Poznaj typowe błędy narzędzia User Sync Tool i sposoby ich rozwiązywania.
Ta strona zawiera listę typowych błędów, które mogą wystąpić podczas uruchamiania narzędzia User Sync Tool, wraz z krokami ich rozwiązywania.Aby zapoznać się z przeglądem narzędzia oraz informacjami o tym, gdzie znaleźć konfigurację, ustawienia i informacje dotyczące poleceń, zobacz Konfigurowanie narzędzia User Sync Tool.
Instalacja i środowisko
Może to się pojawić w systemie Windows, gdy ścieżki przekraczają 256 znaków.Utwórz zmienną środowiskową o nazwie PEX_ROOT z wartością C:\pex.Jeśli skrypt jest uruchamiany z dysku innego niż C:, zmień literę dysku tak, aby była zgodna.Czasami wymagane jest ponowne uruchomienie systemu, aby zmiana zaczęła obowiązywać.
Uruchom wiersz poleceń python z folderu, w którym znajduje się user-sync.pex.
- Sprawdź, czy zainstalowana w systemie wersja Python jest 32-bitowa.Odinstaluj wersję 32-bitową i zainstaluj wersję 64-bitową.
- Sprawdź, czy pobrana z GitHuba wersja user-sync.pex odpowiada wersji Python i systemowi operacyjnemu.Na przykład pobierz user-sync-v2.3-win64-py365.zip dla systemu Windows 64-bit oraz Python 3.Dopasuj wersję Python, z którą został zbudowany plik .pex, zamiast używać najnowszej wersji Python.Sufiks pliku .zip identyfikuje wersję: dla user-sync-v2.3-win64-py365.zip jest to Python 3.6.5.
Ten błąd został zarejestrowany w systemie macOS High Sierra przy użyciu narzędzia User Sync Tool w wersji 2.3 i Python 3.7.0.Uruchomienie polecenia brew install openssl w Terminalu rozwiązało problem w tym scenariuszu.
Połączenie, limity czasu i ograniczanie przepustowości
Jeśli limit czasu wynosi mniej niż 30 minut, te ostrzeżenia pojawiają się po osiągnięciu limitu wywołań interfejsu API dozwolonych w ciągu jednej minuty.To narzędzie wykorzystuje mechanizm wykładniczego wycofywania do ponownych prób, zwiększając czas między próbami, i zatrzymuje się po trzech nieudanych próbach.Pozwól skryptowi działać do końca.
Jeśli limit czasu przekracza 1000 sekund, ograniczanie przepustowości jest związane z częstotliwością uruchamiania każdej instancji narzędzia User Sync Tool.Instancja, która działa zbyt często, jest ograniczana na 30 do 75 minut. Przekroczenie czasu jedynie wstrzymuje narzędzie na pewien okres; narzędzie powraca do działania i kontynuuje synchronizację później.
Ponieważ narzędzie wykrywa, kiedy dwie instancje uruchamiają się w tym samym czasie, żadna nowa instancja nie działa, dopóki pierwsza się nie zakończy. W tym przypadku dziennik może pokazywać komunikat, że proces jest już w toku.
Aby uzyskać najlepszą wydajność, postępuj zgodnie z tymi zaleceniami częstotliwości uruchamiania:
- Ustaw zaplanowane zadanie tak, aby powtarzało się co najmniej 2 godziny.
- Ustaw wyzwalacz zaplanowanego zadania tak, aby nie uruchamiał się o :00 lub :30 minucie, aby uniknąć szczytowego ruchu.
- Jeśli musisz uruchamiać narzędzie częściej, rozważ użycie strategii wypychania (różnica zmian) zamiast pełnej synchronizacji.
- Dopasuj harmonogram działania narzędzia do dnia roboczego organizacji. Na przykład nie uruchamiaj zadań synchronizacji w nocy, jeśli organizacja nie musi wtedy modyfikować obsługi administracyjnej.
Narzędzie nie może połączyć się z publicznymi punktami końcowymi API. Ustawienia lokalne, takie jak reguły zapory sieciowej, serwer proxy blokujący ruch lub ustawienia dostępu do internetu konta, mogą uniemożliwiać dostęp. Dodanie zmiennej środowiskowej https_proxy z wartością taką jak http://<proxyAddress>:<port> lub https://<proxyAddress>:<port> może pomóc. W innych przypadkach zezwól na dostęp do tych punktów końcowych: ims-na1.adobelogin.com:443 i usermanagement.adobe.io:443. Można to rozwiązać tylko lokalnie, umożliwiając dostęp do tych punktów końcowych dla działającego konta.
Kontrola SSL na lokalnym serwerze proxy powoduje to.
Rozwiązanie 1: Uzyskaj główny certyfikat CA serwera proxy w formacie PEM (na przykład thecert.crt). Jeśli jest w formacie DER, przekonwertuj go na PEM za pomocą tego polecenia openssl: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM. Plik PEM pokazuje ciąg zakodowany w base64 między liniami -----BEGIN CERTIFICATE----- i -----END CERTIFICATE-----. Utwórz zmienną środowiskową o nazwie REQUESTS_CA_BUNDLE i ustaw jej wartość na ścieżkę thecert.pem.
Rozwiązanie 2: W systemie Windows ten błąd może wystąpić, jeśli narzędzie działa z innego dysku niż ten, na którym zainstalowany jest system operacyjny i Python. Przenieś cały skrypt na dysk, na którym znajduje się system operacyjny. Jeśli to nie jest opcją, skopiuj plik cacert.pem, który zawiera zaufane główne urzędy certyfikacji, na drugi dysk i ustaw jego ścieżkę jako REQUESTS_CA_BUNDLE. Jeśli serwer proxy również kontroluje ruch SSL, skopiuj zawartość głównego certyfikatu CA serwera proxy do cacert.pem, aby certyfikat serwera proxy był zaufany. Domyślna instalacja Pythona przechowuje pakiet certyfikatów w C:\Python36\Lib\site-packages\certifi\cacert.pem.
Rozwiązanie 3: Wyłącz inspekcję SSL na serwerze proxy dla punktów końcowych API ims-na1.adobelogin.com i usermanagement.adobe.io.
Uwierzytelnianie i poświadczenia
Wpis w Magazynie poświadczeń dla umapi_api_key może brakować.Utwórz wpis w magazynie poświadczeń.Zobacz dokumentację narzędzia User Sync Tool dotyczącą przechowywania poświadczeń w magazynie na poziomie systemu operacyjnego.
Wartość może też zostać dodana do Magazynu poświadczeń pod innym kontem użytkownika, podczas gdy wpis dla aktualnie połączonego użytkownika nie istnieje.Dodaj go lub zmień konto użytkownika.
- Jeśli nie możesz szybko zidentyfikować problemu, wygeneruj ponownie parę kluczy.
- Nie używaj atrybutu umapi_private_key_data podczas uruchamiania skryptu w systemie Windows.Zamiast tego zaszyfruj klucz i przechowuj hasło w Menedżerze poświadczeń.
- Jeśli używasz innego formatu do wygenerowania pary kluczy, wypróbuj klucz prywatny RSA 256, 2048-bitowy.
- Możliwe, że ustawiono secure_priv_key_pass_key: umapi_private_key_passphrase w pliku connector-umapi.yml.Upewnij się, że pasujący wpis w Magazynie poświadczeń i powiązane z nim wartości się zgadzają.
W Adobe Admin Console przejdź do Ustawienia, a następnie Ustawienia uwierzytelniania.Możliwe, że wybrano opcję inną niż Najłatwiejsza dla użytkowników (hasło nigdy nie wygasa).Opcja Bezpieczniejsza lub Najbezpieczniejsza może spowodować wygaśnięcie hasła konta technicznego połączonego z integracją.Aby to naprawić, utwórz nową integrację i odnów metadane w pliku connector-umapi.yml.Wdrożono poprawkę dla tego problemu, ale może wpływać na integracje utworzone przed październikiem 2018 roku.
- Wartość tech_acct w pliku connector-umapi.yml może różnić się od identyfikatora konta technicznego w integracji w Adobe Developer Console.Zweryfikuj identyfikator konta technicznego w bieżącej integracji i skopiuj go do pliku.
- Certyfikat publiczny z integracji może być nieaktualny. Odnów klucz prywatny i publiczny, wgraj klucz publiczny i zamień stary klucz prywatny na nowy. Zweryfikuj, czy ścieżka w pliku connector-umapi.yml wskazuje na prawidłowy plik.
- Potwierdź, że integracja dotyczy właściwej organizacji. Wybierz organizację z menu rozwijanego w lewym górnym rogu konsoli Adobe Developer Console, a następnie zweryfikuj identyfikator konta technicznego dla głównej integracji wraz z innymi metadanymi (identyfikator organizacji, kod sekretny i identyfikator klienta).
Ten błąd pojawia się w starszych integracjach. Utwórz nową integrację (lub projekt) w konsoli Adobe Developer Console obok istniejącej, używanej do tego samego celu. Nowa integracja zapewnia nowe poświadczenia, więc zaktualizuj je w pliku connector-umapi.yml. Para kluczy (prywatny i publiczny) prawdopodobnie została ponownie wydana, więc nowy klucz prywatny musi zastąpić istniejący.
