Finde häufige Fehler beim User Sync Tool und wie du sie behebst.
Diese Seite listet häufige Fehler auf, die beim Ausführen des User Sync Tools auftreten können, zusammen mit Schritten zur Lösung jedes Problems.Für eine Übersicht des Tools und wo du die Einrichtung, Konfiguration und Befehlsreferenz findest, siehe User Sync Tool einrichten.
Installation und Umgebung
Dies kann unter Windows auftreten, wenn Pfade 256 Zeichen überschreiten.Erstelle eine Umgebungsvariable mit dem Namen PEX_ROOT und dem Wert C:\pex.Wenn du das Skript von einem anderen Laufwerk als C: ausführst, ändere den Laufwerksbuchstaben entsprechend.Manchmal ist ein Systemneustart erforderlich, damit die Änderung wirksam wird.
Führe den python-Befehl in der Befehlszeile aus dem Ordner heraus aus, in dem sich user-sync.pex befindet.
- Prüfe, ob die auf deinem System installierte Python-Version 32-Bit ist.Deinstalliere die 32-Bit-Version und installiere die 64-Bit-Version.
- Prüfe, ob die user-sync.pex-Version, die du von GitHub heruntergeladen hast, zu deiner Python-Version und deinem Betriebssystem passt.Lade zum Beispiel user-sync-v2.3-win64-py365.zip für Windows 64-Bit und Python 3 herunter.Verwende die Python-Version, mit der die .pex erstellt wurde, anstatt die neueste Python-Version zu nutzen.Das Suffix der .zip-Datei kennzeichnet die Version: für user-sync-v2.3-win64-py365.zip ist das Python 3.6.5.
Dieser Fehler wurde auf macOS High Sierra mit User Sync Tool v2.3 und Python 3.7.0 aufgezeichnet.Das Ausführen von brew install openssl im Terminal löste das Problem für dieses Szenario.
Verbindung, Timeouts und Drosselung
Wenn das Timeout weniger als 30 Minuten beträgt, erscheinen diese Warnungen, wenn das Kontingent der innerhalb einer Minute erlaubten API-Aufrufe erreicht ist.Das Tool verwendet einen exponentiellen Backoff-Mechanismus zum Wiederholen, erhöht die Zeit zwischen den Wiederholungsversuchen und stoppt nach drei fehlgeschlagenen Versuchen.Lass das Skript bis zum Ende laufen.
Wenn das Timeout höher als 1000 Sekunden ist, hängt die Drosselung davon ab, wie oft jede User Sync Tool-Instanz läuft. Eine Instanz, die zu häufig läuft, wird für 30 bis 75 Minuten gedrosselt. Das Timeout pausiert das Tool nur für einen bestimmten Zeitraum; das Tool erholt sich und setzt die Synchronisierung danach fort.
Da das Tool erkennt, wenn zwei Instanzen gleichzeitig starten, läuft keine neue Instanz, bis die erste beendet ist. In diesem Fall kann das Protokoll eine Meldung anzeigen, dass bereits ein Prozess läuft.
Für die beste Leistung befolge diese Empfehlungen zur Ausführungshäufigkeit:
- Stelle die geplante Aufgabe so ein, dass sie mindestens 2 Stunden auseinander liegt.
- Stelle den Auslöser der geplanten Aufgabe so ein, dass er nicht zur :00- oder :30-Minutenmarke startet, um Spitzenzeiten des Traffic zu vermeiden.
- Wenn du das Tool häufiger ausführen musst, ziehe die Push-Strategie (Delta der Änderungen) anstelle einer vollständigen Synchronisierung in Betracht.
- Passe den Ausführungsplan des Tools an den Arbeitsalltag deiner Organisation an. Führe beispielsweise keine Synchronisierungsaufträge nachts aus, wenn deine Organisation dann keine Bereitstellungsänderungen vornehmen muss.
Das Tool kann keine Verbindung zu den öffentlichen API-Endpunkten herstellen. Lokale Einstellungen wie Firewall-Regeln, ein Proxy, der Traffic blockiert, oder Konto-Internetzugangseinstellungen können den Zugriff verhindern. Das Hinzufügen der Umgebungsvariable https_proxy mit einem Wert wie http://<proxyAddress>:<port> oder https://<proxyAddress>:<port> kann helfen. In anderen Fällen erlaube den Zugriff auf diese Endpunkte: ims-na1.adobelogin.com:443 und usermanagement.adobe.io:443. Dies kann nur lokal gelöst werden, indem der Zugriff auf diese Endpunkte für das laufende Konto freigegeben wird.
SSL-Inspektion auf dem lokalen Proxy-Server verursacht dies.
Lösung 1: Beschaffe das Root-CA-Zertifikat des Proxys im PEM-Format (zum Beispiel thecert.crt). Wenn es im DER-Format vorliegt, konvertiere es mit diesem openssl-Befehl zu PEM: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Eine PEM-Datei zeigt eine base64-kodierte Zeichenfolge zwischen den Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----. Erstelle eine Umgebungsvariable namens REQUESTS_CA_BUNDLE und setze ihren Wert auf den Pfad von thecert.pem.
