Podręcznik użytkownika Anuluj

Dodawanie usługi Google Sync do katalogu federacyjnego

Usługa Google Sync automatyzuje zarządzanie użytkownikami w katalogu Admin Console. Można ją łatwo dodać do istniejącego katalogu federacyjnego w serwisie Adobe Admin Console, niezależnie od używanej przez niego usługi IdP. Aby korzystanie z funkcji Google Sync było możliwe, dane użytkowników muszą być przechowywane w konsoli administracyjnej Google.

Uwaga:
  • Możesz zsynchronizować jednostki organizacyjne w Google i dodać je w serwisie Adobe Admin Console jako grupy użytkowników. Następnie przypisz produkty Adobe powiązanym użytkownikom.
  • Jeśli jako usługa IdP używany jest system Google, ale w serwisie Adobe Admin Console nie ma katalogu federacyjnego, to można uwierzytelniać użytkowników w usłudze federacji Google, korzystając z aplikacji SAML. Usługa federacji Google łączy procesy tworzenia katalogu, przypisywania domeny i konfiguracji logowania SSO w prosty obieg pracy, realizowany w serwisach Konsola administracyjna Google oraz Adobe Admin Console.
  • Jeśli w organizacji jest już działający katalog federacyjny, to można dodać do tej istniejącej konfiguracji także możliwość synchronizacji.

Omówienie

Funkcję Google Sync można dodać do dowolnego katalogu w serwisie Adobe Admin Console, aby zautomatyzować proces zarządzania użytkownikami. Google Sync używa protokołu SCIM do zarządzania kontami użytkowników i zapewnia kontrolę nad danymi użytkownika przekazywanymi do systemów Adobe. Wskazane konta użytkowników z konsoli administracyjnej Google zsynchronizowane z serwisem Adobe Admin Console można przypisywać do jednego lub wielu profilów produktowych.

Po skonfigurowaniu usługi Google Sync platforma Google rozpoczyna wysyłanie danych do serwisu Adobe Admin Console zgodnie z konfiguracją obsługi użytkowników i grup zainicjowaną w konsoli administracyjnej Google. Dane związane z katalogiem są wyświetlane w sekcji Ustawienia serwisu Adobe Admin Console.

Zalety usługi Google Sync

Główne korzyści wynikające ze stosowania usługi Google Sync do obsługi katalogów w serwisie Adobe Admin Console są następujące:

Obsługą administracyjną użytkowników można zarządzać za pomocą konsoli administracyjnej Google

 Przedsiębiorstwo zachowuje kontrolę nad danymi wysyłanymi do Adobe.

Przypisz produkty wielu użytkownikom na podstawie jednostek organizacyjnych Google 

 Funkcję synchronizacji można dodać do już skonfigurowanych katalogów.

 Dodaj usługę Google Sync do innych katalogów usługi IdP

Użytkowników można łatwo wprowadzać i usuwać z poziomu konsoli administracyjnej Google

 Nie trzeba korzystać z innej usługi ani interfejsu API.

Wymagania wstępne

W celu integracji zarządzania użytkownikami w serwisie Adobe Admin Console oraz konsoli administracyjnej Google niezbędne są następujące elementy:

  • Konto w konsoli administracyjnej Google, które ma dostęp administratora do danych użytkowników
  • Katalog federacyjny w serwisie Adobe Admin Console ze zweryfikowanymi domenami

Obsługiwane scenariusze integracji

Scenariusz konfiguracji katalogu

Metoda dodawania synchronizacji

Pojedynczy system (dzierżawa) konsoli administracyjnej Google zintegrowany z jednym systemem Adobe Admin Console

Wykonaj procedurę Dodawanie synchronizacji, aby aktywować usługę Google Sync. 

Wiele katalogów federacyjnych z co najmniej jedną domeną w tej samej dzierżawie konsoli administracyjnej Google. 

  1. Skonsoliduj domeny w jednym katalogu federacyjnym.
  2. Wykonaj procedurę Dodawanie synchronizacji, aby aktywować usługę Google Sync. 

Wiele katalogów federacyjnych z co najmniej jedną domeną należącą do innych dzierżaw konsoli administracyjnej Google.  

