Användarhandbok Avbryt

Konfigurera verktyget för användarsynkronisering

Sök

Senast uppdaterad den 23 juni 2021 | Gäller även Creative Cloud for enterprise

Adobe Enterprise och Teams: administrationsguide
Planera distributionen
Konfigurera din organisation
1. Identitetstyper | Översikt
2. Konfigurera identitet | Översikt
3. Konfigurera en organisation med Enterprise ID
4. Konfigurera Azure AD-federering och -synkronisering
5. Konfigurera Google-federering och synkning
6. Konfigurera en organisation med Microsoft ADFS
7. Konfigurera en organisation för distriktsportaler och LMS:er
8. Konfigurera en organisation med andra identitetsleverantörer
9. Vanliga frågor om och felsökning av SSO
Hantera organisationens konfiguration
Hantera användare
Hantera produkter och berättiganden
1. Hantera produkter och produktprofiler
2. Hantera licenser för delade enheter
Kom igång med Global Admin Console
Hantera lagring och resurser
1. Lagring
2. Resursmigrering
3. Återta resurser från en användare
4. Migrering av elevresurser | Endast skolor
  1. Automatisk migrering av elevresurser
  2. Migrera dina resurser
Hantera tjänster
1. Adobe Stock
2. Anpassade teckensnitt
3. Adobe Asset Link
4. Adobe Acrobat Sign
5. Creative Cloud for enterprise – kostnadsfritt medlemskap
  1. Översikt
Driftsätta program och uppdateringar
1. Översikt
2. Skapa paket
3. Anpassa paket
  1. Anpassa Creative Cloud-datorprogrammet
  2. Ta med tillägg i ditt paket
4. Driftsätta paket
5. Hantera uppdateringar
  1. Ändra hanteringen för Adobe enterprise- och teams-kunder
  2. Driftsätta uppdateringar
6. Adobe Update Server Setup Tool (AUSST)
7. Adobe Remote Update Manager (RUM)
  1. Använda Adobe Remote Update Manager
  2. Lösa RUM-fel
8. Felsökning
Hantera ditt Teams-konto
Förlängningar
1. Teammedlemskap: förlängningar
2. Enterprise i VIP: Förnyelser och efterlevnad
Hantera avtal
Rapporter och loggar
Få hjälp

Det här dokumentet är avsett som en hjälp för dig när du ska installera verktyget för användarsynkronisering för att automatisera användarhanteringen.

Verktyget för användarsynkronisering är ett kommandoradsverktyg som flyttar användar- och gruppinformation från organisationens företagskatalog (som Active Directory eller annat LDAP-system) till organisationens katalog i Adobe Admin Console. Varje gång du kör verktyget för användarsynkronisering letar det efter avvikelser i användar- och gruppinformationen i de två systemen och Adobe-katalogen uppdateras så att den innehåller samma information som din katalog.

I det här dokumentet finns steg-för-steg-anvisningar för att samordna ett Active Directory-system med Adobe Admin Console. Det här är en av de mest populära kombinationerna som våra kunder inom utbildnings- och SMB-segmenten använder. Verktyget för användarsynkronisering är flexibelt och kan användas för att samordna de flesta LDAP- och katalogsystem. Om du använder ett annat katalogsystem än Active Directory stämmer inte instruktionerna i det här dokumentet helt och hållet. Gör de ändringar som behövs. Mer information finns i konfigurationshandboken.

Innan du börjar

Du behöver följande information om ditt LDAP-system. Kontakta IT-administratören om du inte har tillgång till denna information.

Namnet på domänkontrollanten (eller dess IP-adress, om den är statisk) och porten.
Användarnamnet och lösenordet till ett tjänstkonto som verktyget kan använda för att extrahera användare från ditt LDAP-system (skrivskyddad åtkomst).
Bas-DN (punkten varifrån servern söker efter användare) ska vara tillräckligt bred så att alla användare och grupper som behöver synkroniseras kan hittas.
Gruppnamnen som ingår i synkroniseringen.
Det bäst lämpade LDAP-attributet för e-post/användarnamn för alla användare som behöver skapas i Admin Console.
(Valfritt) Du kan även behöva en anpassad LDAP-fråga som väljer den uppsättning användare som ska synkroniseras med Adobe om standardfiltren inte uppfyller kraven.

Nyckelparet används för att signera en JWT och verifiera att JWT är giltig vid hämtning av åtkomsttoken. Kontakta säkerhetsteamet om du behöver hjälp med detta.

Tips om certifikat:

Det offentliga certifikatet kan signeras av din egen certifikatutfärdare (skicka en certifikatbegäran om det behövs); självsignerade certifikat godtas också
Den privata nyckeln ska vara minst RSA: 2048-bitars
Det offentliga certifikatet ska ha tillägget .crt
Signera med SHA-256
Giltighet för offentlig nyckel: tre år rekommenderas, men din interna säkerhetspolicy avgör vad som gäller

Skapa ett självsignerat certifikat

Om du använder självsignerade certifikat med slumpmässiga värden och ett offentligt certifikat med en giltighetstid på ett år, kan adobe.io-portalen skapa dem under den fas projektet skapas eller via menyn Tjänstkonto (JWT) i ett befintligt projekt. Mer information finns i Skapa integrering med Adobe I/O.

Följ de här stegen för självsignerade certifikat med data och giltighet som du själv anger:

I macOS/Linux öppnar du ett terminalfönster.

I Windows öppnar du ett program som stöder openssl, som Cygwin eller cmd, om det är installerat. I annat fall kan verktyget för användarsynkronisering från och med version 2.6.0 användas för att generera det offentliga certifikatet och den privata nyckeln. Kravet är att verktyget hämtas lokalt och att kommandot ska köras i kommandotolken i den mapp som innehåller filen user-sync.exe:
```
user-sync.exe certgen
```
Kör följande kommando:
```
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
```
När den privata nyckeln har genererats uppmanas du att ange ytterligare information för att skapa ett unikt namn för den offentliga nyckeln. Du kan acceptera standardvärdena eller ange ett giltigt värde. Om du vill lämna ett fält tomt anger du ”.” (en punkt).

Filerna för det offentliga certifikatet och den privata nyckeln lagras som standard på följande platser:

Windows: C:\cygwin64\home\<ditt_användarnamn>

(om du har använt user-sync.exe bör filen finnas i samma mapp som skriptet)

macOS: /Users/<ditt_användarnamn>

Om du tänker installera verktyget för användarsynkronisering på din dator måste du se till att den uppfyller följande krav:

Har internetåtkomst och åtkomst till din katalogtjänst, som LDAP eller AD.
Är skyddad och säker (dina uppgifter för administratörsautentisering lagras och nås här).
Är stabil och pålitlig och har funktioner för säkerhetskopiering och återställning.
Kan skicka e-post så att verktyget för användarsynkronisering kan skicka rapporter till administratörer.
Om Windows används på datorn måste den ha en 64-bitarsprocessor.

Annars tar du hjälp av IT-avdelningen och identifierar och får åtkomst till en sådan server.

Se till att du har skapat katalogerna för organisationen och att produktprofilerna och användargrupperna har skapats i Adobe Admin Console.

Konfigurera servern

Gör så här för att skapa integrering med adobe.io:

Systemadministratörer loggar in i Adobe I/O-konsolen och väljer sin organisation i listrutan uppe till höger. Klicka på Skapa nytt projekt.
Klicka på Redigera projekt uppe till höger och ange en titel och beskrivning för projektet. Klicka på Spara.
Klicka på Lägg till API.
I fönstret Lägg till API filtrerar du med hjälp av Tjänster från Adobe och väljer User Management API. Klicka på Nästa.
- Skapa ett nyckelpar:
Välj Skapa ett nyckelpar om du vill använda ett självsignerat certifikat med slumpmässiga värden som skapats av adobe.io med en giltighet på ett år. Klicka sedan på Skapa nyckelpar.

Filen config.zip hämtas till din lokala dator och i den finns filen certificate_pub.crt och en fil med den privata nyckeln. Det offentliga certifikatet läggs automatiskt till i integreringen och den privata nyckeln används senare i konfigurationsprocessen.
- Överför din offentliga nyckel:
Om du har ett eget offentligt certifikat eller om du har skapat det med hjälp av stegen i avsnittet Erhålla den offentliga och privata nyckeln väljer du Överför din offentliga nyckel. Bläddra nedåt och överför certifikatfilen för den offentliga nyckeln. Klicka på Nästa.
Klicka på Spara konfigurerat API.
Gå till Tjänstkonto (JWT) om du vill visa autentiseringsuppgifterna.

Informationen på den här sidan används senare i en av konfigurationsfilerna för verktyget för användarsynkronisering.

Skapa en mapp med namnet user_sync_tool på en plats på enheten där användare med nödvändiga behörigheter kan komma åt dess innehåll.
Gå till GitHub och leta reda på taggen Latest release (Senaste versionen).

I den här versionen letar du reda på och expanderar Assets (Resurser). Leta sedan reda på och ladda ned:
- Filen examples.zip
- ZIP-filen för verktyget för användarsynkronisering i listan som passar ditt OS
Packa upp examples.zip, gå till config files - basic och kopiera dessa filer till mappen user_sync_tool: connector-ldap.yml, connector-umapi.yml och user-sync-config.yml.
I den andra ZIP-filen extraherar du filen user-sync.exe och placerar den i samma user_sync_tool-mapp.
Leta reda på private.key som medföljde det offentliga certifikatet och flytta den till samma user_sync_tool-mapp. Nu innehåller mappen
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml

Konfigurera användarsynkronisering

Redigera filen connector-ldap.yml med en särskild textredigerare.
Ange användarnamn, lösenord, värd och värden för base_dn.
Ange 200 för search_page_size.
För det mesta fungerar det med standardfiltren. Om du behöver en anpassad LDAP-fråga för att extrahera en uppsättning användare ändrar du all_users_filter-konfigurationsparametern.
Kontrollera de övriga inställningarna som inte har kommenterats och vilka LDAP-attribut de pekar till. Ändra dem efter dina behov.

Vissa distributioner har konfigurerad inloggning baserad på användarnamn (fältet för användarnamn i Admin Console för en viss användare är inte ett värde av e-posttyp).

I så fall aktiverar du även följande rad (ta bort #-tecknet):
user_username_format: {sAMAccountName}

Ersätt sAMAccountName med rätt attribut, om du vill använda ett annat.

Redigera connector-umapi.yml. I den här filen finns åtkomstinformation till din Adobe-organisation.
Ange följande information från adobe.io-integreringen du skapade tidigare:
- org_id
- api_key
- client_secret
- tech_acct
Kontrollera att priv_key_path innehåller det exakta namnet för den privata nyckeln inne i user_sync_tool-mappen.
Om den privata nyckeln är i samma mapp som övriga UST-filer kanske priv_key_path endast innehåller namnet på filen, vilket fungerar som en relativ sökväg.

Om det inte finns ett land för varje användare i katalogen kan du ange ett standardland.

Redigera filen user-sync-config.yml.
Ta bort # från raden för standardlandskod och ange lämplig landskod. Exempel:
```
default_country_code: US
```
Obs!

En landskod krävs för Federated ID:n och rekommenderas för Enterprise ID:n. Om det inte finns någon landskod för Enterprise ID:n uppmanas användarna att välja ett land när de loggar in första gången.

Mappning av grupper anger vilka grupper från LDAP som ska ha motsvarande användargrupp eller PLC i Admin Console.

Målet här är att ge verktyget en källa med grupper/användare så att det kan matcha samma medlemmar i grupper/PLC:er i Admin Console.

Redigera gruppmappning i filen user-sync-config.yml.
För varje kataloggrupp som måste mappa till en Adobe-produktprofil eller användargrupp lägger du till en post i avsnittet för grupper. Exempel:
```
groups: - directory_group: LDAP_gruppnamn_ska_vara_här adobe_groups: - Adobe_gruppnamn_ska_vara_här - directory_group: LDAP_gruppnamn_ska_vara_här adobe_groups: - Adobe_gruppnamn_ska_vara_här
```
Obs!