Lösung 2: Unter Windows kann dieser Fehler auftreten, wenn das Tool von einem anderen Laufwerk als dem läuft, auf dem das Betriebssystem und Python installiert sind. Verschiebe das gesamte Skript auf das Laufwerk, auf dem sich das Betriebssystem befindet. Wenn das keine Option ist, kopiere die Datei cacert.pem, die die vertrauenswürdigen Root-CAs enthält, auf das andere Laufwerk und setze ihren Pfad als REQUESTS_CA_BUNDLE. Wenn ein Proxy auch SSL-Traffic inspiziert, kopiere den Inhalt des Proxy-Root-CA-Zertifikats in cacert.pem, damit dem Proxy-Zertifikat vertraut wird. Eine Standard-Python-Installation speichert das Zertifikatsbundle unter C:\Python36\Lib\site-packages\certifi\cacert.pem.
Lösung 3: Deaktiviere die SSL-Inspektion am Proxy für die API-Endpunkte ims-na1.adobelogin.com und usermanagement.adobe.io.
Authentifizierung und Anmeldedaten
Der Anmeldedaten-Store-Eintrag für umapi_api_key fehlt möglicherweise.Erstelle den Eintrag im Anmeldedaten-Store.Siehe die Dokumentation des User Sync Tools zum Speichern von Anmeldedaten im Speicher auf Betriebssystemebene.
Der Wert wurde möglicherweise auch unter einem anderen Benutzerkonto zum Anmeldedaten-Store hinzugefügt, während der Eintrag für den aktuell verbundenen Benutzer fehlt.Füge ihn hinzu oder wechsle das Benutzerkonto.
- Falls du das Problem nicht schnell identifizieren kannst, stelle das Schlüsselpaar neu aus.
- Verwende das Attribut umapi_private_key_data nicht, wenn du das Skript unter Windows ausführst.Verschlüssele stattdessen den Schlüssel und speichere das Kennwort im Anmeldeinformations-Manager.
- Falls du ein anderes Format für die Ausstellung des Schlüsselpaars verwendet hast, verwende einen privaten RSA 256, 2048-Bit-Schlüssel.
- Du hast möglicherweise secure_priv_key_pass_key: umapi_private_key_passphrase in der Datei connector-umapi.yml festgelegt.Stelle sicher, dass der entsprechende Eintrag im Anmeldedaten-Store und die zugehörigen Werte übereinstimmen.
Gehe in der Adobe Admin Console zu Einstellungen und dann zu Authentifizierungseinstellungen.Möglicherweise ist eine andere Option als „Am einfachsten für Benutzer (Kennwort läuft nie ab)" ausgewählt.Die Option „Sicherer" oder „Am sichersten" kann das Kennwort des technischen Kontos ablaufen lassen, das mit der Integration verknüpft ist.Um das zu beheben, erstelle eine neue Integration und erneuere die Metadaten in der Datei connector-umapi.yml.Hierfür wurde eine Lösung bereitgestellt, aber sie kann sich auf Integrationen auswirken, die vor Oktober 2018 erstellt wurden.
- Der Wert tech_acct in der Datei connector-umapi.yml kann sich von der technischen Konto-ID in der Integration in der Adobe Developer Console unterscheiden.Überprüfe die technische Konto-ID in der aktuellen Integration und kopiere sie in die Datei.
- Das öffentliche Zertifikat aus der Integration ist möglicherweise abgelaufen.Verlängere den privaten und öffentlichen Schlüssel, lade den öffentlichen Schlüssel hoch und ersetze den alten privaten Schlüssel durch den neuen.Überprüfe, ob der Pfad in der Datei connector-umapi.yml auf die richtige Datei zeigt.
- Bestätige, dass die Integration für das richtige Unternehmen ist.Wähle das Unternehmen aus dem Dropdown-Menü in der oberen linken Ecke der Adobe Developer Console aus und überprüfe dann die technische Konto-ID für die Primär Integration zusammen mit den anderen Metadaten (Unternehmens-ID, Secret und Client-ID).
Dieser Fehler erscheint bei älteren Integrationen.Erstelle eine neue Integration (oder ein Projekt) in der Adobe Developer Console neben der bestehenden, die für denselben Zweck verwendet wird.Die neue Integration bietet neue Anmeldedaten, daher aktualisiere sie in der Datei connector-umapi.yml.Das Schlüsselpaar (privater und öffentlicher Schlüssel) wird wahrscheinlich neu ausgestellt, daher muss der neue private Schlüssel den bestehenden ersetzen.
LDAP und Gruppen
- Die Gruppe existiert nicht in LDAP mit diesem genauen Namen.Füge den korrekten LDAP-Namen der Gruppe hinzu.
