Descubre los errores comunes de la herramienta User Sync y cómo resolverlos.
Esta página enumera los errores comunes que puedes encontrar al ejecutar la herramienta User Sync, junto con los pasos para resolver cada uno.Para obtener información general de la herramienta y dónde encontrar la configuración inicial, la configuración y la referencia de comandos, consulta Configurar la herramienta User Sync.
Instalación y entorno
Esto puede aparecer en Windows cuando las rutas superan los 256 caracteres.Crea una variable de entorno llamada PEX_ROOT con el valor C:\pex.Si ejecutas el script desde una unidad diferente de C:, cambia la letra de unidad para que coincida.A veces es necesario reiniciar el sistema para que el cambio surta efecto.
Ejecuta la línea de comandos python desde dentro de la carpeta donde se encuentra user-sync.pex.
- Comprueba si la versión de Python instalada en tu sistema es de 32 bits.Desinstala la versión de 32 bits e instala la versión de 64 bits.
- Comprueba si la versión de user-sync.pex que descargaste de GitHub coincide con tu versión de Python y sistema operativo.Por ejemplo, descarga user-sync-v2.3-win64-py365.zip para Windows de 64 bits y Python 3.Haz coincidir la versión de Python con la que se creó el .pex en lugar de usar la última versión de Python.El sufijo del .zip identifica la versión: para user-sync-v2.3-win64-py365.zip, esa es Python 3.6.5.
Este error se registró en macOS High Sierra usando la herramienta User Sync v2.3 y Python 3.7.0.Ejecutar brew install openssl en la Terminal lo resolvió para ese escenario.
Conexión, tiempos de espera y regulación
Si el tiempo de espera es inferior a 30 minutos, estas advertencias aparecen cuando se alcanza la cuota de llamadas API permitidas en un minuto.La herramienta usa un mecanismo de retroceso exponencial para reintentar, aumentando el tiempo entre reintentos, y se detiene después de tres intentos fallidos.Deja que el script se ejecute hasta el final.
Si el tiempo de espera es superior a 1000 segundos, la limitación está relacionada con la frecuencia con la que se ejecuta cada instancia de la herramienta User Sync. Una instancia que se ejecuta con demasiada frecuencia se limita durante 30 a 75 minutos. El tiempo de espera solo pausa la herramienta durante un período; la herramienta se recupera y continúa la sincronización posteriormente.
Debido a que la herramienta detecta cuándo dos instancias se inician al mismo tiempo, no se ejecuta ninguna instancia nueva hasta que la primera termine. En este caso, el registro puede mostrar un mensaje de que un proceso ya está en curso.
Para optimizar el rendimiento, sigue estas recomendaciones de frecuencia de ejecución:
- Configura la tarea programada para que se repita con al menos 2 horas de diferencia.
- Configura el activador de la tarea programada para que no se inicie en el minuto :00 o :30, para evitar el tráfico máximo.
- Si necesitas ejecutar la herramienta con más frecuencia, considera usar la estrategia de notificación push (diferencial de cambios) en lugar de una sincronización completa.
- Haz coincidir el horario de ejecución de la herramienta con el día laboral de tu organización. Por ejemplo, no ejecutes trabajos de sincronización por la noche si tu organización no necesita modificar el aprovisionamiento en ese momento.
La herramienta no puede conectarse a los endpoints de la API pública.La configuración local como reglas de firewall, un proxy que bloquea el tráfico o configuraciones de acceso a internet de la cuenta pueden impedir el acceso. Agregar la variable de entorno https_proxy con un valor como http://<proxyAddress>:<port> o https://<proxyAddress>:<port> puede ayudar.En otros casos, permite el acceso a estos puntos finales: ims-na1.adobelogin.com:443 y usermanagement.adobe.io:443. Esto solo se puede resolver localmente eliminando el acceso a estos puntos finales para la cuenta en ejecución.
La inspección SSL en el servidor proxy local causa esto.
