将 Google Sync 添加到您的联合目录

可将 Google Sync 添加到 Adobe Admin Console 中的任何目录以自动执行其用户管理过程。Google Sync 使用 SCIM 协议进行用户管理，并使您可控制与 Adobe 共享的用户信息。可将 Google 管理控制台中与 Adobe Admin Console 同步的指定用户分配给一个或多个产品配置文件。

设置 Google Sync 后，Google 就开始根据 Google 管理控制台目录的用户预配配置将数据发送到 Adobe Admin Console。可在 Adobe Admin Console 的“设置”部分中查看目录的详细信息。

Google Sync 的优点

Google Sync 对于您在 Adobe Admin Console 中的目录所具备的主要优势包括：

先决条件

要将 Adobe Admin Console 用户管理与 Google 管理控制台相集成，您需要以下各项：

• 对用户数据具有管理员访问权限的 Google 管理控制台帐户
• Adobe Admin Console 中具有经过验证的域的联合目录

支持的集成场景

进行同步配置前的注意事项

在设置 Google Sync 之前，请按照以下几点查看最佳实践和 Adobe Recommendations：

• 在设置时添加 Google Sync 之前导出现有用户的列表以记录所有用户帐户和已预配的许可证。
• 如果将 Google Sync 集成到具有 Federated ID 用户的目录，请确认这些用户在 Adobe Admin Console 中的用户名与在 Google 管理控制台中用户预配映射中的用户名一致。如果这些值不一致，则 Adobe Admin Console 将此视为新用户帐户，并为单个用户创建重复的记录。可更新属性映射以确保同步所传递的值与 Adobe Admin Console 中用户配置文件中的值一致，下次同步时将自动更新这些帐户。
• 您的 Admin Console 必须至少有一个联合目录才能建立 Google Sync。如果具有 Google Sync 的 Adobe Admin Console（所有者控制台）与另一 Adobe Admin Console（受托人控制台）建立了信任关系，则受托人必须使用另一种形式的用户管理（如用户同步工具、用户管理 API 或批量 CSV 上传）管理 Federated ID 用户。
• 要将用户添加到受托人控制台进行许可证预配，必须将用户添加到所有者控制台。
• 如果您的组织使用用户同步工具或 UMAPI 集成，则您必须暂停集成。然后，添加 Google Sync 以自动从 Google 管理控制台管理用户。配置并运行 Google Sync 后，请删除用户同步工具或 UMAPI 集成。
• 要将域移入或移出用 Google Sync 建立的目录，必须从所选的目录中删除 Google Sync。然后，将所需的域移入或移出所选的目录，并与目标目录重新建立同步。

将 Google Sync 添加到联合目录

按照以下各个步骤从 Google 管理控制台同步用户：

同步 Google 组织单位

您可以在 Admin Console 中将 Google 组织单位 (OU) 同步到您的支持 Google Sync 的目录。Google 管理控制台中的每个 OU（包括根 OU）将作为单独的组与相关用户一起进行同步。

例如，您在 Google 管理控制台中不同的 OU 中有三个用户（用户 A、用户 B 和用户 C）。下表显示了如何将这些用户添加到 Adobe Admin Console 中的相应组（用户 B 和用户 C 将被添加到多个组中）：

您必须先根据您的许可要求设置您的 Google OU，然后再将它们同步到 Adobe Admin Console。

然后，登录您的 Google 管理控制台并转到应用 > Web 和移动应用程序，选择 Adobe SAML 应用程序，转到自动配置，然后选择编辑属性映射。

在属性窗口中，从应用程序属性 urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit 的下拉菜单中选择组织单位路径。

编辑同步设置

设置完毕后，系统管理员即可通过从目录设置 > 同步选项卡中选择转到设置而更新同步源的设置。设置选项包括：

删除同步

管理员可以选择从 Admin Console 内的联合目录中删除同步。删除同步将目录及其关联的域、用户组和用户保持不变，并从目录及其用户和组中删除只读模式。

要从目录中删除同步，请从“目录设置”>“同步”选项卡中选择“转到设置”，然后选择“删除同步”。还请从 Google 管理控制台中为 Adobe SAML 应用程序关闭自动预配以防被隔离。此操作将永久地从 Adobe Admin Console 中删除同步设置。如果需要，您可以与同一目录或不同目录重新建立同步。

禁用用户

实施 Google Sync 可创建新的联合用户帐户，并将这些用户同步到 Adobe Admin Console。管理员还可通过以下三种方法（在 Google 管理控制台中）解除预配通过 Google Sync 添加的用户：

• 从 Google Workspace 中删除或挂起用户。
  
• 从“预配范围”中删除所有与用户关联的组。
• 在 Google Workspace 中为关联的组织单位关闭 Adobe SAML 应用程序。

这三项操作将在 Adobe Admin Console 中禁用用户。已禁用的用户无法再登录，并将在“目录用户”列表中显示为“已禁用”。Google Sync 继续管理用这些方法之一解除预配的用户。从组织中既不删除用户的帐户，也不删除存储在云中的资源。

从 Admin Console 中删除用户和关联的数据：从目录设置 > 同步选项卡中选择转到设置，然后单击启用编辑。然后导航到用户 > 目录用户，并从列表中选择该用户以永久删除其帐户。

启用编辑后，可在一小时内编辑所同步的数据，然后才会自动禁用编辑。我们建议您在删除用户后立即单击“禁用编辑”，以确保 Admin Console 反映 Google 管理控制台的更改。

隔离策略

Adobe 制定了一项隔离策略，用于处理同步操作期间产生的大量错误调用。 

Adobe 的服务独立地监视同步运行状况，以确认错误率何时在所设置的一段时间内超过特定阈值。只要导致错误的请求数达到阈值，即使只有少量此类请求也将实行临时隔离，导致在一段时间内拒绝所有来自 Google 管理控制台的调用和更新请求，此后将再次接受调用以重试同步。如果错误调用持续存在，则将临时考察该同步以确定是否应长期隔离。如果 Adobe 发起隔离，则可能还会因调用被拒而导致后续被 Google 隔离，而这将计入 Google 的错误率。请注意，Adobe 保留根据正在进行的数据分析更新隔离参数的权利。

常见的错误消息

从 Google 管理控制台中管理 Google Sync 时，需要了解经常显示的一组错误消息。了解各种错误消息的原因将有助于在发生错误时进行故障排除。

您可以在 Google Admin Console 中 Adobe SAML 应用程序的自动预配部分下找到同步日志和错误日志。详细了解如何在 Google 管理控制台中监视您的部署。

Google OU 同步错误

在同步 Google 组织单位到 Adobe Admin Console 时，您可能会遇到同步错误。Google 日志显示以下错误：

• 因 OU 深度大于 10 而失败：达到最大深度限制
  
• 因 OU 属性会产生太长的组而失败：组名不应超过 256 个字符
• 因 OU 属性包含不允许的组名称字符而失败：OU 名称包含不允许的字符
  

故障排除

由于 Adobe Admin Console 使用 Google Sync 服务，因此在 Google 管理控制台中解决所有同步问题。可参考 Google 的配置说明以解决某些常见问题。如果您找不到解决方案，我们建议您联系 Google 客户支持以获得进一步的帮助。

按照以下说明诊断同步问题：