Tìm hiểu các lỗi phổ biến của User Sync Tool và cách khắc phục.
Trang này liệt kê các lỗi phổ biến bạn có thể gặp phải khi chạy User Sync Tool, cùng với các bước để khắc phục từng lỗi.Để biết tổng quan về công cụ và nơi tìm thiết lập, cấu hình cũng như tài liệu tham khảo lệnh, hãy xem Thiết lập User Sync Tool.
Cài đặt và môi trường
Điều này có thể xuất hiện trên Windows khi đường dẫn vượt quá 256 ký tự. Tạo một biến môi trường có tên PEX_ROOT với giá trị C:\pex. Nếu bạn chạy Script từ ổ đĩa khác C:, hãy thay đổi ký tự ổ đĩa cho phù hợp. Đôi khi cần khởi động lại hệ thống để thay đổi có hiệu lực.
Chạy lệnh python từ bên trong thư mục chứa user-sync.pex.
- Kiểm tra xem phiên bản Python được cài đặt trên hệ thống của bạn có phải là 32-bit hay không. Gỡ cài đặt phiên bản 32-bit và cài đặt phiên bản 64-bit.
- Kiểm tra xem phiên bản user-sync.pex mà bạn đã tải xuống từ GitHub có khớp với phiên bản Python và hệ điều hành của bạn hay không. Ví dụ, tải xuống user-sync-v2.3-win64-py365.zip cho Windows 64-bit và Python 3. Sử dụng đúng phiên bản Python mà .pex được xây dựng thay vì sử dụng Python mới nhất. Hậu tố của .zip xác định phiên bản: đối với user-sync-v2.3-win64-py365.zip, đó là Python 3.6.5.
Lỗi này được ghi lại trên macOS High Sierra khi sử dụng User Sync Tool v2.3 và Python 3.7.0. Chạy brew install openssl trong Terminal đã giải quyết được cho trường hợp đó.
Kết nối, hết thời gian chờ và điều chỉnh tốc độ
Nếu thời gian chờ ít hơn 30 phút, các cảnh báo này xuất hiện khi chạm tới hạn ngạch cuộc gọi API được phép trong một phút.Công cụ sử dụng cơ chế lùi lại theo cấp số nhân để thử lại, tăng khoảng thời gian giữa các lần thử lại và dừng sau ba lần thất bại.Để script chạy đến khi kết thúc.
Nếu thời gian chờ cao hơn 1000 giây, việc điều tiết liên quan đến tần suất chạy của từng phiên bản User Sync Tool.Phiên bản chạy quá thường xuyên sẽ bị điều tiết từ 30 đến 75 phút.Thời gian chờ chỉ tạm dừng công cụ trong một khoảng thời gian; công cụ sẽ khôi phục và tiếp tục đồng bộ hóa sau đó.
Vì công cụ phát hiện khi hai phiên bản bắt đầu cùng lúc, không có phiên bản mới nào chạy cho đến khi phiên bản đầu tiên kết thúc.Trong trường hợp này, bản ghi có thể hiển thị thông báo rằng một quy trình đang trong quá trình thực hiện.
Để có hiệu suất tốt nhất, hãy tuân theo các khuyến nghị về tần suất chạy sau:
- Đặt tác vụ đã lên lịch lặp lại cách nhau ít nhất 2 giờ.
- Đặt trình kích hoạt tác vụ đã lên lịch để không bắt đầu vào phút :00 hoặc :30, nhằm tránh lưu lượng truy cập cao điểm.
- Nếu bạn phải chạy công cụ thường xuyên hơn, hãy cân nhắc sử dụng chiến lược push (delta của các thay đổi) thay vì đồng bộ hóa đầy đủ.
- Khớp lịch trình chạy của công cụ với Workday của tổ chức bạn.Ví dụ, không chạy các công việc đồng bộ vào ban đêm nếu tổ chức của bạn không cần sửa đổi việc cung cấp vào thời điểm đó.
Công cụ không thể kết nối với các điểm cuối API công khai.Thiết đặt cục bộ như quy tắc tường lửa, proxy chặn lưu lượng hoặc thiết đặt truy cập internet của tài khoản có thể ngăn truy cập.Thêm biến môi trường https_proxy với giá trị như http://<proxyAddress>:<port> hoặc https://<proxyAddress>:<port> có thể giúp ích.Trong các trường hợp khác, cho phép truy cập vào các điểm cuối này: ims-na1.adobelogin.com:443 và usermanagement.adobe.io:443.Điều này chỉ có thể được giải quyết cục bộ bằng cách xóa bỏ quyền truy cập vào các điểm cuối này cho tài khoản đang chạy.
Kiểm tra SSL trên máy chủ proxy cục bộ gây ra điều này.
