Découvrez les erreurs courantes de l'outil User Sync et comment les résoudre.
Cette page répertorie les erreurs courantes que vous pouvez rencontrer lors de l'exécution de l'outil User Sync, ainsi que les étapes pour résoudre chacune d'elles.Pour un aperçu de l'outil et savoir où trouver la configuration, les paramètres et la référence de commande, consultez Configuration de l'outil User Sync.
Installation et environnement
Cela peut apparaître sur Windows lorsque les chemins d'accès dépassent 256 caractères.Créez une variable d'environnement nommée PEX_ROOT avec la valeur C:\pex.Si vous exécutez le script depuis un lecteur autre que C:, modifiez la lettre du lecteur pour qu'elle corresponde.Un redémarrage du système est parfois nécessaire pour que la modification prenne effet.
Exécutez la ligne de commande python depuis le dossier où se trouve user-sync.pex.
- Vérifiez si la version Python installée sur le système est en 32 bits.Désinstallez la version 32 bits et installez la version 64 bits.
- Vérifiez si la version user-sync.pex que vous avez téléchargée depuis GitHub correspond à votre version de Python et à votre système d'exploitation.Par exemple, téléchargez user-sync-v2.3-win64-py365.zip pour Windows 64 bits et Python 3.Faites correspondre la version Python avec laquelle le fichier .pex a été créé plutôt que d'utiliser la dernière version Python.Le suffixe du fichier .zip identifie la version : pour user-sync-v2.3-win64-py365.zip, il s'agit de Python 3.6.5.
Cette erreur a été enregistrée sur macOS High Sierra avec l'outil User Sync v2.3 et Python 3.7.0.Exécuter brew install openssl dans le Terminal a résolu le problème dans ce scénario.
Connexion, délais d'attente et limitation du débit
Si le délai d'attente est inférieur à 30 minutes, ces avertissements apparaissent lorsque le quota d'appels API autorisés dans une minute est atteint.L'outil utilise un mécanisme de temporisation exponentiel pour réessayer, augmentant le temps entre les tentatives, et s'arrête après trois tentatives échouées.Laissez le script s'exécuter jusqu'à la fin.
Si la temporisation est supérieure à 1 000 secondes, la limitation est liée à la fréquence d'exécution de chaque instance de l'outil User Sync Tool.Une instance qui s'exécute trop fréquemment est limitée pendant 30 à 75 minutes.Le délai d'expiration ne fait que suspendre l'outil pendant une période ; l'outil se remet en service et poursuit la synchronisation par la suite.
Puisque l'outil détecte lorsque deux instances démarrent en même temps, aucune nouvelle instance ne s'exécute tant que la première n'est pas terminée.Dans ce cas, le journal peut afficher un message indiquant qu'un processus est déjà en cours.
Pour des performances optimales, suivez ces recommandations de fréquence d'exécution :
- Définissez la tâche programmée pour qu'elle se répète avec un intervalle d'au moins 2 heures.
- Définissez le déclencheur de tâche programmée de manière à ce qu'il ne démarre pas aux minutes :00 ou :30, afin d'éviter les pics de trafic.
- Si vous devez exécuter l'outil plus souvent, envisagez d'utiliser la stratégie de notification push (delta des modifications) au lieu d'une synchronisation complète.
- Adaptez le planning d'exécution de l'outil aux horaires de travail de votre organisation.Par exemple, n'exécutez pas les tâches de synchronisation la nuit si votre organisation n'a pas besoin de modifier l'approvisionnement à ce moment-là.
L'outil ne peut pas se connecter aux points d'entrée d'API publics. Des paramètres locaux tels que les règles de pare-feu, un proxy bloquant le trafic ou les paramètres d'accès internet du compte peuvent empêcher l'accès.L'ajout de la variable d'environnement https_proxy avec une valeur telle que http://<proxyAddress>:<port> ou https://<proxyAddress>:<port> peut aider.Dans d'autres cas, autorisez l'accès à ces points d'entrée : ims-na1.adobelogin.com:443 et usermanagement.adobe.io:443. Ceci ne peut être résolu localement qu'en autorisant l'accès à ces points d'entrée pour le Compte en cours d'exécution.
L'inspection SSL sur le serveur proxy local en est la cause.
