L’outil User Sync est un utilitaire de ligne de commande qui transfère les informations relatives aux utilisateurs et aux groupes du système d’annuaire de votre entreprise (tel qu’Active Directory ou autres systèmes LDAP) vers l’annuaire de votre entreprise dans le portail Adobe Admin Console. Chaque fois que vous exécutez l’outil User Sync, il recherche les différences entre les données des utilisateurs et des groupes dans les deux systèmes, puis met à jour l’annuaire Adobe afin que ses informations correspondent à celles de votre annuaire.
Ce document fournit des instructions détaillées pour réaliser l’interface d’un système Active Directory avec le portail Adobe Admin Console. Il s’agit de l’une des combinaisons les plus courantes utilisées par nos clients parmi les PME et les établissements du primaire et du secondaire. La souplesse de l’outil User Sync permet de l’utiliser pour établir une interface avec la plupart des systèmes d’annuaire et LDAP. Si vous utilisez un système d’annuaire autre qu’Active Directory, les instructions contenues dans ce document ne s’appliquent pas directement. Vous pourrez y apporter des modifications, le cas échéant. Pour plus d’informations, consultez le Guide d’installation.
Obtention des informations Active Directory
Vous aurez besoin des informations suivantes sur votre système Active Directory (ou LDAP). Si vous ne disposez pas de ces informations, contactez votre administrateur informatique.
- Informations sur l’hôte et le port concernant le serveur sur lequel le système est exécuté.
- Nom d’utilisateur et mot de passe.
- Nom de domaine de base, qui est le point à partir duquel le serveur recherche des utilisateurs.
- En outre, vous pouvez également avoir besoin d’une requête LDAP qui sélectionne l’ensemble des utilisateurs à synchroniser avec Adobe.
Obtention d’un certificat numérique
Pour signer des appels d’API, vous avez besoin d’un certificat numérique. Si vous ne possédez pas le certificat, contactez votre administrateur informatique pour obtenir des instructions.
Conseils relatifs aux certificats :
- Le certificat doit inclure un fichier de certificat de clé publique et un fichier de clé privée.
- Format CRT (X.509 crypté en base 64)
- Nommé avec une extension de nom de fichier .crt (non .pem, .cer ou .cert)
- SHA-2
- Format multiligne (une seule ligne échoue)
- Doit durer au moins trois ans (il enregistre la maintenance sur cette durée de vie et n’affecte pas la sécurité)
Création d’un certificat auto-signé
Pour des besoins de test et de configuration, vous pouvez également utiliser un certificat auto-signé. Vous pouvez créer des certificats dans Windows avec Cygwin, qui inclut openssl. Dans Mac OS, vous pouvez utiliser l’outil de ligne de commande intégré openssl. Pour créer un certificat, procédez comme suit :
-
Si vous utilisez Windows, installez et ouvrez Cygwin. Pour macOS, ouvrez le terminal.
-
Une fois la génération de la clé privée terminée, vous êtes invité à saisir des informations supplémentaires pour créer un nom unique pour la clé publique. Vous pouvez accepter les valeurs par défaut ou saisir des valeurs appropriées. Pour laisser un champ vide, entrez « . » (un caractère de point).
Identification d’un serveur
Si vous envisagez d’installer l’outil User Sync sur votre ordinateur, assurez-vous qu’il répond aux exigences suivantes :
- Dispose d’un accès à Internet, et à votre service d’annuaire tel que LDAP ou AD.
- Est protégé et sécurisé (vos identifiants d’administrateur y seront stockés ou lus).
- Reste en ligne, est fiable et dispose d’une capacité de sauvegarde et de récupération.
- Peut envoyer des e-mails afin que l’outil User Sync puisse envoyer des rapports aux administrateurs.
- S’il s’agit d’un ordinateur Windows, il dispose d’un processeur 64 bits.
Autrement, consultez votre service informatique pour identifier un serveur de ce type et obtenir les droits d’accès associés.
Configuration du portail Adobe Admin Console
Assurez-vous d’avoir déposé le domaine pour votre organisation, et que les profils de produit et groupes d’utilisateurs sont créés dans le portail Adobe Admin Console.
