I macOS/Linux öppnar du ett terminalfönster.
I Windows öppnar du ett program som stöder openssl, som Cygwin eller cmd, om det är installerat. I annat fall kan verktyget för användarsynkronisering från och med version 2.6.0 användas för att generera det offentliga certifikatet och den privata nyckeln. Kravet är att verktyget hämtas lokalt och att kommandot ska köras i kommandotolken i den mapp som innehåller filen user-sync.exe:
- Adobe Enterprise och Teams: administrationsguide
- Planera distributionen
- Grundbegrepp
- Driftsättningsguider
- Driftsätta Creative Cloud for education
- Startplats för driftsättning
- Registreringsguide för grund- och gymnasieskola
- Enkel konfiguration
- Synka användare
- Roster Sync K-12 (USA)
- Viktiga licensieringsbegrepp
- Alternativ för driftsättning
- Snabba tips
- Godkänn Adobe-program i Googles administratörskonsol
- Aktivera Adobe Express i Google Classroom
- Integrering med Canvas LMS
- Integrering med Blackboard Learn
- Konfigurera SSO för distriktsportaler och LMS:er
- Lägg till användare via kontaktregistersynkronisering
- Vanliga frågor och svar om Kivuto
- Riktlinjer för primära och sekundära institutioners berättigande
- Konfigurera din organisation
- Identitetstyper | Översikt
- Konfigurera identitet | Översikt
- Konfigurera en organisation med Enterprise ID
- Konfigurera Azure AD-federering och -synkronisering
- Konfigurera Google-federering och synkning
- Konfigurera en organisation med Microsoft ADFS
- Konfigurera en organisation för distriktsportaler och LMS:er
- Konfigurera en organisation med andra identitetsleverantörer
- Vanliga frågor om och felsökning av SSO
- Hantera organisationens konfiguration
- Hantera användare
- Översikt
- Administrativa roller
- Strategier för användarhantering
- Tilldela en Teams-användare licenser
- Lägg till användare med matchande e-postdomäner
- Ändra användarens identitetstyp
- Hantera användargrupper
- Hantera kataloganvändare
- Hantera utvecklare
- Migrera befintliga användare till Adobe Admin Console
- Migrera användarhantering till Adobe Admin Console
- Översikt
- Hantera produkter och berättiganden
- Hantera produkter och produktprofiler
- Hantera produkter
- Köp produkter och licenser
- Hantera produktprofiler för företagsanvändare
- Hantera regler för automatisk tilldelning
- Låt användare träna anpassade Firefly-modeller
- Granska produktförfrågningar
- Hantera självbetjäningspolicyer
- Hantera programintegreringar
- Hantera produktbehörigheter i Admin Console
- Aktivera/inaktivera tjänster för en produktprofil
- Fristående program | Creative Cloud for enterprise
- Valfria tjänster
- Hantera licenser för delade enheter
- Hantera produkter och produktprofiler
- Kom igång med Global Admin Console
- Börja administrera globalt
- Välj din organisation
- Hantera organisationens hierarki
- Hantera produktprofiler
- Hantera administratörer
- Hantera användargrupper
- Uppdatera organisationspolicyer
- Hantera policymallar
- Tilldela underordnade organisationer produkter
- Utför väntande jobb
- Utforska insikter
- Exportera eller importera organisationsstruktur
- Hantera lagring och resurser
- Lagring
- Resursmigrering
- Återta resurser från en användare
- Migrering av elevresurser | Endast skolor
- Hantera tjänster
- Adobe Stock
- Anpassade teckensnitt
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud for enterprise – kostnadsfritt medlemskap
- Driftsätta program och uppdateringar
- Översikt
- Skapa paket
- Anpassa paket
- Driftsätta paket
- Driftsätta paket
- Driftsätta Adobe-paket med Microsoft Intune
- Driftsätta Adobe-paket med SCCM
- Driftsätta Adobe-paket med ARD
- Installera produkter i mappen Exceptions
- Avinstallera Creative Cloud-produkter
- Använda Adobe Provisioning Toolkit Enterprise Edition
- Licensidentifierare för Adobe Creative Cloud
- Driftsätta paket
- Hantera uppdateringar
- Adobe Update Server Setup Tool (AUSST)
- Adobe Remote Update Manager (RUM)
- Felsökning
- Hantera ditt Teams-konto
- Förlängningar
- Hantera avtal
- Rapporter och loggar
- Få hjälp
Det här dokumentet är avsett som en hjälp för dig när du ska installera verktyget för användarsynkronisering för att automatisera användarhanteringen.
