Ajout de Google Sync à votre répertoire fédéré

Vous pouvez ajouter Google Sync à n’importe quel répertoire du portail Adobe Admin Console pour automatiser son processus de gestion des utilisateurs. Google Sync utilise le protocole SCIM pour la gestion des utilisateurs et vous permet de contrôler les données utilisateur transmises à Adobe. Les utilisateurs spécifiés dans la console d’administration Google et synchronisés avec le portail Adobe Admin Console peuvent être assignés à un ou plusieurs profils de produit.

Une fois que vous avez configuré Google Sync, Google commence à envoyer des données au portail Adobe Admin Console, conformément aux paramètres de provisionnement des utilisateurs liés au répertoire de la console d’administration Google. Tous les détails associés à ce répertoire sont affichés dans la section Paramètres du portail Adobe Admin Console.

Avantages de Google Sync

Les principaux avantages inhérents à l’ajout de Google Sync à votre répertoire dans le portail Adobe Admin Console sont les suivants :

Conditions requises

Pour intégrer la gestion des utilisateurs Adobe Admin Console à la console d’administration Google, vous devez disposer des éléments suivants :

• Un compte dans la console d’administration Google avec accès administrateur aux données utilisateur
• Un répertoire fédéré dans le portail Adobe Admin Console avec des domaines vérifiés

Scénarios d’intégration pris en charge

Remarques avant de configurer la synchronisation

Consultez les points ci-dessous pour prendre connaissance des bonnes pratiques et des recommandations Adobe avant de configurer Google Sync :

• Exportez la liste des utilisateurs existants avant d’ajouter Google Sync, afin de conserver un enregistrement de tous les comptes d’utilisateurs et des licences provisionnées au moment de la configuration.
• Si vous intégrez Google Sync à un répertoire contenant des utilisateurs Federated ID, vérifiez que leur nom d’utilisateur dans le portail Adobe Admin Console correspond à celui figurant dans les mappages de provisionnement des utilisateurs, dans la console d’administration Google. Si ces valeurs ne correspondent pas, le portail Adobe Admin Console considère qu’il s’agit d’un nouveau compte d’utilisateur et crée des doublons. Vous pouvez mettre à jour le mappage d’attributs pour vous assurer que les valeurs transmises lors de la synchronisation correspondent aux valeurs des profils utilisateur dans le portail Adobe Admin Console, ce qui aura pour effet de mettre automatiquement à jour les comptes lors de la prochaine synchronisation.
• Votre console d’administration a besoin d’au moins un répertoire fédéré pour permettre l’ajout de Google Sync. Si le portail Adobe Admin Console avec Google Sync (console propriétaire) est dans une relation de confiance avec d’autres portails Adobe Admin Console (consoles mandataires), ces mandataires doivent utiliser une autre forme de gestion des utilisateurs, telle que l’outil de synchronisation des utilisateurs, l’API User Management ou la fonction de chargement CSV en bloc, pour gérer les utilisateurs Federated ID.
• Pour ajouter des utilisateurs à une console mandataire en vue du provisionnement des licences, vous devez d’abord ajouter ces mêmes utilisateurs à la console propriétaire.
• Si votre organisation utilise l’Outil de synchronisation des utilisateurs ou une intégration UMAPI, vous devez suspendre l’intégration. Ensuite, ajoutez Google Sync pour automatiser la gestion des utilisateurs à partir de la console d’administration Google. Une fois que Google Sync est configuré et opérationnel, supprimez l’Outil de synchronisation des utilisateurs ou l’intégration UMAPI.
• Pour déplacer un domaine vers ou depuis un répertoire établi avec Google Sync, vous devez supprimer Google Sync du répertoire en question. Ensuite, déplacez le domaine souhaité vers ou depuis le répertoire choisi, puis rétablissez la synchronisation avec le répertoire cible.

Ajout de Google Sync à un répertoire fédéré

Pour synchroniser les utilisateurs depuis la console d’administration Google, procédez comme suit :

Synchronisation des entités organisationnelles Google

Vous pouvez établir une synchronisation entre des entités organisationnelles Google et un répertoire compatible avec Google Sync dans Admin Console. Chaque entité organisationnelle (y compris l’entité racine) de la console d’administration de Google est synchronisée en tant que groupe distinct avec ses utilisateurs associés.

Imaginons par exemple que vous ayez trois utilisateurs (que nous appellerons Utilisateur A, Utilisateur B et Utilisateur C) enregistrés dans trois entités différentes sur votre console d’administration Google. Le tableau suivant montre comment ces utilisateurs seront ajoutés aux groupes correspondants dans Adobe Admin Console (Utilisateur B et Utilisateur C seront ajoutés à plusieurs groupes) :

Vous devez configurer vos entités organisationnelles Google en fonction des exigences de votre licence avant de les synchroniser avec Adobe Admin Console.

Une fois cela fait, connectez-vous à votre console d’administration Google, accédez à la section Applications > Applications Web et mobiles et sélectionnez Application SAML Adobe > Provisionnement automatique > Modifier la mise en correspondance des attributs.

Dans la fenêtre Attributs, sélectionnez le chemin d’accès à l’unité organisationnelle via la liste déroulante qui s’affiche en regard de l’attribut d’application suivant : urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

Modification des paramètres de synchronisation

Un administrateur système peut mettre à jour les paramètres de la synchronisation avec la source une fois la configuration terminée en choisissant Accéder aux paramètres à partir de l’onglet Paramètres du répertoire > Synchroniser. Les options de paramètres suivantes sont disponibles :

Suppression de la synchronisation

Les administrateurs peuvent choisir de supprimer la synchronisation d’un répertoire fédéré dans le portail Admin Console. Le fait de supprimer la synchronisation laisse le répertoire et ses domaines, groupes d’utilisateurs et utilisateurs associés inchangés, et supprime le mode lecture seule du répertoire et de ses utilisateurs et groupes.