- Die Gruppe ist nicht unter dem deklarierten base_dn auffindbar (siehe die Datei connector-ldap.yml).Ändere den Wert von base_dn, um die Gruppe einzuschließen.Dies tritt hauptsächlich auf, wenn base_dn auf eine bestimmte OU zeigt, anstatt so umfassend wie möglich zu sein.
Die Benutzergruppe group_name in der Ausgabe existiert nicht auf Adobe-Seite.Erstelle es.Falls du beabsichtigt hast, den Namen einer Produktlizenzkonfiguration (PLC) anstatt einer Benutzergruppe festzulegen, siehe die Dokumentation des User Sync Tools zum Erstellen entsprechender Gruppen in deinem Unternehmensverzeichnis.
Die interessierenden Gruppen befinden sich möglicherweise in einer Subdomain, während der host Wert eine der Root-Domains ist.Ändere den host Wert zu einer Subdomain, wo die Benutzergruppen gefunden werden.Wenn sich Anwender oder Gruppen sowohl in der Root-Domain als auch in ihren Subdomains befinden, verwende den Global Catalog Port auf der Root-Domain und ändere die Subdomain-Gruppen zu Universal anstatt Global.Beispiel für einen Host-Wert mit dem globalen Katalog: ldap://domain.local:3268 oder ldaps://domain.local:3269.Wenn du den globalen Katalogport verwendest, setze base_dn auf einen leeren Wert: base_dn: "".
Benutzer und Kontoerstellung
Die Domäne, die zum Erstellen des Kontos verwendet wurde, ist möglicherweise nicht beansprucht oder vertrauenswürdig in deiner Organisation.Eine grüne Markierung oder ein Punkt erscheint für aktive Domänen in der Adobe Admin Console unter Einstellungen.Wenn das nicht der Fall ist, kann das Abschließen des Domänen-Beanspruchungsprozesses dies lösen.
Es wurde versucht, ein Federated ID-Konto zu erstellen, aber das Verzeichnis ist für Enterprise ID erstellt, oder umgekehrt.Finde das user_identity_type-Attribut in der user-sync-config.yml-Datei.Setze den Wert so, dass er mit dem Verzeichnistyp übereinstimmt, der in Adobe Admin Console angezeigt wird (Einstellungen, dann Identität, dann Domänen, dann der Verzeichnistyp-Wert für die Domäne).
Manchmal gehört die @claimed-domain.com-Domäne einer anderen Organisation, die eine Azure- oder Google-Verbindung eingerichtet hat, um Konten mit Admin Console zu synchronisieren, und die Domäne wird dann einer anderen Organisation anvertraut, die das User Sync Tool verwendet, um Konten im Format @claimed-domain.com zu synchronisieren.Die Nachricht erscheint, wenn das Tool das user@claimed-domain.com-Konto von einem LDAP-Server extrahiert, um es in der sekundären Organisation zu erstellen, aber das Konto ist noch nicht erstellt oder synchronisiert in der Hauptorganisation über die Azure- oder Google-Verbindung.Erstelle oder synchronisiere das user@claimed-domain.com-Konto in der Organisation, die die Azure- oder Google-Verbindung verwendet, und versuche dann die Synchronisation mit dem User Sync Tool in der Begünstigten-Organisation erneut.
Dieser generische Fehler hat mehrere Ursachen, aber das übliche Problem ist, dass die Domäne, die in der Erstellen-Aktion verwendet wird, unter einer Azure- oder Google-Synchronisationseinrichtung steht.Zum Überprüfen melde dich bei der Adobe Admin Console mit dem Systemadministrator-Konto an, gehe zu Einstellungen, wähle das Verzeichnis aus, das die Domain enthält, und wähle die Registerkarte Synchronisierung aus.Wenn eine Synchronisationsquelle-Karte vorhanden ist, hängt die Lösung davon ab, wie die Synchronisation fortgesetzt werden soll:
- Wenn die Azure- oder Google-Verbindung die Synchronisation durchführen soll, fahre mit der Synchronisationsquelle-Einrichtung fort und entferne das User Sync Tool vollständig.
- Wenn das User Sync Tool die Synchronisation durchführen soll, wähle Zu Einstellungen gehen und dann Synchronisation entfernen am unteren Rand der Seite.Das Tool läuft dann wie gewohnt.
Wenn keine Synchronisationsquelle-Karte vorhanden ist, läuft das aktuelle Tool möglicherweise gegen eine Konsole, wo die Domäne von einer anderen Konsole (der Eigentümerorganisation) anvertraut ist.Diese Organisation hat möglicherweise Azure- oder Google-Synchronisation aktiviert, was diesen Fehler verursacht.Synchronisiere das Konto zuerst in der Eigentümerkonsole und verwende dann das Tool, um das Konto in der aktuellen Konsole zu erstellen.
Wenn nichts davon passt, kontaktiere den Enterprise Support.