Verktyget för användarsynkronisering är ett kommandoradsverktyg som flyttar användar- och gruppinformation från organisationens företagskatalog (som Active Directory eller annat LDAP-system) till organisationens katalog i Adobe Admin Console. Varje gång du kör verktyget för användarsynkronisering letar det efter avvikelser i användar- och gruppinformationen i de två systemen och Adobe-katalogen uppdateras så att den innehåller samma information som din katalog.
I det här dokumentet finns steg-för-steg-anvisningar för att samordna ett Active Directory-system med Adobe Admin Console. Det här är en av de mest populära kombinationerna som våra kunder inom utbildnings- och SMB-segmenten använder. Verktyget för användarsynkronisering är flexibelt och kan användas för att samordna de flesta LDAP- och katalogsystem. Om du använder ett annat katalogsystem än Active Directory stämmer inte instruktionerna i det här dokumentet helt och hållet. Gör de ändringar som behövs. Mer information finns i konfigurationshandboken.
Innan du börjar
Du behöver följande information om ditt LDAP-system. Kontakta IT-administratören om du inte har tillgång till denna information.
- Namnet på domänkontrollanten (eller dess IP-adress, om den är statisk) och porten.
- Användarnamnet och lösenordet till ett tjänstkonto som verktyget kan använda för att extrahera användare från ditt LDAP-system (skrivskyddad åtkomst).
- Bas-DN (punkten varifrån servern söker efter användare) ska vara tillräckligt bred så att alla användare och grupper som behöver synkroniseras kan hittas.
- Gruppnamnen som ingår i synkroniseringen.
- Det bäst lämpade LDAP-attributet för e-post/användarnamn för alla användare som behöver skapas i Admin Console.
- (Valfritt) Du kan även behöva en anpassad LDAP-fråga som väljer den uppsättning användare som ska synkroniseras med Adobe om standardfiltren inte uppfyller kraven.
Nyckelparet används för att signera en JWT och verifiera att JWT är giltig vid hämtning av åtkomsttoken. Kontakta säkerhetsteamet om du behöver hjälp med detta.
Tips om certifikat:
- Det offentliga certifikatet kan signeras av din egen certifikatutfärdare (skicka en certifikatbegäran om det behövs); självsignerade certifikat godtas också
- Den privata nyckeln ska vara minst RSA: 2048-bitars
- Det offentliga certifikatet ska ha tillägget .crt
- Signera med SHA-256
- Giltighet för offentlig nyckel: tre år rekommenderas, men din interna säkerhetspolicy avgör vad som gäller
Skapa ett självsignerat certifikat
Om du använder självsignerade certifikat med slumpmässiga värden och ett offentligt certifikat med en giltighetstid på ett år, kan adobe.io-portalen skapa dem under den fas projektet skapas eller via menyn Tjänstkonto (JWT) i ett befintligt projekt. Mer information finns i Skapa integrering med Adobe I/O.
Följ de här stegen för självsignerade certifikat med data och giltighet som du själv anger:
-
user-sync.exe certgen
-
Kör följande kommando:
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
-
När den privata nyckeln har genererats uppmanas du att ange ytterligare information för att skapa ett unikt namn för den offentliga nyckeln. Du kan acceptera standardvärdena eller ange ett giltigt värde. Om du vill lämna ett fält tomt anger du ”.” (en punkt).
Filerna för det offentliga certifikatet och den privata nyckeln lagras som standard på följande platser:
Windows: C:\cygwin64\home\<ditt_användarnamn>
(om du har använt user-sync.exe bör filen finnas i samma mapp som skriptet)
macOS: /Users/<ditt_användarnamn>
Om du tänker installera verktyget för användarsynkronisering på din dator måste du se till att den uppfyller följande krav:
- Har internetåtkomst och åtkomst till din katalogtjänst, som LDAP eller AD.
- Är skyddad och säker (dina uppgifter för administratörsautentisering lagras och nås här).
- Är stabil och pålitlig och har funktioner för säkerhetskopiering och återställning.
- Kan skicka e-post så att verktyget för användarsynkronisering kan skicka rapporter till administratörer.
- Om Windows används på datorn måste den ha en 64-bitarsprocessor.
