Guía del usuario Cancelar

Configurar la herramienta de sincronización de usuarios

Buscar

Última actualización el | También se aplica a Creative Cloud for enterprise

Adobe para empresas y equipos: Guía de administración
Planificar la implementación
Configurar y preparar la organización
1. Tipos de identidad | Aspectos generales
2. Configurar una identidad | Aspectos generales
3. Configurar la organización con Enterprise ID
4. Configurar la federación y la sincronización con Azure AD
5. Configurar la federación y sincronización de Google
6. Configurar la organización con Microsoft ADFS
7. Configurar la organización para District Portals y LMS
8. Configurar la organización con otros proveedores de identidad
9. Preguntas habituales sobre SSO y solución de problemas
Administrar la configuración de su organización
Administrar productos y derechos
1. Administrar usuarios
2. Administrar productos y perfiles de productos
3. Administrar licencias de dispositivo compartido
Administrar almacenamiento y activos
1. Almacenamiento
2. Migración de activos
3. Reclamar activos de un usuario
4. Migración de activos de estudiantes | Solo sector educativo
  1. Migración automática de activos de estudiantes
  2. Migrar los activos
Administrar servicios
1. Adobe Stock
2. Fuentes personalizadas
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Abono gratuito a Creative Cloud para empresas
  1. Información general
Implementar aplicaciones y actualizaciones
1. Información general
2. Crear paquetes
3. Personalizar paquetes
  1. Personalizar la aplicación de escritorio de Creative Cloud
  2. Incluir extensiones en el paquete
4. Implementar paquetes
5. Administrar actualizaciones
  1. Administración de cambios para clientes de empresas y equipos de Adobe
  2. Implementar actualizaciones
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
8. Resolución de problemas
9. Crear paquetes mediante Creative Cloud Packager (CC 2018 o aplicaciones anteriores)
Administrar la cuenta
Informes y registros
Ayuda

El objetivo de este documento es guiarle en la instalación de la herramienta de sincronización de usuarios para automatizar el proceso de administración de usuarios.

la herramienta de sincronización de usuarios es un servicio de línea de comandos que mueve la información de usuarios y grupos del sistema de directorios empresarial de su organización (por ejemplo, un Active Directory u otro sistema LDAP) al directorio de su organización en Adobe Admin Console. Cada vez que se ejecuta la herramienta de sincronización de usuarios, esta busca las diferencias entre la información de usuario y de grupo en los dos sistemas y actualiza el directorio de Adobe para que coincida con la información de su directorio.

Este documento proporciona instrucciones paso a paso para conectar un sistema de Active Directory con Adobe Admin Console. Esta es una de las principales combinaciones que utilizan nuestros clientes en los segmentos de pymes y educación primaria y secundaria. la herramienta de sincronización de usuarios es flexible y puede utilizarse para interactuar con la mayoría de los sistemas de directorio y LDAP. Si utiliza un sistema de directorios que no sea Active Directory, las instrucciones en este documento no se pueden aplicar directamente. Realice los ajustes necesarios. Para obtener más información, consulte la Guía de configuración y éxito.

Antes de comenzar

Necesita la siguiente información sobre su sistema LDAP. Si no tiene esta información, póngase en contacto con su administrador de TI.

Nombre del controlador de dominio (o su IP, si es fijo) y puerto.
Nombre de usuario y contraseña para una cuenta de servicio que la herramienta puede usar para la extracción de usuarios desde su LDAP (acceso de solo lectura).
DN base, que es el punto desde donde el servidor busca usuarios; debe ser lo suficientemente amplio como para permitir el descubrimiento de todos los usuarios y grupos que necesitan ser sincronizados.
Nombres de grupos que forman parte de la sincronización.
El atributo LDAP más adecuado para correo o nombre de usuario para todos los usuarios que tienen que crearse en Admin Console.
(Opcional) Es posible que también necesite una consulta LDAP personalizada que seleccione el conjunto de usuarios que se sincronizarán con Adobe si los filtros predeterminados no cubren los requisitos.

