Brugerhåndbog Annuller

Konfigurer Værktøj til brugersynkronisering

Søg

Sidst opdateret den | Gælder også for Creative Cloud for enterprise

Adobe Enterprise og Teams: Administrationsvejledning
Planlæg udrulning
1. Grundlæggende koncepter
2. Udrulningsvejledninger
3. Udrul Creative Cloud til uddannelse
Konfigurer din organisation
1. Identitetstyper | Oversigt
2. Konfigurer identitet | Oversigt
3. Konfigurer organisation med Enterprise ID
4. Konfigurer Azure AD-føderation og -synkronisering
5. Konfigurer Google-føderation og synkroniser
6. Konfigurer organisation med Microsoft ADFS
7. Konfigurer organisation til distriktsportaler og LMS
8. Konfigurer organisation med andre identitetsudbydere
9. Almindelige spørgsmål og fejlfinding i forbindelse med SSO
Administrer din organisationskonfiguration
Administrer produkter og berettigelser
1. Administrere brugere
2. Administrer produkter og produktprofiler
3. Administrer licenser til delte enheder
Administrer lager og aktiver
1. Lager
2. Aktivoverførsel
3. Tilbagekald aktiver fra en bruger
4. Aktivoverførsel for studerende | Kun EDU
  1. Automatisk aktivoverførsel for studerende
  2. Overfør dine aktiver
Administrer tjenester
1. Adobe Stock
2. Brugerdefinerede skrifttyper
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud for enterprise – omkostningsfrit medlemskab
  1. Oversigt
Udrulning af apps og opdateringer
1. Oversigt
2. Opret pakker
3. Tilpas pakker
  1. Tilpas Creative Cloud-computerappen
  2. Medtag udvidelser i din pakke
4. Udrul pakker
5. Administrer opdateringer
  1. Skift administration for Adobe Enterprise- og Teams-kunder
  2. Udrul opdateringer
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
8. Fejlfinding
9. Opret pakker ved hjælp af Creative Cloud Packager (CC 2018 eller tidligere apps)
Administrer din konto
Rapporter og logfiler
Få hjælp

Dette dokument hjælper dig med at installere Værktøj til brugersynkronisering med henblik på at automatisere brugeradministrationsprocessen.

Værktøj til brugersynkronisering er et kommandolinjeværktøj, der flytter bruger- og gruppedata fra din virksomheds enterprise-katalogsystem (f.eks. Active Directory eller andre LDAP-systemer) til din organisations katalog i Adobe Admin Console. Hver gang du kører Værktøj til brugersynkronisering, søger det efter forskelle mellem bruger- og gruppedata i de to systemer og opdaterer Adobe-kataloget, så det matcher oplysningerne i dit katalog.

Dette dokument indeholder trinvise instruktioner i, hvordan du får et Active Directory-system til at kommunikere med Adobe Admin Console. Det er en af de mest populære kombinationer, som vores kunder bruger i skole- og SMV-segmenterne. Værktøj til brugersynkronisering er fleksibelt og kan bruges til at kommunikere med de fleste LDAP- og katalogsystemer. Hvis du bruger et andet katalogsystem end Active Directory, gælder instruktionerne i dette dokument ikke direkte; du må foretage de nødvendige ændringer efter behov. Der er flere oplysninger i konfigurations- og succeshåndbogen.

Før du begynder

Du har brug for følgende oplysninger om dit LDAP-system. Hvis du ikke har disse oplysninger, kan du kontakte din it-administrator.

Navn på domænecontroller (eller dets IP, hvis det er fastlagt) og port.
Brugernavn og adgangskode til en tjenestekonto, som værktøjet kan bruge til at udtrække brugere fra din LDAP (skrivebeskyttet adgang).
BASE DN, som er det punkt, hvorfra serveren søger efter brugere; den skal være bred nok til at tillade opdagelse af alle brugere og grupper, der kræver synkronisering.
Gruppenavne, der er en del af synkroniseringen.
Den bedst egnede LDAP-attribut til mail/brugernavn for alle brugere, der skal oprettes i Admin Console.
(Valgfrit) Du har muligvis også brug for en brugerdefineret LDAP-forespørgsel, der vælger det sæt brugere, der skal synkroniseres med Adobe, hvis standardfiltrerne ikke dækker kravene.