Giải pháp 1: Lấy chứng nhận CA gốc của proxy ở định dạng PEM (ví dụ: thecert.crt).Nếu nó ở định dạng DER, hãy chuyển đổi sang PEM bằng lệnh openssl này: openssl x509 -inform DER -in thecert.crt -out thecert.pem -outform PEM.Tập tin PEM hiển thị chuỗi được mã hóa base64 giữa các dòng -----BEGIN CERTIFICATE----- và -----END CERTIFICATE-----.Tạo biến môi trường có tên REQUESTS_CA_BUNDLE và đặt giá trị của nó thành đường dẫn của thecert.pem.
Giải pháp 2: Trên Windows, lỗi này có thể xảy ra nếu công cụ chạy từ ổ đĩa khác với ổ đĩa có cài đặt hệ điều hành và Python.Di chuyển toàn bộ script sang ổ đĩa có cài đặt hệ điều hành.Nếu đó không phải là lựa chọn, hãy sao chép tập tin cacert.pem chứa các CA gốc đáng tin cậy sang ổ đĩa khác và đặt đường dẫn của nó như REQUESTS_CA_BUNDLE.Nếu proxy cũng kiểm tra lưu lượng SSL, hãy sao chép nội dung chứng chỉ CA gốc của proxy vào cacert.pem để chứng chỉ proxy được tin cậy.Cài đặt Python mặc định giữ gói chứng nhận tại C:\Python36\Lib\site-packages\certifi\cacert.pem.
Giải pháp 3: Tắt kiểm tra SSL trên proxy cho các điểm cuối API ims-na1.adobelogin.com và usermanagement.adobe.io.
Xác thực và thông tin đăng nhập
Mục Credentials Store cho umapi_api_key có thể bị thiếu.Tạo mục trong Credentials Store.Xem tài liệu User Sync Tool về lưu trữ thông tin đăng nhập trong bộ nhớ cấp hệ điều hành.
Giá trị này cũng có thể đã được thêm vào Credential Store dưới tài khoản người dùng khác trong khi mục nhập bị thiếu cho người dùng hiện đang kết nối.Thêm vào hoặc chuyển đổi tài khoản người dùng.
- Nếu bạn không thể nhanh chóng xác định vấn đề, hãy tạo lại cặp khóa.
- Không sử dụng thuộc tính umapi_private_key_data khi bạn chạy script trên Windows.Thay vào đó, hãy mã hóa khóa và lưu trữ mật khẩu trong Credential Manager.
- Nếu bạn đã sử dụng định dạng khác để tạo cặp khóa, hãy thử khóa riêng RSA 256, 2048-bit.
- Bạn có thể đã thiết đặt secure_priv_key_pass_key: umapi_private_key_passphrase trong tập tin connector-umapi.yml.Đảm bảo mục tương ứng trong Credential Store và các giá trị liên quan trùng khớp.
Trong Adobe Admin Console, vào Thiết đặt, sau đó vào Thiết đặt Xác thực.Một tùy chọn khác ngoài Easiest for Users (password never expires) có thể được chọn.Tùy chọn More Secure hoặc Most Secure có thể làm hết hạn mật khẩu của tài khoản kỹ thuật được liên kết với tích hợp.Để khắc phục điều này, hãy tạo tích hợp mới và gia hạn siêu dữ liệu trong tập tin connector-umapi.yml.Bản sửa lỗi đã được triển khai cho vấn đề này, nhưng có thể ảnh hưởng đến các tích hợp được tạo trước tháng 10 năm 2018.
- Giá trị tech_acct trong tập tin connector-umapi.yml có thể khác với ID tài khoản kỹ thuật trong tích hợp ở Adobe Developer Console.Xác minh ID tài khoản kỹ thuật trong tích hợp hiện tại và sao chép nó vào tập tin.
- Chứng chỉ công khai từ tích hợp có thể đã hết hạn.Gia hạn khóa riêng tư và công cộng, Tải lên khóa công cộng và thay thế khóa riêng tư cũ bằng khóa mới. Xác minh đường dẫn trong tập tin connector-umapi.yml trỏ đến tập tin chính xác.
- Xác nhận tích hợp dành cho tổ chức đúng. Chọn tổ chức từ danh sách thả xuống ở góc trên bên trái của Adobe Developer Console, sau đó xác minh ID tài khoản kỹ thuật cho tích hợp đang hoạt động cùng với siêu dữ liệu khác (ID tổ chức, bí mật và ID khách hàng).
Lỗi này xuất hiện trên các tích hợp cũ hơn. Tạo tích hợp mới (hoặc dự án) trong Adobe Developer Console cùng với tích hợp hiện có được sử dụng cho cùng mục đích.Tích hợp mới cung cấp thông tin xác thực mới, vì vậy hãy cập nhật chúng trong tập tin connector-umapi.yml. Cặp khóa (khóa riêng tư và khóa công khai) có khả năng bị cấp lại, vì vậy khóa riêng tư mới phải thay thế khóa hiện có.
