sync cria contas de usuário federado e sincroniza os usuários com o Adobe Admin Console. Os administradores também podem desprovisionar usuários adicionados por meio do Google usando os três métodos a seguir (no Admin Console do Google):

• Exclua ou suspenda os usuários do Google Workspace.
  
• Remova todos os grupos associados aos usuários em Escopo de provisionamento.
• Desative o aplicativo SAML da Adobe para as unidades organizacionais associadas no Google Workspace.

Essas três operações desabilitam os usuários no Adobe Admin Console. Um usuário com deficiência não pode mais fazer logon e mostra como Desativado na lista de Usuários do diretório. O Google Sync continua gerenciando um usuário desprovisionado por um desses métodos. Nem a conta do usuário nem os ativos armazenados na nuvem são removidos da organização. 

Remover um usuário e dados associados do Admin Console: Escolha Ir para configurações na guia Configurações do diretório > Sincronização e clique em Ativar edição. Em seguida, navegue até Usuários > Usuários de diretório e escolha o usuário da lista para excluir permanentemente a conta.

Quando a edição é ativada, ela permite fazer alterações nos dados sincronizados por até uma hora antes de ser desativada automaticamente. Recomendamos clicar em Desativar edição imediatamente após a remoção do usuário para garantir que as alterações no Admin Console sejam as mesmas do Admin Console do Google.

Política de quarentena

A Adobe tem uma política de quarentena para lidar com várias chamadas de erro durante as operações de sincronização. 

O serviço da Adobe monitora de forma independente a integridade da sincronização para verificar quando a taxa de erro ultrapassa certo limite em determinado período. Um número mínimo de solicitações que resultem em um erro que atinja o limite determinará a quarentena temporária, resultando na rejeição de todas as chamadas e solicitações de atualização do Admin Console do Google por determinado período, após o qual as chamadas serão aceitas novamente para nova tentativa de sincronização. Se as chamadas de erro persistirem, a sincronização será colocada em teste temporário por um longo período em quarentena. Se a quarentena for iniciada pela Adobe, ela também poderá levar a uma quarentena subsequente com o Google em razão das chamadas rejeitadas, que contarão para as taxas de erro do Google. Observe que a Adobe se reserva o direito de atualizar os parâmetros de quarentena com base em análise de dados contínua.

Mensagens de erro comuns

Ao gerenciar o Google Sync pelo Admin Console do Google, você precisa estar ciente de que há um conjunto de mensagens de erro comuns exibidas. Compreender a causa das várias mensagens de erro ajudará na solução de problemas quando ocorrerem erros.

Você pode encontrar logs de sincronização e logs de erro na seção Provisionamento automático do aplicativo SAML da Adobe no Admin Console do Google. Saiba mais sobre como monitorar sua implantação no Admin Console do Google.

Erros de sincronização de UO do Google

Você pode encontrar erros de sincronização ao sincronizar unidades organizacionais do Google com o Adobe Admin Console. Os registros do Google exibem os seguintes erros:

• Falha porque a profundidade da UO é maior do que 10: limite máximo de profundidade atingido
  
• Falha porque o atributo da UO geraria grupos muito longos: o nome do grupo não pode ser maior do que 256 caracteres
• Falha porque o atributo da UO contém caracteres não permitidos para nomes de grupo: o nome da UO contém caracteres não permitidos
  

Solução de problemas

Como o Adobe Admin Console usa o serviço Google Sync, todos os problemas de sincronização são detectados no Admin Console do Google. Você pode consultar as instruções de configuração do Google para resolver alguns problemas comuns. Se você não conseguir encontrar uma solução, recomendamos que entre em contato com o suporte ao cliente do Google para obter mais assistência.

Siga as instruções abaixo para diagnosticar um problema de sincronização: