Trova gli errori comuni di User Sync Tool e come risolverli.
Questa pagina elenca gli errori comuni che potresti riscontrare quando esegui User Sync Tool, insieme ai passaggi per risolverli.Per una panoramica dello strumento e dove trovare la configurazione, l'impostazione e il riferimento dei comandi, vedi Configura User Sync Tool.
Installazione e ambiente
Questo può apparire su Windows quando i percorsi superano i 256 caratteri.Crea una variabile d'ambiente denominata PEX_ROOT con il valore C:\pex.Se esegui lo script da un'unità diversa da C:, cambia la lettera dell'unità di conseguenza.A volte è necessario riavviare il sistema perché la modifica abbia effetto.
Esegui il comando python dalla cartella in cui si trova user-sync.pex.
- Controlla se la versione di Python installata sul sistema è a 32 bit.Disinstalla la versione a 32 bit e installa la versione a 64 bit.
- Controlla se la versione user-sync.pex scaricata da GitHub corrisponde alla versione di Python e al sistema operativo.Ad esempio, scarica user-sync-v2.3-win64-py365.zip per Windows 64-bit e Python 3.Abbina la versione di Python con cui è stato creato il .pex invece di utilizzare l'ultima versione di Python.Il suffisso del .zip identifica la versione: per user-sync-v2.3-win64-py365.zip, è Python 3.6.5.
Questo errore è stato registrato su macOS High Sierra utilizzando User Sync Tool v2.3 e Python 3.7.0.Eseguire brew install openssl nel Terminale lo ha risolto per quello scenario.
Connessione, timeout e limitazione
Se il timeout è inferiore a 30 minuti, questi avvisi appaiono quando viene raggiunta la quota di chiamate API consentite entro un minuto.Lo strumento utilizza un meccanismo di back-off esponenziale per riprovare, aumentando il tempo tra i tentativi, e si arresta dopo tre tentativi falliti.Lascia che lo script venga eseguito fino alla fine.
Se il timeout è superiore a 1000 secondi, la limitazione è correlata alla frequenza di esecuzione di ogni istanza di User Sync Tool.Un'istanza che viene eseguita troppo frequentemente viene limitata per 30-75 minuti. Il timeout mette in pausa lo strumento solo per un periodo; dopodiché lo strumento si ripristina e continua la sincronizzazione.
Poiché lo strumento rileva quando due istanze si avviano contemporaneamente, nessuna nuova istanza viene eseguita finché la prima non termina. In questo caso, il registro può mostrare un messaggio che indica che un processo è già in corso.
Per prestazioni ottimali, segui questi consigli sulla frequenza di esecuzione:
- Imposta l'attività pianificata per ripetersi ad almeno 2 ore di distanza.
- Imposta il trigger dell'attività pianificata in modo che non si avvii al minuto :00 o :30, per evitare i picchi di traffico.
- Se devi eseguire lo strumento più spesso, considera l'uso della strategia push (delta delle modifiche) invece di una sincronizzazione completa.
- Abbina la pianificazione dell'esecuzione dello strumento alla giornata lavorativa della tua organizzazione. Ad esempio, non eseguire job di sincronizzazione di notte se la tua organizzazione non ha bisogno di modificare il provisioning in quel momento.
Lo strumento non riesce a connettersi agli endpoint API pubblici. Impostazioni locali come regole del firewall, un proxy che blocca il traffico o impostazioni di accesso internet dell'account possono impedire l'accesso. Aggiungere la variabile d'ambiente https_proxy con un valore come http://<proxyAddress>:<port> o https://<proxyAddress>:<port> può essere d'aiuto. In altri casi, consenti l'accesso a questi endpoint: ims-na1.adobelogin.com:443 e usermanagement.adobe.io:443. Questo può essere risolto solo localmente liberando l'accesso a questi endpoint per l'account in esecuzione.
L'ispezione SSL sul server proxy locale causa questo problema.
Soluzione 1: Ottieni il certificato CA radice del proxy in formato PEM (ad esempio, thecert.crt). Se è in formato DER, convertilo in PEM con questo comando openssl: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Un file PEM mostra una stringa codificata in base64 tra le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. Crea una variabile d'ambiente denominata REQUESTS_CA_BUNDLE e imposta il suo valore al percorso di thecert.pem.
Soluzione 2: Su Windows, questo errore può verificarsi se lo strumento viene eseguito da un'unità diversa da quella dove sono installati il sistema operativo e Python. Sposta l'intero script nell'unità dove si trova il sistema operativo. Se questa non è un'opzione, copia il file cacert.pem che contiene le CA radice attendibili nell'altra unità e imposta il suo percorso come REQUESTS_CA_BUNDLE. Se un proxy ispeziona anche il traffico SSL, copia il contenuto del certificato CA radice del proxy in cacert.pem così che il certificato del proxy sia attendibile. Un'installazione Python predefinita conserva il bundle di certificati in C:\Python36\Lib\site-packages\certifi\cacert.pem.
Soluzione 3: Disabilita l'ispezione SSL sul proxy per gli endpoint API ims-na1.adobelogin.com e usermanagement.adobe.io.
Autenticazione e credenziali
La voce del Credentials Store per umapi_api_key potrebbe essere mancante.Crea la voce nel Credentials Store.Consulta la documentazione dello User Sync Tool su archiviazione delle credenziali nell'archiviazione a livello OS.
Il Valore potrebbe anche essere stato aggiunto al Credentials Store sotto un Account Utente diverso mentre la voce è mancante per l'Utente attualmente connesso.Aggiungilo o cambia account utente.
- Se non riesci a identificare rapidamente il problema, riemetti la coppia di chiavi.
- Non utilizzare l'attributo umapi_private_key_data quando esegui lo script su Windows.Invece, crittografa la chiave e archivia la password nel Credential Manager.
- Se hai utilizzato un formato diverso per emettere la coppia di chiavi, prova una chiave privata RSA 256, 2048-bit.
- Potresti aver impostato secure_priv_key_pass_key: umapi_private_key_passphrase nel file connector-umapi.yml.Assicurati che la voce corrispondente nel Credential Store e i suoi valori associati corrispondano.
Nell'Adobe Admin Console, vai su Impostazioni, quindi su Impostazioni di autenticazione.Potrebbe essere selezionata un'opzione diversa da Più semplice per gli utenti (il password non scade mai).L'opzione Più sicura o Più sicura può far scadere il password dell'Account tecnico collegato all'integrazione.Per risolvere questo problema, crea una nuova integrazione e rinnova i metadati nel file connector-umapi.yml.È stata distribuita una correzione per questo problema, ma può influenzare le integrazioni create prima di ottobre 2018.
- Il valore tech_acct nel file connector-umapi.yml potrebbe differire dall'ID dell'account tecnico nell'integrazione in Adobe Developer Console.Verifica l'ID account tecnico nell'integrazione corrente e copialo nel file.
- Il certificato pubblico dell'integrazione potrebbe essere scaduto. Rinnova la chiave privata e pubblica, carica la chiave pubblica e sostituisci la vecchia chiave privata con quella nuova. Verifica che il percorso nel file connector-umapi.yml punti al file corretto.
- Conferma che l'integrazione sia per l'organizzazione corretta. Seleziona l'organizzazione dal menu a discesa nell'angolo in alto a sinistra di Adobe Developer Console, poi verifica l'ID account tecnico per l'integrazione primario insieme agli altri metadati (ID organizzazione, segreto e ID client).
Questo errore appare nelle integrazioni più vecchie. Crea una nuova integrazione (o progetto) in Adobe Developer Console accanto a quella esistente utilizzata per lo stesso scopo.La nuova integrazione fornisce nuove credenziali, quindi aggiornale nel file connector-umapi.yml. La coppia di chiavi (chiave privata e pubblica) è probabilmente riemessa, quindi la nuova chiave privata deve sostituire quella esistente.
LDAP e gruppi
- Il gruppo non esiste in LDAP con quel nome esatto. Aggiungi il nome LDAP corretto del gruppo.