  1. Wykonaj procedurę Dodawanie synchronizacji, aby aktywować usługę Google Sync w odniesieniu do jednego katalogu.
  2. Powtórz tę konfigurację Google Sync w odniesieniu do wszystkich pozostałych katalogów, które wymagają synchronizacji.

Przed skonfigurowaniem synchronizacji: istotne zagadnienia

Poniżej przedstawiono sprawdzone procedury oraz rekomendacje Adobe dotyczące przygotowania do konfiguracji usługi Google Sync:

  • Zanim dodasz usługę Google Sync, wyeksportuj listę istniejących kont użytkowników. Pozwoli to zachować dokumentację wszystkich kont i przydzielonych im licencji według stanu z chwili wdrożenia konfiguracji.
  • Jeśli usługa Google Sync jest integrowana z katalogiem zawierającym konta Federated ID, sprawdź, czy nazwa użytkownika w serwisie Adobe Admin Console jest zgodna z nazwą użytkownika w odwzorowaniach obsługi administracyjnej użytkowników w konsoli administracyjnej Google. Gdy te wartości się różnią, serwis Adobe Admin Console uznaje dane konto za nowe, co skutkuje utworzeniem zduplikowanych rekordów tego samego użytkownika. Odwzorowania atrybutów można zmienić, tak aby wartości przekazywane przez usługę synchronizacji były zgodne z wartościami w profilu użytkownika w systemie Adobe Admin Console. Spowoduje to automatyczną aktualizację kont takich użytkowników w kolejnym przebiegu synchronizacji.
  • Aby można było aktywować usługę Google Sync, w systemie Admin Console musi istnieć co najmniej jeden katalog federacyjny. Jeśli system Adobe Admin Console z usługą Google Sync (konsola właścicielska) ma ustanowioną relację zaufania z innymi systemami Adobe Admin Console (konsolami powierniczymi), to tacy powiernicy muszą korzystać z innej formy zarządzania użytkownikami — np. narzędzia Synchronizacja użytkowników, interfejsu User Management API, lub procedury przesyłania zbiorczego w pliku CSV — aby tworzyć konta Federated ID, zarządzać nimi i przypisywać im licencje.
  • Aby dodać użytkowników do konsoli powierniczej w celu przydzielenia im licencji, należy dodać tych użytkowników do konsoli właścicielskiej.
  • Jeśli organizacja używa narzędzia Synchronizacja użytkowników (User Sync Tool) albo integracji UMAPI, to należy najpierw zatrzymać tę integrację, a następnie dodać usługę Google Sync aby zautomatyzować zarządzanie użytkownikami z konsoli administracyjnej Google. Po skonfigurowaniu i uruchomieniu usługi Google Sync można usunąć narzędzie Synchronizacja użytkowników lub integrację UMAPI.
  • Aby przenieść domenę do katalogu utworzonego za pomocą usługi Google Sync albo z takiego katalogu, trzeba usunąć z niego konfigurację Google Sync. Następnie należy przenieść odpowiednią domenę do katalogu lub z niego i ponownie włączyć synchronizację z katalogiem docelowym.

Dodawanie usługi Google Sync do katalogu federacyjnego

Wykonaj następujące czynności, aby synchronizować konta użytkowników z konsoli administracyjnej Google:

  1. W serwisie Adobe Admin Console otwórz sekcję Ustawienia > Szczegóły katalogu > Synchronizacja. Kliknij opcję Dodaj synchronizację.

  2. Wybierz opcję Synchronizuj użytkowników z Google Workspace i kliknij przycisk Dalej.

  3. Wybierz opcję Przejdź do konsoli administracyjnej Google i zaloguj się na konto administratora. Następnie postępuj zgodnie z instrukcjami podanymi w serwisie Adobe Admin Console, aby skonfigurować automatyczną obsługę administracyjną użytkowników.