Solution 1 : Obtenez le certificat d'autorité de certification racine du proxy au format PEM (par exemple, thecert.crt). S'il est au format DER, convertissez-le en PEM avec cette commande openssl : openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Un fichier PEM affiche une chaîne encodée en base64 entre les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----. Créez une Variable d'environnement nommée REQUESTS_CA_BUNDLE et définissez sa Valeur sur le chemin d'accès de thecert.pem.
Solution 2 : Sur Windows, cette erreur peut se produire si l'outil s'exécute depuis un lecteur différent de celui où le système d'exploitation et Python sont installés. Déplacez l'ensemble du script vers le lecteur où se trouve le système d'exploitation.Si ce n'est pas possible, copiez le fichier cacert.pem qui contient les autorités de certification racine de confiance vers l'autre lecteur et définissez son chemin d'accès comme REQUESTS_CA_BUNDLE. Si un proxy inspecte également le trafic SSL, copiez le contenu du certificat d'autorité de certification racine du proxy dans cacert.pem afin que le certificat du proxy soit approuvé.Une installation Python par défaut garde le paquet de certificats dans C:\Python36\Lib\site-packages\certifi\cacert.pem.
Solution 3 : Désactivez l'inspection SSL sur le proxy pour les points d'entrée de l'API ims-na1.adobelogin.com et usermanagement.adobe.io.
Authentification et informations d'identification
L'entrée du magasin d'informations d'identification pour umapi_api_key est peut-être manquante. Créez l'entrée dans le magasin d'informations d'identification. Consultez la documentation de l'outil User Sync Tool sur le stockage d'informations d'identification dans le stockage au niveau de l'OS.
La valeur peut également avoir été ajoutée au magasin d'informations d'identification sous un autre compte utilisateur alors que l'entrée est manquante pour l'utilisateur actuellement connecté. Ajoutez-la ou changez de compte utilisateur.
- Si vous ne pouvez pas identifier rapidement le problème, générez une nouvelle paire de clés.
- N'utilisez pas l'attribut umapi_private_key_data lorsque vous exécutez le script sous Windows. À la place, chiffrez la clé et stockez le mot de passe dans le Gestionnaire d'informations d'identification.
- Si vous avez utilisé un format différent pour émettre la paire de clés, essayez une clé privée RSA 256, 2048 bits.
- Vous avez peut-être défini secure_priv_key_pass_key: umapi_private_key_passphrase dans le fichier connector-umapi.yml. Assurez-vous que l'entrée correspondante dans le magasin d'informations d'identification et ses valeurs associées correspondent.
Dans Adobe Admin Console, accédez aux Paramètres, puis aux Paramètres d'authentification. Une option autre que « Le plus facile pour les utilisateurs (le mot de passe n'expire jamais) » peut être sélectionnée.L'option Plus sûr ou Plus sécurisé peut faire expirer le mot de passe du compte technique lié à l'intégration. Pour corriger cela, créez une nouvelle intégration et renouvelez les métadonnées dans le fichier connector-umapi.yml. Un correctif a été déployé pour cela, mais il peut affecter les intégrations créées avant octobre 2018.
- La valeur tech_acct dans le fichier connector-umapi.yml peut différer de l'ID du compte technique dans l'intégration dans Adobe Developer Console.Vérifiez l'ID du compte technique dans l'intégration actuelle et copiez-le dans le fichier.
- Le certificat public de l'intégration a peut-être expiré.Renouvelez la clé privée et la clé publique, chargez la clé publique et remplacez l'ancienne clé privée par la nouvelle. Vérifiez que le chemin d'accès dans le fichier connector-umapi.yml pointe vers le fichier correct.
- Confirmez que l'intégration est destinée à la bonne organisation.Sélectionnez l'organisation dans le menu déroulant dans le coin supérieur gauche d'Adobe Developer Console, puis vérifiez l'ID du compte technique pour l'intégration Principal avec les autres métadonnées (ID d'organisation, secret et ID client).
Cette erreur s'affiche sur les intégrations plus anciennes. Créez une nouvelle intégration (ou Projet) dans Adobe Developer Console en plus de celle existante utilisée dans le même but. La nouvelle intégration fournit de nouvelles informations d'identification, mettez-les donc à jour dans le fichier connector-umapi.yml. La paire de clés (clé privée et clé publique) est probablement rééditée. La nouvelle clé privée doit donc remplacer la clé existante.