Nøgleparret bruges til at underskrive en JWT og verificere dets legitimitet i at få processen aaccess_token. Til at hjælpe dig med denne proces skal du om nødvendigt kontakte dit sikkerhedsteam.

Tip til certifikater:

Offentligt certifikat kan underskrives af din egen CA (opret om nødvendigt en CSR); selv-signerede accepteres også
Privat nøgle skal være RSA: 2048-bit pr. min
Det offentlige certifikat skal have en .crt-udvidelse
Log ind ved hjælp af SHA-256
Gyldighed af offentlig nøgle: anbefalet tre år, men din interne sikkerhedspolitik dikterer

Opret et selvsigneret certifikat

Hvis du bruger selvsignerede certifikater med randomiserede værdier og et offentligt certifikat med en gyldighed på et år, kan adobe.io-portalen generere dem i projektoprettelsesfasen eller fra menuen Tjenestekonto (JWT) i et eksisterende projekt. Der er flere oplysninger under Skab integration med Adobe I/O.

Følg disse trin for selvsignerede certifikater med data og gyldighed angivet af dig selv:

For macOS/Linux skal du åbne Terminal.

For Windows skal du åbne programmet, der tilbyder openssl-understøttelse, for eksempel Cygwin eller cmd, hvis det er installeret. I andre tilfælde kan værktøjet til brugersynkronisering fra og med version 2.6.0 bruges til at generere det offentlige certifikat og den private nøgle. Kravet er, at værktøjet skal downloades lokalt, og at kommandolinjen skal køres i kommandoprompten fra den mappe, der indeholder filen user-sync.exe:
```
user-sync.exe certgen
```
Kør følgende kommando:
```
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
```
Når den private nøglegenerering er gennemført, bliver du bedt om at angive yderligere oplysninger for at oprette et entydigt navn for den offentlige nøgle. Du kan acceptere standardværdierne eller angive et relevant navn. Hvis et felt skal være tomt, skal du angive "." (et punktum).

Den offentlige nøglecertifikatfil og den private nøglefil gemmes som standard på følgende steder:

Windows: C:\cygwin64\home\<dit_brugernavn>

(hvis du har brugt user-sync.exe, skal filen være i samme mappe som scriptet)

macOS: /Brugere/<dit_brugernavn>

Hvis du vil installere Brugersynkronisering på din computer, skal du sikre dig, at den opfylder følgende krav:

Har adgang til internettet og din katalogtjeneste, f.eks. LDAP eller AD.
Er beskyttet og sikker (dine administrative legitimationsoplysninger gemmes eller åbnes der).
Er stabil og pålidelig og har funktioner til sikkerhedskopiering og gendannelse.
Kan sende e-mails, så Brugersynkronisering kan sende rapporter til administratorer.
Har en 64-bit processor (hvis det er en Windows-maskine).

Ellers skal du kontakte it-afdelingen for at identificere en sådan server og få adgang til den.

Sørg for, at du har oprettet katalogerne for din organisation, og at produktprofiler og brugergrupper er oprettet i Adobe Admin Console.

Konfigurer serveren

Gør følgende for at oprette en adobe.io-integration:

Log ind på Adobe I/O-konsollen som systemadministrator, og vælg din organisation fra rullelisten øverst til højre. Klik på Opret nyt projekt.
Klik på Rediger projekt øverst til højre, og indtast en titel og en beskrivelse af projektet. Klik på Gem.
Klik på Tilføj API.
Filtrer efter Adobe-tjenester i vinduet Tilføj API, og vælg API til brugerstyring. Klik på Næste.
- Opret et nøglepar:
Hvis du vil bruge et selvsigneret certifikat med randomiserede værdier genereret af adobe.io med en gyldighed på 1 år, skal du vælge Opret et nøglepar. Klik derefter på Opret nøglepar.