El par de claves se utiliza para firmar un JWT y comprobar su legitimidad en la obtención del proceso de access_token. Para recibir ayuda con este proceso, póngase en contacto con su equipo de seguridad, si es necesario.

Consejos sobre certificados:

Su propio CA puede firmar el certificado público (presente un CSR si es necesario); también se aceptan los certificados autofirmados
La clave privada debe ser RSA: 2048 bits por minuto
El certificado público debe tener una extensión .crt
Firmar mediante SHA-256
Validez de la clave pública: se recomiendan tres años, pero lo decidirá su política de seguridad interna

Crear un certificado autofirmado

Para utilizar certificados autofirmados con valores obtenidos de forma aleatoria y un certificado público con validez de un año, el portal adobe.io ofrece la opción de generarlos durante la fase de creación del proyecto o en el menú Cuenta de servicio (JWT) de un proyecto ya creado. Para obtener más información, consulte Crear integración con Adobe I/O.

En el caso de los certificados autofirmados con datos y validez que haya establecido usted, siga estos pasos:

En macOS o Linux, abra Terminal.

En Windows, abra el programa con la funcionalidad OpenSSL, como Cygwin o cmd, si lo tiene instalado. En otro caso, a partir de la versión 2.6.0, la herramienta de sincronización de usuarios se puede utilizar para generar el certificado público y la clave privada. Es necesario tener descargada la herramienta de forma local y ejecutar esta línea de comandos en Símbolo del sistema por medio de la carpeta con el archivo user-sync.exe:
```
user-sync.exe certgen
```
Ejecute el siguiente comando:
```
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
```
Cuando se complete la generación de la clave privada, se le solicitará que proporcione información adicional para crear un nombre distintivo para la clave pública. Puede aceptar los valores predeterminados o introducir uno que sea relevante. Para dejar vacío un campo, introduzca "." (un carácter de punto).

El certificado público y los archivos de clave privada se almacenan en las ubicaciones predeterminadas:

Windows: C:\cygwin64\home\<su_nombre_de_usuario>

(si ha utilizado user-sync.exe, el archivo debe estar dentro de la misma carpeta que el script)

macOS: /Usuarios/<su_nombre__de_usuario>

Si está pensando en instalar la herramienta de sincronización de usuarios en su equipo, asegúrese de que cumpla los siguientes requisitos:

Tiene acceso a Internet y a los servicios de directorio, como LDAP o AD.
Está protegido y es seguro (sus credenciales administrativas se almacenan allí y también se puede acceder a ellas).
Tiene una disponibilidad ininterrumpida, es fiable y tiene una función de copia de seguridad y restauración.
Puede enviar correos electrónicos para permitir que la herramienta de sincronización de usuarios envíe informes a los administradores.
Si es un equipo Windows, tiene un procesador de 64 bits.

En caso contrario, tendrá que trabajar con el departamento de TI para identificar un servidor de este tipo y obtener acceso a él.

Asegúrese de haber creado los directorios para su organización y de crear los perfiles de producto y grupos de usuarios en la Adobe Admin Console.

Configurar el servidor

Para configurar una integración adobe.io, haga lo siguiente:

Como administrador del sistema, inicie sesión en la consola de Adobe I/O y seleccione su organización en la lista desplegable situada en la parte superior derecha. Haga clic en Crear nuevo proyecto.
Haga clic en Editar proyecto en la parte superior derecha e introduzca un título y una descripción para el proyecto. Haga clic en Guardar.
Haga clic en Añadir API.
En la ventana Añadir una API, filtre por Servicios de Adobe y seleccione API de User Management. Haga clic en Siguiente.
- Generar un par de claves:
Si desea utilizar un certificado autofirmado con valores generados de forma aleatoria por adobe.io con una validez de 1 año, seleccione Generar un par de claves. Luego, haga clic en Generar par de claves.