Annars tar du hjälp av IT-avdelningen och identifierar och får åtkomst till en sådan server.
Se till att du har skapat katalogerna för organisationen och att produktprofilerna och användargrupperna har skapats i Adobe Admin Console.
Konfigurera servern
Gör så här för att skapa integrering med adobe.io:
-
Systemadministratörer loggar in i Adobe I/O-konsolen och väljer sin organisation i listrutan uppe till höger. Klicka på Skapa nytt projekt.
-
Klicka på Redigera projekt uppe till höger och ange en titel och beskrivning för projektet. Klicka på Spara.
-
Klicka på Lägg till API.
-
I fönstret Lägg till API filtrerar du med hjälp av Tjänster från Adobe och väljer User Management API. Klicka på Nästa.
-
- Skapa ett nyckelpar:
Välj Skapa ett nyckelpar om du vill använda ett självsignerat certifikat med slumpmässiga värden som skapats av adobe.io med en giltighet på ett år. Klicka sedan på Skapa nyckelpar.
Filen config.zip hämtas till din lokala dator och i den finns filen certificate_pub.crt och en fil med den privata nyckeln. Det offentliga certifikatet läggs automatiskt till i integreringen och den privata nyckeln används senare i konfigurationsprocessen.
- Överför din offentliga nyckel:
Om du har ett eget offentligt certifikat eller om du har skapat det med hjälp av stegen i avsnittet Erhålla den offentliga och privata nyckeln väljer du Överför din offentliga nyckel. Bläddra nedåt och överför certifikatfilen för den offentliga nyckeln. Klicka på Nästa.
-
Klicka på Spara konfigurerat API.
-
Gå till Tjänstkonto (JWT) om du vill visa autentiseringsuppgifterna.
Informationen på den här sidan används senare i en av konfigurationsfilerna för verktyget för användarsynkronisering.
-
Skapa en mapp med namnet user_sync_tool på en plats på enheten där användare med nödvändiga behörigheter kan komma åt dess innehåll.
-
Gå till GitHub och leta reda på taggen Latest release (Senaste versionen).
I den här versionen letar du reda på och expanderar Assets (Resurser). Leta sedan reda på och ladda ned:
- Filen examples.zip
- ZIP-filen för verktyget för användarsynkronisering i listan som passar ditt OS
-
Packa upp examples.zip, gå till config files - basic och kopiera dessa filer till mappen user_sync_tool: connector-ldap.yml, connector-umapi.yml och user-sync-config.yml.
-
I den andra ZIP-filen extraherar du filen user-sync.exe och placerar den i samma user_sync_tool-mapp.
-
Leta reda på private.key som medföljde det offentliga certifikatet och flytta den till samma user_sync_tool-mapp. Nu innehåller mappen
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml
Konfigurera användarsynkronisering
-
Redigera filen connector-ldap.yml med en särskild textredigerare.
-
Ange användarnamn, lösenord, värd och värden för base_dn.
-
Ange 200 för search_page_size.
-
För det mesta fungerar det med standardfiltren. Om du behöver en anpassad LDAP-fråga för att extrahera en uppsättning användare ändrar du all_users_filter-konfigurationsparametern.
-
Kontrollera de övriga inställningarna som inte har kommenterats och vilka LDAP-attribut de pekar till. Ändra dem efter dina behov.
Vissa distributioner har konfigurerad inloggning baserad på användarnamn (fältet för användarnamn i Admin Console för en viss användare är inte ett värde av e-posttyp).
I så fall aktiverar du även följande rad (ta bort #-tecknet):
user_username_format: {sAMAccountName}Ersätt sAMAccountName med rätt attribut, om du vill använda ett annat.
-
Redigera connector-umapi.yml. I den här filen finns åtkomstinformation till din Adobe-organisation.
-
Ange följande information från adobe.io-integreringen du skapade tidigare:
- org_id
- api_key
- client_secret
- tech_acct
-
Kontrollera att priv_key_path innehåller det exakta namnet för den privata nyckeln inne i user_sync_tool-mappen.
Om den privata nyckeln är i samma mapp som övriga UST-filer kanske priv_key_path endast innehåller namnet på filen, vilket fungerar som en relativ sökväg.
Om det inte finns ett land för varje användare i katalogen kan du ange ett standardland.
-
Redigera filen user-sync-config.yml.
-
Ta bort # från raden för standardlandskod och ange lämplig landskod. Exempel:
default_country_code: US
Obs!En landskod krävs för Federated ID:n och rekommenderas för Enterprise ID:n. Om det inte finns någon landskod för Enterprise ID:n uppmanas användarna att välja ett land när de loggar in första gången.
Mappning av grupper anger vilka grupper från LDAP som ska ha motsvarande användargrupp eller PLC i Admin Console.
Målet här är att ge verktyget en källa med grupper/användare så att det kan matcha samma medlemmar i grupper/PLC:er i Admin Console.
-
Redigera gruppmappning i filen user-sync-config.yml.
-
För varje kataloggrupp som måste mappa till en Adobe-produktprofil eller användargrupp lägger du till en post i avsnittet för grupper. Exempel:
groups: - directory_group: LDAP_gruppnamn_ska_vara_här adobe_groups: - Adobe_gruppnamn_ska_vara_här - directory_group: LDAP_gruppnamn_ska_vara_här adobe_groups: - Adobe_gruppnamn_ska_vara_här
Obs!Gruppmappning kan göras med hjälp av Adobe-användargrupper eller -produktprofiler, inte till produktnamn. Du kan även mappa en kataloggrupp till fler än en Adobe-användargrupp eller -produktprofil.
För att förhindra oavsiktlig borttagning av konton (vid felaktig konfiguration eller något annat problem) kan du bestämma en maxgräns för antal kontoborttagningar som förväntas i din dagliga synkronisering.
-
Om du vill ändra gränsen letar du reda på max_adobe_only_users i filen user-sync-config.yml.
-
Om du förväntar dig att antalet kontoborttagningar kommer att vara högre än det angivna värdet för max_adobe_only_users mellan körningar av User Sync ökar du värdet så att det omfattar alla kontoborttagningar.
Obs!Om antalet konton som ska tas bort är högre än värdet för max_adobe_only_users bearbetar verktyget inga kontoborttagningar. En viktig post visas i loggen som anger att gränsen har nåtts.
Den här gränsen påverkar inte skapandeåtgärderna.
Det finns fall då vissa konton måste tas bort från synkroniseringen. Det kan du göra genom att redigera filen user-sync-config.yml.
Verktyget har tre exkluderingsfunktioner: efter identitetstyp, efter gruppnamn och efter reguljärt uttryck.
Konton som påträffas i Admin Console och som passar in på minst ett av de nämnda kriterierna skyddas från borttagningsåtgärder (från grupp, från org).
Det är en god vana att ha Adobe ID:n för systemadministratörer i Admin Console och exkludera dem via exkludera efter exclude_identity_types: adobeID
Här är ett exempel:
adobe_users:
exclude_identity_types:
- adobeID # adobeID, enterpriseID eller federatedID
exclude_adobe_groups:
- adobe_group_name # dess medlemmar ska inte tas bort av User Sync
- other_group_name # du kan exkludera flera grupper
exclude_users:
- ".*@example.com"
- important_user@domain.com
Användarsynkroniseringen skapar loggposter som kan skrivas ut och som även skrivs till en loggfil. Konfigurationsinställningarna för loggningsuppsättningen styr uppgifterna om var och hur mycket logginformation som matas ut.
-
Om du vill stänga av eller slå på filloggen redigerar du värdet log_to_file i filen user-sync-config.yml.
-
Granska inställningarna för loggar och gör önskade ändringar. För den första installationen rekommenderar vi att du använder
log_to_file: True
file_log_level: debug
Om du har en Windows-server kan du i stället konfigurera verktyget för användarsynkronisering med konfigurationsguiden för verktyget för användarsynkronisering.
Konfigurationsguiden för verktyget för användarsynkronisering är ett GUI-verktyg som gör att du enkelt kan konfigurera verktyget för användarsynkronisering med API för användarhantering (Adobe.io), Enterprise-katalog (LDAP) och synkroniseringsinställningar. Den tillhandahåller kontextbaserad hjälp och länkar till dokumentationen för verktyget för användarsynkronisering. Mer information finns i Adobes konfigurationsguide för verktyget för användarsynkronisering.
Distribuera och automatisera
Nu när verktyget för användarsynkronisering är konfigurerat på servern eller datorn, kan du kontrollera att det fungerar som det ska. Om du vill felsöka vanliga fel när du kör verktyget för användarsynkronisering kan du läsa tips om hur du löser vanliga fel.