LDAP và nhóm
- Nhóm không tồn tại trong LDAP với tên chính xác đó. Thêm tên LDAP chính xác của nhóm.
- Nhóm không thể được phát hiện dưới base_dn đã khai báo (xem tập tin connector-ldap.yml). Thay đổi giá trị base_dn để bao gồm nhóm. Điều này chủ yếu xảy ra khi base_dn trỏ đến một OU cụ thể thay vì càng rộng càng tốt.
Nhóm người dùng group_name trong đầu ra không tồn tại ở phía Adobe. Tạo nó. Nếu bạn định đặt tên của cấu hình giấy phép sản phẩm (PLC) thay vì nhóm người dùng, hãy xem tài liệu Công cụ Đồng bộ Người dùng về tạo các nhóm tương ứng trong thư mục doanh nghiệp của bạn.
Các nhóm quan tâm có thể nằm trong miền phụ trong khi giá trị host là một trong các miền gốc. Thay đổi giá trị host thành tên miền phụ nơi tìm thấy các nhóm người dùng. Nếu người dùng hoặc nhóm ở cả miền gốc và các miền phụ của nó, hãy sử dụng cổng danh mục toàn cục trên miền gốc và thay đổi các nhóm miền phụ thành Universal thay vì Global. Ví dụ về giá trị host sử dụng danh mục toàn cục: ldap://domain.local:3268 hoặc ldaps://domain.local:3269. Khi bạn sử dụng cổng danh mục toàn cục, đặt base_dn thành giá trị trống: base_dn: "".
Người dùng và tạo tài khoản
Miền được sử dụng để tạo tài khoản có thể chưa được xác nhận hoặc tin tưởng trong tổ chức của bạn. Cờ xanh hoặc dấu chấm xuất hiện cho các miền đang hoạt động trong Adobe Admin Console dưới Thiết đặt. Nếu không, việc hoàn tất quy trình xác nhận miền có thể giải quyết vấn đề này.
Đã cố gắng tạo tài khoản Federated ID, nhưng thư mục được tạo cho Enterprise ID, hoặc ngược lại.Tìm thuộc tính user_identity_type trong tập tin user-sync-config.yml. Đặt giá trị để khớp với loại thư mục được hiển thị trong Adobe Admin Console (Thiết đặt, sau đó Identity, tiếp theo Domains, rồi giá trị Directory type cho miền).
Đôi khi miền @claimed-domain.com thuộc sở hữu của một tổ chức khác đã thiết lập trình kết nối Azure hoặc Google để đồng bộ tài khoản với Admin Console, và miền sau đó được tin tưởng cho một tổ chức khác sử dụng User Sync Tool để đồng bộ các tài khoản có định dạng @claimed-domain.com. Thông báo xuất hiện khi công cụ trích xuất tài khoản user@claimed-domain.com từ máy chủ LDAP để tạo nó trong tổ chức thứ cấp, nhưng tài khoản chưa được tạo hoặc đồng bộ trong tổ chức chính thông qua trình kết nối Azure hoặc Google. Tạo hoặc đồng bộ tài khoản user@claimed-domain.com trong tổ chức sử dụng trình kết nối Azure hoặc Google, sau đó thử lại đồng bộ với User Sync Tool trong tổ chức được tin tưởng.
Lỗi chung này có nhiều nguyên nhân, nhưng vấn đề thường gặp là miền được sử dụng trong hành động tạo nằm dưới thiết lập đồng bộ Azure hoặc Google. Để kiểm tra, đăng nhập vào Adobe Admin Console bằng tài khoản System Administrator, đi tới Thiết đặt, chọn thư mục chứa miền và chọn tab Sync. Nếu có thẻ Sync Source, cách khắc phục phụ thuộc vào cách đồng bộ sẽ tiếp tục:
- Nếu trình kết nối Azure hoặc Google sẽ thực hiện đồng bộ, hãy tiếp tục thiết lập Sync Source và xóa hoàn toàn User Sync Tool.
- Nếu User Sync Tool sẽ thực hiện đồng bộ, chọn Go to Settings, sau đó Remove Sync ở cuối trang. Công cụ sau đó sẽ chạy như bình thường.
Nếu không có thẻ Sync Source nào, công cụ hiện tại có thể chạy trên Console nơi miền được ủy thác từ Console khác (tổ chức sở hữu). Tổ chức đó có thể đã bật đồng bộ Azure hoặc Google, điều này gây ra lỗi này. Trước tiên hãy đồng bộ tài khoản trong Console sở hữu, sau đó sử dụng công cụ để tạo tài khoản trong Console hiện tại.
Nếu không có phương án nào phù hợp, hãy liên hệ với Hỗ trợ doanh nghiệp.