Gruppmappning kan göras med hjälp av Adobe-användargrupper eller -produktprofiler, inte till produktnamn. Du kan även mappa en kataloggrupp till fler än en Adobe-användargrupp eller -produktprofil.

För att förhindra oavsiktlig borttagning av konton (vid felaktig konfiguration eller något annat problem) kan du bestämma en maxgräns för antal kontoborttagningar som förväntas i din dagliga synkronisering.

Om du vill ändra gränsen letar du reda på max_adobe_only_users i filen user-sync-config.yml.
Om du förväntar dig att antalet kontoborttagningar kommer att vara högre än det angivna värdet för max_adobe_only_users mellan körningar av User Sync ökar du värdet så att det omfattar alla kontoborttagningar.

Obs!

Om antalet konton som ska tas bort är högre än värdet för max_adobe_only_users bearbetar verktyget inga kontoborttagningar. En viktig post visas i loggen som anger att gränsen har nåtts.

Den här gränsen påverkar inte skapandeåtgärderna.

Det finns fall då vissa konton måste tas bort från synkroniseringen. Det kan du göra genom att redigera filen user-sync-config.yml.
Verktyget har tre exkluderingsfunktioner: efter identitetstyp, efter gruppnamn och efter reguljärt uttryck.
Konton som påträffas i Admin Console och som passar in på minst ett av de nämnda kriterierna skyddas från borttagningsåtgärder (från grupp, från org).

Det är en god vana att ha Adobe ID:n för systemadministratörer i Admin Console och exkludera dem via exkludera efter exclude_identity_types: adobeID

Här är ett exempel:

adobe_users:

  exclude_identity_types:

    - adobeID           # adobeID, enterpriseID eller federatedID

  exclude_adobe_groups:

    - adobe_group_name  # dess medlemmar ska inte tas bort av User Sync

    - other_group_name  # du kan exkludera flera grupper

  exclude_users:

    - ".*@example.com"

    - important_user@domain.com

Användarsynkroniseringen skapar loggposter som kan skrivas ut och som även skrivs till en loggfil. Konfigurationsinställningarna för loggningsuppsättningen styr uppgifterna om var och hur mycket logginformation som matas ut.

Om du vill stänga av eller slå på filloggen redigerar du värdet log_to_file i filen user-sync-config.yml.
Granska inställningarna för loggar och gör önskade ändringar. För den första installationen rekommenderar vi att du använder
log_to_file: True
file_log_level: debug

Om du har en Windows-server kan du i stället konfigurera verktyget för användarsynkronisering med konfigurationsguiden för verktyget för användarsynkronisering.

Konfigurationsguiden för verktyget för användarsynkronisering är ett GUI-verktyg som gör att du enkelt kan konfigurera verktyget för användarsynkronisering med API för användarhantering (Adobe.io), Enterprise-katalog (LDAP) och synkroniseringsinställningar. Den tillhandahåller kontextbaserad hjälp och länkar till dokumentationen för verktyget för användarsynkronisering. Mer information finns i Adobes konfigurationsguide för verktyget för användarsynkronisering.

Distribuera och automatisera

Nu när verktyget för användarsynkronisering är konfigurerat på servern eller datorn, kan du kontrollera att det fungerar som det ska. Om du vill felsöka vanliga fel när du kör verktyget för användarsynkronisering kan du läsa tips om hur du löser vanliga fel.