En config.zip-fil downloades til din lokale maskine. Den indeholder filen certificate_pub.crt og den private nøgle. Det offentlige certifikat føjes automatisk til din integration, og den private nøgle bruges senere i konfigurationsprocessen.
- Upload din offentlige nøgle:
Hvis du har dit eget offentlige certifikat, eller du har genereret det ved hjælp af fremgangsmåden i afsnittet Få den offentlige og private nøgle, skal du vælge Upload din offentlige nøgle. Rul ned, og upload certifikatfilen til den offentlige nøgle. Klik på Næste.
Klik på Gem konfigureret API.
Gå til Tjenestekonto (JWT) for at se legitimationsoplysningerne.

Oplysningerne på denne side bruges senere i en af konfigurationsfilerne til brugersynkroniseringsværktøjet.

Opret en mappe, der hedder user_sync_tool, på et sted på drevet, hvor brugere med krævede tilladelser kan få adgang til dets indhold.
Gå til GitHub og find tagget for den Seneste udgivelse.

I denne udgivelse finder og udvider du aktiverne. Find og download derefter:
- Eksempler.zip-filen
- Den .zip-fil i brugersynkroniseringsværktøjet på listen, der matcher din OS-type
Udpak eksempler.zip, naviger til config-filer - basic, og kopiér disse filer til mappen user_sync_tool: connector-ldap.yml, connector-umapi.yml og user-sync-config.yml.
Udræk fra den anden zip-fil filen user-sync.exe, og placer den i samme user_sync_tool-mappe.
Find den private nøgle, der fulgte med det offentlige certifikat, og flyt den til den samme user_sync_tool-mappe. Nu indeholder mappen:
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml

Konfigurer Brugersynkronisering

Rediger filen connector-ldap.yml med en specialiseret teksteditor.
Angiv brugernavn, adgangskode, vært og base_dn-værdier.
Sæt search_page_size til 200.
De fleste gange vil standardfiltrene kunne ville gøre det. Hvis du har brug for en brugerdefineret LDAP-forespørgsel til at udtrække et sæt brugere, skal du ændre konfigurationsparameteren all_users_filter.
Kontroller resten af de ukommenterede indstillinger, og hvilke LDAP-attributter de peger på. Skift dem efter dine behov.

Nogle udrulninger er brugernavn-baseret login (brugernavn-felt i Admin Console for en given bruger er ikke en e-mailtype af værdi).

I dette tilfælde skal du også aktivere følgende linje (fjern # char):
user_username_format: {sAMAccountName}

Udskift sAMAccountName med den rigtige attribut, hvis det ikke er den, du skal bruge.

Rediger connector-umapi.yml. Denne fil har adgangsoplysninger til din Adobe-organisation.
Indtast følgende oplysninger fra den adobe.io-integration, du oprettede tidligere:
- org_id
- api_key
- client_secret
- tech_acct
Sørg for, at priv_key_path indeholder det nøjagtige navn på den private nøgle i mappen user_sync_tool.
Hvis den private nøgle er i samme mappe med resten af UST-filerne, kan priv_key_path kun indeholde navnet på filen; det fungerer som en relativ sti.

Hvis der ikke findes et land for hver bruger i kataloget, kan du angive et standardland.

Rediger filen user-sync-config.yml.
Fjern # fra linjen default country code, og angiv den relevante landekode. Eksempel:
```
default_country_code: US
```
Bemærk:

En landekode er påkrævet for Federated ID'er og anbefales til Enterprise ID'er. Hvis den ikke er angivet for Enterprise ID'er, bliver brugerne bedt om at vælge et land, første gang de logger på.

Gruppetilknytning definerer, hvilke grupper fra LDAP der skal have en tilsvarende brugergruppe eller PLC i Admin Console.

Målet her er at give værktøjet en kilde til grupper/brugere, så det kan matche de samme medlemmer i Admin Console-sidegrupper/PLC'er.

Rediger group mapping i filen user-sync-config.yml.
For hver kataloggruppe, der skal knyttes til en Adobe-produktprofil eller brugergruppe, skal du tilføje en post inden i gruppe-sektionen. Eksempel:
```
groups: - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here
```
Bemærk:

Gruppetilknytning kan udføres ved hjælp af Adobe-brugergrupper eller -produktprofiler, ikke til produktnavne. Og du kan knytte én kataloggruppe til mere end én Adobe-brugergruppe eller -produktprofil.