Création d’une intégration avec Adobe I/O
-
Connectez-vous à la console Adobe I/O, sélectionnez votre organisation dans la liste déroulante, puis cliquez sur Nouvelle intégration.
Installation de l’outil User Sync
-
Accédez à GitHub, sélectionnez releases, puis téléchargez les fichiers suivants :
- example-configurations.tar.gz
- Outil User Sync pour la plate-forme et la version de python que vous utilisez.
Définition du chemin pour Python (Windows uniquement)
-
Installez la version 3.6.2 ou ultérieure de Python (64 bits).
Configuration de l’accès à l’annuaire
Configuration des identifiants Adobe UMAPI
Définition d’un code pays par défaut
Si votre annuaire ne répertorie pas un pays pour chaque utilisateur, vous pouvez définir un pays par défaut.
-
Supprimez le symbole # de la ligne code pays par défaut et entrez le code pays approprié. Par exemple :
default_country_code: US
Remarque :
Un code pays est obligatoire pour les Federated ID et recommandé pour les Enterprise ID. S’il n’est pas fourni pour un Enterprise ID, l’utilisateur sera invité à choisir un pays lors de sa première connexion.
Mappage de groupe
Vous pouvez mettre en service les comptes d’utilisateurs en les ajoutant à un groupe d’annuaire d’entreprise à l’aide des outils LDAP/AD plutôt que via le portail Adobe Admin Console. Le fichier de configuration définit ensuite un mappage à partir des groupes d’annuaire vers des profils ou des groupes d’utilisateurs de produit Adobe.
Si un utilisateur est un membre d’un groupe d’annuaire, la synchronisation ajoute l’utilisateur au groupe d’utilisateurs correspondant dans le portail Adobe Admin Console. En outre, si un utilisateur est un membre d’un groupe d’utilisateurs mais n’est pas dans le groupe d’annuaire, la synchronisation retire l’utilisateur du groupe d’utilisateurs.
-
Pour chaque groupe d’annuaire qui doit être mappé à un profil de produit Adobe ou à un groupe d’utilisateurs, ajoutez une entrée après groups. Par exemple :
groups: - directory_group: C-Art101-18 adobe_groups: - All Apps - directory_group: C-Film401-18 adobe_groups: - Premiere ProRemarque :
Le mappage de groupe peut être réalisé à l’aide de groupes d’utilisateurs ou de profils de produit Adobe, et non par rapport aux noms de produit. Vous pouvez également mapper un groupe d’annuaire sur plusieurs groupes d’utilisateurs ou profils de produit Adobe.
Limites relatives aux non-correspondances d’utilisateurs
Pour empêcher la suppression accidentelle d’un compte en cas de mauvaise configuration ou d’un autre problème, une limite est définie pour la suppression de comptes.
-
Si vous estimez que le nombre d’utilisateurs de l’annuaire peut baisser de plus de 200 entre deux exécutions de l’outil User Sync, il vous faudra augmenter la valeur max_adobe_only_users.
Remarque :
Si le nombre de comptes supprimés est supérieur au nombre défini par la valeur max_adobe_only_users, les mises à jour sont abandonnées.
Protection contre la suppression
Si vous souhaitez piloter la création et le retrait des comptes via l’outil User Sync et voulez créer manuellement quelques comptes, utilisez cette fonctionnalité pour empêcher l’outil de supprimer des comptes créés manuellement.
-
exclude_groups
Ce paramètre définit la liste des groupes d’utilisateurs Adobe, des configurations de produits ou des deux. Les utilisateurs Adobe qui font partie des groupes répertoriés ne sont ni retirés, ni mis à jour, et leur appartenance au groupe n’est pas modifiée.
exclude_users
Ce paramètre donne une liste de motifs. Les utilisateurs Adobe dont les noms d’utilisateur correspondent à l’un des motifs spécifiés (valeur par défaut non sensible à la casse, sauf si le modèle le spécifie) ne sont pas retirés ni mis à jour, et leur appartenance au groupe n’est pas modifiée.
-
Pour protéger les utilisateurs contre les mises à jour dans le portail Admin Console, créez un groupe d’utilisateurs, puis placez-y les utilisateurs protégés et répertoriez ce groupe comme exclu du traitement par l’outil User Sync. Vous pouvez également dresser une liste d’utilisateurs spécifiques et/ou indiquer un motif correspondant à des noms d’utilisateurs spécifiques, de manière à protéger ces utilisateurs. Vous pouvez aussi protéger les utilisateurs en fonction de leur type d’identité.