LDAP i grupy
- Grupa o tej dokładnej nazwie nie istnieje w protokole LDAP. Dodaj prawidłową nazwę LDAP grupy.
- Grupa nie jest wykrywalna pod zadeklarowanym base_dn (zobacz plik connector-ldap.yml). Zmień wartość base_dn, aby uwzględnić grupę. Dzieje się tak głównie, gdy base_dn wskazuje na konkretną jednostkę organizacyjną zamiast być jak najszersze.
Grupa użytkowników group_name w wynikach nie istnieje po stronie Adobe. Utwórz ją. Jeśli chciałeś ustawić nazwę konfiguracji licencji produktu (PLC) zamiast grupy użytkowników, zobacz dokumentację narzędzia User Sync Tool dotyczącą tworzenia odpowiadających grup w katalogu przedsiębiorstwa.
Grupy będące przedmiotem zainteresowania mogą znajdować się w subdomenie, podczas gdy wartość host to jedna z domen głównych.Zmień wartość host na poddomenę, w której znajdują się grupy użytkowników. Jeśli użytkownicy lub grupy znajdują się zarówno w domenie głównej, jak i jej poddomenach, użyj portu katalogu globalnego w domenie głównej i zmień grupy poddomen na Uniwersalne zamiast Globalne. Przykładowa wartość hosta używająca katalogu globalnego: ldap://domain.local:3268 lub ldaps://domain.local:3269. Podczas korzystania z portu katalogu globalnego ustaw base_dn na wartość pustą: base_dn: "".
Użytkownicy i tworzenie kont
Domena używana do utworzenia konta może nie być zgłoszona lub zaufana w organizacji.Zielona flaga lub kropka pojawia się dla aktywnych domen w programie Adobe Admin Console w sekcji Ustawienia.Jeśli się nie pojawia, ukończenie procesu zgłaszania domeny może rozwiązać ten problem.
Podjęto próbę utworzenia konta Federated ID, ale katalog został utworzony dla Enterprise ID lub odwrotnie.Znajdź atrybut user_identity_type w pliku user-sync-config.yml.Ustaw wartość tak, aby odpowiadała typowi katalogu wyświetlanemu w programie Adobe Admin Console (Ustawienia, następnie Tożsamość, następnie Domeny, następnie wartość typu katalogu dla domeny).
Czasami domena @claimed-domain.com jest własnością innej organizacji, która skonfigurowała łącznik Azure lub Google do synchronizacji kont z programem Admin Console, a domena jest następnie zaufana dla innej organizacji, która używa narzędzia User Sync Tool do synchronizacji kont w formacie @claimed-domain.com.Komunikat pojawia się, gdy narzędzie wyodrębnia konto user@claimed-domain.com z serwera LDAP w celu utworzenia go w pomocniczej organizacji, ale konto nie zostało jeszcze utworzone lub zsynchronizowane w głównej organizacji przez łącznik Azure lub Google.Utwórz lub zsynchronizuj konto user@claimed-domain.com w organizacji, która używa łącznika Azure lub Google, a następnie ponów próbę synchronizacji za pomocą narzędzia User Sync Tool w organizacji powierniczej.
Ten ogólny błąd ma wiele przyczyn, ale zwykle problemem jest to, że domena używana w akcji tworzenia jest objęta konfiguracją synchronizacji Azure lub Google.Aby sprawdzić, zaloguj się do Adobe Admin Console za pomocą konta administratora systemu, przejdź do Ustawienia, wybierz katalog zawierający domenę i wybierz kartę Synchronizacja.Jeśli karta źródła synchronizacji jest obecna, poprawka zależy od tego, jak powinna być kontynuowana synchronizacja:
- Jeśli łącznik Azure lub Google powinien wykonać synchronizację, kontynuuj konfigurację źródła synchronizacji i całkowicie usuń narzędzie User Sync Tool.
- Jeśli narzędzie User Sync Tool powinno wykonać synchronizację, wybierz Przejdź do ustawień, a następnie Usuń synchronizację u dołu strony.Narzędzie działa następnie normalnie.
Jeśli karta źródła synchronizacji nie jest obecna, obecne narzędzie może działać względem konsoli, w której domena jest powierzona z innej konsoli (organizacja będąca właścicielem).Ta organizacja może mieć włączoną synchronizację Azure lub Google, co powoduje ten błąd.Najpierw zsynchronizuj konto w konsoli będącej właścicielem, a następnie użyj narzędzia do utworzenia konta w bieżącej konsoli.
Jeśli żadne z tych rozwiązań nie pasuje, skontaktuj się z Enterprise Support.