  4. Po wykonaniu i potwierdzeniu wszystkich czynności kliknij opcję Zapisz w serwisie Adobe Admin Console.

  5. Otwórz stronę Szczegóły katalogu > Synchronizacja, na której zostanie wyświetlone źródło synchronizacji.

Synchronizowanie jednostek organizacyjnych Google

Możesz zsynchronizować jednostki organizacyjne Google (OU) z katalogiem z włączoną usługą Google Sync w Admin Console. Każda jednostka organizacyjna (w tym główna jednostka organizacyjna) w konsoli administracyjnej Google jest synchronizowana jako oddzielna grupa wraz z powiązanymi użytkownikami.

Na przykład masz trzech użytkowników w konsoli administracyjnej Google (Użytkownik A, Użytkownik B i Użytkownik C) w osobnych jednostkach organizacyjnych. Poniższa tabela pokazuje, w jaki sposób ci użytkownicy zostaną dodani do odpowiednich grup w Adobe Admin Console (Użytkownik B i Użytkownik C są dodawani do więcej niż grup):

Użytkownik

Jednostka organizacyjna konsoli administracyjnej Google

Grupa użytkowników w serwisie Adobe Admin Console

Użytkownik A

Główna jednostka organizacyjna

Jednostka organizacyjna-/

Użytkownik B

„/Sprzedaż”

1. Jednostka organizacyjna-/

2. Jednostka organizacyjna-/Sprzedaż

Użytkownik C

„/Sprzedaż/Niemcy”

1. Jednostka organizacyjna-/

2. Jednostka organizacyjna-/Sprzedaż

3. Jednostka organizacyjna-/Sprzedaż/Niemcy

Należy skonfigurować jednostki organizacyjne Google na podstawie wymagań licencyjnych przed ich synchronizacją z Adobe Admin Console.

Następnie zaloguj się do konsoli administracyjnej Google i przejdź do menu Aplikacje > Aplikacje internetowe i mobilne > wybierz aplikacja SAML Adobe > przejdź do menu Automatyczne inicjowanie > wybierz opcję Edytuj mapowanie atrybutów.

W oknie Atrybuty wybierz z listy rozwijanej opcję Ścieżka jednostki organizacyjnej wobec atrybutu aplikacji urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

Mapowanie atrybutów

Edytowanie ustawień synchronizacji

Administrator systemu może aktualizować ustawienia opcji Źródło synchronizacji po zakończeniu konfiguracji, wybierając pozycję Przejdź do ustawień na karcie Ustawienia katalogu > Synchronizuj. Dostępne są następujące opcje:

  • Zezwalaj na edytowanie zsynchronizowanych danych w Admin Console: Po aktywowaniu usługi Google Sync wszystkie konta oraz grupy użytkowników w danym katalogu przechodzą automatycznie w tryb zarządzania synchronizacyjnego. Włączenie opcji edycji pozwala przez krótki okres modyfikować zsynchronizowane dane w serwisie Admin Console. Wszelkie zmiany wprowadzone w tym okresie pozostaną bez wpływu na dane użytkownika w konsoli administracyjnej Google, ale zostaną nadpisane przez żądania zmiany kierowane przez usługę IdP.

    Uwaga:

    Postępowaniem domyślnym jest modyfikacja synchronizowanych danych z poziomu usługi IdP i oczekiwanie na ich propagację w wyniku synchronizacji.Nie zaleca się ręcznej zmiany danych w serwisie Adobe Admin Console, chyba że jest to konieczne.

  • Status synchronizacji: Poleca usłudze Google Sync odrzucanie żądań zmian kierowanych przez konsolę administracyjną Google. Gdy opcja Status synchronizacji użytkowników ma wartość Wyłączona, zmiany wprowadzone w konsoli administracyjnej Google (źródle danych użytkownika) nie są przekazywane do Adobe Admin Console. 

  • Edytuj konfigurację synchronizacji użytkowników: ta opcja prowadzi do instrukcji konfiguracji dotyczących edytowania ustawień synchronizacji. Można z niej skorzystać, jeśli okno modalne zostało zamknięte przed zakończeniem konfiguracji synchronizacji lub jeśli po wykonaniu początkowej synchronizacji konieczne jest wprowadzenie zmian w konsoli administracyjnej Google.