- Il gruppo non è individuabile sotto il base_dn dichiarato (vedi il file connector-ldap.yml). Cambia il valore base_dn per includere il gruppo.Questo si verifica principalmente quando base_dn punta a una OU specifica invece di essere il più ampio possibile.
Il gruppo Utente group_name nell'output non esiste sul lato Adobe. Crealo. Se intendevi impostare il nome di una configurazione licenza prodotto (PLC) invece di un gruppo Utente, consulta la documentazione dello strumento User Sync su come creare gruppi corrispondenti nella directory Enterprise.
I gruppi di interesse potrebbero essere in un sottodominio mentre il valore host è uno dei domini principali.Cambia il valore host in un sottodominio dove si trovano i gruppi utente.Se utenti o gruppi sono sia nel dominio radice che nei suoi sottodomini, utilizza la porta del catalogo globale sul dominio radice e cambia i gruppi del sottodominio in Universal invece di Global. Esempio di valore host che utilizza il catalogo globale: ldap://domain.local:3268 o ldaps://domain.local:3269.Quando utilizzi la porta del catalogo globale, imposta base_dn su un valore vuoto: base_dn: "".
Utenti e creazione account
Il dominio utilizzato per creare l'account potrebbe non essere rivendicato o attendibile nella tua organizzazione. Un contrassegno verde o un punto verde vengono visualizzati per i domini primari in Adobe Admin Console in Impostazioni. In caso contrario, completa il processo di reclamo del dominio per risolvere il problema.
È stato effettuato un tentativo di creare un account con Federated ID, ma la directory è stata creata per Enterprise ID, o viceversa. Trova l'attributo user_identity_type nel file user-sync-config.yml.Imposta il valore in modo che corrisponda al tipo di directory mostrato in Adobe Admin Console (Impostazioni, poi Identità, poi Domini, quindi il valore del tipo di directory per il dominio).
A volte il dominio @claimed-domain.com è di proprietà di un'organizzazione diversa che ha configurato un connettore Azure o Google per sincronizzare gli account con Admin Console, e il dominio è quindi attendibile per un'organizzazione diversa che utilizza lo Strumento di sincronizzazione utenti per sincronizzare account del formato @claimed-domain.com. Il messaggio viene visualizzato quando lo strumento estrae l'account user@claimed-domain.com da un server LDAP per crearlo nell'organizzazione secondaria, ma l'account non è ancora stato creato o sincronizzato nell'organizzazione principale tramite il connettore Azure o Google.Crea o sincronizza l'account user@claimed-domain.com nell'organizzazione che utilizza il connettore Azure o Google, quindi riprova la sincronizzazione con lo Strumento di sincronizzazione utenti nell'organizzazione fiduciaria.
Questo errore generico ha cause multiple, ma il problema abituale è che il dominio utilizzato nell'azione di creazione è sotto una configurazione di sincronizzazione Azure o Google. Per verificare, accedi ad Adobe Admin Console con l'account Amministratore di sistema, vai su Impostazioni, seleziona la directory che contiene il dominio e seleziona la scheda Sincronizza.Se è presente una scheda Origine di sincronizzazione, la correzione dipende da come dovrebbe continuare la sincronizzazione:
- Se il connettore Azure o Google deve eseguire la sincronizzazione, continua con la configurazione dell'origine di sincronizzazione e rimuovi completamente lo strumento di sincronizzazione utenti.
- Se lo Strumento di sincronizzazione utenti dovrebbe eseguire la sincronizzazione, seleziona Vai alle impostazioni, quindi Rimuovi sincronizzazione nella parte inferiore della pagina. Lo strumento funziona quindi normalmente.
Se non è presente alcuna scheda Origine di sincronizzazione, lo strumento corrente potrebbe essere eseguito su una Console dove il dominio è affidato da una Console diversa (l'organizzazione proprietaria). Quell'organizzazione potrebbe avere la sincronizzazione Azure o Google attivata, il che causa questo errore. Sincronizza prima l'account nella Console proprietaria, quindi utilizza lo strumento per creare l'account nella Console corrente.
Se nessuna di queste opzioni è applicabile, contatta il Supporto Enterprise.