For at forhindre utilsigtet fjernelse af kontoen, hvis der er en fejlkonfiguration eller et andet problem, kan du bestemme en grænse for det maksimale antal kontofjernelser, du ville forvente i din daglige synkronisering.

Du kan ændre grænsen ved at finde max_adobe_only_users i filen user-sync-config.yml.
Hvis du forventer, at antallet af kontoverførsler vil være mere end den indstillede værdi max_adobe_only_users mellem brugersynkronisering-kørsler, skal du hæve værdien for at dække alle kontofjernelser.

Bemærk:

Hvis antallet af konti, der skal fjernes, er mere end værdien max_adobe_only_users, behandler værktøjet ikke nogen kontofjernelse. En kritisk indgang vises i loggen, der annoncerer, når denne grænse nås.

Denne grænse påvirker ikke oprettelse af handlinger.

Der er situationer, hvor nogle konti skal udelukkes fra synkroniseringen. Dette kan opnås ved at redigere filen user-sync-config.yml.
Værktøjet tilbyder tre ekskluderingsfunktioner: efter identitetstype, efter gruppens navn og ved almindelige udtryk.
Enhver konto, der findes i Admin Console, der passer til mindst ét af de nævnte kriterier, er beskyttet mod fjernelse af handlinger (fra gruppe, fra Org).

Det er en god praksis at have AdobeID'er til systemadministratorer i Admin Console og ekskludere dem via ekskluder ved ekskluder_identitet_typer: adobeID

Her er en prøve:

adobe_users:

  exclude_identity_types:

    - adobeID           # adobeID, enterpriseID eller federatedID

  exclude_adobe_groups:

    - adobe_group_name # dens medlemmer må ikke fjernes af brugersynkronisering

    - other_group_name # du kan ekskludere flere grupper

  exclude_users:

    - ".*@example.com"

    - vigtigt_bruger@domæne.com

Brugersynkronisering genererer logposter, der kan udskrives, og som også skrives til en logfil. Konfigurationsindstillingerne for logningsopsætningen styrer oplysningerne om, hvor og hvor meget loginformation der udskrives.

Du kan slå filloggen til eller fra ved at redigere værdien log_to_file i filen user-sync-config.yml.
Gennemgå indstillingerne for logfiler, og foretag de ønskede ændringer. Til den første opsætning anbefales det at bruge
log_to_file: True
file_log_level: debug

Hvis du har en Windows-server, kan du også bruge konfigurationsguiden til Adobes brugersynkroniseringsværktøj til at konfigurere brugersynkronisering.

Konfigurationsguiden til Adobes brugersynkroniseringsværktøj er et grænsefladeværktøj, der gør det nemt at konfigurere brugersynkroniseringsværktøjet med API til brugerstyring (Adobe.io), Enterprise Directory (LDAP) og synkroniseringsindstillinger. Den indeholder kontekstbaseret hjælp og linker til dokumentationen til Værktøj til brugersynkronisering. Der er flere oplysninger under beskrivelsen af konfigurationsguiden til Adobes brugersynkroniseringsværktøj.

Udrul og automatiser

Nu hvor Værktøj til brugersynkronisering er konfigureret på din server eller maskine, kan du kontrollere, om det virker som forventet. Se fejlfinding af de almindelige problemer, mens du kører brugersynkroniseringsværktøjet, skal du se tip til løsning af almindelige fejl.

Åbn kommandoprompten.
Brug følgende kommando til at gå til mappen user_sync_tool.
```
cd path/to/user_sync_tool
```
For at kontrollere, om din konfiguration er fuldført, skal du køre følgende kommandoer:

For Windows:
```
user-sync.exe -v user-sync.exe -h
```
For UNIX:
```
./user-sync –v ./user-sync –h
```
-v rapporterer versionen, -h giver hjælp til kommandolinje-argumenter.
I testtilstand skal du køre en synkronisering begrænset til de kortlagte grupper, der er navngivet i konfigurationsfilen, ekskl. de eksisterende Adobe-sidekonti.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action exclude
```
Kommandoen ovenfor synkroniserer kun brugerne i den tilknyttede gruppe, der er angivet i user-sync-config.yml. Hvis brugerne ikke findes i Admin Console, gøres der forsøg på at oprette brugerne og tilføje dem i en af de grupper, der er tilknyttet fra deres kataloggrupper.

Når du kører Brugersynkronisering i testtilstand (-t), gøres der kun forsøg på at oprette brugeren, og den oprettes ikke rigtigt. Indstillingen --adobe-only-user-action exclude forhindrer fjernelse af eksisterende brugerkonti i Adobe-organisationen.
Selvom invocation_defaults indstiller standardargumenterne, som værktøjet kører med, kan du tilsidesætte dem ved at nævne dem på kommandolinjen. I testtilstand skal du køre en synkronisering begrænset til de kortlagte grupper, der er navngivet i konfigurationsfilen, fjerne de ekstra konti, der findes på Adobes side og ikke findes i LDAP-udtrækket.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action remove
```
-t

kør en simulering, ikke en faktisk synkronisering, og se, hvad der ville ske.

--users-mapped

udtræk brugere fra LDAP, der er resultater i både all_user_filter og medlem af de angivne kataloggruppe-navne i konfigurationsfilen.

--process-groups

tilføj/fjern brugere til/fra Adobes side-brugergrupper eller PLC'er, baseret på, at konto er eller ikke medlem af de LDAP-kortlagte grupper.

--adobe-only-user-action remove

enhver konto, der findes på Adobes side, fjernes fra menuen Brugere, og rettigheder fjernes, hvis de ikke findes i LDAP-udtrækket og ikke udelukkes fra synkronisering.

Læs mere om kommando-parametre her.

Læs om nogle andre brugsscenarier her.

Hvis alle testene kører som forventet, er du klar til at foretage en fuld kørsel (uden test-mode flag).

Bemærk:

De medfølgende kommandolinjer er bare eksempler og dækker muligvis ikke hele brugssager.
Første synkronisering kan tage fra sekunder til timer afhængigt af antallet af konti, der skal synkroniseres. Omkring 250 brugere oprettes hvert 1,5-2 minut (inklusive time-out).
UMAPI-timeout-advarselskode 429 meddelelser forventes. Værktøjet håndterer genforsøgsmekanismen.

Brugersynkronisering kan køres manuelt. Du kan også konfigurere automatisering, så den køres automatisk én eller nogle gange pr. dag.

Bemærk:

Hvis du har et loganalyse- og varslingssystem til rådighed, skal du sørge for, at loggen fra Brugersynkronisering sendes til loganalysesystemet. Konfigurer også alarmer for eventuelle fejlmeddelelser eller vigtige meddelelser, der vises i logfilen.

Hvis du vil hente relevante logposter til en oversigt, skal du oprette en batchfil i mappen user_sync_tool med kaldet user-sync koblet til en scanning. Du kan for eksempel oprette en run_sync.bat-fil med indhold som:

cd path/to/user-sync-folder user-sync.exe --users file example.users-file.csv --process-groups | findstr /I &quot;==== ----- WARNING ERROR CRITICAL Number&quot; > temp.file.txt rem email the contents of temp.file.txt to the user sync administration your-mail-tool –send file temp.file.txt

Konfigurer eventuelt et kommandolinjeværktøj til e-mail.

Der findes ikke noget kommandolinjeværktøj til e-mail i Windows som standard, men der er flere, som du kan anskaffe og udfylde med dine specifikke kommandolinje-indstillinger.
Konfigurer Windows Opgavestyring til at køre Værktøj til brugersynkronisering.

Nedenstående kode kører f.eks. Værktøj til brugersynkronisering hver dag fra kl. 16:00:
```
C:\> schtasks /create /tn &quot;Adobe User Sync&quot; /tr path_to_bat_file/run_sync.bat /sc DAILY /st 16:00
```

Mere som dette

Creative Cloud til uddannelse | Udrulningsvejledning

Log ind på din konto