Öppna kommandotolken.
Gå till mappen user_sync_tool med hjälp av följande kommando.
```
cd sökväg/till/verktyget_för_användarsynkronisering
```
Du kan kontrollera att din konfiguration är klar genom att köra följande kommandon:

För Windows:
```
user-sync.exe -v user-sync.exe -h
```
För UNIX:
```
./user-sync –v ./user-sync –h
```
-v anger versionen, -h ger hjälp om kommandoradsargument.
I testläge kör du en synkronisering begränsad till de mappade grupperna som anges i konfigurationsfilen, exklusive befintliga konton på Adobe-sidan.
```
user-sync.exe -t --mappade användare --process-groups --adobe-only-user-action exclude
```
Kommandot ovan synkroniserar bara användarna i den mappade gruppen som angetts i user-sync-config.yml. Om användarna inte finns i Admin Console görs ett försök att skapa användarna och lägga till dem i någon av grupperna som är mappade från deras kataloggrupper.

När du kör användarsynkronisering i testläge (-t) görs bara ett försök att skapa användaren och den skapas inte på riktigt. Alternativet --adobe-only-user-action exclude förhindrar borttagning av befintliga användarkonton i Adobe-organisationen.
Även om invocation_defaults anger de standardargument som verktyget körs med kan du åsidosätta dem genom att ange dem på kommandoraden. I testläge kör du en synkronisering begränsad till de mappade grupperna som anges i konfigurationsfilen för att ta bort extra konton som hittas på Adobe-sidan och inte hittas i LDAP-extraheringen.
```
user-sync.exe -t --mappade användare --process-groups --adobe-only-user-action remove
```
-t

kör en simulering, inte en faktisk synkronisering, och se resultatet.

--users-mapped

extrahera användare från LDAP som är resultatet av både all_user_filter och medlem i angivna directory_group-namn i konfigurationsfilen.

--process-groups

lägg till/ta bort användare på/från användargrupper på Adobe-sidan eller PLC:er baserat på det konto som är eller inte är medlem i de LDAP-mappade grupperna.

--adobe-only-user-action remove

alla konton som hittas på Adobe-sidan tas bort från användarmenyn och rättigheter tas bort om de inte hittas i LDAP-extraheringen och inte exkluderas från synkroniseringen.

Mer information om kommandoparameterar finns här.

Mer information om andra användningsscenarier finns här.

Om alla test körs som förväntat är du redo att göra en fullständig körning (utan testlägesflaggan).

Obs!

De angivna kommandoraderna är bara exempel och kanske inte täcker hela användningsfallet.
Den första synkroniseringen kan ta allt från några sekunder till ett par timmar beroende på hur många konton som synkroniseras. Grovt kan man säga att 250 användare skapas varje 1,5–2 minuter (inklusive timeout).
Meddelanden med UMAPI-timeoutvarningskod 429 förväntas. Verktyget hanterar återförsöksmekanismen.

Användarsynkroniseringen kan köras manuellt. Du kan även ställa in automatisering så att den körs en eller några gånger per dag helt automatiskt.

Obs!

Om du har ett system för logganalyser och varningar kan du se till att loggen från användarsynkroniseringen skickas till logganalyssystemet. Och ställ in varningar för eventuella felmeddelanden eller viktiga meddelanden som visas i loggen.

Om du vill ta fram relevanta loggposter för en sammanställning skapar du en kommandofil i mappen user_sync_tool med anropet user-sync kopplat till en skanning. Du kan till exempel skapa filen run_sync.bat med innehåll som:

cd sökväg/till/mappen-med-user-sync user-sync.exe --users filexempel.users-file.csv --process-groups | findstr /I &quot;==== ----- VARNING FEL KRITISKT Tal&quot; > temp.file.txt rem e-posta innehållet i filen temp.file.txt till administratören för användarsynkronisering ditt-epost-verktyg –send file temp.file.txt

Du kan även konfigurera ett kommandoradsverktyg för e-post.

Det finns inget standardkommandoradsverktyg för e-post i Windows, men det finns flera kommersiella verktyg tillgängliga som du kan använda för att fylla i dina specifika kommandoradsalternativ.
Konfigurera schemaläggaren i Windows för att köra verktyget för användarsynkronisering.

Koden nedan kör till exempel verktyget för användarsynkronisering varje dag klockan 16:00:
```
C:\> schtasks /create /tn &quot;Adobe User Sync&quot; /tr sökväg_till_bat-fil/run_sync.bat /sc DAILY /st 16:00
```