-
Öppna kommandotolken.
-
Gå till mappen user_sync_tool med hjälp av följande kommando.
cd sökväg/till/verktyget_för_användarsynkronisering
-
Du kan kontrollera att din konfiguration är klar genom att köra följande kommandon:
För Windows:
user-sync.exe -v user-sync.exe -h
För UNIX:
./user-sync –v ./user-sync –h
-v anger versionen, -h ger hjälp om kommandoradsargument.
-
I testläge kör du en synkronisering begränsad till de mappade grupperna som anges i konfigurationsfilen, exklusive befintliga konton på Adobe-sidan.
user-sync.exe -t --mappade användare --process-groups --adobe-only-user-action exclude
Kommandot ovan synkroniserar bara användarna i den mappade gruppen som angetts i user-sync-config.yml. Om användarna inte finns i Admin Console görs ett försök att skapa användarna och lägga till dem i någon av grupperna som är mappade från deras kataloggrupper.
När du kör användarsynkronisering i testläge (-t) görs bara ett försök att skapa användaren och den skapas inte på riktigt. Alternativet --adobe-only-user-action exclude förhindrar borttagning av befintliga användarkonton i Adobe-organisationen.
-
Även om invocation_defaults anger de standardargument som verktyget körs med kan du åsidosätta dem genom att ange dem på kommandoraden. I testläge kör du en synkronisering begränsad till de mappade grupperna som anges i konfigurationsfilen för att ta bort extra konton som hittas på Adobe-sidan och inte hittas i LDAP-extraheringen.
user-sync.exe -t --mappade användare --process-groups --adobe-only-user-action remove
-t
kör en simulering, inte en faktisk synkronisering, och se resultatet.
--users-mapped
extrahera användare från LDAP som är resultatet av både all_user_filter och medlem i angivna directory_group-namn i konfigurationsfilen.
--process-groups
lägg till/ta bort användare på/från användargrupper på Adobe-sidan eller PLC:er baserat på det konto som är eller inte är medlem i de LDAP-mappade grupperna.
--adobe-only-user-action remove
alla konton som hittas på Adobe-sidan tas bort från användarmenyn och rättigheter tas bort om de inte hittas i LDAP-extraheringen och inte exkluderas från synkroniseringen.
Om alla test körs som förväntat är du redo att göra en fullständig körning (utan testlägesflaggan).
- De angivna kommandoraderna är bara exempel och kanske inte täcker hela användningsfallet.
- Den första synkroniseringen kan ta allt från några sekunder till ett par timmar beroende på hur många konton som synkroniseras. Grovt kan man säga att 250 användare skapas varje 1,5–2 minuter (inklusive timeout).
- Meddelanden med UMAPI-timeoutvarningskod 429 förväntas. Verktyget hanterar återförsöksmekanismen.
Användarsynkroniseringen kan köras manuellt. Du kan även ställa in automatisering så att den körs en eller några gånger per dag helt automatiskt.
Om du har ett system för logganalyser och varningar kan du se till att loggen från användarsynkroniseringen skickas till logganalyssystemet. Och ställ in varningar för eventuella felmeddelanden eller viktiga meddelanden som visas i loggen.
-
Om du vill ta fram relevanta loggposter för en sammanställning skapar du en kommandofil i mappen user_sync_tool med anropet user-sync kopplat till en skanning. Du kan till exempel skapa filen run_sync.bat med innehåll som:
cd sökväg/till/mappen-med-user-sync user-sync.exe --users filexempel.users-file.csv --process-groups | findstr /I "==== ----- VARNING FEL KRITISKT Tal" > temp.file.txt rem e-posta innehållet i filen temp.file.txt till administratören för användarsynkronisering ditt-epost-verktyg –send file temp.file.txt
-
Du kan även konfigurera ett kommandoradsverktyg för e-post.
Det finns inget standardkommandoradsverktyg för e-post i Windows, men det finns flera kommersiella verktyg tillgängliga som du kan använda för att fylla i dina specifika kommandoradsalternativ.
-
Konfigurera schemaläggaren i Windows för att köra verktyget för användarsynkronisering.
Koden nedan kör till exempel verktyget för användarsynkronisering varje dag klockan 16:00:
C:\> schtasks /create /tn "Adobe User Sync" /tr sökväg_till_bat-fil/run_sync.bat /sc DAILY /st 16:00