LDAP et groupes
- Le groupe n'existe pas dans LDAP avec ce nom exact. Ajoutez le nom LDAP correct du groupe.
- Le groupe n'est pas détectable sous le base_dn déclaré (voir le fichier connector-ldap.yml). Modifiez la valeur base_dn pour inclure le groupe.Cela se produit principalement lorsque base_dn pointe vers une unité d'organisation spécifique au lieu d'être aussi large que possible.
Le groupe d'utilisateurs group_name dans la sortie n'existe pas côté Adobe. Créez-le. Si vous aviez l'intention de définir le nom d'une configuration de licence de produit (PLC) plutôt qu'un groupe d'utilisateurs, consultez la documentation de l'User Sync Tool sur la création de groupes correspondants dans le répertoire de votre entreprise.
Les groupes d'intérêt peuvent se trouver dans un sous-domaine tandis que la Valeur host est l'un des domaines racine. Modifiez la valeur host en un sous-domaine où se trouvent les groupes d'utilisateurs.Si les utilisateurs ou les groupes se trouvent à la fois dans le domaine racine et ses sous-domaines, utilisez le port de catalogue global sur le domaine racine et modifiez les groupes de sous-domaine en Universel au lieu de Global. Exemple de valeur d'hôte utilisant le catalogue global : ldap://domain.local:3268 ou ldaps://domain.local:3269.Lorsque vous utilisez le port du catalogue global, définissez base_dn sur une valeur vide : base_dn: "".
Utilisateurs et création de comptes
Le domaine utilisé pour créer le compte peut ne pas être revendiqué ou approuvé dans votre organisation. Un indicateur vert ou un point vert apparaît pour les domaines actifs dans Adobe Admin Console sous Paramètres.Si ce n'est pas le cas, terminer le processus de revendication de domaine peut résoudre ce problème.
Une tentative a été effectuée pour créer un compte Federated ID, mais le répertoire est créé pour Enterprise ID, ou l'inverse.Recherchez l'attribut user_identity_type dans le fichier user-sync-config.yml.Définissez la valeur pour qu'elle corresponde au type de répertoire affiché dans Adobe Admin Console (Paramètres, puis Identité, puis Domaines, puis la valeur Type de répertoire pour le domaine).
Il arrive que le domaine @claimed-domain.com appartienne à une organisation différente qui a configuré un connecteur Azure ou Google pour synchroniser les comptes vers Admin Console, et que le domaine soit ensuite approuvé par une organisation différente qui utilise l'outil User Sync Tool pour synchroniser les comptes au format @claimed-domain.com. Le message apparaît lorsque l'outil extrait le compte user@claimed-domain.com d'un serveur LDAP pour le créer dans l'organisation secondaire, mais le compte n'est pas encore créé ou synchronisé dans l'organisation principale via le connecteur Azure ou Google.Créez ou synchronisez le compte user@claimed-domain.com dans l'organisation qui utilise le connecteur Azure ou Google, puis relancez la synchronisation avec l'outil User Sync Tool dans l'organisation bénéficiaire.
Cette erreur générique a plusieurs causes, mais le problème habituel est que le domaine utilisé dans l'action de création est sous une configuration de synchronisation Azure ou Google.Pour vérifier, connectez-vous à Adobe Admin Console avec le compte Administrateur système, accédez à Paramètres, sélectionnez le répertoire qui contient le domaine, puis sélectionnez l'onglet Synchronisation.Si une carte Source de synchronisation est présente, la correction dépend de la façon dont la synchronisation doit continuer :
- Si le connecteur Azure ou Google doit effectuer la synchronisation, continuez avec la configuration de la source de synchronisation et supprimez complètement l'outil User Sync Tool.
- Si l'outil User Sync Tool doit effectuer la synchronisation, sélectionnez Accéder aux paramètres, puis Supprimer la synchronisation en bas de la page.L'outil fonctionne alors normalement.
Si aucune carte Source de synchronisation n'est présente, l'outil actuel peut fonctionner contre une console où le domaine est confié depuis une console différente (l'organisation propriétaire). Cette organisation peut avoir la synchronisation Azure ou Google activée, ce qui cause cette erreur. Synchronisez d'abord le compte dans la console propriétaire, puis utilisez l'outil pour créer le compte dans la console actuelle.
Si aucune de ces solutions ne convient, contactez le support Enterprise.