Usuwanie synchronizacji

Administratorzy mogą usunąć usługę synchronizacji z katalogu federacyjnego w systemie Admin Console. Usunięcie usługi synchronizacji pozostawia bez zmian sam katalog oraz powiązane z nim domeny, grupy oraz konta użytkowników. Usuwany jest natomiast status „tylko do odczytu” z katalogu, kont i grup.

Aby usunąć usługę synchronizacji z katalogu, wybierz opcję Przejdź do ustawień na karcie Ustawienia katalogu > Synchronizacja, a następnie kliknij opcję Usuń synchronizację. Aby uniknąć kwarantanny, wyłącz także automatyczną obsługę administracyjną aplikacji Adobe SAML w konsoli administracyjnej Google. Spowoduje to trwałe usunięcie konfiguracji synchronizacji z serwisu Adobe Admin Console. W razie potrzeby można będzie ponownie skonfigurować synchronizację na tym samym lub innym katalogu.

Uwaga:

Nie jest możliwe przenoszenie domen do lub z katalogu zarządzanego przez usługę Google Sync. Po usunięciu usługi Google Sync z katalogu źródłowego i/lub docelowego można będzie przenosić domeny z takiego katalogu do innego katalogu docelowego; możliwe będzie również przenoszenie domen z innych katalogów źródłowych do katalogu, który nie podlega już zarządzaniu przez usługę Google Sync.

Dezaktywacja użytkowników

Wdrożenie usługi Google Sync powoduje utworzenie nowych kont typu federacyjnego i zsynchronizowanie użytkowników do systemu Adobe Admin Console. Administratorzy mogą zdekonfigurować konta i grupy użytkowników utworzone za pośrednictwem usługi Google Sync, korzystając z następujących trzech metod (wykonywanych w konsoli administracyjnej Google):

  • Usuwając lub zawieszając konta użytkowników w Google Workspace.
  • Usuwając wszystkie grupy powiązane z użytkownikami z zakresu obsługi.
  • Wyłącz aplikację Adobe SAML w odniesieniu do powiązanych jednostek organizacyjnych w Google Workspace.

Te trzy operacje wyłączają konta użytkowników w systemie Adobe Admin Console. Wyłączone konto powoduje, że użytkownik nie może się już zalogować i jest wyświetlany jako Wyłączony na liście Użytkownicy katalogu. Użytkownik, który został zdekonfigurowany za pomocą jednej z powyższych metod, nadal podlega zarządzaniu przez usługę Google Sync. Ani konto użytkownika, ani zasoby przechowywane w chmurze są usuwane z organizacji.

Usuwanie konta użytkownika i powiązanych z nim danych z systemu Admin Console: Wybierz opcję Przejdź do ustawień na karcie Ustawienia kataloguSynchronizacja. Kliknij opcję Włącz edycję. Następnie przejdź na kartę Użytkownicy > Użytkownicy katalogu i wybierz konto użytkownika z listy, aby je trwale usunąć.

Włączenie edycji umożliwia modyfikowanie zsynchronizowanych danych przez jedną godzinę. Po tym czasie edycja zostanie automatycznie wyłączona. Adobe zaleca kliknięcie opcji Wyłącz edycję natychmiast po usunięciu konta użytkownika, aby mieć pewność, że w serwisie Admin Console zostaną odzwierciedlone zmiany wprowadzane w konsoli administracyjnej Google.

Uwaga:

Trwałe usunięcie użytkownika spowoduje usunięcie jego konta wraz ze wszystkimi należącymi do niego zasobami przechowywanymi w chmurze. Po wykonaniu tego działania odzyskanie takiego konta i zasobów nie będzie już możliwe.

Polityka kwarantanny

Adobe stosuje politykę kwarantanny w celu obsługi licznych błędów podczas operacji synchronizacji. 