Par exemple :
adobe_users: exclude_adobe_groups: - administrators # Names an Adobe user group or product configuration whose members are not to be altered or removed by User Sync - contractors # You can have more than one group in a list exclude_users: - ".*@example.com" - important_user@gmail.com exclude_identity_types: - adobeID # adobeID, enterpriseID, and/or federatedID
Création de journaux
L’outil User Sync produit des entrées de journal qui sont imprimées dans un format standard et écrites dans un fichier journal. L’ensemble de consignation des paramètres de configuration contrôle l’emplacement et la quantité des informations générées en sortie.
-
Pour activer ou désactiver la consignation dans le journal, modifiez la valeur log_to_file dans le fichier user-sync-config.yml.
Les messages peuvent avoir cinq (5) niveaux d’importance différents, et vous pouvez choisir le niveau minimal d’importance à inclure dans le fichier journal ou la sortie standard de la console. Les valeurs par défaut consistent à générer le fichier journal et inclure les messages de niveau « info » ou supérieur, qui est le paramètre recommandé.
Configuration à l’aide de l’assistant de configuration de l’outil User Sync (Windows uniquement)
Si vous disposez d’un serveur Windows, vous pouvez également utiliser l’assistant de configuration de l’outil User Sync configurer l’outil User Sync.
L’assistant de configuration de l’outil User Sync est un utilitaire graphique qui vous aide à configurer facilement l’outil avec les paramètres d’API User Management (Adobe.io), d’Enterprise Directory (LDAP) et de synchronisation. Il fournit une aide contextuelle et des liens vers la documentation de l’outil User Sync. Pour plus d’informations, consultez la section Assistant de configuration de l’outil Adobe User Sync.
Vérification de la configuration
Maintenant que l’outil User Sync est configuré sur votre serveur ou votre ordinateur, vous pouvez vérifier s’il fonctionne comme prévu.
-
python user-sync.pex -t --users mapped --process-groups --adobe-only-user-action exclude
La commande ci-dessus synchronise uniquement les utilisateurs du groupe mappé spécifié dans user-sync-config.yml. Si les utilisateurs n’existent pas dans le portail Admin Console, il en résulte une tentative de création des utilisateurs et de leur ajout à tous les groupes mappés à partir de leurs groupes d’annuaire.
L’exécution de la commande user-sync en mode test (-t), tente uniquement de créer l’utilisateur, sans le créer réellement. L’option --adobe-only-user-action exclude empêche de mettre à jour les comptes utilisateur qui existent déjà dans l’organisation Adobe.
Si tous les tests fonctionnent comme prévu, vous êtes prêt à effectuer une exécution complète (sans filtre d’utilisateur).
Remarque :
Si vous disposez de plus de quelques centaines d’utilisateurs dans votre annuaire, la synchronisation des utilisateurs avec le portail Adobe Admin Console peut prendre quelques heures.
Surveillance et planification
L’outil User Sync peut être exécuté manuellement. Vous pouvez également configurer l’automatisation de manière à ce qu’elle s’exécute automatiquement une à plusieurs fois par jour.
Remarque :
Si vous disposez d’un système d’analyse de journaux et d’alerte, faites en sorte que le journal de l’outil User Sync soit envoyé à ce système. Configurez ensuite des alertes si des erreurs ou des messages critiques apparaissent dans le journal.
-
Pour effectuer une analyse de façon à extraire les entrées de journal appropriées pour un résumé, créez un fichier de commandes dans le dossier user_sync_tool avec l’appel de user-sync transmis. Par exemple, créez un fichier run_sync.bat avec un contenu tel que :
cd user-sync-directory python user-sync.pex --users file example.users-file.csv --process-groups | findstr /I "==== ----- WARNING ERROR CRITICAL Number" > temp.file.txt rem email the contents of temp.file.txt to the user sync administration your-mail-tool –send file temp.file.txt
Les publications Twitter™ et Facebook ne sont pas couvertes par les dispositions Creative Commons.