Se descargará un archivo llamado config.zip de forma local en el equipo con los archivos certificate_pub.crt y private.key. El certificado público se añade automáticamente a su integración y el archivo private.key se utiliza más adelante en el proceso de configuración.
- Cargar su clave pública:
Si tiene su propio certificado público o lo ha generado siguiendo los pasos que se indican en la sección Obtener las claves pública y privada, seleccione Cargar su clave pública. Desplácese hacia abajo y cargue el archivo del certificado de clave pública. Haga clic en Siguiente.
Haga clic en Guardar API configurada.
Para ver los detalles de las credenciales, vaya a Cuenta de servicio (JWT).

La información que figura esta página se utiliza posteriormente en uno de los archivos de configuración de la herramienta de sincronización de usuarios.

Cree una carpeta llamada user_sync_tool en una ubicación en la unidad donde los usuarios con los permisos necesarios puedan acceder a su contenido.
Acceda a GitHub y localice la etiqueta Versión más reciente.

En esta versión, busque y expanda los Activos. A continuación, localice y descargue:
- El archivo examples.zip
- El archivo .zip de la herramienta de sincronización de usuarios de la lista que coincide con su tipo de sistema operativo
Descomprima examples.zip, busque los archivos de configuración básicos y cópielos en la carpeta user_sync_tool: connector-ldap.yml, connector-umapi.yml y user-sync-config.yml.
Extraiga el archivo user-sync.exe del otro archivo zip y colóquelo en la misma carpeta user_sync_tool.
Localice el archivo private.key incluido en el certificado público y muévalo a la misma carpeta user_sync_tool. Tras esto, la carpeta contendrá los siguientes archivos:
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml

Configurar la sincronización de usuarios

Edite el archivo connector-ldap.yml con un editor de texto especializado.
Introduzca los valores de nombre de usuario, contraseña, host y base_dn.
Establezca search_page_size como 200.
Aunque en la mayoría de los casos valdrían los filtros predeterminados. Si necesita una consulta LDAP personalizada para la extracción de un conjunto de usuarios, modifique el parámetro de configuración all_users_filter.
Compruebe el resto de las configuraciones no comentadas y a qué atributos de LDAP apuntan. Cámbielos según sus necesidades.

Algunas implementaciones tienen una configuración de inicio de sesión basada en nombre de usuario (el campo Nombre de usuario en Admin Console para un usuario determinado no es un tipo de valor de correo electrónico).

En este caso, habilite también la siguiente línea (elimine el carácter #):
user_username_format: {sAMAccountName}

Reemplace sAMAccountName por el atributo correcto si no es el que tiene que usar.

Edite el archivo conector-umapi.yml. Este archivo contiene información de acceso a su organización de Adobe.
Introduzca la siguiente información de la integración de adobe.io que haya creado con anterioridad:
- org_id
- api_key
- client_secret
- tech_acct
Asegúrese de que priv_key_path contenga el nombre exacto de la clave privada en la carpeta user_sync_tool.
Si la clave privada está en la misma carpeta que el resto de los archivos UST, priv_key_path solo puede contener el nombre del archivo; funciona como una ruta de acceso relativa.

Si el directorio no enumera un país para cada usuario, puede establecer un país de forma predeterminada.

Edite el archivo user-sync-config.yml.
Elimine el símbolo # de la línea de código de país predeterminado e introduzca el código de país apropiado. Por ejemplo:
```
default_country_code: US
```
Nota:

El código de país es obligatorio para los Federated ID y se recomienda para los Enterprise ID. Si no se proporciona para los Enterprise ID, se pedirá a los usuarios que elijan un país cuando inicien sesión por primera vez.

La asignación de grupos determina qué grupos de LDAP deben tener un grupo de usuarios o PLC correspondientes en Admin Console.

El objetivo aquí es proporcionarle a la herramienta una fuente de grupos o usuarios para que pueda coincidir con los mismos abonados en los grupos o PLC del lado de Admin Console.