Solución 1: Obtén el certificado CA raíz del proxy en formato PEM (por ejemplo, thecert.crt). Si está en formato DER, conviértelo a PEM con este comando openssl: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Un archivo PEM muestra una cadena codificada en base64 entre las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----. Crear una variable de entorno denominada REQUESTS_CA_BUNDLE y establecer su valor en la ruta del archivo cert.pem.
Solución 2: En Windows, este error puede ocurrir si la herramienta se ejecuta desde una unidad diferente a aquella donde están instalados el sistema operativo y Python. Mover todo el script a la unidad donde está el sistema operativo.Si esa no es una opción, copia el archivo cacert.pem que contiene las CA raíz de confianza a la otra unidad y configura su ruta como REQUESTS_CA_BUNDLE. Si un proxy también inspecciona el tráfico SSL, copia el contenido del certificado CA raíz del proxy en cacert.pem para que el certificado del proxy sea de confianza. Una instalación predeterminada de Python mantiene el paquete de certificados en C:\Python36\Lib\site-packages\certifi\cacert.pem.
Solución 3: Deshabilite la inspección SSL en el proxy para los puntos finales de API ims-na1.adobelogin.com y usermanagement.adobe.io.
Autenticación y credenciales
Es posible que falte la entrada del Almacén de credenciales para umapi_api_key. Crear la entrada en el almacén de credenciales.Consulte la documentación de la herramienta User Sync sobre almacenar credenciales en almacenamiento a nivel del sistema operativo.
Es posible que el valor también se haya añadido al Almacén de credenciales bajo una cuenta de Usuario diferente mientras falta la entrada para el Usuario conectado actualmente. Añádelo o cambia de cuenta de usuario.
- Si no puede identificar rápidamente el problema, vuelva a emitir el par de claves.
- No use el atributo umapi_private_key_data cuando ejecute el Script en Windows. En su lugar, cifre la clave y almacene la contraseña en el Administrador de credenciales.
- Si usó un formato diferente para emitir el par de claves, pruebe con una clave privada RSA 256 de 2048 bits.
- Es posible que haya establecido secure_priv_key_pass_key: umapi_private_key_passphrase en el archivo connector-umapi.yml. Asegúrese de que la entrada coincidente en el Almacén de credenciales y sus valores asociados coincidan.
En Adobe Admin Console, vaya a Configuración y luego a Configuración de autenticación. Es posible que se haya seleccionado una opción diferente a Más fácil para usuarios (la contraseña nunca caduca). La opción Más segura o Muy segura puede hacer que caduque la contraseña de la cuenta técnica vinculada a la integración.Para solucionarlo, cree una nueva integración y renueve los metadatos en el archivo connector-umapi.yml. Se implementó una solución para esto, pero puede afectar a las integraciones creadas antes de octubre de 2018.
- El Valor tech_acct en el archivo connector-umapi.yml puede diferir del ID de cuenta técnica en la integración en Adobe Developer Console. Verificar el ID de la cuenta técnica en la integración actual y copiarlo al archivo.
- Es posible que el certificado público de la integración haya caducado. Renueva la clave privada y pública, carga la clave pública y reemplaza la clave privada antigua con la nueva. Verifique que la ruta en el archivo connector-umapi.yml apunte al archivo correcto.
- Confirma que la integración sea para la organización correcta. Seleccionar la organización del menú desplegable en la esquina superior izquierda de Adobe Developer Console y, a continuación, verificar el ID de la cuenta técnica de la integración activa junto con los otros metadatos (ID de organización, secreto e ID de cliente).
Este error aparece en integraciones más antiguas. Crear una nueva integración (o proyecto) en Adobe Developer Console junto con la existente utilizada para el mismo propósito.La nueva integración proporciona nuevas credenciales, por lo que debe actualizarlas en el archivo connector-umapi.yml.Es probable que el par de claves (clave privada y pública) se haya vuelto a emitir, por lo que la nueva clave privada debe reemplazar la existente.
LDAP y grupos
- El grupo no existe en LDAP con ese nombre exacto. Añade el nombre LDAP correcto del grupo.
- El grupo no se puede descubrir bajo el base_dn declarado (consulta el archivo connector-ldap.yml). Cambiar el valor base_dn para incluir el grupo.Esto ocurre principalmente cuando base_dn apunta a una OU específica en lugar de ser lo más amplio posible.
El grupo de usuarios group_name en la salida no existe en el lado de Adobe. Crearlo.Si tenías la intención de establecer el nombre de una configuración de licencia de producto (PLC) en lugar de un grupo de usuarios, consulta la documentación de User Sync Tool sobre creating corresponding groups in your enterprise directory.
Los grupos de interés pueden estar en un subdominio mientras que el valor host es uno de los dominios raíz. Cambia el valor host a un subdominio donde se encuentren los grupos de usuarios. Si los usuarios o grupos están tanto en el dominio raíz como en sus subdominios, usa el puerto del catálogo global en el dominio raíz y cambia los grupos de subdominio a Universal en lugar de Global. Ejemplo de valor host usando el catálogo global: ldap://domain.local:3268 o ldaps://domain.local:3269. Cuando uses el puerto del catálogo global, establece base_dn en un valor vacío: base_dn: "".
Usuarios y creación de cuenta
Es posible que el dominio usado para crear la cuenta no esté reclamado o sea de confianza en tu organización. Aparece un indicador o punto verde para los dominios principales en Adobe Admin Console en Configuración. Si no aparece, completar el proceso de reclamación del dominio puede resolver esto.
Se intentó crear una cuenta de Federated ID, pero el directorio se creó para Enterprise ID, o viceversa.Busca el atributo user_identity_type en el archivo user-sync-config.yml. Establece el valor para que coincida con el tipo de directorio mostrado en Adobe Admin Console (Configuración, luego Identidad, luego Dominios, luego el valor de tipo de directorio para el dominio).
A veces el dominio @claimed-domain.com es propiedad de una organización diferente que configuró un conector de Azure o Google para sincronizar cuentas con Admin Console, y el dominio es de confianza para una organización diferente que usa la herramienta User Sync para sincronizar cuentas del formato @claimed-domain.com. El mensaje aparece cuando la herramienta extrae la cuenta user@claimed-domain.com de un servidor LDAP para crearla en la organización secundaria, pero la cuenta aún no se ha creado o sincronizado en la organización principal a través del conector de Azure o Google.Crea o sincroniza la cuenta user@claimed-domain.com en la organización que usa el conector de Azure o Google, luego reintenta la sincronización con la herramienta User Sync en la organización depositaria.
Este error genérico tiene múltiples causas, pero el problema habitual es que el dominio utilizado en la acción de crear está bajo una configuración de sincronización de Azure o Google.Para verificar, inicia sesión en Adobe Admin Console con la cuenta de administrador del sistema, ve a Configuración, selecciona el directorio que contiene el dominio y selecciona la pestaña Sincronizar. Si hay una tarjeta de fuente de sincronización, la solución depende de cómo debe continuar la sincronización:
- Si el conector de Azure o Google debe hacer la sincronización, continúa con la configuración de fuente de sincronización y elimina la herramienta User Sync completamente.
- Si la herramienta User Sync debe hacer la sincronización, selecciona Ir a Configuración, luego Eliminar sincronización en la parte inferior de la Página. A continuación, la herramienta funciona normalmente.
Si no hay ninguna tarjeta de fuente de sincronización presente, es posible que la herramienta actual se ejecute contra una consola donde el dominio está confiado desde una consola diferente (la organización propietaria). Esa organización puede tener activada la sincronización de Azure o Google, lo que causa este error. Sincroniza la cuenta en la consola propietaria primero, luego usa la herramienta para crear la cuenta en la consola actual.
Si ninguna de estas opciones encaja, contacta con Enterprise Support.
