Добавление Google Sync в федеративный каталог

Вы можете добавить Google Sync в любой каталог в Adobe Admin Console, чтобы автоматизировать процесс управления пользователями. Google Sync использует протокол SCIM для управления пользователями и позволяет вам контролировать публикацию информации в Adobe. Пользователи, указанные в консоли администратора Google, синхронизированные с Adobe Admin Console, могут быть назначены одному или нескольким профилям продуктов.

После настройки Google Sync приложение Google начинает отправлять данные в Adobe Admin Console в соответствии с конфигурацией подготовки пользователей каталога в консоли администратора Google. Подробные сведения по каталогу можно просмотреть в разделе Настройки в Adobe Admin Console.

Преимущества Google Sync

Основные преимущества использования Google Sync с каталогом в Adobe Admin Console:

Необходимые условия

Чтобы интегрировать управление пользователями Adobe Admin Console с консолью администратора Google, необходимо выполнить следующие условия:

• учетная запись консоли администратора Google с административным доступом к пользовательским данным;
• Федеративный каталог в Adobe Admin Console с подтвержденными доменами

Поддерживаемые сценарии интеграции

Замечания перед настройкой синхронизации

Используйте приведенные ниже пункты справки, чтобы ознакомиться с передовыми практиками и рекомендациями Adobe перед настройкой синхронизации Google Sync.

• Экспортируйте список существующих пользователей перед добавлением Google Sync, чтобы зарегистрировать все учетные записи пользователей и предоставленные лицензии во время выполнения настройки.
• При интеграции Google Sync с каталогом, в котором есть пользователи Federated ID, убедитесь, что их имена в Adobe Admin Console совпадают с соответствующими именами в сопоставлениях для подготовки пользователей в консоли администратора Google. Если значения этих полей не совпадают, консоль Adobe Admin Console воспринимает такую ситуацию как необходимость создания новой учетной записи пользователя, при этом будут созданы повторяющиеся записи для одного пользователя. Вы можете обновить сопоставление атрибутов, чтобы гарантировать, что значения, передаваемые при синхронизации, совпадают со значениями в профилях пользователей в Adobe Admin Console, при этом их учетные записи будут автоматически обновлены при следующей синхронизации.
• Чтобы можно было настроить Google Sync, в административной консоли должен быть хотя бы один федеративный каталог. Если консоль Adobe Admin Console с Google Sync (консоль-владелец) находится в доверительных отношениях с другими консолями Adobe Admin Console (доверенными консолями), то доверенные консоли должны использовать другую форму управления пользователями, например инструмент синхронизации пользователей User Sync Tool, User Management API или массовую загрузку с использованием CSV-файла для управления пользователями с идентификаторами Federated ID и их лицензирования.
• Чтобы добавить пользователя в доверенную консоль Admin Console для предоставления лицензии, необходимо добавить этого пользователя в консоли-владельце Admin Console.
• Если ваша организация использует инструмент синхронизации пользователей или интеграцию с UMAPI, вам нужно будет приостановить интеграцию. Затем следует добавить Google Sync для автоматизации управления пользователями с консолью администратора Google. После настройки и запуска Google Sync удалите инструмент синхронизации пользователей или интеграцию с UMAPI.
• Чтобы переместить домен в каталог или из каталога, установленного с помощью Google Sync, необходимо удалить Google Sync из выбранного каталога. Затем переместите нужный домен в выбранный каталог или из него и восстановите синхронизацию с целевым каталогом.

Добавление Google Sync в федеративный каталог

Следуйте приведенным ниже инструкциям для синхронизации пользователей из консоли администратора Google.

Синхронизация организационных единиц в Google

Можно синхронизировать организационные единицы в Google с каталогом Google, где включена синхронизация в Admin Console. Каждая организационная единица (в том числе корневая) в консоли администратора Google синхронизируется как отдельная группа вместе со связанными пользователями.

Например, в консоли администратора Google есть три пользователя (пользователь A, пользователь B и пользователь C) в разных организационных единицах. В следующей таблице показано, как эти пользователи будут добавлены в соответствующие группы в Adobe Admin Console (пользователь B и пользователь C добавляются в несколько групп):

Прежде чем синхронизировать организационные единицы Google с Adobe Admin Console, их следует настроить в соответствии с вашими лицензионными требованиями.

Затем войдите в консоль администратора Google и перейдите к разделу Приложения > Веб- и мобильные приложения > выберите Приложение Adobe SAML > перейдите к разделу Автоподготовка > выберите Изменить сопоставление атрибутов.

В окне Атрибуты выберите Путь организационного подразделения из выпадающего списка рядом с атрибутом приложения urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit.