Edite la asignación de grupos en el archivo user-sync-config.yml.
Para cada grupo de directorios que deba asignarse a un grupo de usuarios o perfil de productos de Adobe, añada una entrada en la sección grupos. Por ejemplo:
```
grupos: - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here
```
Nota:

La asignación de grupos se puede basar en los grupos de usuarios o en los perfiles de productos de Adobe, pero no en los nombres de los productos. Y puede asignar un grupo de directorios a más de un grupo de usuarios o perfil de productos de Adobe.

Para evitar la eliminación accidental de la cuenta si hay una configuración incorrecta u otro problema, puede decidir un límite del número máximo de eliminaciones de cuenta que se pueden esperar en su sincronización diaria.

Para cambiar el límite, busque max_adobe_only_users en el archivo user-sync-config.yml.
Si espera que el número de eliminaciones de cuenta sea mayor que el valor de max_adobe_only_users establecido entre las ejecuciones de la herramienta de sincronización de usuarios, aumente el valor para cubrir todas las eliminaciones de cuenta.

Nota:

Si el número de cuentas que se va a eliminar es mayor que el valor de max_adobe_only_users, la herramienta no procesaría ninguna eliminación de cuenta. Aparece una entrada crítica en el registro que anuncia que ha llegado a ese límite.

Este límite no afecta las acciones de creación.

Hay situaciones en las que algunas cuentas deben excluirse de la sincronización. Esto se puede lograr editando el archivo user-sync-config.yml.
La herramienta ofrece tres características de exclusión: por tipo de identidad, por nombre de grupo y por expresión regular.
Cualquier cuenta encontrada en Admin Console que se ajuste al menos a uno de los criterios mencionados está protegida contra las acciones de eliminación (del grupo, de la organización).

Se recomienda tener Adobe ID para los administradores del sistema en Admin Console y excluirlos a través de excluir mediante exclude_identity_types: adobeID

Aquí tiene un ejemplo:

adobe_users:

  exclude_identity_types:

    - adobeID           # adobeID, enterpriseID o federatedID

  exclude_adobe_groups:

    - adobe_group_name  # sus abonados no deben ser eliminados por Sincronización de usuarios

    - other_group_name  # puede excluir varios grupos

  exclude_users:

    - ".*@ejemplo.com"

    - important_user@domain.com

La herramienta de sincronización de usuarios genera entradas de registro que se imprimen en una salida estándar y también se escriben en un archivo de registro. El conjunto de registro de los parámetros de configuración controla los detalles de dónde y qué cantidad de información de registro se obtiene.

Para activar o desactivar el registro de archivos, edite el valor de log_to_file en el archivo user-sync-config.yml.
Revise la configuración de registros y realice los cambios que desee. Para la configuración inicial se recomienda usar
log_to_file: True
file_log_level: debug

Alternativamente, si tiene un Windows Server, puede usar el asistente de configuración de la herramienta de sincronización de usuarios para configurarla.

El asistente de configuración de la herramienta de sincronización de usuarios es una herramienta de interfaz gráfica de usuario con la API de administración de usuarios (Adobe.io), el directorio de empresa (LDAP) y la configuración de sincronización. Proporciona ayuda basada en el contexto y enlaces a la documentación de la herramienta de sincronización de usuarios. Para obtener más información, consulte el asistente de configuración de la herramienta de sincronización de usuarios de Adobe.

Implementar y automatizar

Ahora que la herramienta de sincronización de usuarios está configurada en su servidor o equipo, puede comprobar si funciona como se esperaba. Para solucionar los problemas comunes al ejecutar la herramienta de sincronización de usuarios, consulte sugerencias para resolver problemas comunes.

Abra el comando del sistema.
Con el siguiente comando, vaya a la carpeta user_sync_tool.
```
cd path/to/user_sync_tool
```
Para comprobar que su configuración se ha completado, ejecute los siguientes comandos:

Para Windows:
```
user-sync.exe -v user-sync.exe -h
```
Para UNIX:
```
./user-sync –v ./user-sync –h
```
-v informa de la versión, -h proporciona ayuda sobre los argumentos de la línea de comandos.
En el modo de prueba, ejecute una sincronización limitada a los grupos asignados nombrados en el archivo de configuración, excluyendo las cuentas del lado de Adobe existentes.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action exclude
```
El comando anterior sincroniza solo a los usuarios del grupo asignado especificado en user-sync-config.yml. Si los usuarios no existen en Admin Console, se intentará crearlos y agregarlos a cualquier grupo asignado a sus grupos de directorios.

Al ejecutar la herramienta de sincronización de usuarios en modo de prueba (-t), solo trata de crear el usuario, pero no lo hace en realidad. La opción --adobe-only-user-action exclude evita que las cuentas de usuario que ya existen en la organización de Adobe se eliminen.
Aunque invocation_defaults establece los argumentos predeterminados con los que se ejecuta herramienta, puede anularlos mencionándolos en la línea de comandos. En el modo de prueba, ejecute una sincronización limitada a los grupos asignados nombrados en el archivo de configuración, eliminando las cuentas adicionales que se encuentran en el lado de Adobe y que no se encuentran en la extracción de LDAP.
```
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action remove
```
-t

ejecutar una simulación, no una sincronización real, y ver qué sucedería.

--users-mapped

extraer usuarios de LDAP que son los resultados de all_user_filter y abonados de los nombres de directory_group proporcionados en el archivo de configuración.

--process-groups

agregar usuarios de los grupos de usuarios o PLC del lado de Adobe o eliminarlos, en función de que la cuenta sea o no abonado de los grupos asignados de LDAP.

--adobe-only-user-action remove

cualquier cuenta que se encuentre en el lado de Adobe se elimina del menú Usuarios y los derechos se eliminan si no se encuentran en la extracción de LDAP y no se excluyen de la sincronización.

Obtenga más información sobre los parámetros de comando aquí.

Lea sobre otros escenarios de uso aquí.

Si todas las pruebas se ejecutan correctamente, ya puede realizar una ejecución completa (sin la marca del modo de prueba).

Nota:

Las líneas de comando proporcionadas son solo ejemplos y pueden no cubrir la totalidad de los casos prácticos.
La sincronización inicial puede tardar de segundos a horas, dependiendo de la cantidad de cuentas que se sincronizan. Se crean aproximadamente 250 usuarios cada 1,5-2 minutos (incluido el tiempo de espera).
Se esperan mensajes del código de advertencia 429 de tiempo de espera de UMAPI. La herramienta maneja el mecanismo de reintento.

La herramienta de sincronización de usuarios se puede ejecutar manualmente o puede configurar la automatización para que se ejecute una o varias veces al día de forma automática.

Nota:

Si tiene un análisis de registro y un sistema de alertas disponible, organice el registro de la herramienta de sincronización de usuarios para enviarlo al sistema de análisis de registro y configure las alertas si en el registro aparecen errores o mensajes importantes.

Para extraer entradas de registro relevantes para obtener un resumen, cree un archivo por lotes en la carpeta user_sync_tool que llamará a la herramienta de sincronización de usuarios y la conectará con un escaneo. Por ejemplo, cree un archivo run_sync.bat con contenido como:

cd path/to/user-sync-folder user-sync.exe --users file example.users-file.csv --process-groups | findstr /I &quot;==== ----- WARNING ERROR CRITICAL Number&quot; > temp.file.txt rem email the contents of temp.file.txt to the user sync administration your-mail-tool –send file temp.file.txt

También tiene la opción de configurar una herramienta de línea de comandos de correo electrónico.

No hay una herramienta de línea de comandos de correo electrónico estándar en Windows, pero hay varias disponibles en el mercado en las que puede introducir sus opciones específicas de línea de comandos.
Configure el programador de tareas de Windows para que ejecute la herramienta de sincronización de usuarios.

Por ejemplo, el siguiente código ejecuta la herramienta de sincronización de usuarios todos los días a partir de las 4:00 p. m.
```
C:\> schtasks /create /tn &quot;Adobe User Sync&quot; /tr path_to_bat_file/run_sync.bat /sc DAILY /st 16:00
```

Temas relacionados

Creative Cloud para el sector educativo | Guía de implementación

Inicia sesión en tu cuenta