Niezależnie od tego usługa Adobe monitoruje stan synchronizacji, aby stwierdzić, czy poziom błędów w określonym czasie przekracza określony próg. Osiągnięcie minimalnego progu liczby wywołań generujących błąd spowoduje wdrożenie kwarantanny tymczasowej, w wyniku czego wszystkie wywołania i żądania zmian z konsoli administracyjnej Google będą przez pewien czas odrzucane. Potem żądania zaczną być ponownie akceptowane w celu ponowienia próby synchronizacji. Jeśli błędy będą się utrzymywać, synchronizacja zostanie tymczasowo zastrzeżona i rozpocznie się przedłużony okres kwarantanny. Kwarantanna zainicjowana przez Adobe może również doprowadzić do późniejszej kwarantanny ze strony Google z powodu odrzucania wywołań (co powiększa liczbę błędów rejestrowanych w systemach Google). Adobe zastrzega sobie prawo zmiany parametrów kwarantanny na podstawie bieżącej analizy danych.

Uwaga:

Ze względu na liczbę błędów Google może poddać synchronizację kwarantannie.

Typowe komunikaty o błędach

Zarządzając usługą Google Sync i synchronizacją z konsoli administracyjnej Google, można spotkać się z pewnym zbiorem typowych komunikatów o błędach. Poznanie przyczyn zgłaszania tych komunikatów pomoże w zdiagnozowaniu problemu.

Dzienniki synchronizacji i dzienniki błędów można znaleźć w sekcji Automatyczna obsługa administracyjna aplikacji Adobe SAML w konsoli administracyjnej Google. Więcej informacji: Monitorowanie wdrożenia z poziomu konsoli administracyjnej Google.

Błędy synchronizacji jednostek organizacyjnych Google

Podczas synchronizacji jednostek organizacyjnych Google z serwisem Adobe Admin Console można napotkać błędy synchronizacji. Dzienniki Google wyświetlają następujące błędy:

  • Nie udało się, ponieważ głębokość jednostki organizacyjnej jest większa niż 10: osiągnięto maksymalny limit głębokości
  • Nie udało się, ponieważ atrybut jednostki organizacyjnej wygenerowałby zbyt długie nazwy grupy: nazwa grupy nie powinna przekraczać 256 znaków
  • Nie udało się, ponieważ atrybut jednostki organizacyjnej zawiera niedozwolone znaki dla nazw grup: nazwa jednostki organizacyjnej zawiera niedozwolone znaki

Rozwiązywanie problemów

Ponieważ serwis Adobe Admin Console używa usługi Google Sync, wszystkie problemy z synchronizacją należy rozwiązywać w konsoli administracyjnej Google. Google udostępnia instrukcje konfiguracyjne umożliwiające rozwiązanie niektórych często występujących problemów. Jeśli nie można znaleźć rozwiązania, Adobe zaleca skontaktowanie się z działem pomocy technicznej Google w celu uzyskania dalszej pomocy.

Postępuj zgodnie z poniższymi instrukcjami, aby zdiagnozować problem z synchronizacją:

  1. Sprawdź konfigurację:

    Upewnij się, że użytkowników i grupy skonfigurowano zgodnie z instrukcjami konfiguracji:

  2. Potwierdź odwzorowania danych użytkownika.

     
    Uwaga:

    Jeśli chcesz zsynchronizować jednostki organizacyjne Google, upewnij się, że mapowanie atrybutów konfigurowania obsługi kont użytkowników zawiera ścieżkę jednostki organizacyjnej określoną jako urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

  3. Monitoruj swoją aplikację do inicjowania obsługi, aby wykryć problemy, które mogą wpływać na synchronizację:

    Jeśli użytkownicy nie pojawiają się w dziennikach inicjowania obsługi, mogą być poza zakresem. Jeśli dzienniki inicjowania obsługi pokazują problem, napraw go, aby umożliwić użytkownikowi synchronizację.

  4. Zezwól na edytowanie zsynchronizowanych danych w serwisie Adobe Admin Console:

    Włączenie opcji edycji pozwala przez krótki okres modyfikować zsynchronizowane dane w serwisie Adobe Admin Console. Wszelkie zmiany dokonane w tym czasie nie wpływają na informacje o użytkowniku w konsoli administracyjnej Google. Później żądania zmiany z usługi IdP automatycznie zastępują te krótkie zmiany.

Pomoc dostępna szybciej i łatwiej

Nowy użytkownik?