Pour supprimer la synchronisation d’un répertoire, choisissez Accéder aux paramètres dans l’onglet Paramètres du répertoire > Synchronisation, puis cliquez sur Supprimer la synchronisation. Pensez également à désactiver le provisionnement automatique pour l’application SAML Adobe à partir de la console d’administration Google, afin d’éviter toute mise en quarantaine. Suite à cette action, la configuration de synchronisation sera définitivement supprimée du portail Adobe Admin Console. Si nécessaire, vous pouvez rétablir la synchronisation avec le même répertoire ou un répertoire différent.

Désactivation d’utilisateurs

La mise en œuvre de Google Sync crée de nouveaux comptes d’utilisateurs fédérés et synchronise les utilisateurs avec le portail Adobe Admin Console. Les administrateurs peuvent également déprovisionner les utilisateurs ajoutés via Google Sync à l’aide des trois méthodes ci-dessous (dans la console d’administration Google) :

• Supprimez ou suspendez les utilisateurs depuis Google Workspace.
  
• Supprimez tous les groupes associés aux utilisateurs depuis la section Provisioning Scope (Portée du provisionnement).
• Désactivez l’application Adobe SAML pour toutes les unités organisationnelles associées dans Google Workspace.

Ces trois opérations désactivent les utilisateurs dans le portail Adobe Admin Console. Un utilisateur désactivé ne peut plus se connecter et apparaît comme Désactivé dans la liste Utilisateurs de répertoire. Google Sync continue à gérer un utilisateur déprovisionné via l’une de ces méthodes. Ni le compte de l’utilisateur, ni les ressources stockées dans le cloud ne sont supprimés de l’organisation. 

Supprimer un utilisateur et les données associées du portail Admin Console : choisissez Accéder aux paramètres dans l’onglet Paramètres du répertoire > Synchroniser et cliquez sur Activer la modification. Accédez ensuite à Utilisateurs > Utilisateurs du répertoire et choisissez l’utilisateur dans la liste pour supprimer définitivement ce compte.

Une fois la modification activée, elle permet de modifier les données synchronisées pendant une heure avant d’être automatiquement désactivée. Nous vous recommandons de cliquer sur Désactiver la modification immédiatement après avoir supprimé l’utilisateur pour garantir que portail Admin Console reflète les modifications apportées dans la console d’administration Google.

Politique de quarantaine

Adobe a une politique de mise en quarantaine pour gérer les nombreux appels d’erreur lors des opérations de synchronisation. 

Le service d’Adobe surveille indépendamment l’état de la synchronisation pour vérifier si le taux d’erreur dépasse un certain seuil dans un laps de temps défini. Un nombre minimum de demandes entraînant une erreur qui atteint le seuil déclenche une mise en quarantaine temporaire, ce qui entraîne le rejet de tous les appels et des demandes de mise à jour en provenance de la console d’administration Google pendant un certain temps, après quoi les appels seront à nouveau acceptés pour une nouvelle tentative de synchronisation. Si les appels d’erreur persistent, la synchronisation est mise en probation temporaire pendant une période prolongée en quarantaine. Si la mise en quarantaine est initiée par Adobe, elle peut également conduire à une autre mise en quarantaine avec Google en raison des appels rejetés, qui sont comptabilisés dans les taux d’erreur dans Google. Veuillez noter qu’Adobe se réserve le droit de mettre à jour les paramètres de quarantaine en fonction de l’analyse continue des données.

Messages d’erreur courants

Il existe un certain nombre de messages d’erreur récurrents qu’il est bon de connaître dans le cadre de la gestion de Google Sync depuis la console d’administration Google. Comprendre la cause de ces différents messages aide à résoudre les erreurs lorsqu’elles se produisent.

Vous trouverez les journaux d’erreur et de synchronisation dans la section Provisionnement automatique de l’application Adobe SAML, dans la console d’administration Google. N’hésitez pas à vous renseigner pour savoir comment surveiller votre déploiement dans la console d’administration Google.

Erreurs de synchronisation avec les entités organisationnelles Google

Il se peut que vous rencontriez des erreurs de synchronisation entre les entités organisationnelles Google et Adobe Admin Console. Les journaux Google affichent les erreurs suivantes :

• Échec : l’entité présente plus de 10 niveaux : la hiérarchie dépasse la limite autorisée
  
• Échec : l’attribut d’entité organisationnelle produirait des groupes trop longs : le nom des groupes ne doit pas dépasser 256 caractères
• Échec : l’attribut d’entité organisationnelle contient des caractères non autorisés dans les noms de groupe : le nom de l’entité organisationnelle contient des caractères non autorisés
  

Résolution des problèmes

Si le portail Adobe Admin Console utilise le service de synchronisation Google, tous les problèmes de synchronisation sont résolus dans la console d’administration Google. Vous pouvez vous référer aux instructions de configuration de Google pour résoudre certains problèmes courants. Si vous ne trouvez pas de solution, nous vous recommandons de contacter le support technique de Google pour obtenir de l’aide.

Suivez les instructions ci-dessous pour diagnostiquer un problème de synchronisation :