Изменение настроек синхронизации

Системный администратор может обновить настройки в разделе Источник синхронизации после завершения настройки, для этого необходимо выбрать Перейти к настройкам на вкладке Настройки каталога > Синхронизация. Возможности настройки:

Удалить синхронизацию

Администраторы могут удалить синхронизацию из федеративного каталога в Admin Console. При удалении синхронизации каталог и связанные с ним домены, группы пользователей и сами пользователи остаются без изменений. При этом для каталога и его пользователей и групп удаляется режим «только для чтения».

Чтобы удалить синхронизацию из каталога, выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация, после чего нажмите Удалить синхронизацию. Кроме того, отключите автоматическую синхронизацию для приложения Adobe SAML в консоли администратора Google, чтобы не попасть в карантин. Это действие навсегда удаляет настройку синхронизации из Adobe Admin Console. При необходимости вы можете восстановить синхронизацию повторно с тем же или другим каталогом.

Отключение пользователей

При внедрении Google Sync создаются новые объединенные учетные записи пользователей и выполняется синхронизация пользователей с Adobe Admin Console. Администраторы также могут отменить подготовку пользователей и групп, добавленных через Google Sync, с помощью следующих трех методов (в консоли администратора Google):

• удаление или приостановка доступа пользователей к Google Workspace;
  
• удаление всех групп, связанных с пользователями, из Области подготовки;
• отключение приложения Adobe SAML для связанных организационных единиц в Google Workspace.

Эти три операции блокируют пользователей в Adobe Admin Console. Заблокированный пользователь больше не может войти в систему и имеет статус Отключен в списке Пользователи каталога. Google Sync будет по-прежнему управлять пользователем, подготовка которого была отменена с помощью одного из этих методов. Ни учетная запись пользователя, ни его ресурсы, хранящиеся в облаке, не удалены из организации. 

Удаление пользователя и связанных с ним данных из Admin Console: чтобы удалить пользователя навсегда, выберите Перейти к настройкам на вкладке Настройки каталога > Синхронизация и нажмите Включить редактирование. После этого перейдите в раздел Пользователи > Пользователи каталога и выберите пользователя из списка, чтобы удалить окончательно его учетную запись.

Включенный режим редактирование позволяет редактировать синхронизированные данные в течение часа, прежде чем автоматически отключится. Мы рекомендуем вам нажать Отключить редактирование сразу после удаления пользователя, чтобы убедиться, что Admin Console отражает изменения в консоли администратора Google.

Политика карантина

В Adobe принята политика карантина для обработки многочисленных ошибочных вызовов во время операций синхронизации. 

Служба Adobe самостоятельно контролирует состояние синхронизации для проверки того, что частота ошибок превышает определенный порог в течение заданного периода времени. При достижении минимального порогового количества запросов, приводящих к ошибке, включается временный карантин, который приводит к отклонению всех вызовов и запросов на обновление из консоли администратора Google на определенный период времени, после чего вызовы будут снова приняты к исполнению для повторной попытки синхронизации. Если вызовы продолжают завершаться ошибкой, синхронизация помещается на карантин в течение длительного периода времени для временной проверки. Если Adobe инициирует карантин, это также может привести к последующему карантину в Google из-за отклоненных вызовов, которые будут учитываться при подсчете количества ошибок в Google. Обратите внимание, что Adobe оставляет за собой право обновлять параметры карантина на основе текущей аналитики данных.

Распространенные сообщения об ошибках

При управлении синхронизацией Google Sync из консоли администратора Google используется набор сообщений о типичных ошибках, которые отображаются для уведомления пользователя. Понимание причины различных сообщений об ошибке поможет устранить соответствующие ошибки в случае их возникновения.

Вы можете найти журналы синхронизации и журналы ошибок в разделе Автоматическая инициализация в приложении Adobe SAML в консоли администратора Google.>Узнайте подробнее о мониторинге вашего развертывания внутри консоли администратора Google.

Ошибки синхронизации ОЕ Google

Могут возникнуть ошибки синхронизации во время синхронизации организационных подразделений Google в Adobe Admin Console. В журналах Google отображаются следующие ошибки:

• Ошибка — глубина ОЕ больше 10: достигнут максимальный предел глубины
  
• Не удалось, поскольку атрибут ОЕ приведет к получению слишком длинных групп: имя группы не должно быть длиннее 256 символов.
• Ошибка — атрибут ОЕ содержит запрещенные символы для имен групп: имя ОЕ содержит запрещенные символы
  

Устранение неполадок

Поскольку Adobe Admin Console использует службу синхронизации Google, все проблемы с синхронизацией устраняются в консоли администратора Google. Для решения некоторых распространенных проблем см. инструкции Google по настройке. Если не удается найти решение, рекомендуем вам обратиться в службу поддержки клиентов Google за дополнительной помощью.

Выполните следующие инструкции для диагностирования проблемы с синхронизацией: