diff --git a/RELEASE_NOTES.md b/RELEASE_NOTES.md index a272688aa..c5a860f37 100644 --- a/RELEASE_NOTES.md +++ b/RELEASE_NOTES.md @@ -1,6 +1,6 @@ -# Release Notes for User Sync Tool Version 2.2 +# Release Notes for User Sync Tool Version 2.2.1 -These notes apply to v2.2 of 2017-07-13. +These notes apply to v2.2 of 2017-08-03. ## New Features @@ -30,6 +30,8 @@ These notes apply to v2.2 of 2017-07-13. [#254](https://github.com/adobe-apiplatform/user-sync.py/issues/254): Update windows libraries, reduce use of custom builds. +[#258](https://github.com/adobe-apiplatform/user-sync.py/issues/258): Correctly decrypt private keys in py3 (byte vs. str type compatibility). + ## Compatibility with Prior Versions This version is fully backwards-compatible with version 2.1.1. As mentioned above, there are new configuration settings for filtering group members and controlling network behavior, and there is a new command-line option for controlling the update strategy. See [the docs](https://adobe-apiplatform.github.io/user-sync.py) for full details about configuration. diff --git a/docs/Gemfile.lock b/docs/Gemfile.lock index d765edc2a..af0f393e9 100644 --- a/docs/Gemfile.lock +++ b/docs/Gemfile.lock @@ -1,13 +1,12 @@ GEM remote: https://rubygems.org/ specs: - activesupport (4.2.7) + activesupport (4.2.8) i18n (~> 0.7) - json (~> 1.7, >= 1.7.7) minitest (~> 5.1) thread_safe (~> 0.3, >= 0.3.4) tzinfo (~> 1.1) - addressable (2.5.0) + addressable (2.5.1) public_suffix (~> 2.0, >= 2.0.2) coffee-script (2.4.1) coffee-script-source @@ -17,65 +16,64 @@ GEM ethon (0.10.1) ffi (>= 1.3.0) execjs (2.7.0) - faraday (0.11.0) + faraday (0.12.2) multipart-post (>= 1.2, < 3) ffi (1.9.18) forwardable-extended (2.6.0) gemoji (3.0.0) - github-pages (127) - activesupport (= 4.2.7) - github-pages-health-check (= 1.3.3) - jekyll (= 3.4.1) + github-pages (146) + activesupport (= 4.2.8) + github-pages-health-check (= 1.3.5) + jekyll (= 3.4.5) jekyll-avatar (= 0.4.2) jekyll-coffeescript (= 1.0.1) jekyll-default-layout (= 0.1.4) - jekyll-feed (= 0.9.1) + jekyll-feed (= 0.9.2) jekyll-gist (= 1.4.0) - jekyll-github-metadata (= 2.3.1) + jekyll-github-metadata (= 2.5.1) jekyll-mentions (= 1.2.0) - jekyll-optional-front-matter (= 0.1.2) + jekyll-optional-front-matter (= 0.2.0) jekyll-paginate (= 1.1.0) - jekyll-readme-index (= 0.0.4) + jekyll-readme-index (= 0.1.0) jekyll-redirect-from (= 0.12.1) - jekyll-relative-links (= 0.3.0) + jekyll-relative-links (= 0.4.1) jekyll-sass-converter (= 1.5.0) - jekyll-seo-tag (= 2.1.0) + jekyll-seo-tag (= 2.2.3) jekyll-sitemap (= 1.0.0) jekyll-swiss (= 0.4.0) - jekyll-theme-architect (= 0.0.3) - jekyll-theme-cayman (= 0.0.3) - jekyll-theme-dinky (= 0.0.3) - jekyll-theme-hacker (= 0.0.3) - jekyll-theme-leap-day (= 0.0.3) - jekyll-theme-merlot (= 0.0.3) - jekyll-theme-midnight (= 0.0.3) - jekyll-theme-minimal (= 0.0.3) - jekyll-theme-modernist (= 0.0.3) - jekyll-theme-primer (= 0.1.7) - jekyll-theme-slate (= 0.0.3) - jekyll-theme-tactile (= 0.0.3) - jekyll-theme-time-machine (= 0.0.3) - jekyll-titles-from-headings (= 0.1.4) + jekyll-theme-architect (= 0.0.4) + jekyll-theme-cayman (= 0.0.4) + jekyll-theme-dinky (= 0.0.4) + jekyll-theme-hacker (= 0.0.4) + jekyll-theme-leap-day (= 0.0.4) + jekyll-theme-merlot (= 0.0.4) + jekyll-theme-midnight (= 0.0.4) + jekyll-theme-minimal (= 0.0.4) + jekyll-theme-modernist (= 0.0.4) + jekyll-theme-primer (= 0.3.1) + jekyll-theme-slate (= 0.0.4) + jekyll-theme-tactile (= 0.0.4) + jekyll-theme-time-machine (= 0.0.4) + jekyll-titles-from-headings (= 0.2.0) jemoji (= 0.8.0) kramdown (= 1.13.2) liquid (= 3.0.6) listen (= 3.0.6) mercenary (~> 0.3) - minima (= 2.0.0) - nokogiri (= 1.6.8.1) + minima (= 2.1.1) rouge (= 1.11.1) terminal-table (~> 1.4) - github-pages-health-check (1.3.3) + github-pages-health-check (1.3.5) addressable (~> 2.3) net-dns (~> 0.8) octokit (~> 4.0) public_suffix (~> 2.0) typhoeus (~> 0.7) - html-pipeline (2.5.0) + html-pipeline (2.6.0) activesupport (>= 2) nokogiri (>= 1.4) - i18n (0.8.1) - jekyll (3.4.1) + i18n (0.8.6) + jekyll (3.4.5) addressable (~> 2.4) colorator (~> 1.0) jekyll-sass-converter (~> 1.0) @@ -92,60 +90,60 @@ GEM coffee-script (~> 2.2) jekyll-default-layout (0.1.4) jekyll (~> 3.0) - jekyll-feed (0.9.1) + jekyll-feed (0.9.2) jekyll (~> 3.3) jekyll-gist (1.4.0) octokit (~> 4.2) - jekyll-github-metadata (2.3.1) + jekyll-github-metadata (2.5.1) jekyll (~> 3.1) octokit (~> 4.0, != 4.4.0) jekyll-mentions (1.2.0) activesupport (~> 4.0) html-pipeline (~> 2.3) jekyll (~> 3.0) - jekyll-optional-front-matter (0.1.2) + jekyll-optional-front-matter (0.2.0) jekyll (~> 3.0) jekyll-paginate (1.1.0) - jekyll-readme-index (0.0.4) + jekyll-readme-index (0.1.0) jekyll (~> 3.0) jekyll-redirect-from (0.12.1) jekyll (~> 3.3) - jekyll-relative-links (0.3.0) + jekyll-relative-links (0.4.1) jekyll (~> 3.3) jekyll-sass-converter (1.5.0) sass (~> 3.4) - jekyll-seo-tag (2.1.0) + jekyll-seo-tag (2.2.3) jekyll (~> 3.3) jekyll-sitemap (1.0.0) jekyll (~> 3.3) jekyll-swiss (0.4.0) - jekyll-theme-architect (0.0.3) + jekyll-theme-architect (0.0.4) jekyll (~> 3.3) - jekyll-theme-cayman (0.0.3) + jekyll-theme-cayman (0.0.4) jekyll (~> 3.3) - jekyll-theme-dinky (0.0.3) + jekyll-theme-dinky (0.0.4) jekyll (~> 3.3) - jekyll-theme-hacker (0.0.3) + jekyll-theme-hacker (0.0.4) jekyll (~> 3.3) - jekyll-theme-leap-day (0.0.3) + jekyll-theme-leap-day (0.0.4) jekyll (~> 3.3) - jekyll-theme-merlot (0.0.3) + jekyll-theme-merlot (0.0.4) jekyll (~> 3.3) - jekyll-theme-midnight (0.0.3) + jekyll-theme-midnight (0.0.4) jekyll (~> 3.3) - jekyll-theme-minimal (0.0.3) + jekyll-theme-minimal (0.0.4) jekyll (~> 3.3) - jekyll-theme-modernist (0.0.3) + jekyll-theme-modernist (0.0.4) jekyll (~> 3.3) - jekyll-theme-primer (0.1.7) + jekyll-theme-primer (0.3.1) jekyll (~> 3.3) - jekyll-theme-slate (0.0.3) + jekyll-theme-slate (0.0.4) jekyll (~> 3.3) - jekyll-theme-tactile (0.0.3) + jekyll-theme-tactile (0.0.4) jekyll (~> 3.3) - jekyll-theme-time-machine (0.0.3) + jekyll-theme-time-machine (0.0.4) jekyll (~> 3.3) - jekyll-titles-from-headings (0.1.4) + jekyll-titles-from-headings (0.2.0) jekyll (~> 3.3) jekyll-watch (1.5.0) listen (~> 3.0, < 3.1) @@ -154,42 +152,46 @@ GEM gemoji (~> 3.0) html-pipeline (~> 2.2) jekyll (>= 3.0) - json (1.8.6) kramdown (1.13.2) liquid (3.0.6) listen (3.0.6) rb-fsevent (>= 0.9.3) rb-inotify (>= 0.9.7) mercenary (0.3.6) - mini_portile2 (2.1.0) - minima (2.0.0) - minitest (5.10.1) + mini_portile2 (2.2.0) + minima (2.1.1) + jekyll (~> 3.3) + minitest (5.10.3) multipart-post (2.0.0) net-dns (0.8.0) - nokogiri (1.6.8.1) - mini_portile2 (~> 2.1.0) - octokit (4.6.2) + nokogiri (1.8.0) + mini_portile2 (~> 2.2.0) + octokit (4.7.0) sawyer (~> 0.8.0, >= 0.5.3) pathutil (0.14.0) forwardable-extended (~> 2.6) public_suffix (2.0.5) - rb-fsevent (0.9.8) - rb-inotify (0.9.8) - ffi (>= 0.5.0) + rb-fsevent (0.10.2) + rb-inotify (0.9.10) + ffi (>= 0.5.0, < 2) rouge (1.11.1) safe_yaml (1.0.4) - sass (3.4.23) + sass (3.5.1) + sass-listen (~> 4.0.0) + sass-listen (4.0.0) + rb-fsevent (~> 0.9, >= 0.9.4) + rb-inotify (~> 0.9, >= 0.9.7) sawyer (0.8.1) addressable (>= 2.3.5, < 2.6) faraday (~> 0.8, < 1.0) - terminal-table (1.7.3) - unicode-display_width (~> 1.1.1) + terminal-table (1.8.0) + unicode-display_width (~> 1.1, >= 1.1.1) thread_safe (0.3.6) typhoeus (0.8.0) ethon (>= 0.8.0) - tzinfo (1.2.2) + tzinfo (1.2.3) thread_safe (~> 0.1) - unicode-display_width (1.1.3) + unicode-display_width (1.3.0) PLATFORMS ruby diff --git a/docs/de/FAQ/index.md b/docs/de/FAQ/index.md index 10aa825d6..6c669b33d 100644 --- a/docs/de/FAQ/index.md +++ b/docs/de/FAQ/index.md @@ -60,11 +60,11 @@ In den meisten Beispielen wird lediglich eine einzige Adobe-Benutzergruppe oder Nein, die Benutzersynchronisation behandelt Drosselung und Wiederholungsversuche. So kann die Drosselung möglicherweise den Benutzer-Synchronisations-Gesamtprozess verlangsamen. Es wird jedoch kein Problem durch die Drosselung verursacht und die Benutzersynchronisation schließt alle Vorgänge ordnungsgemäß ab. -Adobe-Systeme schützen sich selbst vor Überlastung, indem das Aufkommen eingehender Anforderungen verfolgt wird. Sollte dieses die Grenzwerte überschreiten, geben Anforderungen einen Header vom Typ „retry-after“ zurück, der angibt, wann die entsprechende Kapazität wieder verfügbar sein wird. Die Benutzersynchronisation berücksichtigt diese Header und wartet den angegebenen Zeitraum, bevor ein Neuversuch unternommen wird. Weitere Informationen, einschließlich von Codebeispielen, finden Sie in der [User Management API-Dokumentation](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/throttling.html). +Adobe-Systeme schützen sich selbst vor Überlastung, indem das Aufkommen eingehender Anforderungen verfolgt wird. Sollte dieses die Grenzwerte überschreiten, geben Anforderungen einen Header vom Typ „retry-after“ zurück, der angibt, wann die entsprechende Kapazität wieder verfügbar sein wird. Die Benutzersynchronisation berücksichtigt diese Header und wartet den angegebenen Zeitraum, bevor ein Neuversuch unternommen wird. Weitere Informationen, einschließlich von Codebeispielen, finden Sie in der [User Management API-Dokumentation](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## Besteht eine lokale Liste der erstellten/aktualisierten Benutzer (auf Benutzer-Synchronisations-Seite), um die Aufrufe von Adobe-Servern zu reduzieren? -Nein, die Benutzersynchronisation fragt stets die Adobe-Benutzerverwaltungssysteme ab, um bei Ausführung aktuelle Informationen abzurufen. +Mit Ausnahme des folgenden Falls, fragt die Benutzersynchronisation stets die Adobe-Benutzerverwaltungssysteme ab, um bei Ausführung aktuelle Informationen abzurufen. Im Benutzer-Synchronisationstool ab der Version 2.2, gibt es eine Option, mit der – unabhängig vom aktuellen Benutzerstatus im Adobe-Benutzerverwaltungssystem – diese Abfrage verhindert werden kann und Updates per Push zu Adobe übertragen werden können. Wenn Sie feststellen können, welche Benutzer im lokalen Verzeichnis geändert wurden und sicher sind, dass auf Adobe-Seite keine anderen Benutzer geändert wurden, kann diese Vorgehensweise die Laufzeit (und somit Netzwerknutzung) Ihrer Synchronisationsprozesse verkürzen. ### Ist das Benutzer-Synchronisationstool auf Federated IDs beschränkt oder können beliebige Typen von IDs erstellt werden? @@ -104,9 +104,5 @@ Ja, alle Unternehmenskunden haben Zugriff auf die UMAPI und die Benutzersynchron ### Wie steht es mit der Internationalisierung des Benutzer-Synchronisationstools? Ist es für die internationale Verwendung geeignet (d. h. wird zumindest die Eingabe von Doppelbyte-Zeichen unterstützt)? -Python 2.7 (die Sprache, in der das Tool geschrieben ist) unterscheidet zwischen „str“ (8-Bit-Zeichenfolgen) und „unicode“ (8-Bit-Zeichenfolgen mit erzwungener UTF-8-Codierung) und im Code des Benutzer-Synchronisationstools wird durchgehend „str“ und nicht „unicode“ verwendet. Sämtliche Ausgaben des Tools sind jedoch UTF-8-codiert, und wenn die Eingaben UTF-8-codiert sind, sollten keine Probleme auftreten. Dies wurde oberflächlich getestet, wobei keine Probleme festgestellt wurden – weitere Tests sind geplant. +Bei früheren Versionen des Benutzer-Synchronisationstools war die Unterstützung internationaler Zeichen fehlerhaft, wenngleich die Verarbeitung UTF-8-kodierter Datenquellen recht zuverlässig war. Seit Version 2.2 unterstützt das Benutzer-Synchronisationstool alle Unicode-Zeichensätze und kann Konfigurationsdateien und Ordner sowie Datenquellen aus Tabellenkalkulationsprogrammen mit beliebiger Zeichenkodierung verarbeiten (wobei als Standard von UTF-8 ausgegangen wird). -Wir planen eine Erweiterung, um die Ausführung des Tools sowohl in Python 3 als auch in Python 2 zu ermöglichen. -Derzeit können wir sicher sein, dass mit Unicode keinerlei Probleme auftreten werden, da die Typen in Python 3 zusammengeführt werden. Kunden, für die dies relevant ist, sollten einen Build für Python 3 erstellen. - - diff --git a/docs/de/index.md b/docs/de/index.md index 9f72cf273..02c4c3266 100644 --- a/docs/de/index.md +++ b/docs/de/index.md @@ -15,22 +15,14 @@ Das Benutzer-Synchronisationstool ist ein Befehlszeilenwerkzeug, das Benutzer- u Bei jeder Ausführung des Benutzer-Synchronisationstools wird nach Unterschieden zwischen den Benutzer- und Gruppeninformationen in beiden Systemen gesucht und das Adobe-Verzeichnis wird so aktualisiert, dass es die Informationen in Ihrem Verzeichnis widerspiegelt. -# [Einrichtungs- und Nutzungshandbuch](success-guide/index.md) +# Einrichtungs- und Nutzungshandbuch Für den schnellen Einstieg in die Arbeit mit dem Benutzer-Synchronisationstool empfiehlt es sich, das [Einrichtungs- und Nutzungshandbuch](success-guide/index.md) durchzulesen. Hier finden Sie schrittweise Anweisungen zum Einrichten der erforderlichen Konfigurationsdateien und zum Ausführen des Tools. -# [Benutzerhandbuch](user-manual/index.md) +# Benutzerhandbuch Sämtliche Einzelheiten zur Verwendung des Benutzer-Synchronisationstools, u. a. zur Einrichtung für eine Reihe unterschiedlicher typischer Verwendungsszenarien, finden Sie im [Benutzerhandbuch](user-manual/index.md). Dieses ist zugleich Ihr Ausgangspunkt für das Anpassen des Verhaltens des Benutzer-Synchronisationstools. Es enthält Anweisungen zum Erstellen benutzerdefinierter Zuordnungen zwischen Verzeichnisinformationen des Kunden und Daten auf Adobe-Seite. -# [Häufige Fragen](FAQ/index.md) +# Häufige Fragen Wir haben ein [Dokument mit häufigen Fragen](FAQ/index.md) zusammengestellt, in dem Sie Antworten auf viele Fragen finden. - -# Verfügbare Übersetzungen - -* [Englisch](../en) -* [Deutsch](../de) -* [Français](../fr) -* [日本語](../jp) -* [Español](../es) diff --git a/docs/de/success-guide/images/decide_deletion_multi_org.png b/docs/de/success-guide/images/decide_deletion_multi_org.png index e4a277fa3..5f2732e0b 100644 Binary files a/docs/de/success-guide/images/decide_deletion_multi_org.png and b/docs/de/success-guide/images/decide_deletion_multi_org.png differ diff --git a/docs/de/success-guide/images/layout_orgs_multi.png b/docs/de/success-guide/images/layout_orgs_multi.png index 1c2e4a70d..69b74fc9b 100644 Binary files a/docs/de/success-guide/images/layout_orgs_multi.png and b/docs/de/success-guide/images/layout_orgs_multi.png differ diff --git a/docs/de/success-guide/images/layout_orgs_multi_dir_multi_org.png b/docs/de/success-guide/images/layout_orgs_multi_dir_multi_org.png index f92bfa259..6a8f3f0e6 100644 Binary files a/docs/de/success-guide/images/layout_orgs_multi_dir_multi_org.png and b/docs/de/success-guide/images/layout_orgs_multi_dir_multi_org.png differ diff --git a/docs/de/success-guide/images/layout_orgs_multi_dir_single_org.png b/docs/de/success-guide/images/layout_orgs_multi_dir_single_org.png index 6b443a2b2..dc27f4dca 100644 Binary files a/docs/de/success-guide/images/layout_orgs_multi_dir_single_org.png and b/docs/de/success-guide/images/layout_orgs_multi_dir_single_org.png differ diff --git a/docs/de/success-guide/images/layout_orgs_simple.PNG b/docs/de/success-guide/images/layout_orgs_simple.PNG index b05b6e57a..ac051c118 100644 Binary files a/docs/de/success-guide/images/layout_orgs_simple.PNG and b/docs/de/success-guide/images/layout_orgs_simple.PNG differ diff --git a/docs/de/success-guide/images/layout_products_map.png b/docs/de/success-guide/images/layout_products_map.png index f48da4809..b52eeaeda 100644 Binary files a/docs/de/success-guide/images/layout_products_map.png and b/docs/de/success-guide/images/layout_products_map.png differ diff --git a/docs/de/success-guide/images/setup_config_group_map.png b/docs/de/success-guide/images/setup_config_group_map.png index 427f6c24b..299d41b9f 100644 Binary files a/docs/de/success-guide/images/setup_config_group_map.png and b/docs/de/success-guide/images/setup_config_group_map.png differ diff --git a/docs/de/success-guide/index.md b/docs/de/success-guide/index.md index a8bc5fc88..a10c892a6 100644 --- a/docs/de/success-guide/index.md +++ b/docs/de/success-guide/index.md @@ -3,12 +3,12 @@ layout: page title: Einrichtungs- und Nutzungshandbuch advertise: Einrichtungs- und Nutzungshandbuch lang: de -nav_link: Setup-Handbuch – Inhaltsverzeichnis +nav_link: Einrichtungs- und Nutzungshandbuch nav_level: 1 nav_order: 100 --- -Version 1.1, veröffentlicht am 06.03.2017 +Version 2.1.1, veröffentlicht am 09.06.2017 In diesem Dokument finden Sie Anleitungen zum Kennenlernen und Einrichten des Benutzer-Synchronisationstools. diff --git a/docs/de/user-manual/advanced_configuration.md b/docs/de/user-manual/advanced_configuration.md index 4a26380aa..5baada295 100644 --- a/docs/de/user-manual/advanced_configuration.md +++ b/docs/de/user-manual/advanced_configuration.md @@ -303,20 +303,121 @@ Wenn Sie verhindern möchten, dass das Benutzer-Synchronisationstool diese Konte ## Arbeiten mit verschachtelten Verzeichnisgruppen in Active Directory -Hinweis: Die ursprünglich in diesem Abschnitt beschriebene Vorgehensweise funktionierte nicht ordnungsgemäß. Das Problem wird in einer späteren Version gelöst. +Hinweis: Vor Version 2.2 wurden vom Benutzer-Synchronisationstool keine verschachtelten Gruppen unterstützt. -Wenn Ihre Verzeichnisgruppen verschachtelt strukturiert sind, sodass sich die Benutzer nicht in einer einfachen benannten Verzeichnisgruppe befinden, müssen Sie komplexere LDAP-Abfragen ausführen, um die Benutzer aufzulisten. Die verschachtelte Gruppenstruktur könnte z. B. wie folgt aussehen: +Seit Version 2.2 kann das Benutzer-Synchronisationstool so konfiguriert werden, dass es alle Benutzer in verschachtelten Verzeichnisgruppen erkennt. Wie Sie das machen, wird in den Beispielkonfigurationsdateien gezeigt. Konkret legen Sie in der Konfigurationsdatei `connector-ldap.yml` den `group_member_filter` folgendermaßen fest: + group_member_filter_format: "(memberOf:1.2.840.113556.1.4.1941:={group_dn})" + +Damit werden Gruppenmitglieder gefunden, die sich entweder direkt in einer benannten Gruppe oder indirekt in der aktuellen Gruppe befinden. + +Die verschachtelte Gruppenstruktur könnte etwa wie folgt aussehen: All_Divisions - Blue_Division - User1@example.com - User2@example.com - Green_Division - User3@example.com - User4@example.com - -Dies wird in einer späteren Version des Benutzer-Synchronisationstools als transparenter Vorgang unterstützt. + Blue_Division + User1@example.com + User2@example.com + Green_Division + User3@example.com + User4@example.com + +All_Divisions können Sie einer Adobe-Benutzergruppe oder Produktkonfiguration im Abschnitt `groups:` der Hauptkonfigurationsdatei zuordnen und group_member_filter können Sie wie oben gezeigt festlegen. Dadurch werden alle Benutzer, die direkt in All_Divisions enthalten sind oder in einer Gruppe, die sich direkt oder indirekt in All_Divisions befindet, als Mitglied der Verzeichnisgruppe All_Divisions behandelt. + +## Push-Verfahren zum Steuern der Benutzersynchronisation + +Seit Version 2.2 des Benutzer-Synchronisationstools ist es möglich, Push-Benachrichtigungen direkt an das Benutzerverwaltungssystem von Adobe zu leiten ohne alle Informationen von Adobe und Ihrem Unternehmensverzeichnis lesen zu müssen. Die Verwendung von Push-Benachrichtigungen verringert zwar die Verarbeitungszeit und den Datenverkehr, hat aber den Nachteil, dass Fehler oder Änderungen, die auf andere Weise vorgenommen wurden, nicht automatisch korrigiert werden. Auch muss bei erforderlichen Änderungen besser aufgepasst werden. + +In den folgenden Fällen sollten Sie eine Push-Strategie in Erwägung ziehen: + +- Sie haben eine ausgesprochen hohe Anzahl an Adobe-Benutzern. +- Sie nehmen im Verhältnis zur Gesamtbenutzerpopulation nur wenige Ergänzungen/Änderungen/Löschungen vor. +- Sie verfügen über einen Prozess oder Tools zur Identifikation von Benutzern, die automatisiert geändert worden sind (durch Hinzufügen, Löschen oder Ändern von Attributen oder Gruppen). +- Sie verfügen über einen Prozess, der von ausscheidenden Benutzern zuerst die Produktberechtigungen entfernt und dann (nach einer gebührenden Wartezeit) deren Konten löscht. + +Durch die Push-Strategie sparen Sie sich den Aufwand, auf beiden Seiten eine hohe Benutzeranzahl einlesen zu müssen. Das funktioniert aber nur, wenn Sie die spezifischen Benutzer, die aktualisiert werden müssen, isolieren können (etwa indem Sie sie in eine eigene Gruppe stellen). + +Um Push-Benachrichtigung einsetzen zu können, müssen Sie in der Lage sein, erforderliche Aktualisierungen uneingeschränkt in einer separaten Datei oder Verzeichnisgruppe zusammenzutragen. Außerdem müssen gelöschte Benutzer von Ergänzungen und Aktualisierungen abgesondert werden. Aktualisierungen und Löschungen werden dann in separaten Aufrufen des Benutzer-Synchronisationstools durchgeführt. + +Beim Einsatz von Push-Verfahren mit dem Benutzer-Synchronisationstool sind verschiedene Ansätze möglich. In den nächsten Abschnitten wird der von uns empfohlene Ansatz erläutert. Für ein konkretes Beispiel nehmen wir einmal an, es wurden zwei Adobe-Produkte erworben, die mit dem Benutzer-Synchronisationstool von Creative Cloud und mit Acrobat Pro verwaltet werden müssen. Um den Zugriff zu regeln, haben Sie zwei Produktkonfigurationen mit den Namen Creative_Cloud und Acrobat_Pro erstellt sowie zwei Verzeichnisgruppen mit den Namen cc_users und acrobat_users. +Die Zuordnung in der Konfigurationsdatei des Benutzer-Synchronisationstools würde wie folgt aussehen: + + groups: + - directory_group: acrobat_users + adobe_groups: + - "Acrobat_Pro" + - directory_group: cc_users + adobe_groups: + - "Creative_Cloud" + + + +### Verwenden einer speziellen Verzeichnisgruppe zur Steuerung des Push-Vorgangs des Benutzer-Synchronisationstools + +Eine zusätzliche Verzeichnisgruppe wird erstellt, um die zu aktualisierenden Benutzer zu erfassen. Verwenden Sie beispielsweise eine Verzeichnisgruppe mit dem Namen `updated_adobe_users` für neue oder aktualisierte Benutzer (diejenigen, deren Gruppenmitgliedschaft sich geändert hat). Durch Entfernen von Benutzern aus beiden zugeordneten Gruppen, werden erteilte Produktzugriffe widerrufen und die Lizenzen dieser Benutzer werden wieder frei. + +Um die Ergänzungen und Aktualisierungen zu verarbeiten, geben Sie folgende Befehlszeile an: + + user-sync –t --strategy push --process-groups --users group updated_adobe_users + +`--strategy push` sorgt dafür, dass das Benutzer-Synchronisationstool nicht zuerst das Verzeichnis auf Adobe-Seite liest, sondern stattdessen nur die Aktualisierungen zu Adobe überträgt. + +Das `-t` sorgt dafür, dass die Synchronisation im Testmodus ausgeführt wird. Wenn Sie den Eindruck haben, dass die Aktionen so ausgeführt werden wie erwartet, entfernen Sie das „-t“, damit das Benutzer-Synchronisationstool die Änderungen tatsächlich vornimmt. + +Wird `--strategy push` angegeben, werden die Benutzerdaten an Adobe übertragen, wobei alle ihnen zugeordnete Gruppen *hinzugefügt* werden. Keine der zugeordneten Gruppen sollten *entfernte* Benutzer enthalten. Auf diese Weise werden Benutzer, die aus einer Verzeichnisgruppe in eine andere verschoben wurden, wo sie andere Zuordnungen haben, beim nächsten Push-Vorgang auch auf Adobe-Seite verlagert. + +Bei diesem Ansatz werden keine Konten gelöscht oder entfernt, aber der Zugriff auf die entsprechenden Produkte wird widerrufen und die zugehörigen Lizenzen werden freigesetzt. Zum Löschen von Konten ist ein anderen Ansatz erforderlich, der im nächsten Abschnitt beschrieben wird. + +Dieser Ansatz umfasst die folgenden Schritte: + +- Immer, wenn Sie einen neuen Benutzer hinzufügen oder die Gruppen eines Benutzers im Verzeichnis ändern (dazu gehört auch das Entfernen aus allen Gruppen, wobei im Wesentlichen alle Produktberechtigungen deaktiviert werden) fügen Sie diesen Benutzer auch zur Gruppe „updated_adobe_users“ hinzu. +- Einmal täglich (oder zu einem anderen von Ihnen gewählten Zeitintervall) führen Sie einen Synchronisationsauftrag mit dem oben angegebenen Parametern aus. +- Dieser Auftrag bewirkt, dass notwendigenfalls alle aktualisierten Benutzer erstellt werden und ihnen zugeordnete Gruppen auf Adobe-Seite aktualisiert werden. +- Sobald der Auftrag ausgeführt wurde, entfernen Sie die Benutzer aus der Gruppe „updated_adobe_users“ (da ihre Änderungen ja soeben übertragen worden sind). + +Sie können aber auch jederzeit einen Benutzersynchronisationsauftrag im regulären Modus (ohne Push-Vorgang) ausführen und die volle Funktionalität des Benutzer-Synchronisationstools nutzen. Dabei werden etwaige Änderungen, die möglicherweise ausgelassen wurden, übernommen, Änderungen, die zuvor nicht vorgenommen wurden, korrigiert und/oder Kontolöschungen durchgeführt. Die Befehlszeile würde in etwa so aussehen: + + user-sync --process-groups --users mapped --adobe-only-user-action remove + + +### Verwenden einer Datei zur Steuerung des Push-Vorgangs des Benutzer-Synchronisationstools + +Sie können auch eine Datei als Eingabe für das Benutzer-Synchronisationstool verwenden. In diesem Fall greift das Benutzer-Synchronisationstool nicht auf das Verzeichnis selbst zu. Sie können die Dateien manuell erstellen (eine für Ergänzungen und Aktualisierungen und eine zweite für Löschungen) oder über ein Skript, das die Informationen aus einer anderen Quelle bezieht. + +Erstellen Sie eine Datei mit dem Namen „users-file.csv“, die Informationen über die Benutzer enthält, die hinzuzufügen bzw. zu aktualisieren sind. Hier ein Beispiel für eine solche Datei: + + firstname,lastname,email,country,groups,type,username,domain + Jane 1,Doe,jdoe1+1@example.com,US,acrobat_users + Jane 2,Doe,jdoe2+2@example.com,US,"cc_users,acrobat_users" + +Die Befehlszeile zum Übertragen von Aktualisierungen aus der Datei lautet wie folgt: + + user-sync –t --strategy push --process-groups --users file users-file.csv + +Führen Sie diese Befehlszeile ohne das `-t` aus, wenn Sie soweit sind, dass die Aktionen tatsächlich ausgeführt werden dürfen. + +Zum Entfernen von Benutzern wird eine separate Datei mit einem anderen Format erstellt. Hier ein Beispiel für den Inhalt: + + type,username,domain + adobeID,jimbo@gmail.com, + enterpriseID,jsmith1@ent-domain-example.com, + federatedID,jsmith2,user-login-fed-domain.com + federatedID,jsmith3@email-login-fed-domain.com, + +Jeder Eintrag muss den Identitätstyp, die E-Mail-Adresse des Benutzers oder den Benutzernamen enthalten sowie, für den Identitätstyp „Federated“, der für die Anmeldung per Benutzername festgelegt wird, die Domäne. + +Hier die Befehlszeile für die Verarbeitung von Löschungen mithilfe einer solchen Datei (die z. B. den Namen „remove-list.csv“ hat): + + user-sync -t --adobe-only-user-list remove-list.csv --adobe-only-user-action remove + +Die Aktion „remove“ könnte etwa „remove-adobe-groups“ sein (um das Konto in der Organisation zu erhalten) oder „delete“ (um das Konto zu löschen). Beachten Sie zudem, dass `-t`für den Testmodus steht. + +Dieser Ansatz umfasst die folgenden Schritte: + +- Immer, wenn Sie einen neuen Benutzer hinzufügen oder die Gruppen eines Benutzers im Verzeichnis ändern (dazu gehört auch das Entfernen aus allen Gruppen, wobei im Wesentlichen alle Produktberechtigungen deaktiviert werden), fügen Sie auch einen Eintrag in die Datei „users-file.csv“ ein, die die Gruppen enthält, in denen der Benutzer sein sollte. Dies könnten mehr oder weniger Gruppen als bisher sein. +- Immer, wenn ein Benutzer entfernt werden muss, fügen Sie einen Eintrag in die Datei „remove-list.csv“ ein. +- Einmal täglich (oder zu einem anderen von Ihnen gewählten Zeitintervall) führen Sie die beiden Synchronisationsaufträge mit dem oben angegebenen Parametern aus. (eine für Ergänzungen und Aktualisierungen und eine zweite für Löschungen). +- Durch diese Aufträge werden auf Adobe-Seite die zugeordneten Gruppen aller aktualisierten Benutzer aktualisiert und entfernte Benutzer werden entfernt. +- Nachdem der Auftrag ausgeführt wurde, löschen Sie den Dateiinhalt (da die Änderungen ja übertragen worden sind), damit die Datei für den nächsten Satz an Benutzerdaten vorbereitet ist. --- diff --git a/docs/de/user-manual/command_parameters.md b/docs/de/user-manual/command_parameters.md index 199d94521..43ef51c7a 100644 --- a/docs/de/user-manual/command_parameters.md +++ b/docs/de/user-manual/command_parameters.md @@ -23,7 +23,7 @@ Das Tool akzeptiert optionale Parameter, die sein spezifisches Verhalten in dive | Parameter und Angaben zu Argumenten | Beschreibung | |------------------------------|------------------| -| `-h`
`--help` | Diese Hilfemeldung wird angezeigt und der Vorgang beendet. | +| `-h`
`--help` | Eine Hilfemeldung wird angezeigt und der Vorgang beendet. | | `-v`
`--version` | Die Versionsnummer des Programms wird angezeigt und der Vorgang beendet. | | `-t`
`--test-mode` | API-Aktionsaufrufe werden im Testmodus ausgeführt (Änderungen werden nicht ausgeführt). Es werden die Aktionen protokolliert, die ausgeführt werden würden. | | `-c` _dateiname_
`--config-filename` _dateiname_ | Der komplette Pfad zur Hauptkonfigurationsdatei; ein absoluter Pfad oder ein Pfad relativ zum Arbeitsordner. Der Standarddateiname lautet „user-sync-config.yml“ | @@ -32,7 +32,9 @@ Das Tool akzeptiert optionale Parameter, die sein spezifisches Verhalten in dive | `--update-user-info` | Bei dieser Angabe werden Benutzerinformationen synchronisiert. Wenn sich die Informationen auf der Unternehmensverzeichnisseite und der Adobe-Seite unterscheiden, wird die Adobe-Seite aktualisiert, sodass Übereinstimmung hergestellt wird. Hierzu zählen die Felder „firstname“ und „lastname“. | | `--process-groups` | Bei dieser Angabe werden Informationen zur Gruppenmitgliedschaft synchronisiert. Wenn sich die Mitgliedschaft in zugeordneten Gruppen auf Unternehmensverzeichnisseite und Adobe-Seite unterscheiden, wird die Gruppenmitgliedschaft auf Adobe-Seite aktualisiert, sodass Übereinstimmung hergestellt wird. Dabei werden u. a. Gruppenmitgliedschaften für Adobe-Benutzer entfernt, die nicht auf der Verzeichnisseite aufgelistet sind (es sei denn, die Option `--adobe-only-user-action exclude` ist ebenfalls ausgewählt) | | `--adobe-only-user-action preserve`
`--adobe-only-user-action remove-adobe-groups`
`--adobe-only-user-action remove`
`--adobe-only-user-action delete`

`--adobe-only-user-action write-file` dateiname

`--adobe-only-user-action exclude` | Bei dieser Angabe gilt Folgendes: Wenn Benutzerkonten auf Adobe-Seite gefunden werden, die im Verzeichnis nicht vorhanden sind, ist die angegebene Aktion auszuführen.

`preserve`: Es wird keine Aktion in Bezug auf die Löschung von Konten ausgeführt. Dies ist die Standardeinstellung. Möglicherweise treten dennoch Änderungen der Gruppenmitgliedschaft auf, wenn die Option `--process-groups` angegeben wurde.

`remove-adobe-groups`: Das Konto wird aus Benutzergruppen und Produktkonfigurationen entfernt, alle belegten Lizenzen werden freigegeben; es wird jedoch als aktives Konto in der Organisation beibehalten.

`remove`: Zusätzlich zu „remove-adobe-groups“ wird das Konto auch aus der Organisation entfernt, das Benutzerkonto verbleibt jedoch mit seinen zugeordneten Elementen in der Domäne und kann der Organisation ggf. wieder hinzugefügt werden.

`delete`: Neben der Aktion zum Entfernen wird das Konto entfernt, wenn seine Domäne im Besitz der Organisation ist.

`write-file`: Es wird keine Aktion in Bezug auf die Löschung von Konten ausgeführt. Die Liste der Benutzerkonten, die auf Adobe-Seite, jedoch nicht im Verzeichnis vorhanden sind, wird in die angegebene Datei geschrieben. Sie können diese Datei in einer späteren Ausführung an das Argument `--adobe-only-user-list` übergeben. Möglicherweise treten dennoch Änderungen der Gruppenmitgliedschaft auf, wenn die Option `--process-groups` angegeben wurde.

`exclude`: Es wird keine Aktualisierung, gleich welcher Art, auf die Benutzer angewendet, die lediglich auf Adobe-Seite vorhanden sind. Dies wird verwendet, wenn Aktualisierungen bestimmter Benutzer über eine Datei (--users file f) vorgenommen werden, wobei in der Datei nur Benutzer aufgelistet sind, für die ausdrücklich eine Aktualisierung benötigt wird, und alle übrigen Benutzer werden ignoriert.

Es werden nur zulässige Aktionen ausgeführt. Konten vom Typ adobeID sind im Besitz des Benutzers, sodass die Löschaktion die gleiche Wirkung wie das Entfernen hat. Dies gilt auch für Adobe-Konten, die im Besitz anderer Organisationen sind. | -| `adobe-only-user-list` _dateiname_ | Hiermit wird eine Datei angegeben, aus der eine Liste von Benutzern gelesen wird. Diese Liste wird als definitive Liste der „Nur Adobe“-Benutzerkonten verwendet, für die Aktionen auszuführen sind. Eine der Anweisungen für `--adobe-only-user-action` muss ebenfalls angegeben werden und die zugehörige Aktion wird auf die Benutzerkonten in der Liste angewendet. Die Option `--users` ist nicht zulässig, wenn diese Option vorhanden ist: Es können nur Entfernungsaktionen verarbeitet werden. | +| `--adobe-only-user-list` _dateiname_ | Hiermit wird eine Datei angegeben, aus der eine Liste von Benutzern gelesen wird. Diese Liste wird als definitive Liste der „Nur Adobe“-Benutzerkonten verwendet, für die Aktionen auszuführen sind. Eine der Anweisungen für `--adobe-only-user-action` muss ebenfalls angegeben werden und die zugehörige Aktion wird auf die Benutzerkonten in der Liste angewendet. Die Option `--users` ist nicht zulässig, wenn diese Option vorhanden ist: Es können nur Entfernungsaktionen verarbeitet werden. | +| `--config-file-encoding` _encoding_name_ | Optional. Legt die Zeichenkodierung für den Inhalt der Konfigurationsdateien selbst fest. Dazu zählen die Hauptkonfigurationsdatei, „user-sync-config.yml“, sowie andere Konfigurationsdateien, auf die verwiesen wird. Standard ist „utf8“ für das Benutzer-Synchronisationstool ab Version 2.2 und „ascii“ für frühere Versionen.
Die Zeichenkodierung in den Benutzerquelldaten (ob nun CSV oder LDAP) wird von den Connector-Konfigurationen deklariert. Diese Kodierung kann jedoch von der für die Konfigurationsdateien verwendeten Zeichenkodierung abweichen. (So könnte es etwa sein, dass Ihre Konfigurationsdatei in Latin-1 kodiert ist, während die CSV-Quelldatei UTF-8 verwendet.)
Welche Kodierungen verfügbar sind, hängt von der verwendeten Python-Version ab. Weitere Informationen finden Sie in der Dokumentation, und zwar [hier](https://docs.python.org/2.7/library/codecs.html#standard-encodings). | +| `--strategy sync`
`--strategy push` | Ab Version 2.2 verfügbar. Optional. Der Standardbetriebsmodus ist `--strategy sync`. Bestimmt, ob das Benutzer-Synchronisationstool Informationen von Adobe liest und mit den Verzeichnisinformationen vergleicht und dann die Aktualisierung an Adobe übermittelt („sync“) oder die Verzeichniseingabe einfach an Adobe überträgt ohne die vorhandenen Benutzerinformationen bei Adobe zu berücksichtigen („push“). `sync` ist die Standardeinstellung und somit das Thema des überwiegenden Teils dieser Dokumentation. `push` eignet sich bei einer großen Anzahl an Benutzern auf Adobe-Seite (> 30.000) und wenn nur für eine kleine Anzahl von Benutzern Eränzungen oder Änderungen notwenig sind und die Liste dieser Benutzer über eine CSV-Datei oder spezifische Verzeichnisgruppe verfügbar ist.
Wird `--strategy push` angegeben, kann `--adobe-only-user-action` nicht angegeben werden, da die reinen Adobe-Benutzer nicht ermittelt wurden.
`--strategy push` erstellt neue Benutzer, ändert deren Gruppenmitgliedschaften nur für zugeordnete Gruppen (wenn `--process-groups` aktiviert ist), aktualisiert die Benutzerinformationen (wenn `--update-user-info` aktiviert ist) und entfernt keine Benutzer aus der Organisation und löscht auch deren Konten nicht. Wie Sie Benutzer über Push-Benachrichtigungen entfernen, erfahren Sie unter [Push-Benachrichtigungen behandeln](usage_scenarios.md#push-benachrichtigungen-behandeln). | {: .bordertablestyle } --- diff --git a/docs/de/user-manual/configuring_user_sync_tool.md b/docs/de/user-manual/configuring_user_sync_tool.md index ea3b921f9..7cecc92a0 100644 --- a/docs/de/user-manual/configuring_user_sync_tool.md +++ b/docs/de/user-manual/configuring_user_sync_tool.md @@ -27,7 +27,7 @@ Die Ausführung des Benutzer-Synchronisationstools wird durch eine Reihe von Kon | user-sync-config.yml | Erforderlich. Enthält Konfigurationsoptionen, welche die Zuordnung von Verzeichnisgruppen zu Konfigurationen und Benutzergruppen von Adobe-Produkten definieren und das Updateverhalten steuern. Zudem sind Verweise auf die anderen Konfigurationsdateien enthalten.| | connector‑umapi.yml   | Erforderlich. Enthält Anmeldeinformationen und Zugriffsinformationen für den Zugriff auf die Adobe User Management API. | | connector-ldap.yml | Erforderlich. Enthält Anmeldeinformationen und Zugriffsinformationen für den Zugriff auf das Unternehmensverzeichnis. | - +{: .bordertablestyle } Wenn Sie den Zugriff auf Adobe-Gruppen in anderen Organisationen einrichten müssen, die Ihnen Zugriff gewährt haben, können Sie weitere Konfigurationsdateien einschließen. Weitere Informationen finden Sie weiter unten in den [Anweisungen für die erweiterte Konfiguration](advanced_configuration.md#zugreifen-auf-gruppen-in-anderen-organisationen). @@ -109,7 +109,14 @@ In Version 2.1 oder höher des Benutzer-Synchronisationstools besteht die Mögli Fz2i8y6qhmfhj48dhf84hf3fnGrFP2mX2Bil48BoIVc9tXlXFPstJe1bz8xpo= -----END RSA PRIVATE KEY----- +Version 2.2 des Benutzer-Synchronisationstools verfügt auch über einige zusätzliche Parameter zur Steuerung von Verbindungstimeouts und Wiederholungen. Eigentlich sollte man diese niemals brauchen, aber in außergewöhnlichen Situation können Sie sie im Abschnitt `server` festlegen. + + server: + timeout: 120 + retries: 3 +`timeout` bestimmt die maximale Wartezeit in Sekunden, bis ein Aufruf abgeschlossen ist. +`retries` legt fest, wie oft ein Vorgang wiederholt wird, wenn er aus unspezifischen Gründen wie Serverfehler oder Timeout nicht erfolgreich war. ### Konfigurieren der Verbindung mit Ihrem Unternehmensverzeichnis @@ -122,6 +129,8 @@ host: "FQDN.des.Hosts" base_dn: "Basis-DN.des.Verzeichnisses" ``` +Wie Sie ab Version 2.1 des Benutzer-Synchronisationstools das Kennwort sicherer speichern, erfahren Sie unter [Hinweise zur Sicherheit](deployment_best_practices.md#sicherheitsempfehlungen). + ## Konfigurationsoptionen Die Hauptkonfigurationsdatei „user-sync-config.yml“ ist in verschiedene Hauptabschnitte unterteilt: **adobe_users**, **directory_users**, @@ -323,6 +332,8 @@ enterprise: Stellen Sie mithilfe von Testfällen sicher, dass Ihre Konfiguration ordnungsgemäß funktioniert und dass die Produktkonfigurationen den Sicherheitsgruppen in Ihrem Unternehmensverzeichnis korrekt zugeordnet sind. Führen Sie das Tool zunächst im Testmodus aus (geben Sie dazu den -t-Parameter an), sodass Sie das Ergebnis überprüfen können, bevor Sie die Live-Ausführung starten. +Die folgenden Beispiele verwenden `--users all`, um Benutzer auszuwählen, aber mithilfe von `--users mapped` können Sie nur Benutzer auswählen, die in Verzeichnisgruppen in Ihrer Konfigurationsdatei aufgeführt sind und mithilfe von `--users file f.csv` können Sie eine kleinere Gruppe von Testbenutzern auswählen, die in einer Datei aufgeführt sind. + ### Erstellen von Benutzern @@ -346,7 +357,7 @@ Stellen Sie mithilfe von Testfällen sicher, dass Ihre Konfiguration ordnungsgem 1. Ändern Sie die Gruppenmitgliedschaft eines oder mehrerer Testbenutzer im Verzeichnis. -1. Führen Sie das Benutzer-Synchronisationstool aus. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +1. Führen Sie das Benutzer-Synchronisationstool aus. (`./user-sync --users all --process-groups --adobe-only-user-action exclude`) 2. Vergewissern Sie sich, dass Testbenutzer in der Adobe Admin Console aktualisiert wurden, sodass die Produktkonfiguration-Mitgliedschaft widergespiegelt wird. @@ -357,7 +368,7 @@ Stellen Sie mithilfe von Testfällen sicher, dass Ihre Konfiguration ordnungsgem 1. Entfernen oder deaktivieren Sie einen oder mehrere vorhandene Testbenutzer in Ihrem Unternehmensverzeichnis. -2. Führen Sie das Benutzer-Synchronisationstool aus. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +2. Führen Sie das Benutzer-Synchronisationstool aus. (`./user-sync --users all --process-groups --adobe-only-user-action remove-adobe-groups`) Oft empfiehlt es sich, das Tool erst im Testmodus („-t“) auszuführen. 3. Vergewissern Sie sich, dass Benutzer aus konfigurierten Produktkonfigurationen in der Adobe Admin Console entfernt wurden. diff --git a/docs/de/user-manual/deployment_best_practices.md b/docs/de/user-manual/deployment_best_practices.md index e0d4b794d..9abb097b9 100644 --- a/docs/de/user-manual/deployment_best_practices.md +++ b/docs/de/user-manual/deployment_best_practices.md @@ -35,7 +35,7 @@ Die Applikation sendet GET- und POST-Anforderungen von der User Management API a Um die Verfügbarkeit der Back-End-Benutzeridentitätssysteme von Adobe zu schützen, legt die User Management API Einschränkungen für den Clientzugriff auf die Daten fest. Es gelten Grenzwerte für die Anzahl der Aufrufe, die ein einzelner Client innerhalb eines bestimmten Zeitintervalls senden kann, und es gelten globale Grenzwerte für den Zugriff aller Clients innerhalb des angegebenen Zeitraums. Das Benutzer-Synchronisationstool implementiert Logik für Back-off und Wiederholung, damit das Skript nicht kontinuierlich die User Management API aufruft, wenn die Grenzwerte erreicht wurden. Es ist normal, dass Meldungen in der Konsole anzeigt werden, dass das Skript für eine kurze Zeit unterbrochen wird, bevor die Ausführung wiederholt wird. -Bei Version 2.1 des Benutzer-Synchronisationstools sind zwei zusätzliche Verfahren zum Schutz von Anmeldeinformationen verfügbar. Beim ersten Verfahren wird der Anmeldeinformationsspeicher des Betriebssystems verwendet, um die Konfigurationswerte für die Anmeldeinformationen zu speichern. Beim zweiten Verfahren wird mit einem Mechanismus, den Sie bereitstellen müssen, die gesamte Konfigurationsdatei für UMAPI und/oder LDAP gespeichert, die alle erforderlichen Anmeldeinformationen enthält. Diese Verfahren werden in den nächsten beiden Abschnitten beschrieben. +Bei Version 2.1 des Benutzer-Synchronisationstools sind zwei zusätzliche Verfahren zum Schutz von Anmeldeinformationen verfügbar. Beim ersten Verfahren wird der Anmeldeinformationsspeicher des Betriebssystems verwendet, um die Konfigurationswerte für die Anmeldeinformationen zu speichern. Beim zweiten Verfahren wird mit einem Mechanismus, den Sie bereitstellen müssen, die gesamte Konfigurationsdatei, die alle erforderlichen Anmeldeinformationen enthält, für umapi und/oder ldap sicher gespeichert. Diese Verfahren werden in den nächsten beiden Abschnitten beschrieben. ### Speichern von Anmeldeinformationen im Speicher auf Betriebssystemebene @@ -54,10 +54,33 @@ connector-umapi.yml Beachten Sie die Änderung von `api_key`, `client_secret` und `priv_key_path` in `secure_api_key_key`, `secure_client_secret_key` bzw. `secure_priv_key_data_key`. Diese alternativen Konfigurationswerte geben die Schlüsselnamen an, nach denen in der Schlüsselkette (oder dem entsprechenden Dienst auf anderen Plattformen) gesucht werden soll, um die tatsächlichen Werte der Anmeldeinformationen abzurufen. In diesem Beispiel sind die Schlüsselnamen der Anmeldeinformationen `umapi_api_key`, `umapi_client_secret` und `umapi_private_key_data`. -Der Inhalt der privaten Schlüsseldatei wird im Anmeldeinformationsspeicher als Wert von `umapi_private_key_data` verwendet. +Der Inhalt der privaten Schlüsseldatei wird im Anmeldeinformationsspeicher als Wert von `umapi_private_key_data` verwendet. Dies ist nicht auf Windows, sondern nur auf anderen Plattformen möglich. Unten sehen Sie, wie Sie auf Windows die Datei mit dem privaten Schlüssel sichern. -Die Werte der Anmeldeinformationen werden anhand der angegebenen Schlüsselnamen gesucht, wobei der Benutzer dem Wert von „org_id“ entspricht. +Die Anmeldeinformationen werden mit „org_id“ als Wert für den Benutzernamen und den Schlüsselnamen in der Konfigurationsdatei als Schlüsselnamen im sicheren Speicher nachgeschlagen. +Ab Version 2.1.1 des Benutzer-Synchronisationstools gibt es eine kleine Variante zu diesem Ansatz: dabei wird die private Schlüsseldatei mit RSA verschlüsselt, dem Standardverschlüsselungsverfahren für private Schlüssel (wird auch als PKCS#8-Format bezeichnet). Dieser Ansatz muss auf Windows verwendet werden, da der sichere Speicher von Windows keine Zeichenfolgen speichern kann, die länger als 512 Bytes sind, wodurch die Verwendung mit privaten Schlüsseln verhindert wird. Wenn Sie möchten, können Sie diesen Ansatz auch auf den anderen Plattformen verwenden. + +Um den privaten Schlüssel in einem verschlüsselten Format zu speichern, gehen Sie folgendermaßen vor: Erstellen Sie zunächst eine verschlüsselte Version der privaten Schlüsseldatei. Wählen Sie eine Passphrase aus und verschlüsseln Sie die private Schlüsseldatei: + + openssl pkcs8 -in private.key -topk8 -v2 des3 -out private-encrypted.key + +Auf Windows müssen Sie von Cygwin oder einem anderen Anbieter aus „openssl“ ausführen, denn in der Standard-Windows-Distribution ist es nicht enthalten. + +Verwenden Sie als Nächstes die folgenden Konfigurationselemente in „connector-umapi.yml“. Durch die letzten beiden Elemente unten wird die Verschlüsselungs-Passphrase von dem sicheren Speicher mit den Anmeldeinformationen bezogen und auf die verschlüsselte Datei mit dem privaten Schlüssel verwiesen, nämlich: + + server: + + enterprise: + org_id: your org id + secure_api_key_key: umapi_api_key + secure_client_secret_key: umapi_client_secret + tech_acct: your tech account@techacct.adobe.com + secure_priv_key_pass_key: umapi_private_key_passphrase + priv_key_path: private-encrypted.key + +Schließlich fügen Sie die Passphrase als Eintrag in den sicheren Speicher ein, mit dem Benutzernamen oder URL als Unternehmens-ID, dem Schlüsselnamen als `umapi_private_key_passphrase`, die dem Eintrag für `secure_priv_key_pass_key` in der Konfigurationsdatei entspricht, und dem Wert als Passphrase. (Sie können den verschlüsselten privaten Schlüssel auch innerhalb einfügen, indem Sie die Daten in der Datei connector-umapi.yml unter dem Schlüssel `priv_key_data` anstelle von `priv_key_path` platzieren.) + +Hier endet die Beschreibung für die Variante, bei der die private RSA-Verschlüsselung verwendet wird. connector-ldap.yml @@ -73,7 +96,7 @@ Anmeldeinformationen werden im sicheren Speicher des zugrunde liegenden Betriebs | OS | Anmeldeinformationsspeicher | |------------|--------------| -|Windows | Windows-Tresor für Anmeldeinformationen | +| Windows | Windows-Tresor für Anmeldeinformationen | | Mac OS X | Schlüsselbund | | Linux | Freedesktop Secret Service oder KWallet | {: .bordertablestyle } diff --git a/docs/de/user-manual/index.md b/docs/de/user-manual/index.md index 8fabd0dc3..b10691278 100644 --- a/docs/de/user-manual/index.md +++ b/docs/de/user-manual/index.md @@ -8,7 +8,7 @@ nav_level: 1 nav_order: 10 --- -Version 2.1rc3, veröffentlicht am 22. Mai 2017 +Version 2.1.1, veröffentlicht am 09.06.2017 Dieses Dokument enthält alle Informationen, die Sie zum Arbeiten mit dem Benutzer-Synchronisationstool benötigen. Dabei wird davon ausgegangen, dass Sie mit der Verwendung von Befehlszeilentools in Ihrem lokalen Betriebssystem vertraut sind und die Funktion von Verzeichnissystemen in Unternehmen kennen. diff --git a/docs/de/user-manual/media/adobe-to-enterprise-connections.png b/docs/de/user-manual/media/adobe-to-enterprise-connections.png index 9584feea6..4a5323639 100644 Binary files a/docs/de/user-manual/media/adobe-to-enterprise-connections.png and b/docs/de/user-manual/media/adobe-to-enterprise-connections.png differ diff --git a/docs/de/user-manual/media/group-mapping.png b/docs/de/user-manual/media/group-mapping.png index 427f6c24b..299d41b9f 100644 Binary files a/docs/de/user-manual/media/group-mapping.png and b/docs/de/user-manual/media/group-mapping.png differ diff --git a/docs/de/user-manual/setup_and_installation.md b/docs/de/user-manual/setup_and_installation.md index 058a68077..2738d65e9 100644 --- a/docs/de/user-manual/setup_and_installation.md +++ b/docs/de/user-manual/setup_and_installation.md @@ -26,7 +26,9 @@ Damit Sie das Benutzer-Synchronisationstool verwenden können, müssen in Ihrem Das Benutzer-Synchronisationstool ist ein Client der User Management API. Bevor Sie das Tool installieren, müssen Sie es als Client der API registrieren, indem Sie eine *Integration* im Adobe I/O-[Entwicklerportal](https://www.adobe.io/console/) hinzufügen. Sie müssen eine Unternehmensschlüssel-Integration hinzufügen, um die für den Zugriff auf das Adobe-Benutzerverwaltungssystem benötigten Anmeldeinformationen abzurufen. -Die zum Erstellen einer Integration erforderlichen Schritte werden ausführlich im Abschnitt zum [Einrichten des Zugriffs](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/setup.html) auf der Adobe I/O-Website für die User Management API erläutert. Hierfür müssen Sie ein integrationsspezifisches Zertifikat erstellen, das selbstsigniert sein kann. Wenn der Vorgang abgeschlossen ist, werden Ihnen ein **API Key**, eine **Technical Account ID**, eine **Organization ID** und ein **Client Secret** zugewiesen, die das Tool verwendet. Außerdem erhalten Sie Zertifikatinformationen, um sicher mit der Admin Console kommunizieren zu können. Wenn Sie das Benutzer-Synchronisationstool installieren, müssen Sie diese Informationen als Konfigurationswerte angeben, die das Tool zum Zugriff auf die in Adobe gespeicherten Benutzerinformationen Ihrer Organisation benötigt. +Die zum Erstellen einer Integration erforderlichen Schritte werden ausführlich im Abschnitt [Übersicht über die Adobe I/O-Authentifizierung](https://www.adobe.io/apis/cloudplatform/console/authentication/gettingstarted.html) erläutert. Suchen Sie nach den Abschnitten zur Authentifizierung von Service-Konten. Hierfür müssen Sie ein integrationsspezifisches Zertifikat erstellen, das selbstsigniert sein kann. Wenn der Vorgang abgeschlossen ist, werden Ihnen ein **API Key**, eine **Technical Account ID**, eine **Organization ID** und ein **Client Secret** zugewiesen, die das Tool verwendet. Außerdem erhalten Sie Zertifikatinformationen, um sicher mit der Admin Console kommunizieren zu können. Wenn Sie das Benutzer-Synchronisationstool installieren, müssen Sie diese Informationen als Konfigurationswerte angeben, die das Tool zum Zugriff auf die in Adobe gespeicherten Benutzerinformationen Ihrer Organisation benötigt. + +Weitere Informationen finden Sie in der UMAPI-Dokumentation [hier](https://adobe-apiplatform.github.io/umapi-documentation) oder [hier ](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## Einrichten der Synchronisation für den Produktzugriff @@ -72,10 +74,10 @@ Sie können das Benutzer-Synchronisationstool im [User Sync-Repository auf GitHu 1. Erstellen Sie einen Ordner auf Ihrem Server, in dem das Benutzer-Synchronisationstool installiert wird und in dem die Konfigurationsdateien gespeichert werden. -1. Klicken Sie auf den Link **Releases**, um das aktuelle Release zu suchen. Dieses umfasst Versionshinweise, diese Dokumentation, Beispielkonfigurationsdateien und alle Build-Versionen (sowie Quellarchive). +1. Klicken Sie auf den Link **Releases**, um das aktuelle Release zu suchen. Dieses umfasst Versionshinweise, Beispielkonfigurationsdateien und alle Build-Versionen (sowie Quellarchive). -2. Wählen Sie das komprimierte Paket für Ihre Plattform aus und laden Sie es herunter (Datei mit der Erweiterung `.tar.gz`). Es sind Builds für Windows, OS X und Ubuntu verfügbar. (Wenn Sie selbst einen Build aus dem Quellcode erstellen möchten, können Sie das Quellcodepaket für das Release herunterladen oder die aktuelle Quelle in der Master-Verzweigung verwenden.) +2. Wählen Sie das komprimierte Paket für Ihre Plattform aus und laden Sie es herunter (Datei mit der Erweiterung `.tar.gz`). Es sind Builds für Windows, OS X, Centos und Ubuntu verfügbar. (Wenn Sie selbst einen Build aus dem Quellcode erstellen möchten, können Sie das Quellcodepaket für den Release herunterladen oder die aktuelle Quelle in der Master-Verzweigung verwenden.) In späteren Versionen des Benutzer-Synchronisationstools sind möglicherweise auch Python 3-Builds verfügbar. 3. Suchen Sie die ausführbare Python-Datei (`user-sync` oder `user-sync.pex` für Windows) und speichern Sie sie in Ihrem Ordner für das Benutzer-Synchronisationstool. @@ -90,7 +92,7 @@ Sie können das Benutzer-Synchronisationstool im [User Sync-Repository auf GitHu Das Windows-Betriebssystem erzwingt eine Längenbeschränkung für Dateipfade von 260 Zeichen. Beim Ausführen einer Python-PEX-Datei wird ein temporärer Speicherort zum Extrahieren des Paketinhalts erstellt. Wenn der Pfad zu diesem Speicherort länger als 260 Zeichen ist, wird das Skript nicht richtig ausgeführt. - Standardmäßig befindet sich der temporäre Cache in Ihrem Basisordner, wodurch die Dateipfade die Längenbeschränkung überschreiten können. Erstellen Sie zum Umgehen dieses Problems unter Windows die Umgebungsvariable PEX\_ROOT und legen Sie den Pfad auf „C:\user-sync\.pex“ fest. Das Betriebssystem verwendet diese Variable für den Cache-Speicherort, wodurch der Pfad die Längenbeschränkung von 260 Zeichen nicht überschreitet. + Standardmäßig befindet sich der temporäre Cache in Ihrem Basisordner, wodurch die Dateipfade die Längenbeschränkung überschreiten können. Erstellen Sie zum Umgehen dieses Problems unter Windows die Umgebungsvariable PEX\_ROOT und legen Sie den Pfad auf „C:\\pex“ fest. Das Betriebssystem verwendet diese Variable für den Cache-Speicherort, wodurch der Pfad die Längenbeschränkung von 260 Zeichen nicht überschreitet. 6. Führen Sie zum Ausführen des Benutzer-Synchronisationstools die ausführbare Python-Datei `user-sync` aus (oder führen Sie unter Windows `python user-sync.pex` aus). @@ -111,7 +113,7 @@ Wenn das Benutzer-Synchronisationstool auf das Unternehmensverzeichnis zugreift, #### Zertifikatsdateien -Die Dateien, die den öffentlichen und den privaten Schlüssel enthalten, jedoch insbesondere den privaten Schlüssel, der vertrauliche Informationen enthält. Sie müssen den privaten Schlüssel sicher verwahren. Er kann weder wiederhergestellt noch ersetzt werden. Wenn Sie den Schlüssel verlieren oder er beschädigt wird, müssen Sie das entsprechende Zertifikat aus Ihrem Konto löschen. Gegebenenfalls müssen Sie ein neues Zertifikat erstellen und hochladen. Sie müssen diese Dateien mindestens ebenso sicher wie Kontonamen und Kennwörter schützen. Es wird empfohlen, die Schlüsseldateien in einem Verwaltungssystem für Anmeldeinformationen zu speichern oder Dateisystemschutz anzuwenden, sodass nur befugte Benutzer darauf zugreifen können. +Die Dateien, die den öffentlichen und den privaten Schlüssel enthalten, jedoch insbesondere den privaten Schlüssel, der vertrauliche Informationen enthält. Sie müssen den privaten Schlüssel sicher verwahren. Er kann weder wiederhergestellt noch ersetzt werden. Wenn Sie den Schlüssel verlieren oder er beschädigt wird, müssen Sie das entsprechende Zertifikat aus Ihrem Konto löschen. Gegebenenfalls müssen Sie ein neues Zertifikat erstellen und hochladen. Sie müssen diese Dateien mindestens ebenso sicher wie Kontonamen und Kennwörter schützen. Es wird empfohlen, die private Schlüsseldatei in einem Verwaltungssystem für Anmeldeinformationen zu speichern, im sicheren Speicher des Betriebssystems oder Dateisystemschutz anzuwenden, sodass nur befugte Benutzer darauf zugreifen können. #### Protokolldateien diff --git a/docs/de/user-manual/usage_scenarios.md b/docs/de/user-manual/usage_scenarios.md index d2b4debb7..b4c7411c0 100644 --- a/docs/de/user-manual/usage_scenarios.md +++ b/docs/de/user-manual/usage_scenarios.md @@ -33,7 +33,9 @@ Dieser Abschnitt enthält ausführliche Anweisungen für jedes dieser Szenarien. Dies ist typischste und häufigste Form des Aufrufs. Das Benutzer-Synchronisationstool sucht nach allen Änderungen an Benutzerinformationen und Informationen zu Gruppenmitgliedschaften auf der Unternehmensseite. Die Adobe-Seite wird synchronisiert, indem Benutzer und Benutzergruppen sowie Mitgliedschaften in Produktkonfigurationen hinzugefügt, aktualisiert und entfernt werden. -In der Standardeinstellung werden vom Benutzer-Synchronisationstool ausschließlich Benutzer mit dem Identitätstyp Enterprise ID oder Federated ID erstellt, entfernt und mit ihrer Gruppenmitgliedschaft verwaltet, da Adobe ID-Benutzer generell nicht im Verzeichnis verwaltet werden. Wenn dieser Ansatz in Ihrer Organisation verfolgt wird, finden Sie weitere Informationen in der [Beschreibung weiter unten](advanced_configuration.md#verwalten-von-benutzern-mit-adobe-ids) unter [Erweiterte Konfiguration](advanced_configuration.md#erweiterte-konfiguration). +In der Standardeinstellung werden vom Benutzer-Synchronisationstool ausschließlich Benutzer mit dem Identitätstyp Enterprise ID oder Federated ID erstellt, entfernt und mit ihrer Gruppenmitgliedschaft verwaltet, da Adobe ID-Benutzer generell nicht im Verzeichnis verwaltet werden. Wenn dieser Ansatz in Ihrer Organisation verfolgt wird, finden Sie weitere Informationen in der [Beschreibung weiter unten](advanced_configuration.md#verwalten-von-benutzern-mit-adobe-ids) +unter [Erweiterte Konfiguration](advanced_configuration.md#erweiterte-konfiguration). + In diesem Beispiel wird davon ausgegangen, dass die Konfigurationsdatei „user-sync-config.yml“ eine Zuordnung einer Verzeichnisgruppe zu einer Adobe-Produktkonfiguration mit dem Namen **Default Acrobat Pro DC configuration** enthält. diff --git a/docs/en/user-manual/advanced_configuration.md b/docs/en/user-manual/advanced_configuration.md index 89a2d1d9e..bd3dc0e48 100644 --- a/docs/en/user-manual/advanced_configuration.md +++ b/docs/en/user-manual/advanced_configuration.md @@ -72,7 +72,7 @@ automatically substitute the remove action for the delete action. You can also protect specific Adobe Id users from removal by User Sync by using the other exclude configuration items. See -[Protecting Specific Accounts from User Sync Deletion](#Protecting-Specific-Accounts-from-User-Sync-Deletion) +[Protecting Specific Accounts from User Sync Deletion](#protecting-specific-accounts-from-user-sync-deletion) for more information. ## Accessing Users in Other Organizations diff --git a/docs/en/user-manual/configuring_user_sync_tool.md b/docs/en/user-manual/configuring_user_sync_tool.md index e54124a58..81fb1520c 100644 --- a/docs/en/user-manual/configuring_user_sync_tool.md +++ b/docs/en/user-manual/configuring_user_sync_tool.md @@ -90,7 +90,7 @@ enterprise LDAP directory. In order to isolate the sensitive information needed to connect to the two systems, all actual credential details are confined to these two files. **Be sure to secure them properly**, as described in the -[Security Considerations](deployment_best_practices.md#security-considerations) section of +[Security Recommendations](deployment_best_practices.md#security-recommendations) section of this document. There are three techniques supported by User Sync for securing credentials. @@ -169,7 +169,7 @@ host: "FQDN.of.host" base_dn: "base_dn.of.directory" ``` -See the section [Security Considerations](deployment_best_practices.md#security-considerations) for +See the section [Security Recommendations](deployment_best_practices.md#security-recommendations) for details of how to store the password more securely in User Sync version 2.1 or later. ## Configuration options diff --git a/docs/en/user-manual/deployment_best_practices.md b/docs/en/user-manual/deployment_best_practices.md index 1f486a0d2..236af3b8b 100644 --- a/docs/en/user-manual/deployment_best_practices.md +++ b/docs/en/user-manual/deployment_best_practices.md @@ -121,11 +121,11 @@ private key file, respectively: secure_api_key_key: umapi_api_key secure_client_secret_key: umapi_client_secret tech_acct: your tech account@techacct.adobe.com - secure_priv_pass_key: umapi_private_key_passphrase + secure_priv_key_pass_key: umapi_private_key_passphrase priv_key_path: private-encrypted.key Finally, add the passphrase to the secure store as an entry with the username or url as the org Id, the key -name as `umapi_private_key_passphrase` to match the `secure_priv_pass_key` config file entry, and the value +name as `umapi_private_key_passphrase` to match the `secure_priv_key_pass_key` config file entry, and the value as the passphrase. (You can also inline the encrypted private key by placing the data in the connector-umapi.yml file under the key `priv_key_data` instead of using `priv_key_path`.) diff --git a/docs/en/user-manual/setup_and_installation.md b/docs/en/user-manual/setup_and_installation.md index 3b146abba..a92db60f0 100644 --- a/docs/en/user-manual/setup_and_installation.md +++ b/docs/en/user-manual/setup_and_installation.md @@ -173,7 +173,7 @@ files in the package are optional and/or alternate versions for specific purposes. You can copy these to your root folder, then rename and edit them to make your own configuration files. (See the following section, -[Configuring the User Sync Tool](configuring_user_sync_tool./md#configuring-the-user-sync-tool).) +[Configuring the User Sync Tool](configuring_user_sync_tool.md#configuring-the-user-sync-tool).) 5. **In Windows only:** diff --git a/docs/es/FAQ/index.md b/docs/es/FAQ/index.md index fc47541d7..f57fdc33c 100644 --- a/docs/es/FAQ/index.md +++ b/docs/es/FAQ/index.md @@ -60,11 +60,11 @@ La mayoría de los ejemplos muestran a un solo grupo de usuarios o configuració No, User Sync se encarga de la limitación y lo vuelve a intentar para que la limitación pueda ralentizar el proceso de sincronización de usuarios, pero no hay ningún problema debido a la limitación y User Sync finalizará correctamente todas las operaciones. -Los sistemas de Adobe se protegen a sí mismos de la sobrecarga mediante el seguimiento del volumen de solicitudes entrantes. Si se empiezan a superar los límites, a continuación, las solicitudes devuelven un encabezado de "reintentar después" que indica cuándo estará disponible la capacidad. User Sync respeta estos encabezados y espera el tiempo solicitado antes de volver a intentarlo. Se pude obtener más información, como ejemplos de códigos, en la [Documentación de la API de administración de usuarios](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/throttling.html). +Los sistemas de Adobe se protegen a sí mismos de la sobrecarga mediante el seguimiento del volumen de solicitudes entrantes. Si se empiezan a superar los límites, a continuación, las solicitudes devuelven un encabezado de "reintentar después" que indica cuándo estará disponible la capacidad. User Sync respeta estos encabezados y espera el tiempo solicitado antes de volver a intentarlo. Se pude obtener más información, como ejemplos de códigos, en la [Documentación de la API de administración de usuarios](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## ¿Existe alguna lista local de los usuarios creados/actualizados (en User Sync) para reducir las llamadas de servidor de Adobe? -No, User Sync siempre consulta los sistemas de gestión de usuario de Adobe para obtener información actualizada cuando se ejecuta. +Siempre que se ejecuta, la sincronización de usuarios pide información actualizada a los sistemas de administración de usuarios de Adobe, excepto en los casos que se indican a continuación. Existe una opción disponible en la versión 2.2 y posteriores de User Sync para evitar esta petición e incluir las actualizaciones en Adobe sin tener en cuenta el estado actual de los usuarios en el sistema de administración de usuarios de Adobe. Si puede determinar qué usuarios han cambiado en el directorio local y está seguro de que no se hayan modificado otros usuarios en el lado de Adobe, este enfoque puede reducir el tiempo de ejecución (y de uso de la red) de sus tareas de sincronización. ### ¿La herramienta User Sync está limitada a Federated ID o se puede crear cualquier tipo de ID? @@ -104,9 +104,4 @@ Sí, todos los clientes de empresas tienen acceso a la UMAPI y a User Sync, inde ### ¿Cuál es la historia de internacionalización para la herramienta User Sync habilitada internacionalmente (compatibilidad con entrada de caracteres de doble byte)? -Python 2.7 (el idioma de la herramienta) distingue “str” (cadenas de caracteres de 8 bits) y “unicode” (cadenas de caracteres de 8 bits con codificación UTF-8 forzadas), y el código de User Sync utiliza “str” en lugar de “unicode” en todas partes. Sin embargo, todos los resultados de las herramientas tienen codificación UTF-8 y, siempre y cuando se utilice la codificación UTF-8 en la entrada, las cosas deberían funcionar correctamente. Esto se ha probado ligeramente y no se han encontrado problemas. Está prevista la realización de pruebas adicionales. - -Disponemos de una mejora prevista para que la herramienta se ejecute en Python 3, así como en Python 2 -En ese momento podemos garantizar que Unicode funcionará correctamente, puesto que los tipos se fusionan en Python 3. Los clientes para los que resulta complicado deberán utilizar Python 3. - - +Las versiones anteriores de User Sync se comportaban de manera errática en el manejo de datos de carácter internacional, aunque funcionaban de manera bien fiable con las fuentes de datos codificados en utf8. A partir de la versión 2.2, User Sync es totalmente compatible con Unicode y puede aceptar archivos y directorios de configuración o fuentes de datos de hojas de cálculo que utilicen cualquier codificación de caracteres (esperando que, de manera predeterminada, vengan en utf8). diff --git a/docs/es/index.md b/docs/es/index.md index 1157e61b8..dca0361d5 100644 --- a/docs/es/index.md +++ b/docs/es/index.md @@ -15,22 +15,15 @@ User Sync es una herramienta de línea de comandos que mueve la información de Cada vez que se ejecuta User Sync, busca las diferencias entre la información de usuario y de grupo en los dos sistemas y actualiza el directorio de Adobe para que coincida con la información de su directorio. -# [Guía de configuración y éxito](success-guide/index.md) +# Guía de configuración y éxito La manera más rápida de comenzar con User Sync es leer la [Guía de configuración y éxito](success-guide/index.md), que le da instrucciones paso a paso para la configuración de los archivos de configuración necesarios y la ejecución de la herramienta. -# [Manual de usuario](user-manual/index.md) +# Manual de usuario Para obtener todos los detalles sobre el uso de User Sync, incluyendo cómo configurarlo para una serie de situaciones de uso habituales distintas, consulte el [Manual de usuario](user-manual/index.md). También es el punto de partida para personalizar el comportamiento de User Sync, ya que incluye las instrucciones para realizar asignaciones personalizadas entre la información del directorio del cliente y los datos de Adobe. -# [Preguntas frecuentes](FAQ/index.md) +# Preguntas frecuentes Hemos compilado un [Documento de preguntas frecuentes](FAQ/index.md) que responde a muchas preguntas que nos han planteado y otras que esperamos que se nos planteen. -# Traducciones disponibles - -* [Englisch](../en) -* [Deutsch](../de) -* [Français](../fr) -* [日本語](../jp) -* [Español](../es) \ No newline at end of file diff --git a/docs/es/success-guide/images/decide_deletion_multi_org.png b/docs/es/success-guide/images/decide_deletion_multi_org.png index e4a277fa3..bf9a411d4 100644 Binary files a/docs/es/success-guide/images/decide_deletion_multi_org.png and b/docs/es/success-guide/images/decide_deletion_multi_org.png differ diff --git a/docs/es/success-guide/images/layout_orgs_multi.png b/docs/es/success-guide/images/layout_orgs_multi.png index 1c2e4a70d..c992694c4 100644 Binary files a/docs/es/success-guide/images/layout_orgs_multi.png and b/docs/es/success-guide/images/layout_orgs_multi.png differ diff --git a/docs/es/success-guide/images/layout_orgs_multi_dir_multi_org.png b/docs/es/success-guide/images/layout_orgs_multi_dir_multi_org.png index f92bfa259..0120e294e 100644 Binary files a/docs/es/success-guide/images/layout_orgs_multi_dir_multi_org.png and b/docs/es/success-guide/images/layout_orgs_multi_dir_multi_org.png differ diff --git a/docs/es/success-guide/images/layout_orgs_multi_dir_single_org.png b/docs/es/success-guide/images/layout_orgs_multi_dir_single_org.png index 6b443a2b2..f316ff9f4 100644 Binary files a/docs/es/success-guide/images/layout_orgs_multi_dir_single_org.png and b/docs/es/success-guide/images/layout_orgs_multi_dir_single_org.png differ diff --git a/docs/es/success-guide/images/layout_orgs_simple.PNG b/docs/es/success-guide/images/layout_orgs_simple.PNG index b05b6e57a..167e7df06 100644 Binary files a/docs/es/success-guide/images/layout_orgs_simple.PNG and b/docs/es/success-guide/images/layout_orgs_simple.PNG differ diff --git a/docs/es/success-guide/images/layout_products_map.png b/docs/es/success-guide/images/layout_products_map.png index f48da4809..c9549a6ca 100644 Binary files a/docs/es/success-guide/images/layout_products_map.png and b/docs/es/success-guide/images/layout_products_map.png differ diff --git a/docs/es/success-guide/images/setup_config_group_map.png b/docs/es/success-guide/images/setup_config_group_map.png index 427f6c24b..af28e2425 100644 Binary files a/docs/es/success-guide/images/setup_config_group_map.png and b/docs/es/success-guide/images/setup_config_group_map.png differ diff --git a/docs/es/success-guide/index.md b/docs/es/success-guide/index.md index 8f88a1eae..f3a2d1cbb 100644 --- a/docs/es/success-guide/index.md +++ b/docs/es/success-guide/index.md @@ -3,12 +3,12 @@ layout: page title: Guía de configuración y éxito advertise: Guía de configuración y éxito lang: es -nav_link: Contenidos de la guía de configuración +nav_link: Guía de configuración y éxito nav_level: 1 nav_order: 100 --- -Versión 1.1 publicada el 06/03/2017 +Versión 2.1.1 publicada el 09/06/2017 Este documento le guiará a través de los pasos necesarios para entender y configurar la herramienta User Sync. diff --git a/docs/es/user-manual/advanced_configuration.md b/docs/es/user-manual/advanced_configuration.md index 6b7b0504a..520a1211d 100644 --- a/docs/es/user-manual/advanced_configuration.md +++ b/docs/es/user-manual/advanced_configuration.md @@ -303,20 +303,121 @@ Si desea evitar que User Sync elimine estas cuentas de los grupos, póngalas sol ## Trabajo con grupos de directorio anidados de Active Directory -Nota: El enfoque originalmente definido en esta sección no funciona demasiado. Tendrá que esperar a una versión futura con los errores corregidos. +Nota: antes de la versión 2.2, User Sync no admitía grupos anidados. -Si los grupos de directorio están estructurados de forma anidada para que los usuarios no se encuentren en un grupo de directorio con nombre simple, tendrá que ejecutar consultas LDAP más complejas para enumerar la lista de usuarios. Por ejemplo, puede tener una estructura de anidación de grupos parecida a esta: +A partir de la versión 2.2, User Sync puede configurarse para reconocer todos los usuarios que se encuentren en grupos de directorios anidados y los archivos de ejemplo de configuración muestran cómo hacerlo. En concreto, en el archivo de configuración `connector-ldap.yml`, establezca el `group_member_filter`como se indica a continuación: + group_member_filter_format: "(memberOf:1.2.840.113556.1.4.1941:={group_dn})" + +Esto encuentra a los miembros de grupos que se encuentren directamente en un grupo designado o indirectamente en el grupo. + +Es posible que tenga una estructura de anidación de grupos parecida a esta: All_Divisions - Blue_Division - User1@example.com - User2@example.com - Green_Division - User3@example.com - User4@example.com - -Una versión futura de User Sync será compatible con esto de manera transparente. + Blue_Division + User1@example.com + User2@example.com + Green_Division + User3@example.com + User4@example.com + +Puede asignar All_Divisions a un grupos de usuarios o una configuración de productos de Adobe, en la sección `groups:` del archivo principal de configuración, y establecer group_member_filter conforme se indica anteriormente. El efecto de esto es tratar a todos los usuarios que se encuentren directamente en All_Divisions o en cualquier grupo contenido directa o indirectamente en All_Divisions como miembros del grupo de directorios All_Divisions. + +## Uso de técnicas de inclusión automática para hacer funcionar User Sync + +A partir de la versión 2.2 de User Sync es posible hacer que se envíen notificaciones automáticas directamente al sistema de administración de usuarios de Adobe, sin tener que leer toda la información de Adobe ni el directorio de su empresa. El uso de las notificaciones automáticas tiene la ventaja de minimizar el tiempo de procesamiento y el tráfico de comunicaciones, pero también el inconveniente de no corregirse automáticamente respecto a cambios realizados de otras formas o cuando se producen algunos errores. También es necesaria una gestión más cuidadosa de los cambios a realizar. + +Debe plantearse utilizar una estrategia de inclusión automática si: + +- Tiene una población extraordinariamente grande de usuarios de Adobe. +- Está realizando unos pocos cambios/adiciones/eliminaciones en relación con la población total de usuarios. +- Tiene un proceso o herramientas que pueden identificar los usuarios que se hayan cambiado (añadido, eliminado, cambios en el atributo o cambios de grupo) de forma automatizada. +- Tiene un proceso que primero elimina los derechos de productos de los usuarios salientes y luego (tras un periodo de espera) elimina completamente sus cuentas. + +La estrategia de inclusión automática evita toda la sobrecarga de leer grandes cantidades de usuarios de ambos lados y solo se puede hacer si se pueden aislar los usuarios específicos que deban actualizarse (por ejemplo, colocándolos en un grupo especial). + +Para utilizar la notificación automática, deberá poder reunir las actualizaciones a realizar incondicionalmente en un grupo de archivos o directorios separado. Las eliminaciones de usuarios también deben segregarse de las adiciones y actualizaciones de usuarios. A continuación, las actualizaciones y las eliminaciones se ejecutan en diferentes llamadas a la herramienta User Sync. + +Muchos métodos son posibles mediante técnicas de inclusión automática con User Sync. Las siguientes secciones describen una forma de trabajar recomendada. Por concretar, supóngase que existen dos productos de Adobe que se han adquirido y que deberán administrarse utilizando User Sync: Creative Cloud y Acrobat Pro. Para conceder acceso, suponga que ha creado dos configuraciones de productos denominadas Creative_Cloud y Acrobat_Pro, así como dos grupos de directorios denominados cc_users y acrobat_users. +El mapa del archivo de configuración de User Sync tendría un aspecto similar a este: + + groups: + - directory_group: acrobat_users + adobe_groups: + - "Acrobat_Pro" + - directory_group: cc_users + adobe_groups: + - "Creative_Cloud" + + + +### Uso de un grupo especial de directorios para hacer funcionar la inclusión automática de User Sync + +Se crea un grupo de directorios adicional para reunir los usuarios a actualizar. Por ejemplo, utilice un grupo de directorios `updated_adobe_users` para los usuarios nuevos o actualizados (aquellos cuya pertenencia a grupo ha cambiado). La eliminación de usuarios de ambos grupos del mapa revoca todos los accesos a productos de los usuarios y libera las licencias detentadas por los mismos. + +La línea de comandos a utilizar para procesar las adiciones y las actualizaciones es la siguiente: + + user-sync –t --strategy push --process-groups --users group updated_adobe_users + +Preste atención a `--strategy push` en la línea de comandos: es lo que provoca que User Sync no intente leer primero el directorio del lado de Adobe, haciendo que, en lugar de esto, simplemente incluya automáticamente las actualizaciones en Adobe. + +Observe también el parámetro `-t` en la línea de comandos, que sirve para ejecutar en “modo de prueba”. Si las acciones parecen ser las esperadas, quite el parámetro -t para que User Sync pase a realizar los cambios. + +Cuando `--strategy push` se especifica, los usuarios se incluyen automáticamente en Adobe con todos sus grupos del mapa *añadidos* y con todos los grupos del mapa que no se espera que estén en *eliminados*. Esta manera de mover a un usuario de un grupo de directorios a otro, donde hay diferentes mapas, provocará que ese usuario se cambie en el lado de Adobe en la siguiente inclusión automática. + +Esta forma de trabajar no eliminará ni quitará cuentas, pero revocará el acceso a todos los productos y liberará las licencias. Para eliminar cuentas, es necesaria una forma de trabajo diferente, que se describe en la próxima sección. + +El proceso para poder realizar esta forma de trabajo consta de los siguientes pasos: + +- Cada vez que añade un nuevo usuario o cambia los grupos de un usuario en el directorio (incluyendo la eliminación de todos los grupos, que fundamentalmente deshabilita todos los derechos de producto), también está añadiendo a ese usuario al grupo “updated_adobe_users”. +- Una vez al día (o con la frecuencia que elija), deberá ejecutar una tarea de sincronización con los parámetros mostrados anteriormente. +- Esta tarea provoca que se creen todos los usuarios actualizados, si resulta necesario, y que tengan sus grupos de mapas actualizados en el lado de Adobe. +- Una vez ejecutada la tarea, procederá a quitar los usuarios del grupo updated_adobe_users (porque sus cambios se han incluido). + +En cualquier momento, también puede ejecutar una tarea de User Sync en modo regular (no de inclusión automática) para utilizar toda la funcionalidad completa de User Sync. Esto recogerá todos los cambios que pudieran haberse pasado por alto, los cambios correctos realizados sin utilizar User Sync y/o realizará las eliminaciones de cuentas reales. La línea de comandos sería parecida a esta: + + user-sync --process-groups --users mapped --adobe-only-user-action remove + + +### Uso de un archivo para hacer funcionar la inclusión automática de User Sync + +Puede utilizar un archivo como entrada a User Sync. En este caso, User Sync no accede al propio directorio. Puede crear los archivos (uno para adiciones y actualizaciones y otro para eliminaciones) manualmente o usando un script que obtenga información de alguna otra fuente. + +Crear un archivo “users-file.csv” con información sobre los usuarios a añadir o actualizar. Un ejemplo de este archivo es el siguiente: + + firstname,lastname,email,country,groups,type,username,domain + Jane 1,Doe,jdoe1+1@example.com,US,acrobat_users + Jane 2,Doe,jdoe2+2@example.com,US,"cc_users,acrobat_users" + +La línea de comandos para incluir automáticamente las actualizaciones desde el archivo es: + + user-sync –t --strategy push --process-groups --users file users-file.csv + +Ejecútela sin el parámetro `-t` cuando esté preparado para que las acciones surtan efecto. + +Para eliminar usuarios, se creará un archivo distinto con diferente formato. Como ejemplos de contenido podrían citarse los siguientes: + + type,username,domain + adobeID,jimbo@gmail.com, + enterpriseID,jsmith1@ent-domain-example.com, + federatedID,jsmith2,user-login-fed-domain.com + federatedID,jsmith3@email-login-fed-domain.com, + +Cada entrada debe incluir el tipo de identidad, el correo electrónico del usuario o el nombre del usuario y, para identidades del tipo Federated Identity, el dominio. + +La línea de comandos para procesar eliminaciones basándose en un archivo como este (por ejemplo, remove-list.csv) sería: + + user-sync -t --adobe-only-user-list remove-list.csv --adobe-only-user-action remove + +La acción “remove” podría ser “remove-adobe-groups” o “delete”, para mantener la cuenta en la organización o para eliminarla, respectivamente. Indique también el parámetro `-t` para el modo de prueba. + +El proceso para poder realizar esta forma de trabajo consta de los siguientes pasos: + +- Cada vez que añade un nuevo usuario o cambia los grupos de un usuario en el directorio (incluyendo la eliminación de todos los grupos, que fundamentalmente deshabilita todos los derechos de producto), también está añadiendo una entrada al “users-file.csv” que incluye los grupos en los que el usuario debería estar. Puede que sean más o menos grupos de aquellos en los que esté el usuario. +- Cada vez que deba eliminarse un usuario, añada una entrada al archivo “remove-list.csv”. +- Una vez al día (o con la frecuencia que elija), deberá ejecutar las dos tareas de sincronización con los parámetros mostrados anteriormente (uno para adiciones y actualizaciones y otro para eliminaciones). +- Estas tareas hacen que todos lo usuarios actualizados tengan sus grupos de mapas actualizados en el lado de Adobe y que los usuarios eliminados se eliminen en el lado de Adobe. +- Una vez ejecutada la tarea, borre los archivos (ya que sus cambios se han incluido automáticamente) para prepararse para el próximo lote. --- diff --git a/docs/es/user-manual/command_parameters.md b/docs/es/user-manual/command_parameters.md index 438d1becf..62f8ddff8 100644 --- a/docs/es/user-manual/command_parameters.md +++ b/docs/es/user-manual/command_parameters.md @@ -23,7 +23,7 @@ La herramienta acepta parámetros opcionales que determinan su comportamiento es | Especificaciones de parámetros y argumentos  | Descripción | |------------------------------|------------------| -| `-h`
`--help` | Mostrar este mensaje de ayuda y salir. | +| `-h`
`--help` | Mostrar un mensaje de ayuda y salir. | | `-v`
`--version` | Mostrar el número de versión del programa y salir. | | `-t`
`--test-mode` | Ejecutar llamadas de acción de API en modo de prueba (no ejecuta cambios). Registra lo que se habría ejecutado. | | `-c` _filename_
`--config-filename` _filename_ | La ruta de acceso completa al archivo de configuración principal, absoluta o relativa a la carpeta de trabajo. El nombre de archivo predeterminado es "user-sync-config.yml". | @@ -32,7 +32,9 @@ La herramienta acepta parámetros opcionales que determinan su comportamiento es | `--update-user-info` | Cuando se suministra, sincroniza la información de usuario. Si la información difiere entre el lado del directorio de empresa y el lado de Adobe, el lado de Adobe se actualiza para lograr que ambos coincidan. Esto incluye los campos firstname y lastname. | | `--process-groups` | Cuando se suministra, sincroniza la información de pertenencia del grupo. Si la información de los grupos asignados difiere entre el lado del directorio de empresa y el lado de Adobe, la pertenencia a grupos se actualiza en el lado de Adobe para lograr que ambos coincidan. Esto incluye la eliminación de la pertenencia a grupos de los usuarios de Adobe que no aparece en el lado de directorio (a menos que la opción `--adobe-only-user-action exclude` esté seleccionada también). | | `--adobe-only-user-action preserve`
`--adobe-only-user-action remove-adobe-groups`
`--adobe-only-user-action remove`
`--adobe-only-user-action delete`

`--adobe-only-user-action write-file` filename

`--adobe-only-user-action exclude` | Cuando se suministra, si se encuentran cuentas de usuario en la parte de Adobe que no se encuentran en el directorio, realizar la acción indicada.

`preserve`: no se realiza ninguna acción relativa a la eliminación de la cuenta. Es el modo predeterminado. Aun así pueden producirse cambios de pertenencia a grupos si se ha especificado la opción `--process-groups`.

`remove-adobe-groups`: La cuenta se elimina de los grupos de usuarios y configuraciones de producto, liberando todas las licencias que tuvieran, pero queda como una cuenta de activa de la organización.

`remove`: Además de remove-adobe-groups, la cuenta también se elimina de la organización, pero la cuenta del usuario, con sus activos asociados, se deja en el dominio y se puede volver a añadir a la organización si se desea.

`delete`: Además de la acción de eliminación, la cuenta se elimina si su dominio es propiedad de la organización.

`write-file`: No se realiza ninguna acción relativa a la eliminación de la cuenta. La lista de cuentas de usuario presente en la parte de Adobe pero no en el directorio se escribe en el archivo indicado. A continuación, puede pasar este archivo al argumento `--adobe-only-user-list` en una ejecución posterior. Aun así pueden producirse cambios de pertenencia a grupos si se ha especificado la opción `--process-groups`.

`exclude`: No se aplica ninguna actualización de ningún tipo a los usuarios que se encuentran solamente en la parte de Adobe. Esto se utiliza cuando se realizan actualizaciones de usuarios específicos a través de un archivo (--users file f) en el que solo los usuarios que necesitan actualizaciones explícitas se muestran en el archivo y los demás usuarios se deben dejar.

Solo se aplicarán acciones permitidas. Las cuentas de tipo adobeID son propiedad del usuario por lo que la acción de eliminación tendrá un efecto equivalente a quitar. Lo mismo es válido para las cuentas de Adobe propiedad de otras organizaciones. | -| `adobe-only-user-list` _filename_ | Especifica un archivo desde el que se leerá una lista de usuarios. Esta lista se utiliza como la lista definitiva de cuentas de usuario "solo de Adobe" en las que se actuará. Una de las directrices `--adobe-only-user-action` también se deben especificar y su acción se aplicará a las cuentas de usuario de la lista. La opción `--users` no está permitida si esta opción está presente: pueden procesarse solo acciones de eliminación de cuentas. | +| `--adobe-only-user-list` _filename_ | Especifica un archivo desde el que se leerá una lista de usuarios. Esta lista se utiliza como la lista definitiva de cuentas de usuario "solo de Adobe" en las que se actuará. Una de las directrices `--adobe-only-user-action` también se deben especificar y su acción se aplicará a las cuentas de usuario de la lista. La opción `--users` no está permitida si esta opción está presente: pueden procesarse solo acciones de eliminación de cuentas. | +| `--config-file-encoding` _encoding_name_ | Opcional. Especifica la codificación de caracteres para el contenido de los propios archivos de configuración. Esto incluye al archivo de configuración principal, “user-sync-config.yml”, así como otros archivos de configuración a los que pueda hacer referencia. El valor predeterminado es `utf8` para User Sync 2.2 y posteriores, y `ascii` para las anteriores versiones.
La codificación de caracteres en los datos fuente de usuario (ya sea csv o ldap) viene declarada mediante las configuraciones de conectores, pudiendo ser dicha codificación diferente de la utilizada para los archivos de configuración (por ejemplo, se podría tener un archivo de configuración latin-1, pero tener un archivo fuente CSV que utilice codificación utf-8).
Las codificaciones disponibles dependen de la versión de Python utilizada; consulte la documentación [aquí](https://docs.python.org/2.7/library/codecs.html#standard-encodings) para obtener más información. | +| `--strategy sync`
`--strategy push` | Disponible en la versión 2.2 y posteriores. Opcional. El modo de operación predeterminado es `--strategy sync`. Controla si User Sync lee la información de usuarios de Adobe y la compara con la información del directorio y, a continuación, emite actualizaciones para Adobe, o simplemente incluye la entrada del directorio en Adobe sin tener en cuenta la información de usuarios existente en Adobe. `sync` es la opción predeterminada y el objeto de la descripción de la mayoría de esta documentación. `push` es útil cuando hay una gran cantidad de usuarios en el lado de Adobe (> 30.000), se desea realizar una serie de adiciones o cambios conocidos a un pequeño número de usuarios y la lista de estos usuarios está disponible en un archivo csv o un grupo de directorios específico.
Si se especifica `--strategy push`, `--adobe-only-user-action` no podrá especificarse, ya que no se realiza la determinación de los usuarios que son solo de adobe.
`--strategy push` creará nuevos usuarios, modificará sus pertenencias a grupos, solo para grupos registrados (si está presente `--process-groups`), actualizará la información de usuarios (si está presente `--update-user-info`) y no eliminará usuarios de la organización ni sus correspondientes cuentas. Consulte [Gestión de notificaciones automáticas](usage_scenarios.md#trabajo-con-notificaciones-automáticas) para obtener información sobre cómo eliminar usuarios mediante notificaciones automáticas. | {: .bordertablestyle } --- diff --git a/docs/es/user-manual/configuring_user_sync_tool.md b/docs/es/user-manual/configuring_user_sync_tool.md index 54322723c..c12a7b068 100644 --- a/docs/es/user-manual/configuring_user_sync_tool.md +++ b/docs/es/user-manual/configuring_user_sync_tool.md @@ -27,7 +27,7 @@ El funcionamiento de la herramienta User Sync lo controlan un conjunto de archiv | user-sync-config.yml | Necesario. Contiene opciones de configuración que definen la asignación de grupos de directorio a grupos de usuarios y configuraciones de producto de Adobe, y que controlan el comportamiento de actualización. También contiene referencias a los otros archivos de configuración.| | connector‑umapi.yml   | Necesario. Contiene credenciales e información de acceso para llamar la API de la gestión de usuarios de Adobe. | | connector-ldap.yml | Necesario. Contiene credenciales e información de acceso para acceder al directorio de empresa. | - +{: .bordertablestyle } Si necesita configurar el acceso a grupos de Adobe en otras organizaciones que le han concedido el acceso, puede incluir archivos de configuración adicionales. Para obtener más información, consulte las [instrucciones de configuración avanzada](advanced_configuration.md#acceso-a-grupos-de-otras-organizaciones) a continuación. @@ -63,7 +63,7 @@ adobe_groups: ## Creación y protección de archivos de configuración de la conexión -En los archivos de configuración de la conexión se almacenan las credenciales que dan acceso a User Sync a Adobe Admin Console y al directorio LDAP de la empresa. Para aislar la información confidencial necesaria para conectar a los dos sistemas, todos los datos de credenciales reales se encierran en estos dos archivos. **Asegúrese de protegerlos adecuadamente**, como se describe en la sección [Consideraciones de seguridad](deployment_best_practices.md#consideraciones-de-seguridad) de este documento. +En los archivos de configuración de la conexión se almacenan las credenciales que dan acceso a User Sync a Adobe Admin Console y al directorio LDAP de la empresa. Para aislar la información confidencial necesaria para conectar a los dos sistemas, todos los datos de credenciales reales se encierran en estos dos archivos. **Asegúrese de protegerlos adecuadamente**, como se describe en la sección [Consideraciones de seguridad](deployment_best_practices.md#recomendaciones-de-seguridad) de este documento. User Sync admite tres técnicas para proteger las credenciales. @@ -109,7 +109,14 @@ En User Sync 2.1 o posterior existe una alternativa al almacenamiento de la clav Fz2i8y6qhmfhj48dhf84hf3fnGrFP2mX2Bil48BoIVc9tXlXFPstJe1bz8xpo= -----END RSA PRIVATE KEY----- +En User Sync 2.2 o posterior, hay algunos parámetros adicionales para controlar la temporización y el reintento de conexión. No debería ser necesario utilizarlos nunca; sin embargo, en el caso de se produzca alguna situación inusual, puede definirlos en la sección `server`: + + server: + timeout: 120 + retries: 3 +`timeout` establece el tiempo de espera máximo, en segundos, para completar una llamada. +`retries` establece el número de veces a reintentar una operación, si falla debido a un problema no específico, como un error del servidor o una temporización. ### Configuración de la conexión al directorio de empresa @@ -122,6 +129,8 @@ host: "FQDN.de.host" base_dn: "nd_base.de.directorio" ``` +Consulte la sección [Consideraciones de seguridad](deployment_best_practices.md#recomendaciones-de-seguridad) para obtener más información sobre cómo almacenar la contraseña de forma más segura la versión 2.1 de User Sync o posterior. + ## Opciones de configuración El archivo de configuración principal, user-sync-config.yml, se divide en varias secciones principales: **adobe_users**, **directory_users**, @@ -323,6 +332,8 @@ enterprise: Utilice estos casos de prueba para asegurarse de que la configuración está funcionando correctamente, y que las configuraciones de producto están correctamente asignadas a los grupos de seguridad del directorio de empresa. Ejecute primero la herramienta en modo de prueba (suministrando el parámetro -t) para poder ver el resultado antes de la ejecución real. +Los siguientes ejemplos utilizan `--users all` para seleccionar usuarios, pero puede preferir utilizar `--users mapped` para seleccionar solo los usuarios de los grupos de directorios enumerados en su archivo de configuración, o `--users file f.csv` para seleccionar un conjunto más pequeño de usuarios de prueba enumerados en un archivo. + ### Creación de usuarios @@ -346,7 +357,7 @@ Utilice estos casos de prueba para asegurarse de que la configuración está fun 1. Modifique la pertenencia a grupos de uno o varios usuarios de prueba en el directorio. -1. Ejecute User Sync. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +1. Ejecute User Sync. (`./user-sync --users all --process-groups --adobe-only-user-action exclude`) 2. Compruebe que los usuarios de prueba de Adobe Admin Console se hayan actualizado para reflejar la nueva pertenencia a configuración de producto. @@ -357,7 +368,7 @@ Utilice estos casos de prueba para asegurarse de que la configuración está fun 1. Quite o desactive uno o varios usuarios de prueba existentes del directorio de empresa. -2. Ejecute User Sync. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +2. Ejecute User Sync. (`./user-sync --users all --process-groups --adobe-only-user-action remove-adobe-groups`) Tal vez prefiera ejecutarlo primero en modo de prueba (-t). 3. Compruebe que se hayan eliminado los usuarios de las configuraciones de producto configuradas en Adobe Admin Console. diff --git a/docs/es/user-manual/deployment_best_practices.md b/docs/es/user-manual/deployment_best_practices.md index a87335a23..7ea8d1a04 100644 --- a/docs/es/user-manual/deployment_best_practices.md +++ b/docs/es/user-manual/deployment_best_practices.md @@ -35,7 +35,7 @@ La aplicación hace peticiones GET y POST de la API de gestión de usuarios a un Para proteger la disponibilidad de los sistemas de identidad de usuario internos de Adobe, la API de gestión de usuarios impone límites en el acceso a los datos del cliente. Los límites se aplican al número de llamadas que puede hacer un cliente individual dentro de un intervalo de tiempo y los límites globales se aplican al acceso de todos los clientes dentro del período de tiempo. La herramienta User Sync implementa nuevamente y reintenta la lógica para evitar que el script afecte continuamente a la API de gestión de usuarios cuando se alcanza el límite de la tasa. Es normal ver mensajes en la consola indicando que el script ha estado en pausa por un breve período de tiempo antes de intentar ejecutarlo de nuevo. -A partir de User Sync 2.1, existen dos técnicas adicionales disponibles para proteger las credenciales. La primera utiliza el almacén de credenciales del sistema operativo para almacenar los valores de credenciales de configuración individuales. La segunda utiliza un mecanismo que debe proporcionarse para guardar el archivo de configuración completo para umapi y/o ldap que incluye todas las credenciales. Estas se describen con detalle en las secciones siguientes. +A partir de User Sync 2.1, existen dos técnicas adicionales disponibles para proteger las credenciales. La primera utiliza el almacén de credenciales del sistema operativo para almacenar los valores de credenciales de configuración individuales. La segunda utiliza un mecanismo que debe proporcionarse para guardar de manera segura el archivo de configuración completo para umapi y/o ldap, que incluye todas las credenciales necesarias. Estas se describen con detalle en las secciones siguientes. ### Almacenar las credenciales en el almacenamiento de nivel de sistema operativo @@ -54,10 +54,33 @@ connector-umapi.yml Observe el cambio de `api_key`, `client_secret` y `priv_key_path` por `secure_api_key_key`, `secure_client_secret_key` y `secure_priv_key_data_key`, respectivamente. Estos valores de configuración alternativos dan los nombres clave que deben consultarse en la cadena de llave de usuario (o el servicio equivalente en otras plataformas) para recuperar los valores de credenciales reales. En este ejemplo, los nombres de clave de credenciales son `umapi_api_key`, `umapi_client_secret` y `umapi_private_key_data`. -El contenido del archivo de clave privada se utiliza como valor de `umapi_private_key_data` en el almacén de credenciales. +El contenido del archivo de clave privada se utiliza como valor de `umapi_private_key_data` en el almacén de credenciales. Esto puede hacerse solo en plataformas distintas de Windows. A continuación se explica cómo asegurar el archivo de claves privadas en Windows. -Los valores de credenciales se consultarán utilizando los nombres de clave especificados, siendo el usuario el valor org_id. +Los valores de credenciales de inicio podrán consultarse en el almacenamiento seguro utilizando org_id como valor de nombre de usuario y los nombres de las claves del archivo de configuración como nombre de la clave. +Se dispone de una ligera variante de esta forma de trabajar (en la versión 2.1.1 de User Sync o posteriores) para cifrar el archivo de claves privadas utilizando la representación cifrada RSA estándar de las claves privadas (conocida como formato PKCS #8). Esta forma de trabajo debe utilizarse en Windows, debido a que el almacenamiento seguro de Windows no es capaz de almacenar cadenas que superen los 512 bytes, lo que impide su uso con claves privadas. Esta forma de trabajo puede usarse también en el resto de plataformas, si así lo desea. + +Para guardar la clave privada en formato cifrado, proceda como se indica a continuación. En primer lugar, cree una versión cifrada del archivo de clave privada. Seleccione una frase de contraseña y cifre el archivo de clave privado: + + openssl pkcs8 -in private.key -topk8 -v2 des3 -out private-encrypted.key + +En Windows, deberá ejecutar openssl desde Cygwin o algún otro proveedor; no viene incluido en la distribución estándar de Windows. + +A continuación, utilice los siguientes elementos de la configuración en connector-umapi.yml. Los dos últimos elementos que aparecen a continuación provocan que la frase de contraseña se obtenga desde el almacén de credenciales seguras y hacen referencia el archivo de claves privadas cifradas, respectivamente: + + server: + + enterprise: + org_id: your org id + secure_api_key_key: umapi_api_key + secure_client_secret_key: umapi_client_secret + tech_acct: your tech account@techacct.adobe.com + secure_priv_key_pass_key: umapi_private_key_passphrase + priv_key_path: private-encrypted.key + +Por último, añada la frase de contraseña al almacenamiento seguro como una entrada con el nombre de usuario o la dirección url como el Id. de la organización, el nombre de la clave como `umapi_private_key_passphrase` para que coincida con la entrada del archivo de configuración `secure_priv_key_pass_key` y el valor como frase de contraseña. (También puede incluir la clave cifrada privada colocando los datos en el archivo connector-umapi.yml con la clave `priv_key_data` en lugar de utilizar `priv_key_path`). + +Esto termina la descripción de la variante en la que se utiliza el cifrado de clave privada RSA. connector-ldap.yml @@ -73,7 +96,7 @@ Las credenciales se almacenan en el almacén seguro del sistema operativo subyac | OS | Almacén de credenciales | |------------|--------------| -|Windows | Depósito de credenciales de Windows | +| Windows | Depósito de credenciales de Windows | | Mac OS X | Cadena de llave | | Linux | Servicio secreto de Freedesktop o KWallet | {: .bordertablestyle } diff --git a/docs/es/user-manual/index.md b/docs/es/user-manual/index.md index f869be58b..753e9fae7 100644 --- a/docs/es/user-manual/index.md +++ b/docs/es/user-manual/index.md @@ -8,7 +8,7 @@ nav_level: 1 nav_order: 10 --- -Versión 2.1rc3, publicada el 22/05/2017 +Versión 2.1.1, publicada el 09/06/2017 Este documento contiene toda la información que necesita para comenzar a utilizar User Sync. Se da por supuesto que el usuario está familiarizado con el uso de herramientas de línea de comandos en el sistema operativo local y que posee una comprensión general del funcionamiento de los sistemas de directorio de empresas. diff --git a/docs/es/user-manual/media/adobe-to-enterprise-connections.png b/docs/es/user-manual/media/adobe-to-enterprise-connections.png index 9584feea6..e0d407e23 100644 Binary files a/docs/es/user-manual/media/adobe-to-enterprise-connections.png and b/docs/es/user-manual/media/adobe-to-enterprise-connections.png differ diff --git a/docs/es/user-manual/media/group-mapping.png b/docs/es/user-manual/media/group-mapping.png index 427f6c24b..af28e2425 100644 Binary files a/docs/es/user-manual/media/group-mapping.png and b/docs/es/user-manual/media/group-mapping.png differ diff --git a/docs/es/user-manual/setup_and_installation.md b/docs/es/user-manual/setup_and_installation.md index b6df5a7d5..cdee81384 100644 --- a/docs/es/user-manual/setup_and_installation.md +++ b/docs/es/user-manual/setup_and_installation.md @@ -26,7 +26,9 @@ El uso de la herramienta User Sync varía en función de si la empresa ha establ La herramienta User Sync es un cliente de la API de gestión de usuarios. Antes de instalar la herramienta, debe registrarla como cliente de la API añadiendo una *integración* en el [Portal del programador](https://www.adobe.io/console/) de Adobe I/O. Deberá añadir una integración de clave de empresa con el fin de obtener las credenciales que la herramienta necesita para tener acceso al sistema de gestión de usuarios de Adobe. -Los pasos necesarios para la creación de una integración se describen con detalle en la sección de [Configuración del acceso](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/setup.html) del sitio web de la API de gestión de usuarios de Adobe I/O. El proceso requiere crear un certificado específico de la integración, que puede ser autofirmado. Cuando el proceso termine, se le asignará un **API key**, un **Technical account ID**, un **Organization ID** y un **client secret** que la herramienta utilizará junto con la información del certificado para comunicarse de forma segura con Admin Console. Al instalar la herramienta User Sync, debe proporcionar estos datos como valores de configuración que la herramienta necesita para acceder al almacén de información de usuarios de la organización en Adobe. +Los pasos necesarios para crear una integración se describen en la sección [Descripción general de autenticación de Adobe I/O] (https://www.adobe.io/apis/cloudplatform/console/authentication/gettingstarted.html) del sitio web de Adobe I/O. Busque las secciones de autenticación de cuentas de servicio. Cuando el proceso termine, se le asignará un **API key**, un **Technical account ID**, un **Organization ID** y un **client secret** que la herramienta utilizará junto con la información del certificado para comunicarse de forma segura con Admin Console. Al instalar la herramienta User Sync, debe proporcionar estos datos como valores de configuración que la herramienta necesita para acceder al almacén de información de usuarios de la organización en Adobe. + +Existe información adicional disponible en la documentación UMAPI, disponible [aquí](https://adobe-apiplatform.github.io/umapi-documentation) o [aquí](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## Configuración de la sincronización de acceso a los productos @@ -72,16 +74,16 @@ La herramienta User Sync está disponible en el [repositorio de User Sync en Git 1. Cree una carpeta en el servidor en la que va a instalar la herramienta User Sync y ponga en ella los archivos de configuración. -1. Haga clic en el vínculo **Releases** para localizar la versión más reciente, que contiene las notas de la versión, esta documentación, archivos de configuración de muestra y todas las versiones (así como los archivos de origen). +1. Haga clic en el vínculo **Releases** para localizar la versión más reciente, que contiene las notas de la versión, archivos de configuración de muestra y todas las versiones (así como los archivos de origen). -2. Seleccione y descargue el paquete comprimido para su plataforma (el archivo `.tar.gz`). Están disponibles versiones para Windows, OSX y Ubuntu. (Si va a crear desde código fuente, puede descargar el paquete de código fuente correspondiente a la versión o utilizar la fuente más reciente de la rama maestra.) +2. Seleccione y descargue el paquete comprimido para su plataforma (el archivo `.tar.gz`). Están disponibles compilaciones para Windows, OSX, Centos y Ubuntu. (Si va a crear desde código fuente, puede descargar el paquete de código fuente correspondiente a la versión o utilizar la fuente más reciente de la rama maestra.) También puede que estén disponibles compilaciones para Python 3 en versiones posteriores de User Sync. 3. Localice el archivo ejecutable de Python (`user-sync` o `user-sync.pex` para Windows) y póngalo en la carpeta de User Sync. -4. Descargue el archivo `example-configurations.tar.gz` de archivos de configuración de muestra. Dentro del archivo hay una carpeta llamada "config files – basic". Los primeros 3 archivos de esta carpeta son necesarios. Los otros archivos del paquete son versiones opcionales o alternativas para fines específicos. Puede copiarlos a la carpeta raíz y luego cambiarles el nombre y editarlos para que sean sus propios archivos de configuración. (Consulte la siguiente sección, [Configuración de la herramienta User Sync](configuring_user_sync_tool./md#configuración-de-la-herramienta-User-Sync).) +4. Descargue el archivo `example-configurations.tar.gz` de archivos de configuración de muestra. Dentro del archivo hay una carpeta llamada "config files – basic". Los primeros 3 archivos de esta carpeta son necesarios. Los otros archivos del paquete son versiones opcionales o alternativas para fines específicos. Puede copiarlos a la carpeta raíz y luego cambiarles el nombre y editarlos para que sean sus propios archivos de configuración. (Consulte la siguiente sección, [Configuración de la herramienta User Sync](configuring_user_sync_tool.md#configuración-de-la-herramienta-User-Sync).) 5. **Solo en Windows:** @@ -90,7 +92,7 @@ La herramienta User Sync está disponible en el [repositorio de User Sync en Git El sistema operativo Windows fuerza un límite de longitud de ruta de archivo de 260 caracteres. Al ejecutar un archivo PEX de Python, crea una ubicación temporal para extraer el contenido del paquete. Si la ruta a esa ubicación supera los 260 caracteres, el script no se ejecuta correctamente. - De forma predeterminada, la caché temporal se encuentra en su carpeta de inicio, que puede hacer que las rutas de acceso excedan el límite. Para solucionar este problema, cree una variable de entorno en Windows llamada PEX\_ROOT, y establezca la ruta como C:\\user-sync\\.pex. El sistema operativo utiliza esta variable para la ubicación de la caché, lo que impide que la ruta supere el límite de 260 caracteres. + De forma predeterminada, la caché temporal se encuentra en su carpeta de inicio, que puede hacer que las rutas de acceso excedan el límite. Para solucionar este problema, cree una variable de entorno en Windows llamada PEX\_ROOT, y establezca la ruta como C:\\pex. El sistema operativo utiliza esta variable para la ubicación de la caché, lo que impide que la ruta supere el límite de 260 caracteres. 6. Para ejecutar la herramienta User Sync, ejecute el archivo ejecutable de Python, `user-sync` (o ejecute `python user-sync.pex` en Windows). @@ -111,7 +113,7 @@ Si configura User Sync para el acceso a su directorio de empresa, debe configura #### Archivos de certificado -Los archivos que contienen las claves pública y privada, pero especialmente la clave privada, contienen información confidencial. Debe conservar la clave privada segura. No se puede recuperar o sustituir. Si la pierde o está en riesgo, debe eliminar el certificado correspondiente de su cuenta. Si es necesario, debe crear y cargar un nuevo certificado. Debe proteger estos archivos como mínimo igual que protege un nombre de cuenta y contraseña. La mejor práctica es almacenar los archivos de clave en un sistema de gestión de credenciales o utilizar la protección de archivos del sistema para que solo puedan tener acceso a ellos los usuarios autorizados. +Los archivos que contienen las claves pública y privada, pero especialmente la clave privada, contienen información confidencial. Debe conservar la clave privada segura. No se puede recuperar o sustituir. Si la pierde o está en riesgo, debe eliminar el certificado correspondiente de su cuenta. Si es necesario, debe crear y cargar un nuevo certificado. Debe proteger estos archivos como mínimo igual que protege un nombre de cuenta y contraseña. El mejor modo de proceder es almacenar el archivo de claves privadas en un sistema de gestión de credenciales, en el almacenamiento seguro del sistema operativo, o utilizar la protección de archivos del sistema, de manera que solo puedan acceder a ellos los usuarios autorizados. #### Archivos de registro diff --git a/docs/es/user-manual/usage_scenarios.md b/docs/es/user-manual/usage_scenarios.md index be1372009..f5753d35b 100644 --- a/docs/es/user-manual/usage_scenarios.md +++ b/docs/es/user-manual/usage_scenarios.md @@ -33,7 +33,8 @@ Esta sección proporciona instrucciones detalladas de cada uno de estos escenari Este es el tipo más típico y común de invocación. User Sync busca todos los cambios en la información de usuario y la información de miembros de grupo en la parte de la empresa. Sincroniza la parte de Adobe añadiendo, actualizando o eliminando usuarios y pertenencias a grupos de usuarios y configuraciones de producto. -De forma predeterminada, User Sync solo creará, eliminará o gestionará los miembros del grupo de los usuarios cuyo tipo de identidad sea Enterprise ID o Federated ID, ya que normalmente los usuarios de Adobe ID no se gestionan en el directorio. Consulte la [descripción que aparece a continuación](advanced_configuration.md#administración-de-usuarios-con-id-de-adobe) en [Configuración avanzada](advanced_configuration.md#configuración-avanzada) si así es como funciona su organización. +De forma predeterminada, User Sync solo creará, eliminará o gestionará los miembros del grupo de los usuarios cuyo tipo de identidad sea Enterprise ID o Federated ID, ya que normalmente los usuarios de Adobe ID no se gestionan en el directorio. Consulte la [descripción que aparece a continuación](advanced_configuration.md#gestión-de-usuarios-con-adobe-id) en +[Configuración avanzada](advanced_configuration.md#configuración-avanzada) si así es como funciona su organización. En este ejemplo se presupone que el archivo de configuración, user-sync-config.yml, contiene una asignación de un grupo de directorio a una configuración de producto de Adobe que se denomina **Default Acrobat Pro DC configuration**. diff --git a/docs/fr/FAQ/index.md b/docs/fr/FAQ/index.md index 87c39afe8..10b429cb9 100644 --- a/docs/fr/FAQ/index.md +++ b/docs/fr/FAQ/index.md @@ -60,11 +60,11 @@ La plupart des exemples montrent un seul groupe d’utilisateurs ou une seule co Non, User Sync gère la limitation et les nouvelles tentatives, de sorte que la limitation peut ralentir le processus global de synchronisation mais pas l’empêcher totalement et que User Sync peut mener à bien toutes les opérations. -Les systèmes Adobe se protègent des surcharges en surveillant le volume des demandes entrantes. Lorsque le volume commence à dépasser les limites, les demandes renvoient un en-tête « retry-after » indiquant le moment où la capacité sera à nouveau disponible. User Sync respecte ces en-têtes et attend le temps indiqué avant d’effectuer une nouvelle tentative. Vous trouverez plus d’informations, y compris des exemples de code, dans la [documentation de l’API User Management](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/throttling.html). +Les systèmes Adobe se protègent des surcharges en surveillant le volume des demandes entrantes. Lorsque le volume commence à dépasser les limites, les demandes renvoient un en-tête « retry-after » indiquant le moment où la capacité sera à nouveau disponible. User Sync respecte ces en-têtes et attend le temps indiqué avant d’effectuer une nouvelle tentative. Vous trouverez plus d’informations, y compris des exemples de code, dans la [documentation de l’API User Management](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## Existe-t-il une liste locale des utilisateurs créés/mis à jour (du côté de User Sync) afin de réduire les appels au serveur Adobe ? -Non, lorsqu’il s’exécute, User Sync interroge toujours les systèmes Adobe de gestion des utilisateurs pour obtenir les informations actualisées. +Lors de son exécution, l’outil User Sync interroge toujours les systèmes Adobe de gestion des utilisateurs pour obtenir des informations actualisées, à l’exception de ce qui suit. Il existe une option disponible dans User Sync version 2.2 ou ultérieure pour empêcher cette requête et l’envoi de mises à jour à Adobe sans tenir compte de l’état actuel des utilisateurs dans le système de gestion des utilisateurs d’Adobe. Si vous pouvez déterminer quels utilisateurs ont changé dans l’annuaire local et êtes certain que les autres utilisateurs n’ont pas été modifiés du côté Adobe, cette approche peut raccourcir le temps d’exécution (et l’utilisation du réseau) de vos travaux de synchronisation. ### L’outil User Sync est-il limité aux Federated ID ou est-il possible de créer n’importe quel type d’ID ? @@ -104,9 +104,4 @@ Oui, tous les clients Enterprise ont accès à l’API User Management et à l ### User Sync est-il adapté aux langues autres que l’anglais (prend-il au moins en charge la saisie de caractères codés sur deux octets) ? -Python 2.7 (le langage de l’outil) distingue « str » (chaînes de caractères 8 bits) et « unicode » (chaînes de caractères 8 bits codées en UTF-8), et le code User Sync utilise toujours « str », pas « unicode ». Toutefois, toutes les sorties des outils sont codées en UTF-8, et tant que les entrées sont également codées en UTF-8, tout devrait fonctionner correctement. Cela a fait l’objet de tests succincts et aucun problème n’a été détecté. Des tests plus approfondis sont prévus. - -Nous avons prévu de porter l’outil pour une exécution sur Python 3 et Python 2. -À ce stade, nous pouvons garantir qu’Unicode fonctionnera correctement, les types étant fusionnés sur Python 3. Les clients pour qui cela constitue un problème critique devraient générer l’outil à l’aide de Python 3. - - +Les versions antérieures de l’outil User Sync étaient erratiques dans leur prise en charge des données de caractères internationaux, même si elles fonctionnaient de manière assez fiable avec des sources de données codées par utf8. Depuis la version 2.2, User Sync est entièrement compatible avec Unicode et peut accepter des fichiers de configuration et des sources de données de tableur ou d’annuaire qui utilisent n’importe quel codage de caractères (avec, par défaut, une attente du codage utf8). diff --git a/docs/fr/index.md b/docs/fr/index.md index 06aa5f585..f50b44ad6 100644 --- a/docs/fr/index.md +++ b/docs/fr/index.md @@ -15,22 +15,14 @@ User Sync est un outil de ligne de commande qui transfère les informations rela Chaque fois que vous exécutez User Sync, il recherche les différences entre les données des utilisateurs et des groupes dans les deux systèmes, puis met à jour l’annuaire Adobe afin que ses informations correspondent à celles de votre annuaire. -# [Guide d’installation](success-guide/index.md) +# Guide d’installation Pour prendre en main rapidement l’outil User Sync, l’idéal est de lire le [Guide d’installation](success-guide/index.md), qui explique en détail comment paramétrer les fichiers de configuration requis et exécuter l’outil. -# [Manuel d’utilisation](user-manual/index.md) +# Manuel d’utilisation Pour tout savoir sur le fonctionnement de User Sync, y compris sur la configuration de l’outil pour différents scénarios d’utilisation courants, consultez le [Manuel d’utilisation](user-manual/index.md). Ce guide vous aidera également à personnaliser le comportement de l’outil User Sync, grâce aux instructions fournies pour réaliser des mappages personnalisés entre les informations de l’annuaire client et les données des systèmes Adobe. -# [Forum aux questions](FAQ/index.md) +# Forum aux questions Nous avons compilé un [Forum aux questions](FAQ/index.md) qui répond à de nombreuses questions qui nous ont été posées ou que nous jugeons utiles de clarifier. - -# Traductions disponibles - -* [Englisch](../en) -* [Deutsch](../de) -* [Français](../fr) -* [日本語](../jp) -* [Español](../es) \ No newline at end of file diff --git a/docs/fr/success-guide/images/decide_deletion_multi_org.png b/docs/fr/success-guide/images/decide_deletion_multi_org.png index e4a277fa3..6d93dc3f7 100644 Binary files a/docs/fr/success-guide/images/decide_deletion_multi_org.png and b/docs/fr/success-guide/images/decide_deletion_multi_org.png differ diff --git a/docs/fr/success-guide/images/layout_orgs_multi.png b/docs/fr/success-guide/images/layout_orgs_multi.png index 1c2e4a70d..e89e66113 100644 Binary files a/docs/fr/success-guide/images/layout_orgs_multi.png and b/docs/fr/success-guide/images/layout_orgs_multi.png differ diff --git a/docs/fr/success-guide/images/layout_orgs_multi_dir_multi_org.png b/docs/fr/success-guide/images/layout_orgs_multi_dir_multi_org.png index f92bfa259..be9ddc42f 100644 Binary files a/docs/fr/success-guide/images/layout_orgs_multi_dir_multi_org.png and b/docs/fr/success-guide/images/layout_orgs_multi_dir_multi_org.png differ diff --git a/docs/fr/success-guide/images/layout_orgs_multi_dir_single_org.png b/docs/fr/success-guide/images/layout_orgs_multi_dir_single_org.png index 6b443a2b2..0670a96e2 100644 Binary files a/docs/fr/success-guide/images/layout_orgs_multi_dir_single_org.png and b/docs/fr/success-guide/images/layout_orgs_multi_dir_single_org.png differ diff --git a/docs/fr/success-guide/images/layout_orgs_simple.PNG b/docs/fr/success-guide/images/layout_orgs_simple.PNG index b05b6e57a..75b48faa3 100644 Binary files a/docs/fr/success-guide/images/layout_orgs_simple.PNG and b/docs/fr/success-guide/images/layout_orgs_simple.PNG differ diff --git a/docs/fr/success-guide/images/layout_products_map.png b/docs/fr/success-guide/images/layout_products_map.png index f48da4809..c4c1860fd 100644 Binary files a/docs/fr/success-guide/images/layout_products_map.png and b/docs/fr/success-guide/images/layout_products_map.png differ diff --git a/docs/fr/success-guide/images/setup_config_group_map.png b/docs/fr/success-guide/images/setup_config_group_map.png index 427f6c24b..587d21b09 100644 Binary files a/docs/fr/success-guide/images/setup_config_group_map.png and b/docs/fr/success-guide/images/setup_config_group_map.png differ diff --git a/docs/fr/success-guide/index.md b/docs/fr/success-guide/index.md index 6ecb32079..6e65c35af 100644 --- a/docs/fr/success-guide/index.md +++ b/docs/fr/success-guide/index.md @@ -3,12 +3,12 @@ layout: page title: Guide d’installation advertise: Guide d’installation lang: fr -nav_link: Sommaire du guide d’installation +nav_link: Guide d’installation nav_level: 1 nav_order: 100 --- -Version 1.1, publiée le 06/03/2017 +Version 2.1.1, publiée le 09/06/2017 Ce document détaille les étapes nécessaires pour comprendre et installer l’outil User Sync. diff --git a/docs/fr/user-manual/advanced_configuration.md b/docs/fr/user-manual/advanced_configuration.md index 8c813b78b..dca51a68d 100644 --- a/docs/fr/user-manual/advanced_configuration.md +++ b/docs/fr/user-manual/advanced_configuration.md @@ -303,20 +303,121 @@ Si vous souhaitez empêcher User Sync de retirer ces comptes des groupes, placez ## Utilisation de groupes d’annuaire imbriqués dans Active Directory -///Note: The approach originally defined in this section did not quite work./// ///It will have to wait for future bug fix release./// +Remarque : avant la version 2.2, les groupes imbriqués n’étaient pas pris en charge par User Sync. -Si vos groupes d’annuaire sont structurés d’une manière imbriquée, de sorte que les utilisateurs ne figurent pas dans un simple groupe d’annuaire nommé, vous devrez exécuter des requêtes LDAP plus complexes pour énumérer la liste des utilisateurs. Par exemple, votre structure de groupes imbriqués peut se présenter comme ceci : +À partir de la version 2.2, User Sync peut être configuré pour reconnaître tous les utilisateurs dans des groupes d’annuaires imbriqués, et l’exemple de fichiers de configuration décrit comment procéder. Plus précisément, dans le fichier de configuration `connector-ldap.yml`, définissez le filtre `group_member_filter` de la manière suivante : + group_member_filter_format: "(memberOf:1.2.840.113556.1.4.1941:={group_dn})" + +Cela trouve les membres de groupe qui sont soit directement dans un groupe nommé, soit indirectement dans le groupe. + +Votre structure de groupes imbriqués peut se présenter comme ceci : All_Divisions - Blue_Division - User1@example.com - User2@example.com - Green_Division - User3@example.com - User4@example.com - -Une prochaine version de User Sync prendra en charge cette fonctionnalité de manière transparente. + Blue_Division + User1@example.com + User2@example.com + Green_Division + User3@example.com + User4@example.com + +Vous pouvez mapper All_Divisions sur une configuration de produit ou un groupe d’utilisateurs Adobe dans la section `groups:` du fichier de configuration principal, et définir group_member_filter comme illustré ci-dessus. L’effet de ceci est de traiter tous les utilisateurs contenus directement dans All_Divisions ou dans tout groupe contenu directement ou indirectement dans All_Divisions en tant que membre du groupe d’annuaires All_Divisions. + +## Utilisation de techniques push pour piloter User Sync + +À partir de User Sync version 2.2, il est possible de piloter des notifications push directement vers le système de gestion des utilisateurs d’Adobe sans avoir à lire toutes les informations depuis Adobe et votre annuaire d’entreprise. L’utilisation de notifications push a l’avantage de minimiser le temps de traitement et le trafic de communication, mais l’inconvénient de ne pas se corriger automatiquement pour les modifications effectuées d’une autre manière ou en cas d’erreurs. Une gestion plus minutieuse des modifications à apporter est également nécessaire. + +Vous devriez envisager d’utiliser une stratégie push si : + +- Vous avez un très grand nombre d’utilisateurs Adobe. +- Vous effectuez quelques ajouts/modifications/suppressions par rapport au nombre total d’utilisateurs. +- Vous avez un processus ou des outils qui peuvent identifier les utilisateurs qui ont été modifiés (ajoutés, supprimés, modifications d’attribut ou changements de groupe) de manière automatisée. +- Vous avez un processus qui supprime tout d’abord les droits de produits des utilisateurs sortants, puis (après une période d’attente) supprime complètement leurs comptes. + +La stratégie push évite tous les frais généraux de lecture d’un grand nombre d’utilisateurs de chaque côté, et vous ne pouvez le faire que si vous pouvez isoler les utilisateurs spécifiques qui doivent être mis à jour (par exemple, en les plaçant dans un groupe spécial). + +Pour utiliser la notification push, vous devez pouvoir rassembler des mises à jour à effectuer inconditionnellement dans un groupe d’annuaires ou de fichiers distinct. Les suppressions d’utilisateurs doivent également être séparées des ajouts et des mises à jour d’utilisateurs. Les mises à jour et suppressions sont ensuite exécutées dans des appels distincts de l’outil User Sync. + +De nombreuses approches sont possibles en utilisant des techniques push avec l’outil User Sync. Les sections suivantes décrivent une approche recommandée. Supposons que vous avez acheté deux produits Adobe à gérer à l’aide de l’outil User Sync : Creative Cloud et Acrobat Pro. Pour accorder l’accès, vous avez créé deux configurations de produit nommées Creative_Cloud et Acrobat_Pro, et deux groupes d’annuaires nommés cc_users et acrobat_users. +La carte dans le fichier de configuration de l’outil User Sync aurait l’aspect suivant : + + groups: + - directory_group: acrobat_users + adobe_groups: + - "Acrobat_Pro" + - directory_group: cc_users + adobe_groups: + - "Creative_Cloud" + + + +### Utilisation d’un groupe spécial d’annuaires pour piloter l’instruction push de l’outil User Sync + +Un groupe d’annuaires supplémentaire est créé pour collecter les utilisateurs à mettre à jour. Par exemple, utilisez un groupe d’annuaires `updated_adobe_users` pour les utilisateurs nouveaux ou mis à jour (ceux dont l’abonnement au groupe a été modifié). La suppression d’utilisateurs des deux groupes mappés révoque tout accès au produit et libère les licences détenues par les utilisateurs. + +La ligne de commande à utiliser pour traiter les ajouts et mises à jour est : + + user-sync –t --strategy push --process-groups --users group updated_adobe_users + +Notez l’instruction `--strategy push` sur la ligne de commande : elle provoque le fait que l’outil User Sync NE TENTE PAS de lire en premier l’annuaire côté Adobe et, au lieu de cela, d’envoyer simplement les mises à jour à Adobe. + +Notez également le `-t` sur la ligne de commande pour l’exécution en « mode test ». Si les actions semblent être celles prévues, supprimez le -t pour que l’outil User Sync apporte réellement les modifications. + +Lorsque `--strategy push` est spécifié, les utilisateurs sont envoyés vers Adobe avec tous leurs groupes mappés *ajoutés* et tous les groupes mappés qui ne sont pas censés l’être dans *supprimés*. De cette façon, le déplacement d’un utilisateur d’un groupe d’annuaires vers un autre, lorsqu’ils disposent de mappages différents, entraînera le basculement de cet utilisateur sur le côté Adobe à la prochaine action push. + +Cette approche ne supprime pas ou ne retire pas de comptes, mais révoque l’accès à l’ensemble des produits et licences gratuites. Pour supprimer des comptes, une approche différente est nécessaire, telle que décrite dans la section suivante. + +Le processus de prise en charge de cette approche consiste en les étapes suivantes : + +- Chaque fois que vous ajoutez un nouvel utilisateur ou que vous modifiez des groupes d’utilisateurs dans l’annuaire (y compris le retrait de tous les groupes, ce qui désactive essentiellement tous les droits sur le produit), vous ajoutez également cet utilisateur au groupe updated_adobe_users. +- Une fois par jour (ou à une fréquence que vous choisissez), vous exécutez un travail de synchronisation avec les paramètres indiqués ci-dessus. +- Ce travail entraîne la création de tous les utilisateurs mis à jour, si nécessaire, et la mise à jour de leurs groupes mappés du côté Adobe. +- Une fois le travail exécuté, vous supprimez les utilisateurs du groupe updated_adobe_users (parce que leurs changements ont été envoyés). + +À tout moment, vous pouvez également exécuter un travail User Sync en mode normal (sans envoi) pour obtenir la fonctionnalité complète de l’outil User Sync. Cela détectera toute modification qui pourrait avoir été omise, corrigera les modifications apportées sans l’utilisation de l’outil User Sync et/ou réalisera des suppressions de compte réelles. La ligne de commande aurait l’aspect suivant : + + user-sync --process-groups --users mapped --adobe-only-user-action remove + + +### Utilisation d’un fichier pour piloter l’instruction push de l’outil User Sync + +Vous pouvez utiliser un fichier comme entrée de l’outil User Sync. Dans ce cas, l’annuaire lui-même n’est pas accessible par User Sync. Vous pouvez créer les fichiers (l’un pour les ajouts et mises à jour et l’autre pour les suppressions) manuellement ou à l’aide d’un script qui obtient des informations d’une autre source. + +Créez un fichier users-file.csv à partir des informations sur les utilisateurs à ajouter ou mettre à jour. Un exemple du fichier est : + + firstname,lastname,email,country,groups,type,username,domain + Jane 1,Doe,jdoe1+1@example.com,US,acrobat_users + Jane 2,Doe,jdoe2+2@example.com,US,"cc_users,acrobat_users" + +La ligne de commande pour envoyer les mises à jour à partir du fichier est : + + user-sync –t --strategy push --process-groups --users file users-file.csv + +Lorsque vous êtes prêt à valider les actions, exécutez la commande sans l’argument `-t`. + +Pour supprimer des utilisateurs, un fichier distinct est créé avec un format différent. Un exemple de contenu peut être : + + type,username,domain + adobeID,jimbo@gmail.com, + enterpriseID,jsmith1@ent-domain-example.com, + federatedID,jsmith2,user-login-fed-domain.com + federatedID,jsmith3@email-login-fed-domain.com, + +Chaque entrée doit inclure le type d’identité, le nom d’utilisateur ou son e-mail et, pour un type Federated ID qui est défini pour une connexion via nom d’utilisateur, le domaine. + +La ligne de commande pour traiter les suppressions basées sur un fichier comme celui-ci (par exemple, remove-list.csv) est : + + user-sync -t --adobe-only-user-list remove-list.csv --adobe-only-user-action remove + +L’action remove peut être remove-adobe-groups ou delete pour conserver le compte dans l’organisation ou pour le supprimer, respectivement. Notez également l’argument `-t` pour le mode test. + +Le processus de prise en charge de cette approche consiste en les étapes suivantes : + +- Chaque fois que vous ajoutez un nouvel utilisateur ou que vous modifiez les groupes d’un utilisateur dans l’annuaire (y compris la suppression de tous les groupes, ce qui désactive essentiellement tous les droits sur le produit), vous ajoutez également une entrée au fichier users-file.csv qui comprend les groupes dans lesquels devrait être l’utilisateur. Il peut s’agir d’un nombre supérieur ou inférieur de groupes dans lesquels il se trouve actuellement. +- Chaque fois qu’un utilisateur doit être supprimé, ajoutez une entrée au fichier remove-list.csv. +- Une fois par jour (ou à une fréquence que vous choisissez), vous exécutez les deux travaux de synchronisation avec les paramètres indiqués ci-dessus (l’un pour les ajouts et mises à jour et l’autre pour les suppressions). +- Ces travaux permettent à tous les utilisateurs mis à jour d’avoir leurs groupes mappés mis à jour du côté Adobe, et les utilisateurs supprimés d’être supprimés du côté Adobe. +- Une fois le travail exécuté, effacez les fichiers (car les changements ont été envoyés) afin de préparer le système en vue du prochain lot. --- diff --git a/docs/fr/user-manual/command_parameters.md b/docs/fr/user-manual/command_parameters.md index 0335edd02..c8e0d6dba 100644 --- a/docs/fr/user-manual/command_parameters.md +++ b/docs/fr/user-manual/command_parameters.md @@ -23,7 +23,7 @@ L’outil accepte des paramètres facultatifs qui déterminent son comportement | Paramètres et définition des arguments | Description | |------------------------------|------------------| -| `-h`
`--help` | Afficher ce message d’aide et quitter. | +| `-h`
`--help` | Afficher un message d’aide et quitter. | | `-v`
`--version` | Afficher le numéro de version du programme et quitter. | | `-t`
`--test-mode` | Exécuter les appels d’action d’API en mode test (sans procéder à de réelles modifications). Consigne dans le journal ce qui aurait été exécuté. | | `-c` _filename_
`--config-filename` _filename_ | Chemin d’accès complet au fichier de configuration principal, absolu ou relatif par rapport au dossier de travail. Le nom de fichier par défaut est « user-sync-config.yml ». | @@ -32,7 +32,9 @@ L’outil accepte des paramètres facultatifs qui déterminent son comportement | `--update-user-info` | Lorsqu’il est indiqué, ce paramètre synchronise les informations utilisateur. Si les informations diffèrent entre l’annuaire d’entreprise et les systèmes Adobe, ceux-ci sont mis à jour pour correspondre à l’annuaire. Cela inclut les champs firstname (prénom) et lastname (nom). | | `--process-groups` | Lorsqu’il est indiqué, ce paramètre synchronise les informations sur les appartenances aux groupes. Si les appartenances définies dans les groupes mappés diffèrent entre l’annuaire d’entreprise et les systèmes Adobe, elles sont mises à jour côté Adobe pour correspondre à l’annuaire. Cela implique le retrait des appartenances aux groupes pour les utilisateurs Adobe qui ne figurent pas dans l’annuaire (sauf si l’option `--adobe-only-user-action exclude` est également sélectionnée). | | `--adobe-only-user-action preserve`
`--adobe-only-user-action remove-adobe-groups`
`--adobe-only-user-action remove`
`--adobe-only-user-action delete`

`--adobe-only-user-action write-file` filename

`--adobe-only-user-action exclude` | Lorsque ce paramètre est indiqué, si des comptes d’utilisateurs sont présents dans les systèmes Adobe mais absents de l’annuaire, prendre la mesure indiquée.

`preserve` : aucune mesure concernant la suppression de compte n’est prise. Il s’agit du comportement par défaut. Les appartenances aux groupes peuvent tout de même être modifiées si l’option `--process-groups` a été spécifiée.

`remove-adobe-groups` : le compte a été retiré des groupes d’utilisateurs et des configurations de produits, ce qui libère toute licence qu’il pouvait détenir, mais il reste un compte actif dans l’organisation.

`remove` : outre remove-adobe-groups, le compte est également retiré de l’organisation, mais le compte d’utilisateur, avec ses actifs associés, reste dans le domaine et peut à nouveau être ajouté à l’organisation si vous le souhaitez.

`delete` : outre l’action de retrait, le compte est supprimé si son domaine est détenu par l’organisation.

`write-file` : aucune mesure n’est prise concernant la suppression de compte. La liste des comptes d’utilisateurs présents dans les systèmes Adobe, mais absents de l’annuaire, est écrite dans le fichier indiqué. Vous pouvez ensuite transmettre ce fichier à l’argument `--adobe-only-user-list` lors d’une exécution ultérieure. Les appartenances aux groupes peuvent tout de même être modifiées si l’option `--process-groups` a été spécifiée.

`exclude` : aucune mise à jour d’aucune sorte n’est appliquée aux utilisateurs présents uniquement dans les systèmes Adobe. Ce paramètre est utilisé lorsque vous effectuez des mises à jour d’utilisateurs spécifiques par le biais d’un fichier (--users file f), où seuls les utilisateurs qui ont besoin de mises à jour explicites sont répertoriés dans le fichier et où tous les autres utilisateurs doivent rester inchangés.

Seules les actions autorisées seront appliquées. Les comptes de type adobeID sont la propriété de l’utilisateur. L’action delete sera donc équivalente à remove. Il en va de même pour les comptes Adobe détenus par d’autres organisations. | -| `adobe-only-user-list` _filename_ | Spécifie un fichier à partir duquel une liste d’utilisateurs est lue. Cette liste est utilisée comme liste définitive des comptes d’utilisateurs « Adobe uniquement » sur lesquels effectuer une action. Une des directives `--adobe-only-user-action` doit également être spécifiée, et son action sera appliquée aux comptes d’utilisateurs figurant dans la liste. L’option `--users` n’est pas autorisée si cette option est présente : uniquement les actions de retrait de compte peuvent être traitées. | +| `--adobe-only-user-list` _filename_ | Spécifie un fichier à partir duquel une liste d’utilisateurs est lue. Cette liste est utilisée comme liste définitive des comptes d’utilisateurs « Adobe uniquement » sur lesquels effectuer une action. Une des directives `--adobe-only-user-action` doit également être spécifiée, et son action sera appliquée aux comptes d’utilisateurs figurant dans la liste. L’option `--users` n’est pas autorisée si cette option est présente : uniquement les actions de retrait de compte peuvent être traitées. | +| `--config-file-encoding` _encoding_name_ | Facultatif. Spécifie le codage de caractères pour le contenu des fichiers de configuration eux-mêmes. Cela inclut le fichier de configuration principal, « user-sync-config.yml », ainsi que d’autres fichiers de configuration auxquels il peut faire référence. La valeur par défaut est « utf8 » pour User Sync version 2.2 ou ultérieure, et « ascii » pour les versions antérieures.
Le codage des caractères dans les données source de l’utilisateur (csv ou ldap) est déclaré par les configurations du connecteur et ce codage peut être différent de celui utilisé pour les fichiers de configuration (par exemple, vous pourriez avoir un fichier de configuration latin-1, mais un fichier source CSV qui utilise le codage utf-8).
Les codages disponibles dépendent de la version Python utilisée ; consultez la documentation [ici](https://docs.python.org/2.7/library/codecs.html#standard-encodings) pour plus d’informations. | +| `--strategy sync`
`--strategy push` | Disponible dans la version 2.2 et versions ultérieures. Facultatif. Le mode de fonctionnement par défaut est `--strategy sync`. Contrôle si l’outil User Sync lit les informations utilisateur provenant d’Adobe et les compare aux informations d’annuaire, puis émet des mises à jour à Adobe, ou tout simplement envoie l’entrée d’annuaire à Adobe sans tenir compte des informations utilisateur existantes sur Adobe. `sync` est la valeur par défaut et le sujet de la description de la plupart de cette documentation. `push` est utile en cas de nombre élevé d’utilisateurs du côté Adobe (>30 000) et que des modifications ou ajouts connus à un petit nombre d’utilisateurs sont souhaités, et la liste de ces utilisateurs est disponible dans un fichier csv ou dans un groupe d’annuaires spécifique.
En cas de spécification de `--strategy push`, impossible de spécifier `--adobe-only-user-action` car il n’est pas possible de déterminer les utilisateurs adobe-only.
`--strategy push` créera de nouveaux utilisateurs, modifiera leurs abonnements de groupe uniquement pour les groupes mappés (si `--process-groups` est présent), mettra à jour les informations utilisateur (si `--update-user-info` est présent) et ne supprimera pas d’utilisateurs de l’organisation ni ne supprimera leurs comptes. Pour plus d’informations sur la façon de supprimer des utilisateurs via des notifications push, voir la section [Gestion des notifications push](usage_scenarios.md#gestion-des-notifications-push). | {: .bordertablestyle } --- diff --git a/docs/fr/user-manual/configuring_user_sync_tool.md b/docs/fr/user-manual/configuring_user_sync_tool.md index e819c0d70..4226a9baf 100644 --- a/docs/fr/user-manual/configuring_user_sync_tool.md +++ b/docs/fr/user-manual/configuring_user_sync_tool.md @@ -27,7 +27,7 @@ Le fonctionnement de l’outil User Sync est contrôlé par un ensemble de fichi | user-sync-config.yml | Obligatoire. Contient les options de configuration qui définissent le mappage des groupes d’annuaire aux configurations de produits et aux groupes d’utilisateurs Adobe, et qui contrôlent le comportement de mise à jour. Contient également des références aux autres fichiers de configuration.| | connector‑umapi.yml   | Obligatoire. Contient des identifiants de connexion et des informations d’accès pour appeler l’API Adobe User Management. | | connector-ldap.yml | Obligatoire. Contient des identifiants de connexion et des informations d’accès pour accéder à l’annuaire d’entreprise. | - +{: .bordertablestyle } Si vous devez configurer l’accès aux groupes Adobe dans d’autres organisations qui vous y ont habilité, vous pouvez inclure des fichiers de configuration supplémentaires. Pour en savoir plus, reportez-vous à la section [Instructions de configuration avancée](advanced_configuration.md#instructions-de-configuration-avancée) ci-dessous. @@ -63,7 +63,7 @@ adobe_groups: ## Création et sécurisation des fichiers de configuration de connexion -Les deux fichiers de configuration de connexion stockent les identifiants de connexion qui donnent à User Sync accès au portail Adobe Admin Console ainsi qu’à votre annuaire d’entreprise LDAP. Afin d’isoler les informations sensibles nécessaires pour se connecter aux deux systèmes, tous les identifiants sont regroupés dans ces deux fichiers. **N’oubliez pas de les sécuriser correctement**, comme expliqué à la section [Remarques de sécurité](deployment_best_practices.md#remarques-de-sécurité) de ce document. +Les deux fichiers de configuration de connexion stockent les identifiants de connexion qui donnent à User Sync accès au portail Adobe Admin Console ainsi qu’à votre annuaire d’entreprise LDAP. Afin d’isoler les informations sensibles nécessaires pour se connecter aux deux systèmes, tous les identifiants sont regroupés dans ces deux fichiers. **N’oubliez pas de les sécuriser correctement**, comme expliqué à la section [Recommandations de sécurité](deployment_best_practices.md#recommandations-de-sécurité) de ce document. User Sync prend en charge trois techniques pour sécuriser les identifiants de connexion. @@ -109,7 +109,14 @@ User Sync version 2.1 ou ultérieure propose une alternative au stockage de la Fz2i8y6qhmfhj48dhf84hf3fnGrFP2mX2Bil48BoIVc9tXlXFPstJe1bz8xpo= -----END RSA PRIVATE KEY----- +Dans User Sync version 2.2 ou ultérieure, des paramètres supplémentaires permettent de contrôler le délai d’attente de connexion et de nouvelle tentative. Ceux-ci ne devraient jamais être utilisés, sauf dans le cas d’une situation inhabituelle où vous pouvez les définir dans la section `server` : + + server: + timeout: 120 + retries: 3 +`timeout` définit le temps d’attente maximum, en secondes, pour qu’un appel soit terminé. +`retries` définit le nombre de tentatives d’une opération si elle échoue en raison d’un problème non spécifique tel que l’expiration d’un délai d’attente ou une erreur du serveur. ### Configuration de la connexion à votre annuaire d’entreprise @@ -122,6 +129,8 @@ host: FQDN.de.l’hôte base_dn: base_dn.de.l’annuaire ``` +Voir la section [Recommandations de sécurité](deployment_best_practices.md#recommandations-de-sécurité) pour plus de détails sur la façon de stocker le mot de passe avec plus de sécurité dans User Sync version 2.1 ou ultérieure. + ## Options de configuration Le fichier de configuration principal, user-sync-config.yml, est divisé en plusieurs sections principales : **adobe_users**, **directory_users**, @@ -155,7 +164,7 @@ directory_users: ### Configuration d’un mappage de groupe -Pour synchroniser les groupes d’utilisateurs et les droits d’accès, vous devez d’abord créer les configurations de produits et les groupes d’utilisateurs dans Adobe Admin Console, ainsi que les groupes correspondants dans votre annuaire d’entreprise, comme expliqué ci-dessus à la section [Configuration de la synchronisation d’accès aux produits](setup_and_installation.md#configuration-de-la-synchronisation-d-accès-aux-produits). +Pour synchroniser les groupes d’utilisateurs et les droits d’accès, vous devez d’abord créer les configurations de produits et les groupes d’utilisateurs dans Adobe Admin Console, ainsi que les groupes correspondants dans votre annuaire d’entreprise, comme expliqué ci-dessus à la section [Configuration de la synchronisation d’accès aux produits](setup_and_installation.md#configuration-de-la-synchronisation-daccès-aux-produits). **REMARQUE :** Tous les groupes doivent exister et porter les mêmes noms des deux côtés. User Sync ne crée aucun groupe d’un côté ni de l’autre. S’il ne trouve pas un groupe nommé, il consigne une erreur. @@ -323,6 +332,8 @@ enterprise: Utilisez ces scénarios de test pour vous assurer que votre configuration fonctionne correctement et que les configurations de produits sont correctement mappées à vos groupes sécurisés de l’annuaire d’entreprise. Exécutez l’outil en mode test pour commencer (en indiquant le paramètre -t), afin de voir le résultat avant de l’exécuter pour du bon. +Les exemples suivants utilisent `--users all` pour sélectionner des utilisateurs, mais vous pouvez souhaiter utiliser `--users mapped` pour sélectionner uniquement des utilisateurs dans des groupes d’annuaires répertoriés dans votre fichier de configuration, ou `--users file f.csv` pour sélectionner un plus petit ensemble d’utilisateurs de test répertoriés dans un fichier. + ### Création d’utilisateurs @@ -346,7 +357,7 @@ Utilisez ces scénarios de test pour vous assurer que votre configuration foncti 1. Modifiez l’appartenance d’un ou de plusieurs utilisateurs test aux groupes de l’annuaire. -1. Exécutez User Sync. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +1. Exécutez User Sync. (`./user-sync --users all --process-groups --adobe-only-user-action exclude`) 2. Vérifiez que les utilisateurs test dans Adobe Admin Console ont été mis à jour et qu’ils indiquent la nouvelle appartenance à la configuration de produit. @@ -357,7 +368,7 @@ Utilisez ces scénarios de test pour vous assurer que votre configuration foncti 1. Retirez ou désactivez un ou plusieurs utilisateurs test existants dans votre annuaire d’entreprise. -2. Exécutez User Sync. (`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +2. Exécutez User Sync. (`./user-sync --users all --process-groups --adobe-only-user-action remove-adobe-groups`) Vous souhaiterez peut-être exécuter cette commande en mode test (-t) d’abord. 3. Vérifiez que les utilisateurs ont été retirés des configurations de produits définies dans Adobe Admin Console. diff --git a/docs/fr/user-manual/deployment_best_practices.md b/docs/fr/user-manual/deployment_best_practices.md index 1f0f8727e..23d87f9fb 100644 --- a/docs/fr/user-manual/deployment_best_practices.md +++ b/docs/fr/user-manual/deployment_best_practices.md @@ -35,7 +35,7 @@ L’application effectue des requêtes GET et POST de l’API User Management au Pour protéger la disponibilité des systèmes d’identité des utilisateurs Adobe, l’API User Management impose des limites sur l’accès des clients aux données. Ces limites concernent le nombre d’appels qu’un client peut faire dans un intervalle de temps. Des limites globales s’appliquent également à l’accès par tous les clients au cours d’une période donnée. User Sync implémente une logique de type « back off and retry » (reculer et réessayer) pour empêcher le script de recontacter l’API User Management chaque fois que la limite est atteinte. Il est normal de voir dans la console des messages qui indiquent que le script est en pause pendant quelques instants avant de tenter une nouvelle exécution. -À compter de la version 2.1 de User Sync, deux techniques supplémentaires sont disponibles pour protéger les identifiants de connexion. La première utilise le référentiel d’identifiants de connexion pour stocker les valeurs correspondantes individuelles. La deuxième utilise un mécanisme que vous devez fournir pour stocker l’intégralité du fichier de configuration pour umapi et/ou ldap, qui inclut tous les identifiants de connexion requis. Ces méthodes sont décrites dans les deux sections suivantes. +À compter de la version 2.1 de User Sync, deux techniques supplémentaires sont disponibles pour protéger les identifiants de connexion. La première utilise le référentiel d’identifiants de connexion pour stocker les valeurs correspondantes individuelles. La deuxième utilise un mécanisme que vous devez fournir pour stocker en toute sécurité l’intégralité du fichier de configuration pour umapi et/ou ldap, qui inclut tous les identifiants de connexion requis. Ces méthodes sont décrites dans les deux sections suivantes. ### Stockage des identifiants de connexion dans l’espace de stockage du système d’exploitation @@ -54,10 +54,33 @@ connector-umapi.yml Notez le remplacement de `api_key`, `client_secret` et `priv_key_path` par `secure_api_key_key`, `secure_client_secret_key` et `secure_priv_key_data_key`, respectivement. Ces nouvelles valeurs de configuration donnent les noms des clés à rechercher dans le service keychain utilisateur (ou le service équivalent sur d’autres plates-formes) pour récupérer les valeurs des identifiants de connexion. Dans cet exemple, les noms des clés des identifiants de connexion sont `umapi_api_key`, `umapi_client_secret` et `umapi_private_key_data`. -Le contenu du fichier de clé privée est utilisé en tant que valeur de `umapi_private_key_data` dans le référentiel d’identifiants de connexion. +Le contenu du fichier de clé privée est utilisé en tant que valeur de `umapi_private_key_data` dans le référentiel d’identifiants de connexion. Cela peut uniquement être effectué sur des plates-formes autres que Windows. Voir ci-dessous pour savoir comment sécuriser le fichier de clé privée sous Windows. -Les valeurs des identifiants de connexion seront recherchées à partir des noms de clés spécifiés, et l’utilisateur correspond à la valeur org_id. +Les valeurs d’identification seront recherchées dans le référentiel sécurisé en utilisant org_id comme valeur d’utilisateur et les noms de clé dans le fichier de configuration comme nom de clé. +Une légère variante de cette approche est disponible (dans User Sync version 2.1.1 ou ultérieure) pour chiffrer le fichier de clé privée à l’aide de la représentation cryptée RSA standard pour les clés privées (connu sous le nom PKCS#8). Cette approche doit être utilisée sous Windows, car le référentiel sécurisé Windows n’est pas en mesure de stocker des chaînes de plus de 512 octets qui empêchent son utilisation avec des clés privées. Cette approche peut également être utilisée sur les autres plates-formes, si vous le souhaitez. + +Pour stocker la clé privée dans un format chiffré, procédez comme suit. Commencez par créer une version chiffrée du fichier de clé privée. Choisissez une phrase de sécurité et chiffrez le fichier de clé privé : + + openssl pkcs8 -in private.key -topk8 -v2 des3 -out private-encrypted.key + +Sous Windows, vous devez exécuter openssl depuis Cygwin ou un autre fournisseur ; il n’est pas inclus dans la distribution Windows standard. + +Utilisez ensuite les éléments de configuration suivants dans connector-umapi.yml. Les deux derniers éléments ci-dessous entraînent l’obtention de la phrase de sécurité de décryptage depuis le référentiel sécurisé, et référencent le fichier de clé privée chiffrée, respectivement : + + server: + + enterprise: + org_id: your org id + secure_api_key_key: umapi_api_key + secure_client_secret_key: umapi_client_secret + tech_acct: your tech account@techacct.adobe.com + secure_priv_key_pass_key: umapi_private_key_passphrase + priv_key_path: private-encrypted.key + +Enfin, ajoutez la phrase de sécurité au référentiel sécurisé en tant qu’entrée avec le nom d’utilisateur ou l’url en tant qu’Id d’organisation, le nom de clé en tant que `umapi_private_key_passphrase` pour correspondre à l’entrée du fichier de configuration `secure_priv_key_pass_key` et la valeur en tant que phrase de sécurité. (Vous pouvez également intégrer la clé privée chiffrée en plaçant les données dans le fichier connector-umapi.yml sous la clé `priv_key_data` au lieu d’utiliser `priv_key_path`.) + +Ceci termine la description de la variante où le chiffrement de clé privée RSA est utilisé. connector-ldap.yml @@ -73,7 +96,7 @@ Les identifiants de connexion sont stockés dans le référentiel sécurisé sou | OS | Référentiel d’identifiants de connexion | |------------|--------------| -|Windows | Service d’archivage sécurisé des identifiants de connexion Windows | +| Windows | Service d’archivage sécurisé des identifiants de connexion Windows | | Mac OS X | Keychain | | Linux | Service Secret Freedesktop ou KWallet | {: .bordertablestyle } diff --git a/docs/fr/user-manual/index.md b/docs/fr/user-manual/index.md index 679e56c6e..79a26df2a 100644 --- a/docs/fr/user-manual/index.md +++ b/docs/fr/user-manual/index.md @@ -8,7 +8,7 @@ nav_level: 1 nav_order: 10 --- -Version 2.1rc3, publiée le 22/05/2017 +Version 2.1.1, publiée le 09/06/2017 Ce document comporte toutes les informations dont vous avez besoin pour être opérationnel et autonome sur User Sync. Il suppose une certaine connaissance de l’utilisation des outils de ligne de commande sur votre système d’exploitation, ainsi qu’une compréhension générale du fonctionnement des systèmes d’annuaire d’entreprise. diff --git a/docs/fr/user-manual/media/adobe-to-enterprise-connections.png b/docs/fr/user-manual/media/adobe-to-enterprise-connections.png index 9584feea6..1e629c694 100644 Binary files a/docs/fr/user-manual/media/adobe-to-enterprise-connections.png and b/docs/fr/user-manual/media/adobe-to-enterprise-connections.png differ diff --git a/docs/fr/user-manual/media/group-mapping.png b/docs/fr/user-manual/media/group-mapping.png index 427f6c24b..587d21b09 100644 Binary files a/docs/fr/user-manual/media/group-mapping.png and b/docs/fr/user-manual/media/group-mapping.png differ diff --git a/docs/fr/user-manual/setup_and_installation.md b/docs/fr/user-manual/setup_and_installation.md index 4d54381ac..f67f9adfd 100644 --- a/docs/fr/user-manual/setup_and_installation.md +++ b/docs/fr/user-manual/setup_and_installation.md @@ -26,7 +26,9 @@ Pour utiliser User Sync, votre entreprise doit avoir défini des configurations L’outil User Sync est un client de l’API User Management. Avant d’installer l’outil, vous devez l’enregistrer en tant que client de l’API en ajoutant une *intégration* dans le [portail de développement](https://www.adobe.io/console/) d’Adobe I/O. Vous devrez ajouter une intégration de clé d’entreprise afin d’obtenir les identifiants de connexion dont l’outil a besoin pour accéder au système Adobe de gestion des utilisateurs. -Les étapes de création d’une intégration sont décrites en détail dans la section [Setting up Access](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/setup.html) (Configuration des accès) du site web relatif à l’API User Management d’Adobe I/O. Le processus requiert la création d’un certificat spécifique à l’intégration, qui peut être autosigné. À la fin du processus, les éléments suivants vous seront attribués : **API key** (clé d’API), **Technical account ID** (ID de compte technique), **Organization ID** (ID d’organisation) et **client secret** (secret client). L’outil se servira de ces éléments, ainsi que de vos informations de certificat, pour communiquer en toute sécurité avec Admin Console. Lorsque vous installez User Sync, vous devez fournir ces valeurs de configuration pour que l’outil puisse accéder au référentiel d’informations utilisateur de votre organisation dans Adobe. +La procédure de création d’une intégration est détaillée à la section [Adobe I/O Authentication Overview](https://www.adobe.io/apis/cloudplatform/console/authentication/gettingstarted.html) (en anglais) du site web Adobe I/O. Recherchez les sections portant sur l’authentification du compte de service. Le processus requiert la création d’un certificat spécifique à l’intégration, qui peut être autosigné. À la fin du processus, les éléments suivants vous seront attribués : **API key** (clé d’API), **Technical account ID** (ID de compte technique), **Organization ID** (ID d’organisation) et **client secret** (secret client). L’outil se servira de ces éléments, ainsi que de vos informations de certificat, pour communiquer en toute sécurité avec Admin Console. Lorsque vous installez User Sync, vous devez fournir ces valeurs de configuration pour que l’outil puisse accéder au référentiel d’informations utilisateur de votre organisation dans Adobe. + +Des informations supplémentaires sont disponibles dans la documentation UMAPI disponible [ici](https://adobe-apiplatform.github.io/umapi-documentation) ou [ici](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html). ## Configuration de la synchronisation d’accès aux produits @@ -48,7 +50,7 @@ Les noms des configurations de produits identifient généralement les types d Une fois que vous avez défini les configurations de produits et les groupes d’utilisateurs dans Adobe Admin Console, vous devez créer et nommer des groupes correspondants dans votre propre annuaire d’entreprise. Par exemple, un groupe de l’annuaire correspondant à la configuration de produit « Toutes les applications » pourrait s’appeler « toutes_les_applications ». -Prenez note des noms que vous donnez à ces groupes et identifiez les groupes Adobe auxquels ils correspondent. Vous allez utiliser ces informations pour configurer un mappage dans le fichier de configuration principal de User Sync. Reportez-vous aux instructions détaillées dans la section [Configuration d’un mappage de groupe](configuring_user_sync_tool.md#configuration-d-un-mappage-de-groupe) ci-dessous. +Prenez note des noms que vous donnez à ces groupes et identifiez les groupes Adobe auxquels ils correspondent. Vous allez utiliser ces informations pour configurer un mappage dans le fichier de configuration principal de User Sync. Reportez-vous aux instructions détaillées dans la section [Configuration d’un mappage de groupe](configuring_user_sync_tool.md#configuration-dun-mappage-de-groupe) ci-dessous. Dans le champ de description de la configuration de produit ou du groupe d’utilisateurs, il est recommandé de noter que le groupe est géré par User Sync et qu’il ne doit pas être modifié dans Admin Console. @@ -72,16 +74,16 @@ L’outil User Sync est disponible à partir du [référentiel User Sync sur Git 1. Créez un dossier sur votre serveur, dans lequel vous installerez User Sync et placerez les fichiers de configuration. -1. Cliquez sur le lien **Releases** pour localiser la dernière version, qui contient les notes de mise à jour, la présente documentation, des exemples de fichiers de configuration ainsi que toutes les versions générées (de même que les archives sources). +1. Cliquez sur le lien **Releases** pour localiser la dernière version, qui contient les notes de mise à jour, des exemples de fichiers de configuration ainsi que toutes les versions générées (de même que les archives sources). -2. Sélectionnez et téléchargez le package compressé correspondant à votre plate-forme (fichier `.tar.gz`). Des versions pour Windows, OS X et Ubuntu sont disponibles. (Si vous compilez à partir de la source, vous pouvez télécharger le package de code source correspondant à la version ou utiliser la source la plus récente au niveau de la branche principale.) +2. Sélectionnez et téléchargez le package compressé correspondant à votre plate-forme (fichier `.tar.gz`). Des versions pour Windows, OS X, Centos et Ubuntu sont disponibles. (Si vous compilez à partir de la source, vous pouvez télécharger le package de code source correspondant à la version ou utiliser la source la plus récente au niveau de la branche principale.) Des versions Python 3 peuvent également être disponibles pour les versions ultérieures de l’outil User Sync. 3. Recherchez le fichier exécutable Python (`user-sync` ou `user-sync.pex` pour Windows) et placez-le dans votre dossier User Sync. -4. Téléchargez l’archive `example-configurations.tar.gz` d’exemples de fichiers de configuration. L’archive contient le dossier « config files – basic ». Les trois premiers fichiers de ce dossier sont nécessaires. Les autres fichiers du package sont facultatifs et/ou des versions secondaires destinées à des fins spécifiques. Vous pouvez les copier dans votre dossier racine, puis les renommer et les modifier afin d’établir vos propres fichiers de configuration. (Voir la section suivante, [Configuration de l’outil User Sync](configuring_user_sync_tool./md#configuration-de-l-outil-user-sync).) +4. Téléchargez l’archive `example-configurations.tar.gz` d’exemples de fichiers de configuration. L’archive contient le dossier « config files – basic ». Les trois premiers fichiers de ce dossier sont nécessaires. Les autres fichiers du package sont facultatifs et/ou des versions secondaires destinées à des fins spécifiques. Vous pouvez les copier dans votre dossier racine, puis les renommer et les modifier afin d’établir vos propres fichiers de configuration. (Voir la section suivante, [Configuration de l’outil User Sync](configuring_user_sync_tool.md#configuration-de-l-outil-user-sync).) 5. **Sous Windows uniquement :** @@ -90,7 +92,7 @@ L’outil User Sync est disponible à partir du [référentiel User Sync sur Git Le système d’exploitation Windows limite la longueur du chemin d’accès au fichier à 260 caractères. Lors de l’exécution d’un fichier PEX Python, il crée un emplacement temporaire pour extraire le contenu du package. Si le chemin d’accès à cet emplacement dépasse 260 caractères, le script ne s’exécute pas correctement. - Par défaut, le cache temporaire est placé dans votre dossier Utilisateur, ce qui peut entraîner un dépassement de la limite. Pour contourner ce problème, créez une variable d’environnement sous Windows appelée PEX\_ROOT, et définissez son chemin d’accès sur C:\\user-sync\\.pex. Le système d’exploitation utilise cette variable pour l’emplacement du cache, ce qui évite que le chemin d’accès ne dépasse la limite de 260 caractères. + Par défaut, le cache temporaire est placé dans votre dossier Utilisateur, ce qui peut entraîner un dépassement de la limite. Pour contourner ce problème, créez une variable d’environnement sous Windows appelée PEX\_ROOT, et définissez son chemin d’accès sur C:\\pex. Le système d’exploitation utilise cette variable pour l’emplacement du cache, ce qui évite que le chemin d’accès ne dépasse la limite de 260 caractères. 6. Pour exécuter l’outil User Sync, double-cliquez sur le fichier exécutable Python, `user-sync` (ou exécutez `python user-sync.pex` sous Windows). @@ -111,7 +113,7 @@ Si vous laissez User Sync accéder à votre annuaire d’entreprise, il doit êt #### Fichiers de certificats -Les fichiers qui contiennent les clés publiques et privées, en particulier les clés privées, contiennent des informations sensibles. Vous devez garder chaque clé privée en sécurité. Elle ne peut pas être récupérée, ni remplacée. Si vous la perdez ou si elle est compromise, vous devez supprimer le certificat correspondant de votre compte. Si nécessaire, vous devez créer et charger un nouveau certificat. Vous devez protéger ces fichiers au moins avec le même niveau de protection que pour un nom de compte et un mot de passe. Les bonnes pratiques consistent à stocker les fichiers de clés dans un système de gestion des identifiants ou à utiliser la protection du système de fichiers, de sorte que seuls les utilisateurs autorisés puissent y avoir accès. +Les fichiers qui contiennent les clés publiques et privées, en particulier les clés privées, contiennent des informations sensibles. Vous devez garder chaque clé privée en sécurité. Elle ne peut pas être récupérée, ni remplacée. Si vous la perdez ou si elle est compromise, vous devez supprimer le certificat correspondant de votre compte. Si nécessaire, vous devez créer et charger un nouveau certificat. Vous devez protéger ces fichiers au moins avec le même niveau de protection que pour un nom de compte et un mot de passe. Les bonnes pratiques consistent à stocker le fichier de clé privée dans un système de gestion des identifiants, dans le stockage sécurisé du système d’exploitation ou d’utiliser la protection du système de fichiers, de sorte que seuls les utilisateurs autorisés puissent y avoir accès. #### Fichiers journaux diff --git a/docs/fr/user-manual/usage_scenarios.md b/docs/fr/user-manual/usage_scenarios.md index d8eda1861..51a078ae6 100644 --- a/docs/fr/user-manual/usage_scenarios.md +++ b/docs/fr/user-manual/usage_scenarios.md @@ -33,7 +33,8 @@ Cette section fournit des instructions détaillées pour chacun de ces scénario Il s’agit du type d’appel le plus courant. User Sync détecte toutes les modifications apportées aux données utilisateur et aux informations sur les appartenances aux groupes du côté de l’entreprise. Il synchronise les systèmes Adobe en ajoutant, en mettant à jour et en retirant des utilisateurs, ainsi que les appartenances aux groupes d’utilisateurs et aux configurations de produits. -Par défaut, seuls les utilisateurs dont le type d’identité est Enterprise ID ou Federated ID sont créés, retirés ou voient leurs appartenances aux groupes gérées par User Sync, car généralement les utilisateurs possédant un Adobe ID ne sont pas gérés dans l’annuaire. Reportez-vous à la [description ci-dessous](advanced_configuration.md#gestion-des-utilisateurs-disposant-d-un-adobe-ID) sous [Configuration avancée](advanced_configuration.md#configuration-avancée) si votre organisation opère de cette façon. +Par défaut, seuls les utilisateurs dont le type d’identité est Enterprise ID ou Federated ID sont créés, retirés ou voient leurs appartenances aux groupes gérées par User Sync, car généralement les utilisateurs possédant un Adobe ID ne sont pas gérés dans l’annuaire. Reportez-vous à la [description ci-dessous](advanced_configuration.md#gestion-des-utilisateurs-disposant-dun-adobeid) +sous [Configuration avancée](advanced_configuration.md#configuration-avancée) si votre organisation opère de cette façon. Cet exemple suppose que le fichier de configuration, user-sync-config.yml, contient un mappage entre un groupe d’annuaire et une configuration de produit Adobe nommée **Default Acrobat Pro DC configuration**. diff --git a/docs/jp/FAQ/index.md b/docs/jp/FAQ/index.md index 9bbffd12e..ee8aeef24 100644 --- a/docs/jp/FAQ/index.md +++ b/docs/jp/FAQ/index.md @@ -24,11 +24,11 @@ nav_order: 500 ### Adobe 製品向上プログラムのしくみを教えてください。 -User Sync は、実行されると、組織の Active Directory（またはその他のデータソース）からユーザーのリストを取得し、Admin Console 内のユーザーのリストと比較します。さらに、Adobe ユーザー管理 API を呼び出して、Admin Console が組織のディレクトリと同期されるようにします。変更フローは完全に一方向です。Admin Console でおこなわれた編集は、ディレクトリにプッシュされません。 +User Sync は、実行されると、組織の Active Directory（またはその他のデータソース）からユーザーのリストを取得し、Admin Console 内のユーザーのリストと比較します。さらに、Adobe User Management API を呼び出して、Admin Console が組織のディレクトリと同期されるようにします。変更フローは完全に一方向です。Admin Console でおこなわれた編集は、ディレクトリにプッシュされません。 -ツールを使用すると、システム管理者は製品構成を含むお客様のディレクトリ内のユーザーグループと Admin Console 内のユーザーグループをマッピングします。 +ツールを使用すると、システム管理者は製品プロファイルを含むお客様のディレクトリ内のユーザーグループと Admin Console 内のユーザーグループをマッピングします。 -User Sync を設定するには、組織はユーザー管理 API を使用する場合と同じ方法で資格情報のセットを作成する必要があります。 +User Sync を設定するには、組織は User Management API を使用する場合と同じ方法で資格情報のセットを作成する必要があります。 ### どこで入手できますか。 @@ -45,26 +45,26 @@ User Sync では、ローカルサーバーまたは Azure がホストする AD ### User Sync は、Adobe Admin Console にすべての LDAP／AD ユーザーグループを自動的に挿入しますか。 -いいえ。企業側のグループが目的の製品アクセス構成に対応している場合、User Sync 構成ファイルは、企業側のグループメンバーシップに基づいてユーザーを Adobe 側の製品構成（PC）またはユーザーグループにマッピングするように設定できます。ユーザーグループと製品構成は、Adobe Admin Console で手動で設定する必要があります。 +いいえ。企業側のグループが目的の製品アクセス構成に対応している場合、User Sync 構成ファイルは、企業側のグループメンバーシップに基づいてユーザーを Adobe 側の製品プロファイルまたはユーザーグループにマッピングするように設定できます。ユーザーグループと製品構成は、Adobe Admin Console で手動で設定する必要があります。 -### User Sync を使用して、ユーザーグループのメンバーシップまたは製品構成を管理できますか。 +### User Sync を使用して、ユーザーグループのメンバーシップまたは製品プロファイルを管理できますか。 -User Sync では、ディレクトリグループからのマッピングにユーザーグループまたは製品構成を使用できます。このため、ユーザーグループおよび PC のユーザーを追加または除去できます。ただし、新しいユーザーグループまたは製品構成を作成することはできず、Admin Console でおこなう必要があります。 +User Sync では、ディレクトリグループからのマッピングにユーザーグループまたは製品プロファイルを使用できます。このため、ユーザーグループおよび PC のユーザーを追加または除去できます。ただし、新しいユーザーグループまたは製品プロファイルを作成することはできず、Admin Console でおこなう必要があります。 -### ユーザーマニュアルの例では、各ディレクトリグループが厳密に 1 つの Adobe グループにマッピングされています。1 つの AD グループを複数の製品構成にマッピングすることはできますか。 +### ユーザーマニュアルの例では、各ディレクトリグループが厳密に 1 つの Adobe グループにマッピングされています。1 つの AD グループを複数の製品プロファイルにマッピングすることはできますか。 -ほとんどの例では 1 つの Adobe ユーザーグループや PC のみが示されていますが、1 対多のマッピングも可能です。YML リスト形式に従い、それぞれ先頭に「-」を付けて（また、適切なレベルにインデントして）すべてのユーザーグループまたは PC を 1 行に 1 つリストするだけです。 +ほとんどの例では 1 つの Adobe ユーザーグループや製品プロファイルのみが示されていますが、1 対多のマッピングも可能です。YML リスト形式に従い、それぞれ先頭に「-」を付けて（また、適切なレベルにインデントして）すべてのユーザーグループまたは製品プロファイルを 1 行に 1 つリストするだけです。 ### UMAPI サーバーのスロットリングが User Sync の動作に干渉することはありますか。 いいえ。User Sync はスロットリングを処理して再試行するので、スロットリングによって全体的な User Sync プロセスの速度が低下する可能性はありますが、スロットリングによる問題はなく、User Sync はすべての操作を正しく完了します。 -Adobe のシステムでは、受信要求の量をトラックすることで過負荷にならないようにします。これが限界を超え始めた場合、要求は機能が後で再び使用可能になることを示す「retry-after」ヘッダーを返します。User Sync はこれらのヘッダーを認識し、要求された時間待機してから再試行します。コードサンプルを含む詳細は、[ユーザー管理 API のドキュメント](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/throttling.html)に記載されています。 +Adobe のシステムでは、受信要求の量をトラックすることで過負荷にならないようにします。これが限界を超え始めた場合、要求は機能が後で再び使用可能になることを示す「retry-after」ヘッダーを返します。User Sync はこれらのヘッダーを認識し、要求された時間待機してから再試行します。コードサンプルを含む詳細は、[User Management API のドキュメント](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html)に記載されています。 ## Adobe サーバー呼び出しを削減するために（User Sync 側で）作成／更新されたユーザーのローカルリストはありますか。 -いいえ。User Sync は、実行時に Adobe のユーザー管理システムを常にクエリして最新情報を取得します。 +User Sync は、以下を除いては、実行時に Adobe の User Management API を常にクエリして最新情報を取得します。User Sync リリース 2.2 以降では、Adobe のユーザー管理システムにおけるユーザーの現在の状態に関係なく、このクエリを回避し、更新を Adobe にプッシュするオプションを利用できます。ローカルディレクトリで変更済みのユーザーを特定でき、アドビ側で他のユーザーが変更されていないことを確認できれば、この方法により、同期ジョブの実行時間（ネットワーク使用量）を短縮することができます。 ### User Sync ツールは Federated ID に限定されますか。またはどのタイプの ID でも作成できますか。 @@ -100,13 +100,8 @@ User Sync はオープンソースプロジェクトです。ユーザーは独 ### User Sync は EVIP 顧客に対する Adobe のサービスの一部ですか。 -はい、エンタープライズ版のすべてのお客様は、購入プログラム（E-VIP、ETLA、Enterprise Agreement）に関係なく、UMAPI と User Sync にアクセスできます。 +はい、エンタープライズ版のすべてのお客様は、購入プログラム（E-VIP、ETLA、Enterprise Agreement）に関係なく、User Management API と User Sync にアクセスできます。 ### User Sync ツールの国際化はどのようなストーリーですか。国際的に対応（少なくとも 2 バイト文字入力をサポート）しますか。 -Python 2.7（ツールの言語）では、「str」（8 ビット文字の文字列）と「unicode」（UTF-8 エンコードが適用された 8 ビット文字の文字列）が区別され、User Sync コードはすべての場所で「str」を使用し、「unicode」は使用しません。ただし、ツールの出力はすべて UTF-8 エンコードされ、入力で UTF-8 エンコーディングが使用されている限り、正常に機能します。これは簡単にテストされており、問題は検出されていません。さらにテストが計画されています。 - -ツールを移植して Python 3 と Python 2 で実行するための拡張を計画しています。 -その時点で、タイプが Python 3 にマージされるので、unicode が正常に機能することを保証できます。これが重要なお客様は、Python 3 を使用してビルドする必要があります。 - - +以前のバージョンの User Sync では、国際文字データのサポートの動作が不安定でした（utf8 エンコードデータソースでの動作は安定していました）。バージョン 2.2 では、User Sync で Unicode が完全にサポートされ、構成ファイルのほか、任意の文字エンコードなど（既定では utf8 エンコード）を使用するディレクトリまたはスプレッドシートデータソースを使用できるようになりました。 diff --git a/docs/jp/index.md b/docs/jp/index.md index 76a7ef9df..3bc7863e0 100644 --- a/docs/jp/index.md +++ b/docs/jp/index.md @@ -15,22 +15,14 @@ User Sync は、ユーザー組織のエンタープライズディレクトリ User Sync を実行するたびに 2 つのシステムのユーザーおよびグループ情報の差異が検出され、ユーザー組織のディレクトリ内の情報と一致するよう Adobe のディレクトリがアップデートされます。 -# [セットアップと成功のガイド](success-guide/index.md) +# セットアップと成功のガイド User Sync を開始するための最も早い方法は、必要な構成ファイルの設定とツールの実行の手順を詳細に説明している[セットアップと成功のガイド](success-guide/index.md)を読むことです。 -# [ユーザーマニュアル](user-manual/index.md) +# ユーザーマニュアル 様々な標準用途向けに設定する方法など、User Sync の使用について詳しくは、[ユーザーマニュアル](user-manual/index.md)を参照してください。お客様のディレクトリ情報と Adobe 側のデータ間のカスタムマッピングをおこなう手順も記載されているので、User Sync の動作のカスタマイズの開始点にもなります。 -# [よく寄せられる質問](FAQ/index.md) +# よく寄せられる質問 寄せられた多くの質問と予想されるその他の質問に対する回答を[よく寄せられる質問のドキュメント](FAQ/index.md)にまとめました。 - -# 利用可能な言語 - -* [Englisch](../en) -* [Deutsch](../de) -* [Français](../fr) -* [日本語](../jp) -* [Español](../es) \ No newline at end of file diff --git a/docs/jp/success-guide/before_you_start.md b/docs/jp/success-guide/before_you_start.md index 467db8c21..05b0245c5 100644 --- a/docs/jp/success-guide/before_you_start.md +++ b/docs/jp/success-guide/before_you_start.md @@ -6,17 +6,17 @@ nav_level: 2 nav_order: 110 --- -# 開始する前に知っておく必要があること +# 開始する前に必要な情報 [目次に戻る](index.md) \| [次の節](layout_orgs.md) ## User Sync の紹介 -Adobe User Sync は、ユーザー組織のエンタープライズディレクトリシステム（Active Directory やその他の LDAP システムなど）から、ユーザーおよびグループの情報を Adobe のユーザー管理システムに移動するコマンドラインツールです。User Sync は、エンタープライズディレクトリシステムがユーザーに関する情報の信頼できるソースであり、そのユーザー情報は一連のユーザー同期構成ファイルとコマンドラインオプションの制御下にある Adobe のユーザー管理システムに移動されるという概念に基づいています。 +Adobe User Sync は、ユーザー組織のエンタープライズディレクトリシステム（Active Directory やその他の LDAP システムなど）から、ユーザーおよびグループの情報を Adobe のユーザー管理システムに移動するコマンドラインツールです。User Sync は、エンタープライズディレクトリシステムがユーザーに関する情報の信頼できるソースであり、そのユーザー情報は一連の User Sync 構成ファイルとコマンドラインオプションの制御下にある Adobe のユーザー管理システムに移動されるという概念に基づいています。 ツールを実行するたびに 2 つのシステムのユーザー情報の差異が検出され、エンタープライズディレクトリと一致するよう Adobe システムがアップデートされます。 -User Sync を使用すると、新しいユーザーがディレクトリに出現したときに新しい Adobe アカウントが作成され、ディレクトリ内の特定のフィールドが変更されたときにアカウント情報がアップデートされます。また、ユーザーへのライセンスの割り当てを制御するためにユーザーグループと製品構成（PC）メンバーシップがアップデートされます。エンタープライズディレクトリからユーザーが除去されるときに Adobe アカウントの削除を管理することもできます。 +User Sync を使用すると、新しいユーザーがディレクトリに出現したときに新しい Adobe アカウントが作成され、ディレクトリ内の特定のフィールドが変更されたときにアカウント情報がアップデートされます。また、ユーザーへのライセンスの割り当てを制御するためにユーザーグループと製品プロファイル (PP)メンバーシップがアップデートされます。エンタープライズディレクトリからユーザーが除去されるときに Adobe アカウントの削除を管理することもできます。 また、カスタムディレクトリ属性を使用して、Adobe アカウントに入力される値を制御する機能もあります。 @@ -27,7 +27,7 @@ User Sync を使用すると、新しいユーザーがディレクトリに出 ## 用語 - ユーザーグループ：Adobe のユーザー管理システム内のユーザーの名前付きグループ -- PC：製品構成。Adobe グループに似たメカニズムで、ユーザーが PC に追加されるときに、特定のアドビ製品へのアクセス権が付与されます。 +- PP：製品構成。Adobe グループに似たメカニズムで、ユーザーが PP に追加されるときに、特定のアドビ製品へのアクセス権が付与されます。 - ディレクトリ：Active Directory（AD）、LDAP、ユーザーを一覧にした csv ファイルなどのユーザーディレクトリシステムの一般用語 - ディレクトリグループ：ディレクトリ内のユーザーの名前付きグループ @@ -40,7 +40,7 @@ User Sync は、様々な構成と処理のニーズに対応できる非常に アドビ組織ごとにユーザーのセットがあります。ユーザーは、次の 3 つのタイプのいずれかです。 -- AdobeId：ユーザーによって作成および所有されるアカウント。アカウントとそこへのアクセスは、Adobe の機能を使用して管理されます。管理者がアカウントを管理することはできません。 +- Adobe ID：ユーザーによって作成および所有されるアカウント。アカウントとそこへのアクセスは、Adobe の機能を使用して管理されます。管理者がアカウントを管理することはできません。 - Enterprise ID：企業によって作成および所有されるアカウント。アカウントとそこへのアクセスは、Adobe の機能を使用して管理されます。管理者はアカウントを管理できます。 diff --git a/docs/jp/success-guide/command_line_options.md b/docs/jp/success-guide/command_line_options.md index 29e1f0f6a..b405c57a4 100644 --- a/docs/jp/success-guide/command_line_options.md +++ b/docs/jp/success-guide/command_line_options.md @@ -10,7 +10,7 @@ nav_order: 310 [前の節](monitoring.md) \| [目次に戻る](index.md) \| [次の節](scheduling.md) -User Sync のコマンドラインでは、処理するユーザーのセットを選択し、ユーザーグループや PC メンバーシップを管理する必要があるかどうかや、アカウントの削除の処理方法およびいくつかの追加オプションを指定します。 +User Sync のコマンドラインでは、処理するユーザーのセットを選択し、ユーザーグループや製品プロファイルのメンバーシップを管理する必要があるかどうかや、アカウントの削除の処理方法およびいくつかの追加オプションを指定します。 ## ユーザー @@ -26,7 +26,7 @@ User Sync のコマンドラインでは、処理するユーザーのセット ディレクトリに一覧されているすべてのユーザーを Adobe と同期する場合は、`--users all` を使用します。一部のユーザーだけの場合は、`connector-ldap.yml` 構成ファイルで LDAP クエリを変更（また、`--users all` を使用）して設定を制限するか、（--users group を使用して）特定のグループ内のユーザーに制限することができます。これらのいずれかを `--user-filter pattern` と組み合わせて、同期するユーザーの選択したセットをさらに制限できます。 -ディレクトリシステムを使用していない場合は、`--users file f` を使用して csv ファイルからユーザーを選択できます。形式を確認するには、ユーザーファイルの例（csv inputs - user and remove lists/1 users-file.csv）を参照してください。csv ファイルに一覧されているグループは、選択できる名前です。これらは、ディレクトリグループと同じ方法で Adobe ユーザーグループや PC にマップされます。 +ディレクトリシステムを使用していない場合は、`--users file f` を使用して csv ファイルからユーザーを選択できます。形式を確認するには、ユーザーファイルの例（csv inputs - user and remove lists/1 users-file.csv）を参照してください。csv ファイルに一覧されているグループは、選択できる名前です。これらは、ディレクトリグループと同じ方法で Adobe ユーザーグループや製品プロファイルにマップされます。 ## @@ -73,7 +73,7 @@ User Sync でライセンスを管理している場合は、コマンドライ `user-sync --users file users-file.csv --process-groups --adobe-only-user-action remove` -- ファイル「users-file.csv」がマスターユーザーリストとして読み込まれます。この場合、AD や LDAP などのディレクトリサービスへのアクセスは試行されません。Adobe グループのメンバーシップはファイル内の情報に従ってアップデートされ、ファイルにない Adobe アカウントは除去されます（前述の除去の定義を参照）。 +- ファイル「users-file.csv」がマスターユーザーリストとして読み込まれます。この場合、Active Directory や LDAP などのディレクトリサービスへのアクセスは試行されません。Adobe グループのメンバーシップはファイル内の情報に従ってアップデートされ、ファイルにない Adobe アカウントは除去されます（前述の除去の定義を参照）。 ## コマンドラインを定義します。 diff --git a/docs/jp/success-guide/decide_deletion_policy.md b/docs/jp/success-guide/decide_deletion_policy.md index 281c68f26..f2a754099 100644 --- a/docs/jp/success-guide/decide_deletion_policy.md +++ b/docs/jp/success-guide/decide_deletion_policy.md @@ -11,14 +11,14 @@ nav_order: 140 [前の節](layout_products.md) \| [目次に戻る](index.md) \| [次の節](setup_adobeio.md) -アカウントが無効にされるかディレクトリから削除された場合、対応する Adobe アカウントの除去が必要な場合がありますが、Adobe アカウントを除去すると、後で必要になるアセットや設定などが削除される可能性があります。また、ユーザー組織に存在する Adobe ID アカウントは、エンドユーザーに属しているので削除できません。ただし、ユーザー組織からユーザーを除去する必要がある場合は、Adobe ID ユーザーに付与したライセンスを復元できます。 +アカウントが無効になったり、ディレクトリから削除した時に、対応するAdobe アカウントを取り除きたい場合があります。しかし、Adobe アカウントを取り除くことで必要なアセットや設定が削除される可能性があります。また、ユーザー組織に存在する Adobe ID アカウントは、エンドユーザーに属するアカウントになるため削除できません。ただし、Adobe ID ユーザーに付与したライセンスについては、そのユーザーを組織から削除すると回復できます。 User Sync を使用して Adobe アカウントの削除を処理するために利用可能な選択肢： - 何もしません。アカウントのクリーンアップを手動で処理する必要があります。 - - 削除するアカウントのリストを生成しますが、アクションは今すぐ実行しません。リストを編集し、後で User Sync を使用してアカウントの削除を実行するために使用できます。 + - 削除するアカウントのリストを生成しますが、アクションは今すぐ実行しません。リストを編集し、後で User Sync を使用してアカウントの削除を実行します。 - ユーザー組織によってアカウントに付与されたすべてのライセンスを復元しますが、アカウントはアクティブなままにします。（remove-adobe-groups） diff --git a/docs/jp/success-guide/images/decide_deletion_multi_org.png b/docs/jp/success-guide/images/decide_deletion_multi_org.png index e4a277fa3..7e26be022 100644 Binary files a/docs/jp/success-guide/images/decide_deletion_multi_org.png and b/docs/jp/success-guide/images/decide_deletion_multi_org.png differ diff --git a/docs/jp/success-guide/images/layout_orgs_multi.png b/docs/jp/success-guide/images/layout_orgs_multi.png index 1c2e4a70d..52e8a500d 100644 Binary files a/docs/jp/success-guide/images/layout_orgs_multi.png and b/docs/jp/success-guide/images/layout_orgs_multi.png differ diff --git a/docs/jp/success-guide/images/layout_orgs_multi_dir_multi_org.png b/docs/jp/success-guide/images/layout_orgs_multi_dir_multi_org.png index f92bfa259..e1b877250 100644 Binary files a/docs/jp/success-guide/images/layout_orgs_multi_dir_multi_org.png and b/docs/jp/success-guide/images/layout_orgs_multi_dir_multi_org.png differ diff --git a/docs/jp/success-guide/images/layout_orgs_multi_dir_single_org.png b/docs/jp/success-guide/images/layout_orgs_multi_dir_single_org.png index 6b443a2b2..09fe2a50b 100644 Binary files a/docs/jp/success-guide/images/layout_orgs_multi_dir_single_org.png and b/docs/jp/success-guide/images/layout_orgs_multi_dir_single_org.png differ diff --git a/docs/jp/success-guide/images/layout_orgs_simple.PNG b/docs/jp/success-guide/images/layout_orgs_simple.PNG index b05b6e57a..f7d53ba44 100644 Binary files a/docs/jp/success-guide/images/layout_orgs_simple.PNG and b/docs/jp/success-guide/images/layout_orgs_simple.PNG differ diff --git a/docs/jp/success-guide/images/layout_products_map.png b/docs/jp/success-guide/images/layout_products_map.png index f48da4809..f178a1e0a 100644 Binary files a/docs/jp/success-guide/images/layout_products_map.png and b/docs/jp/success-guide/images/layout_products_map.png differ diff --git a/docs/jp/success-guide/images/setup_config_group_map.png b/docs/jp/success-guide/images/setup_config_group_map.png index 427f6c24b..3b0b4e293 100644 Binary files a/docs/jp/success-guide/images/setup_config_group_map.png and b/docs/jp/success-guide/images/setup_config_group_map.png differ diff --git a/docs/jp/success-guide/index.md b/docs/jp/success-guide/index.md index 99b9e5243..350b1ab27 100644 --- a/docs/jp/success-guide/index.md +++ b/docs/jp/success-guide/index.md @@ -3,12 +3,12 @@ layout: page title: セットアップと成功のガイド advertise: セットアップと成功のガイド lang: jp -nav_link: セットアップガイドの内容 +nav_link: セットアップと成功のガイド nav_level: 1 nav_order: 100 --- -バージョン 1.1、2017 年 3 月 6 日公開 +バージョン 2.1.1、2017 年 6 月 9 日公開 このマニュアルでは、User Sync ツールを理解してセットアップするために必要な手順を説明します。 diff --git a/docs/jp/success-guide/layout_orgs.md b/docs/jp/success-guide/layout_orgs.md index ff08f6e19..931094779 100644 --- a/docs/jp/success-guide/layout_orgs.md +++ b/docs/jp/success-guide/layout_orgs.md @@ -76,7 +76,7 @@ nav_order: 120 ディレクトリごとに 1 回ずつ、2 回の同期構成を実行する必要があります。 -2 つの User Sync ジョブでマップおよび管理されるユーザーグループ（UG）と製品構成（PC）が重なってはなりません。つまり、各ユーザーグループと PC は 1 つの User Sync インスタンスのみで管理されます。 +2 つの User Sync ジョブでマップおよび管理されるユーザーグループ（UG）と製品プロファイル(PP)が重なってはなりません。つまり、各ユーザーグループと PP は 1 つの User Sync インスタンスのみで管理されます。 このように構成されている場合、User Sync を使用してユーザーを削除することができません。2 つの同期インスタンスが互いにユーザーを削除しようとするためです。 diff --git a/docs/jp/success-guide/layout_products.md b/docs/jp/success-guide/layout_products.md index ce2e947d5..c4547197f 100644 --- a/docs/jp/success-guide/layout_products.md +++ b/docs/jp/success-guide/layout_products.md @@ -6,33 +6,33 @@ nav_level: 2 nav_order: 130 --- -# アドビ製品、製品構成、ユーザーグループのレイアウト +# アドビ製品、製品プロファイル、ユーザーグループのレイアウト [前の節](layout_orgs.md) \| [目次に戻る](index.md) \| [次の節](decide_deletion_policy.md) -製品構成（PC）は、アドビのユーザー管理システムにおけるグループのような構造です。各 PC は購入した製品に関連付けられます。PC に追加されたユーザーは、対応する製品へのアクセスが付与され、その製品を使用するライセンスを取得します（ユーザーはこのプロセスでは何も受け取りませんが、アクセスが許可されたという通知をオプションで設定することはできます。すべてのライセンス管理はバックエンドシステムによって処理されます）。 +製品プロファイル (PP)は、アドビのユーザー管理システムにおけるグループのような構造です。各 PP は購入した製品に関連付けられます。PP に追加されたユーザーは、対応する製品へのアクセスが付与され、その製品を使用するライセンスを取得します（ユーザーはこのプロセスでは何も受け取りませんが、アクセスが許可されたという通知をオプションで設定することはできます。すべてのライセンス管理はバックエンドシステムによって処理されます）。 PC を作成するときに（Adobe Admin Console を使用して作成）、カスタムオプションを追加して、ユーザーが特定のアドビ製品を使用する方法を制御できます。 -ユーザーを PC に直接追加して、製品へのアクセスを許可することができます。これはアドビ製品ライセンスを管理する最も一般的な方法です。 +ユーザーを PP に直接追加して、製品へのアクセスを許可することができます。これはアドビ製品ライセンスを管理する最も一般的な方法です。 -アドビユーザーグループを使用すると、ユーザーの編成を認識しているとおりに論理的にグループ分けできます。ユーザーグループの使用はオプションです。ユーザーグループを PC に追加して、そのユーザーにライセンスを付与することができます。ユーザーをユーザーグループに追加しても、ユーザーグループを PC に追加してそのメンバーが PC のメンバーに暗黙的にならない限り、ライセンスは付与されません。 +アドビユーザーグループを使用すると、ユーザーの編成を認識しているとおりに論理的にグループ分けできます。ユーザーグループの使用はオプションです。ユーザーグループを PP に追加して、そのユーザーにライセンスを付与することができます。ユーザーをユーザーグループに追加しても、ユーザーグループを PC に追加してそのメンバーが PP のメンバーに暗黙的にならない限り、ライセンスは付与されません。 -ユーザーグループと PC は 1 つの User Sync インスタンスでしか管理できません。複数のディレクトリまたは分散した部署が存在し、そのユーザー情報を User Sync 経由でアドビに送っている場合、それぞれは 1 つのユーザーグループまたは PC と一致する必要があります。そうでない場合、User Sync は、削除すべきユーザーや別の User Sync の別のインスタンスによって追加されたユーザーを区別できません。 +ユーザーグループと PP は 1 つの User Sync インスタンスでしか管理できません。複数のディレクトリまたは分散した部署が存在し、そのユーザー情報を User Sync 経由でアドビに送っている場合、それぞれは 1 つのユーザーグループまたは PP と一致する必要があります。そうでない場合、User Sync は、削除すべきユーザーや別の User Sync の別のインスタンスによって追加されたユーザーを区別できません。 -User Sync を使用して PC のメンバーシップとライセンス割り当てを管理できます。ただし、これはオプションです。この管理は、Adobe Admin Console で手動で実行するか、他のアプリケーションからもおこなえます。 +User Sync を使用して PP のメンバーシップとライセンス割り当てを管理できます。ただし、これはオプションです。この管理は、Adobe Admin Console で手動で実行するか、他のアプリケーションからもおこなえます。 -User Sync では、ディレクトリシステムインターフェイスまたは他のツールを使用して、ユーザーをディレクトリグループに分けることができるため、アドビ製品のライセンスの管理に役立ちます。これらのグループは後でアドビユーザーグループまたは PC にマップされます。マッピングは User Sync 構成ファイルに含まれます。User Sync によって、マッピングされたグループの 1 つにディレクトリユーザーが含まれることが検出されると、そのユーザーは対応するアドビユーザーグループまたは PC に追加されます。同様に、ユーザーグループまたは PC 内のユーザーが、対応するディレクトリグループに含まれない場合は、ユーザーグループまたは PC から削除されます。 +User Sync では、ディレクトリシステムインターフェイスまたは他のツールを使用して、ユーザーをディレクトリグループに分けることができるため、アドビ製品のライセンスの管理に役立ちます。これらのグループは後でアドビユーザーグループまたは PP にマップされます。マッピングは User Sync 構成ファイルに含まれます。User Sync によって、マッピングされたグループの 1 つにディレクトリユーザーが含まれることが検出されると、そのユーザーは対応するアドビユーザーグループまたは PP に追加されます。同様に、ユーザーグループまたは PP 内のユーザーが、対応するディレクトリグループに含まれない場合は、ユーザーグループまたは PP から削除されます。 -☐ User Sync を使用してライセンス割り当てを管理するかどうかを決定します。使用しない場合、残りの手順は省略できます。ただし、作成したユーザーがアドビ製品にアクセスできるようにするには、前もって Adobe Admin Console を使用して、それらのユーザーを製品構成に手動で追加する必要があります。 +☐ User Sync を使用してライセンス割り当てを管理するかどうかを決定します。使用しない場合、残りの手順は省略できます。ただし、作成したユーザーがアドビ製品にアクセスできるようにするには、前もって Adobe Admin Console を使用して、それらのユーザーを製品プロファイルに手動で追加する必要があります。 -☐ 管理する製品構成とユーザーグループのために、Adobe Admin Console で PC を作成します。PC の説明フィールドに「Managed by User Sync - do not edit」（User Sync によって管理 - 編集不可）というコメントを付けます。 +☐ 管理する製品プロファイルとユーザーグループのために、Adobe Admin Console で PP を作成します。PP の説明フィールドに「Managed by User Sync - do not edit」（User Sync によって管理 - 編集不可）というコメントを付けます。 ☐ ユーザーグループを使用して製品のアクセスを管理する場合は、まずユーザーグループと製品構成を作成する必要があります。その後、各ユーザーグループを適切な製品構成に追加することにより、製品のアクセスを管理できます。ユーザーグループの説明フィールドに「Managed by User Sync - do not edit」（User Sync によって管理 - 編集不可）というコメントを付けます。 -☐ アドビ組織および各アドビ組織内の製品と PC の図を作成します。その図にディレクトリとディレクトリグループを追加し、マッピングを示します。以下に例を挙げます。 +☐ アドビ組織および各アドビ組織内の製品と PP の図を作成します。その図にディレクトリとディレクトリグループを追加し、マッピングを示します。以下に例を挙げます。 ![img](images/layout_products_map.png) diff --git a/docs/jp/success-guide/setup_config_files.md b/docs/jp/success-guide/setup_config_files.md index 094b4bb7b..1b9934f59 100644 --- a/docs/jp/success-guide/setup_config_files.md +++ b/docs/jp/success-guide/setup_config_files.md @@ -18,8 +18,8 @@ nav_order: 280 - 秘密キーファイル - ディレクトリシステムのアクセス認証情報とユーザーの編成に関する情報 - User Sync を使用して製品のアクセスを管理するかどうかに関する決定 - - 製品構成の名前とユーザーグループの名前（ライセンスのアドビ側での編成方法に対応） - - 製品構成とユーザーグループは Adobe Admin Console であらかじめ作成しておく必要があります。 + - 製品プロファイルの名前とユーザーグループの名前（ライセンスのアドビ側での編成方法に対応） + - 製品プロファイルとユーザーグループは Adobe Admin Console であらかじめ作成しておく必要があります。 ワープロエディターではなく、必ずテキストエディターを使用してください。 diff --git a/docs/jp/user-manual/advanced_configuration.md b/docs/jp/user-manual/advanced_configuration.md index ae4cf932a..8720f5e60 100644 --- a/docs/jp/user-manual/advanced_configuration.md +++ b/docs/jp/user-manual/advanced_configuration.md @@ -229,7 +229,7 @@ extensions: * `username` - Federated ID 以外のすべての場所で無視 [ユーザー名ベースのログインで構成](https://helpx.adobe.com/jp/enterprise/help/configure-sso.html) * `domain` - Federated ID 以外のすべての場所で無視 [ユーザー名ベースのログインで構成](https://helpx.adobe.com/jp/enterprise/help/configure-sso.html) -* `target_groups`：ユーザー単位の Python セットで、アドビ側のユーザーグループと製品構成を収集し、同期の実行で `process-groups` が指定されるとユーザーがそこに追加されます。それぞれの値は、名前のセットです。このセットは、メインの構成ファイルでグループマッピングを適用して初期化され、このセットに対する変更（追加または取り除き）は、アドビ側のユーザーに適用されるグループのセットを変更します。 +* `target_groups`：ユーザー単位の Python セットで、アドビ側のユーザーグループと製品プロファイルを収集し、同期の実行で `process-groups` が指定されるとユーザーがそこに追加されます。それぞれの値は、名前のセットです。このセットは、メインの構成ファイルでグループマッピングを適用して初期化され、このセットに対する変更（追加または取り除き）は、アドビ側のユーザーに適用されるグループのセットを変更します。 * `hook_storage`：ユーザー単位の Python 辞書で、最初にカスタムコードに渡されるときは空で、呼び出し全体で保持されます。カスタムコードは、この辞書に任意のプライベートデータを格納できます。外部スクリプトファイルを使用する場合、これらのファイルをコンパイルすることによって作成されたコードオブジェクトを格納するための適切な場所です。 * `logger`：`logging.logger` タイプのオブジェクトで、コンソールまたはファイルログ、あるいはその両方に出力します（ロギング構成に基づく）。 @@ -238,8 +238,8 @@ extensions: メインの構成ファイルの **group** セクションは、アドビユーザーグループと製品構成へのディレクトリグループのマッピングを定義します。 - エンタープライズディレクトリ側では、User Sync は LDAPクエリ、`users` コマンドラインパラメーター、およびユーザーフィルターに基づいてエンタープライズディレクトリからユーザーのセットを選択し、マッピングされたいずれかのディレクトリグループにこれらのユーザーがあるかどうかを検証します。ある場合、User Sync はグループマップを使用して、それらのユーザーがどのアドビグループに追加されるかを判断します。 -- アドビ側では、User Sync はマッピングされたグループと製品構成のメンバーシップを検証します。それらのグループ内のユーザーが -選択されたディレクトリユーザーのセットにない場合、User Sync はそのユーザーをグループから取り除きます。通常はこれが望まれる動作です。例えば、ユーザーが Adobe Photoshop 製品構成内にあり、エンタープライズディレクトリから取り除かれた場合、ライセンスが割り当てられないよう、グループからも取り除かれることが期待されます。 +- アドビ側では、User Sync はマッピングされたグループと製品プロファイルのメンバーシップを検証します。それらのグループ内のユーザーが +選択されたディレクトリユーザーのセットにない場合、User Sync はそのユーザーをグループから取り除きます。通常はこれが望まれる動作です。例えば、ユーザーが Adobe Photoshop の製品プロファイル内にあり、エンタープライズディレクトリから取り除かれた場合、ライセンスが割り当てられないよう、グループからも取り除かれることが期待されます。 ![Figure 4:グループマッピングの例](media/group-mapping.png) @@ -303,20 +303,121 @@ User Sync がこれらのアカウントをグループから取り除くのを ## Active Directoryで入れ子になったディレクトリグループの操作 -注意：このセクションで説明されている方法はうまく機能しませんでした。今後のバグ修正のリリースを待つ必要があります。 +注意：User Sync リリース 2.2 以前では、入れ子になったグループはサポートされていませんでした。 -ディレクトリグループが入れ子になっていて、ユーザーが名前の指定された単純なディレクトリグループにない場合、より複雑な LDAP クエリを実行して、ユーザーのリストを列挙する必要があります。例えば、次のような入れ子の構造になったグループがあるとします。 +リリース 2.2 以降では、入れ子になったディレクトリグループのすべてのユーザーを認識するように User Sync を構成できます。この構成方法については、サンプルの構成ファイルを参照してください。具体的には、`connector-ldap.yml` 構成ファイルで、以下のように `group_member_filter` を設定します。 + group_member_filter_format: "(memberOf:1.2.840.113556.1.4.1941:={group_dn})" + +これにより、名前付きグループ内に直接含まれるグループメンバー、またはグループ内に間接的に含まれるグループメンバーが特定されます。 + +次のような入れ子の構造になったグループがあるとします。 All_Divisions - Blue_Division - User1@example.com - User2@example.com - Green_Division - User3@example.com - User4@example.com - -これは、User Sync の今後のリリースで透過的にサポートされます。 + Blue_Division + User1@example.com + User2@example.com + Green_Division + User3@example.com + User4@example.com + +メインの構成ファイルの `groups:` セクションの Adobe ユーザーグループまたは製品構成に All_Divisions をマップし、上記のように group_member_filter を設定できます。これにより、All_Divisions 内、または All_Divisions 内に直接または間接的に含まれるすべてのグループ内に直接含まれるすべてのユーザーを、All_Divisions ディレクトリグループのメンバーとして処理できます。 + +## プッシュ技術を使用したユーザー同期の実行 + +User Sync バージョン 2.2 以降から、Adobe や企業のディレクトリからすべての情報を読み取ることなく、Adobe のユーザー管理システムに直接プッシュ通知を実行できるようになりました。プッシュ通知を使用すると、処理時間や通信トラフィックを最小化できる一方で、それ以外の方法で、またはエラーが発生した場合に行われる変更に対して自己修正が行われないというデメリットもあります。行われる変更のより慎重な管理も必要になります。 + +プッシュ戦略は、次のような場合に使用することをお勧めします。 + +- Adobe ユーザーの数が非常に多い場合 +- 総ユーザー数に対して追加/変更/削除が少ない場合 +- 変更（追加、削除、属性が変更、またはグループが変更）されたユーザーを自動化された方法で特定できるプロセスまたはツールがある場合 +- 離職するユーザーから製品の使用権限を削除した後、（しばらく待ってから）そのアカウントを完全に削除するプロセスがある場合 + +プッシュ戦略では、いずれかの側から多数のユーザーを読み取る際のすべてのオーバーヘッドが回避されるため、この戦略を使用できるのは、更新する必要のある特定のユーザーを分離できる（特定のグループにこれらのユーザーを配置するなどして）場合のみです。 + +プッシュ通知を使用するには、個別のファイルまたはディレクトリグループに無条件に実行される更新を収集できる必要があります。また、ユーザーの削除を、ユーザーの追加および更新から分離する必要もあります。更新および削除は、User Sync ツールの別の呼び出しで実行します。 + +User Sync では、プッシュ技術を使用するための多くの方法が用意されています。以降の節では、推奨される方法を 1 つ紹介します。具体的には、2 つのアドビ製品（Creative Cloud と Acrobat Pro）が購入され、User Sync を使用して管理する必要があると仮定します。アクセス権を付与するために、Creative_Cloud および Acrobat_Pro という名前の 2 つの製品構成と、cc_users および acrobat_users という名前の 2 つのディレクトリグループを作成したとします。 +User Sync 構成ファイルのマップは、次のようになります。 + + groups: + - directory_group: acrobat_users + adobe_groups: + - "Acrobat_Pro" + - directory_group: cc_users + adobe_groups: + - "Creative_Cloud" + + + +### 特別なディレクトリグループを使用した User Sync プッシュの実行 + +更新されるユーザーを収集するための追加のディレクトリグループを 1 つ作成します。例えば、新規ユーザーまたは更新ユーザー（グループのメンバーシップが変更されたユーザー）用にディレクトリグループ `updated_adobe_users` を使用します。マップされた両方のグループからユーザーを削除すると、製品へのアクセス権が取り消され、ユーザーが保持していたライセンスが解放されます。 + +追加および更新の処理に使用するコマンドラインは、次のとおりです。 + + user-sync –t --strategy push --process-groups --users group updated_adobe_users + +コマンドラインの `--strategy push` に注目してください。これは、User Sync に最初にアドビ側のディレクトリを読み取らせるのではなく、代わりに、更新を Adobe に単にプッシュするコマンドです。 + +また、`-t` は「テストモード」で実行するためのコマンドです。予想どおりに動作したら、-t を削除して User Sync に実際の変更を実行させます。 + +`--strategy push` を指定すると、*追加される*すべてのマップされたグループと *削除*が予定されていないマップされたグループと共に、ユーザーが Adobe にプッシュされます。これにより、あるディレクトリグループから別のディレクトリグループにユーザーを移動する（異なるマッピングを持つ）ことで、そのユーザーは、次のプッシュ時にアドビ側で切り替えられます。 + +この方法ではアカウントは削除されませんが、すべての製品および無償ライセンスへのアクセス権が取り消されます。アカウントを削除するには、別の方法が必要です。これについては、次の節で説明します。 + +この方法では、以下の手順を実行します。 + +- 新しいユーザーを追加するとき、またはディレクトリ内のユーザーのグループを変更するとき（実質的にすべての製品の使用権限が無効になる、すべてのグループからの削除を含む）に必ず、「updated_adobe_users」グループにもそのユーザーを追加します。 +- 毎日 1 回（または選択した頻度で）、上記のパラメーターを使用して、同期ジョブを実行します。 +- このジョブにより、必要に応じて、更新されたすべてのユーザーが作成され、そのマップされたグループがアドビ側で更新されます。 +- ジョブが実行されたら、updated_adobe_users グループからユーザーを削除します（変更はプッシュ済みのため）。 + +またいつでも、通常の（プッシュではない）モードで User Sync ジョブを実行して、User Sync の完全な機能を利用することもできます。これにより、実行されなかった可能性のある変更が検出され、User Sync を使用しないで行われた変更が修正され、実際のアカウントの削除が実行されます。コマンドラインは次のようになります。 + + user-sync --process-groups --users mapped --adobe-only-user-action remove + + +### ファイルを使用した User Sync プッシュの実行 + +User Sync への入力としてファイルを使用できます。この場合、User Sync がディレクトリ自体にアクセスすることはありません。ファイル（追加と更新用に 1 つ、削除用に 1 つ）を手動で作成するか、他のソースから情報を取得するスクリプトを使用して作成します。 + +追加または更新するユーザーに関する情報を含むファイル「users-file.csv」を作成します。ファイルの例は次のとおりです。 + + firstname,lastname,email,country,groups,type,username,domain + Jane 1,Doe,jdoe1+1@example.com,US,acrobat_users + Jane 2,Doe,jdoe2+2@example.com,US,"cc_users,acrobat_users" + +ファイルから更新をプッシュするためのコマンドラインは、次のとおりです。 + + user-sync –t --strategy push --process-groups --users file users-file.csv + +操作を実際に有効にする準備ができたら、`-t` なしで実行します。 + +ユーザーを削除するために、別のファイルを別の形式で作成します。以下に例を示します。 + + type,username,domain + adobeID,jimbo@gmail.com, + enterpriseID,jsmith1@ent-domain-example.com, + federatedID,jsmith2,user-login-fed-domain.com + federatedID,jsmith3@email-login-fed-domain.com, + +各エントリには、ID タイプ、ユーザーの電子メールまたはユーザー名、およびユーザー名ログイン用に Federated ID タイプを設定している場合はドメインを含める必要があります。 + +このようなファイル（remove-list.csv など）に基づいて削除を処理するためのコマンドラインは、次のようになります。 + + user-sync -t --adobe-only-user-list remove-list.csv --adobe-only-user-action remove + +remove 操作を remove-adobe-groups にして組織内にアカウントを保持するか、delete にしてアカウントを削除することができます。ここでも、`-t` はテストモードを意味します。 + +この方法では、以下の手順を実行します。 + +- 新しいユーザーを追加するとき、またはディレクトリ内のユーザーのグループを変更するとき（実質的にすべての製品の使用権限が無効になる、すべてのグループからの削除を含む）に必ず、そのユーザーが属するグループを含む users-file.csv にもエントリを追加します。これは、これらのユーザーが現在格納されているグループよりも少なくなる場合もあれば、多くなる場合もあります。 +- ユーザーを削除する場合には必ず remove-list.csv ファイルにエントリを追加します。 +- 毎日 1 回（または選択した頻度で）、上記のパラメーターを使用して、2 つの同期ジョブを実行します（追加と更新用に 1 つ、削除用に 1 つ）。 +- これらのジョブにより、すべての更新されたユーザーのマップされたグループがアドビ側で更新され、削除されたユーザーがアドビ側から削除されます。 +- ジョブが実行されたら、ファイルを消去して（変更がプッシュされたため）、次のバッチの準備をします。 --- diff --git a/docs/jp/user-manual/command_parameters.md b/docs/jp/user-manual/command_parameters.md index 2a112eed5..d36de0a1e 100644 --- a/docs/jp/user-manual/command_parameters.md +++ b/docs/jp/user-manual/command_parameters.md @@ -23,7 +23,7 @@ nav_order: 40 | パラメーターと引数の仕様    | 説明 | |------------------------------|------------------| -| `-h`
`--help` | このヘルプメッセージを表示して終了します。 | +| `-h`
`--help` | ヘルプメッセージを表示して終了します。 | | `-v`
`--version` | プログラムのバージョン番号を表示して終了します。 | | `-t`
`--test-mode` | API アクション呼び出しをテストモードで実行します（変更は実行されません）。実行されたはずのものをログに記録します。 | | `-c` _filename_
`--config-filename` _filename_ | メインの構成ファイルへの完全パス（作業用フォルダーに対する絶対パスまたは相対パス）。デフォルトのファイル名は「user-sync-config.yml」 | @@ -32,7 +32,9 @@ nav_order: 40 | `--update-user-info` | 指定した場合は、ユーザー情報を同期します。エンタープライズディレクトリ側とアドビ側とで情報が異なる場合は、アドビ側が一致するようにアップデートされます。これには、firstname と lastname フィールドが含まれます。 | | `--process-groups` | 指定した場合、グループメンバーシップ情報が同期されます。エンタープライズディレクトリ側とアドビ側とでマッピングされたグループのメンバーシップが異なる場合は、一致するようにアドビ側のグループメンバーシップがアップデートされます。これには、ディレクトリ側にリストされていないアドビユーザーのグループメンバーシップを取り除くことが含まれます（`--adobe-only-user-action exclude` オプションが選択されている場合は例外) | | `--adobe-only-user-action preserve`
`--adobe-only-user-action remove-adobe-groups`
`--adobe-only-user-action remove`
`--adobe-only-user-action delete`

`--adobe-only-user-action write-file` filename

`--adobe-only-user-action exclude` | 指定した場合、アドビ側にあるユーザーアカウントがディレクトリに含まれていないなら、指定されたアクションを実行します。

`preserve`：アカウントの削除に関する処理はおこなわれません。これはデフォルトです。`--process-groups` オプションが指定されていたなら、グループメンバーシップの変更がまだある可能性があります。

`remove-adobe-groups`：アカウントがユーザーグループおよび製品構成から取り除かれ、保持されていたライセンスは解放されますが、組織内ではアクティブなアカウントとして残されます。

`remove`：remove-adobe-groups に加えて、アカウントが組織からも取り除かれますが、ユーザーアカウントとそれに関連するアセットはドメインに残され、必要に応じて組織に再追加できます。

`delete`：取り除くアクションに加えて、組織がドメインを所有する場合はアカウントが削除されます。

`write-file`：アカウントの削除に関するアクションは取られません。アドビ側にあるもののディレクトリにはないユーザーアカウントのリストが、指定されたファイルに書き込まれます。次いで、その後の一連の実行でこのファイルを `--adobe-only-user-list` に渡すことができます。`--process-groups` オプションが指定されていたなら、グループメンバーシップの変更がまだある可能性があります。

`exclude`：アドビ側のみにあるユーザーにはいずれのアップデートも適用されません。これは、ファイル経由（--ユーザーファイル f）で特定のユーザーのみのアップデートをおこなう場合に使用されます。ファイルには明示的なアップデートが必要なユーザーのみがリストされており、他のすべてのユーザーはそのままにされます。

許可されているアクションのみが適用されます。adobeID のタイプのアカウントはユーザーが所有するので、削除のアクションは、取り除くに相当します。他の組織が所有するアドビアカウントについても同じです。| -| `adobe-only-user-list` _filename_ | ユーザーリストの読み取り元となるファイルを指定します。このリストは、操作の対象となる「アドビのみ」のユーザーアカウントの決定的なリストとして使用されます。いずれかの `--adobe-only-user-action` ディレクティブを指定する必要があり、そのアクションはリスト内のユーザーアカウントに適用されます。`--users` オプションは、このオプションがある場合は許可されません。アカウントを取り除くアクションのみが処理されます。 | +| `--adobe-only-user-list` _filename_ | ユーザーリストの読み取り元となるファイルを指定します。このリストは、操作の対象となる「アドビのみ」のユーザーアカウントの決定的なリストとして使用されます。いずれかの `--adobe-only-user-action` ディレクティブを指定する必要があり、そのアクションはリスト内のユーザーアカウントに適用されます。`--users` オプションは、このオプションがある場合は許可されません。アカウントを取り除くアクションのみが処理されます。 | +| `--config-file-encoding` _encoding_name_ | 省略可能。構成ファイルの内容に応じて文字エンコードを指定します。これには、メインの構成ファイル user-sync-config.yml と、このファイルが参照する可能性のある他の構成ファイルも含まれます。User Sync 2.2 以降の初期設定は `utf8` で、これ以前のバージョンの初期設定は `ascii` です。
ユーザーソースデータ（csv または ldap）での文字エンコードはコネクタ構成によって宣言され、そのエンコードは、構成ファイルに使用されるエンコードと異なっていても構いません（例：latin-1 構成ファイルに対して、utf-8 エンコードを使用する CSV ソースファイルを使用できます）。
使用できるエンコードは、使用する Python によって異なります。詳しくは、[こちら](https://docs.python.org/2.7/library/codecs.html#standard-encodings)を参照してください。 | +| `--strategy sync`
`--strategy push` | リリース 2.2 以降で使用できます。省略可能。初期設定の動作モードは `--strategy sync` です。User Sync が Adobe からユーザー情報を読み取るかどうかを制御し、ディレクトリ情報と比較して、Adobe に更新を発行するか、Adobe の既存のユーザー情報を考慮せずに Adobe にディレクトリ入力を単にプッシュします。`sync` は初期設定で、このドキュメントの大部分の説明の主題です。アドビ側のユーザー数が多い場合（3 万人を超えるなど）、少数のユーザーへの追加または変更があることがわかっている場合は `push` が便利です。これらのユーザーの一覧は csv ファイルまたは特定のディレクトリグループで利用できます。
`--strategy push` を指定した場合、アドビ専用のユーザーを特定できないため、`--adobe-only-user-action` を指定することはできません。
`--strategy push` は新しいユーザーを作成し、マップされたグループについてのみグループメンバーシップを変更し（`--process-groups` がある場合）、ユーザー情報を更新します（`--update-user-info` がある場合）。組織からユーザーを削除したり、これらのユーザーのアカウントを削除したりすることはありません。プッシュ通知を使用してユーザーを削除する方法については、[プッシュ通知の処理](usage_scenarios.md#プッシュ通知の処理)を参照してください。 | {: .bordertablestyle } --- diff --git a/docs/jp/user-manual/configuring_user_sync_tool.md b/docs/jp/user-manual/configuring_user_sync_tool.md index 8cd638c8e..68c2b0090 100644 --- a/docs/jp/user-manual/configuring_user_sync_tool.md +++ b/docs/jp/user-manual/configuring_user_sync_tool.md @@ -27,7 +27,7 @@ User Sync ツールの操作は、これらのファイル名を持つ構成フ | user-sync-config.yml | 必須。アドビ製品構成およびユーザーグループへのディレクトリグループのマッピングを定義し、アップデート動作を制御するための構成オプションが含まれます。また、他の構成ファイルへの参照も含まれます。| | connector‑umapi.yml   | 必須。アドビのユーザー管理 API を呼び出すための資格情報とアクセス情報が含まれます。 | | connector-ldap.yml | 必須。エンタープライズディレクトリにアクセスするための資格情報とアクセス情報が含まれます。 | - +{: .bordertablestyle } アクセスを付与された他の組織にアドビグループへのアクセスをセットアップする場合、追加の構成ファイルを含めることができます。詳しくは、「[詳細な構成の手順](advanced_configuration.md#他の組織のグループへのアクセス)」を参照してください。 @@ -63,7 +63,7 @@ adobe_groups: ## 接続構成ファイルの作成と保護 -2 つの接続構成ファイルは、Adobe Admin Console およびユーザーの企業の LDAP ディレクトリへのアクセスを User Sync に提供する資格情報を格納します。2 つのシステムへの接続に必要な機密情報を隔離するために、実際の資格情報の詳細はこれら 2 つのファイルに限定されます。本ドキュメントの「[セキュリティの考慮事項](deployment_best_practices.md#セキュリティの考慮事項)」で説明されているように、**それらのファイルは適切に保護する**必要があります。 +2 つの接続構成ファイルは、Adobe Admin Console およびユーザーの企業の LDAP ディレクトリへのアクセスを User Sync に提供する資格情報を格納します。2 つのシステムへの接続に必要な機密情報を隔離するために、実際の資格情報の詳細はこれら 2 つのファイルに限定されます。本ドキュメントの「[セキュリティの考慮事項](deployment_best_practices.md#セキュリティの推奨事項)」で説明されているように、**それらのファイルは適切に保護する**必要があります。 資格情報を保護するために、User Sync では次の 3 つの方法がサポートされています。 @@ -109,7 +109,14 @@ User Sync 2.1 以降では、秘密キーを別のファイルに格納する以 Fz2i8y6qhmfhj48dhf84hf3fnGrFP2mX2Bil48BoIVc9tXlXFPstJe1bz8xpo= -----END RSA PRIVATE KEY----- +User Sync 2.2 以降では、接続のタイムアウトと再試行を制御するためのいくつかの追加のパラメーターが用意されています。これらのパラメーターを必ずしも使用する必要はありませんが、不測の事態が発生した場合には、これらを `server` セクションに設定できます。 + + server: + timeout: 120 + retries: 3 +`timeout` は、呼び出しが完了するの待つ最大待機時間を設定します（秒単位）。 +`retries` は、不特定の問題（サーバーエラー、タイムアウトなど）によって再試行が失敗した場合に、操作を再試行する回数を設定します。 ### エンタープライズディレクトリへの接続の構成 @@ -122,13 +129,15 @@ host: "ホストの FQDN" base_dn: "ディレクトリの base_dn" ``` +User Sync バージョン 2.1 以降でパスワードを安全に格納する方法については、[セキュリティの考慮事項](deployment_best_practices.md#セキュリティの推奨事項)を参照してください。 + ## 構成オプション メインの構成ファイルである user-sync-config.yml は、 **adobe_users**、 **directory_users**、 **limits**、および **logging** の主要なセクションに分かれています。 -- **adobe_users** セクションは、User Sync ツールがユーザー管理 API を使用して Adobe Admin Console に接続する方法を指定します。アクセスの資格情報を格納する個別の安全な構成ファイルを指す必要があります。これはコネクタフィールドの umapi フィールドで設定されています。 - - adobe_users セクションには、exclude_identity_types、exclude_adobe_groups、および exclude_users を含めることもでき、User Sync の影響を受けるユーザーの範囲を制限します。詳しくは、後述の「[特定のアカウントを User Sync の削除から保護する](advanced_configuration.md#特定のアカウントを-User-Sync-の削除から保護する)」セクションを参照してください。 +- **adobe_users** セクションは、User Sync ツールが User Management API を使用して Adobe Admin Console に接続する方法を指定します。アクセスの資格情報を格納する個別の安全な構成ファイルを指す必要があります。これはコネクタフィールドの umapi フィールドで設定されています。 + - adobe_users セクションには、exclude_identity_types、exclude_adobe_groups、および exclude_users を含めることもでき、User Sync の影響を受けるユーザーの範囲を制限します。詳しくは、後述の「[特定のアカウントを User Sync の削除から保護する](advanced_configuration.md#特定のアカウントを-user-sync-の削除から保護する)」セクションを参照してください。 - **directory_users** サブセクションには、connectors および groups の 2 つのサブセクションが含まれます。 - **connectors** サブセクションは、エンタープライズディレクトリへのアクセスの資格情報を格納する個別の安全な構成ファイルをポイントします。 - **groups** セクションは、ディレクトリグループとアドビ製品構成およびユーザーグループとの間のディレクトリのマッピングを定義します。 @@ -323,6 +332,8 @@ enterprise: これらのテストケースを使用して、構成が正常に機能していること、また製品構成がエンタープライズディレクトリのセキュリティグループに正しくマッピングされていることを確認します。まずテストモード（-t パラメーターを使用）でツールを実行して、結果を確認してから実稼働します。 +次の例では `--users all` を使用してユーザーを選択していますが、`--users mapped` を使用して、構成ファイルに指定されたディレクトリグループのユーザーのみを選択したり、`--users file f.csv` を使用して、特定のファイルに指定されたテストユーザーのより小規模なセットを選択したりすることもできます。 + ### ユーザーの作成 @@ -346,7 +357,7 @@ enterprise: 1. ディレクトリ内の 1 人以上のテストユーザーのグループメンバーシップを変更します。 -1. User Sync を実行します。(`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +1. User Sync を実行します。(`./user-sync --users all --process-groups --adobe-only-user-action exclude`) 2. Adobe Admin Console のテストユーザーが、新しい製品構成メンバーシップを反映するようアップデートされていることを確認します。 @@ -357,7 +368,7 @@ enterprise: 1. エンタープライズディレクトリで、1 人以上の既存のテストユーザーを取り除くか無効化します。 -2. User Sync を実行します。(`./user-sync -t --users all --process-groups --adobe-only-user-action exclude`) +2. User Sync を実行します。（`./user-sync --users all --process-groups --adobe-only-user-action remove-adobe-groups`）必要に応じて、最初にテストモード（-t）で実行することもできます。 3. Adobe Admin Console で構成済みの製品構成からユーザーが取り除かれていることを確認します。 diff --git a/docs/jp/user-manual/deployment_best_practices.md b/docs/jp/user-manual/deployment_best_practices.md index aa918a1e7..47b621c28 100644 --- a/docs/jp/user-manual/deployment_best_practices.md +++ b/docs/jp/user-manual/deployment_best_practices.md @@ -31,11 +31,11 @@ User Sync ツールは、正しく構成された後、人の操作を全く必 構成とログファイル内のデータの性質を考えると、サーバーはこのタスク専用にして、業界のベストプラクティスでロックダウンする必要があります。エンタープライズファイアウォールの内側にあるサーバーをアプリケーションのために準備することが勧められています。このマシンには権限を持つユーザーのみアクセスできるようにします。アプリケーションを実行してシステムにログファイルを書き込むことに特化した、権限が制限されたシステムサービスアカウントを作成する必要があります。 -アプリケーションは、HTTPS エンドポイントに対してユーザー管理 API の GET および POST 要求をおこないます。Admin Console に書き込む必要がある変更を表す JSON データを構築し、ユーザー管理 API への POST 要求の本文内のデータをアタッチします。 +アプリケーションは、HTTPS エンドポイントに対して User Management API の GET および POST 要求をおこないます。Admin Console に書き込む必要がある変更を表す JSON データを構築し、User Management API への POST 要求の本文内のデータをアタッチします。 -アドビのバックエンドユーザー ID システムの可用性を保護するために、ユーザー管理 API はデータへのクライアントアクセスを制限します。制限はある期間内に個別のクライアントがおこなえる呼び出しの数に適用され、グローバル制限はある期間内にすべてのクライアントがおこなうアクセスに対して適用されます。User Sync ツールはバックオフと再試行ロジックを導入して、レートの上限に達したときにスクリプトがユーザー管理 API を継続的にヒットしないようにします。スクリプトが再度実行しようとする前に一時停止したことを示すメッセージがコンソールに表示されるのは正常です。 +アドビのバックエンドユーザー ID システムの可用性を保護するために、User Management API はデータへのクライアントアクセスを制限します。制限はある期間内に個別のクライアントがおこなえる呼び出しの数に適用され、グローバル制限はある期間内にすべてのクライアントがおこなうアクセスに対して適用されます。User Sync ツールはバックオフと再試行ロジックを導入して、レートの上限に達したときにスクリプトが User Management API を継続的にヒットしないようにします。スクリプトが再度実行しようとする前に一時停止したことを示すメッセージがコンソールに表示されるのは正常です。 -User Sync 2.1 から、資格情報の保護に使用できる 2 つの方法が追加されました。1 つ目は、オペレーティングシステムの資格情報ストアを使って個別の構成資格情報の値を格納します。2 つ目は、必要なすべての資格情報を含め、umapi または ldap、あるいはその両方の構成ファイル全体を格納するために提供する必要があるメカニズムを使用します。これらは、次の 2 つのセクションで取り上げています。 +User Sync 2.1 から、資格情報の保護に使用できる 2 つの方法が追加されました。1 つ目は、オペレーティングシステムの資格情報ストアを使って個別の構成資格情報の値を格納します。2 つ目は、必要なすべての資格情報を含め、umapi または ldap、あるいはその両方の構成ファイル全体を安全に格納するために提供する必要があるメカニズムを使用します。これらは、次の 2 つの節で取り上げています。 ### OS レベルストレージにおける資格情報の格納 @@ -54,10 +54,33 @@ connector-umapi.yml `api_key`、`client_secret`、および `priv_key_path` がそれぞれ `secure_api_key_key`、`secure_client_secret_key`、および `secure_priv_key_data_key` に変更されることに注目してください。これらの代替の構成値は、実際の資格情報の値を取得するためにユーザーキーチェーン（または他のプラットフォームでそれに相当するサービス）で検索するキーの名前を提供します。この例では、資格情報キー名は `umapi_api_key`、`umapi_client_secret`、および `umapi_private_key_data` です。 -秘密キーファイルの内容は、資格情報ストアで `umapi_private_key_data` の値として使用されます。 +秘密キーファイルの内容は、資格情報ストアで `umapi_private_key_data` の値として使用されます。これは、Windows 以外のプラットフォームでのみ実行できます。Windows で秘密キーファイルをセキュリティ保護する方法については、以下を参照してください。 -資格情報の値は、指定したキー名を使用して検索され、ユーザーは org_id 値となります。 +資格情報の値が、ユーザー名の値として org_id を使用して、またキー名として構成ファイル内のキー名を使用して、安全なストアで参照されます。 +この方法のバリエーションとして、（User Sync バージョン 2.1.1 以降で）秘密キー用の標準的な RSA 暗号化表現を使用して、秘密キーファイルを暗号化できます（通称：PKCS#8 形式）。この方法は、Windows で使用する必要があります。これは、Windows の安全なストアでは、秘密キーでの使用を避けるために、512 バイトを超える文字列を格納することができないためです。この方法は、必要に応じて、他のプラットフォームでも使用することができます。 + +秘密キー暗号化された形式で格納するには、次の操作を実行します。まず、秘密キーファイルの暗号化されたバージョンを作成します。パスフレーズを選択し、秘密キーファイルを暗号化します。 + + openssl pkcs8 -in private.key -topk8 -v2 des3 -out private-encrypted.key + +Windows で Cygwin または他のプロバイダーの openssl を実行する必要があります。これは、標準の Windows 配布には含まれていません。 + +次に、connector-umapi.yml で次の構成アイテムを使用します。以下の最後の 2 つのアイテムではそれぞれ、暗号化解除パスフレーズが安全な資格情報ストアから取得され、暗号化された秘密キーファイルが参照されます。 + + server: + + enterprise: + org_id: your org id + secure_api_key_key: umapi_api_key + secure_client_secret_key: umapi_client_secret + tech_acct: your tech account@techacct.adobe.com + secure_priv_key_pass_key: umapi_private_key_passphrase + priv_key_path: private-encrypted.key + +最後に、エントリとして組織 ID にユーザー名または url を、`secure_priv_key_pass_key` 構成ファイルエントリと一致させるように `umapi_private_key_passphrase` としてキー名を使用して安全なストアにパスフレーズ、およびパスフレーズとしての値を追加します。（`priv_key_path` を使用する代わりに、キー `priv_key_data` 下の connector-umapi.yml ファイルにデータを配置することで、暗号化された秘密キーをインライン表示することもできます。 + +RSA 秘密キーの暗号化を使用したバリエーションの説明は以上です。 connector-ldap.yml @@ -73,7 +96,7 @@ LDAP アクセスパスワードは指定したキー名 | OS | 資格情報ストア | |------------|--------------| -|Windows | Windows Credential Vault | +| Windows | Windows Credential Vault | | Mac OS X | Keychain | | Linux | Freedesktop Secret Service or KWallet | {: .bordertablestyle } @@ -155,7 +178,7 @@ user-sync --users file users-file.csv --process-groups | grep "CRITICAL\|WARNING #### Cron -Unix crontab の次のエントリは User Sync ツールを毎日 4 AM に実行します。 +Unix crontab の次のエントリは User Sync ツールを毎日 4:00 AM に実行します。 ```text 0 4 * * * /path/to/run_sync.sh diff --git a/docs/jp/user-manual/index.md b/docs/jp/user-manual/index.md index 31bda922a..07552d428 100644 --- a/docs/jp/user-manual/index.md +++ b/docs/jp/user-manual/index.md @@ -8,7 +8,7 @@ nav_level: 1 nav_order: 10 --- -バージョン 2.1rc3、2017 年 5 月 22 日公開 +バージョン 2.1.1、2017 年 6 月 9 日公開 このドキュメントには、User Sync をインストールおよび導入するために必要なすべての情報が含まれています。ユーザーがローカルオペレーティングシステムのコマンドラインツールの使用に精通していること、またエンタープライズディレクトリシステムの操作について一般的な理解を有していることを前提としています。 diff --git a/docs/jp/user-manual/media/adobe-to-enterprise-connections.png b/docs/jp/user-manual/media/adobe-to-enterprise-connections.png index 9584feea6..fffd9b29b 100644 Binary files a/docs/jp/user-manual/media/adobe-to-enterprise-connections.png and b/docs/jp/user-manual/media/adobe-to-enterprise-connections.png differ diff --git a/docs/jp/user-manual/media/group-mapping.png b/docs/jp/user-manual/media/group-mapping.png index 427f6c24b..aa95a1305 100644 Binary files a/docs/jp/user-manual/media/group-mapping.png and b/docs/jp/user-manual/media/group-mapping.png differ diff --git a/docs/jp/user-manual/setup_and_installation.md b/docs/jp/user-manual/setup_and_installation.md index 95c8faa8d..b701e4c15 100644 --- a/docs/jp/user-manual/setup_and_installation.md +++ b/docs/jp/user-manual/setup_and_installation.md @@ -26,31 +26,33 @@ User Sync ツールを使用するには、ユーザーの企業が製品構成 User Sync ツールは、ユーザー管理 API のクライアントです。ツールをインストールする前に、Adobe I/O の「[開発者ポータル](https://www.adobe.io/console/)」で「*integration*」を追加して、API のクライアントとして登録する必要があります。ツールがアドビのユーザー管理システムにアクセスするのに必要な資格情報を取得するために、エンタープライズキー統合を追加する必要があります。 -統合を作成するための手順は、Adobe I/O ユーザー管理 API Web サイトの「[アクセスのセットアップ](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/setup.html)」に詳細が説明されています。このプロセスでは、統合専用の証明書（自己署名可能）を作成する必要があります。プロセスが完了すると、ツールが使用する **API key**、 **Technical account ID**、 **Organization ID**、および **client secret** が割り当てられ、Admin Console と安全に通信するための証明書情報も付与されます。User Sync ツールをインストールする際、アドビ内のユーザー組織のユーザー情報ストアにアクセスするときにツールで必要となる構成値としてこれらを提供する必要があります。 +統合を作成するための手順は、Adobe I/O Web サイトの [Adobe I/O 認証の概要](https://www.adobe.io/apis/cloudplatform/console/authentication/gettingstarted.html)の節に記載されています。サービスアカウントの認証に関する節をご覧ください。このプロセスでは、統合専用の証明書（自己署名可能）を作成する必要があります。プロセスが完了すると、ツールが使用する **API key**、 **Technical account ID**、 **Organization ID**、および **client secret** が割り当てられ、Admin Console と安全に通信するための証明書情報も付与されます。User Sync ツールをインストールする際、アドビ内のユーザー組織のユーザー情報ストアにアクセスするときにツールで必要となる構成値としてこれらを提供する必要があります。 + +その他の情報については、[こちら](https://adobe-apiplatform.github.io/umapi-documentation)または[こちら](https://www.adobe.io/apis/cloudplatform/usermanagement/docs/gettingstarted.html)で入手できる UMAPI ドキュメントを参照してください。 ## 製品アクセス同期のセットアップ -User Sync ツールを使用してアドビ製品へのユーザーアクセスをアップデートする場合、[Adobe Admin Console](https://www.adobe.io/console/) に定義したユーザーグループと製品構成に対応するご自身のエンタープライズディレクトリにグループを作成する必要があります。製品構成のメンバーシップがあると、特定のアドビ製品セットへのアクセス権が付与されます。ユーザーまたは定義されたユーザーグループのアクセスは、製品構成から追加または取り除くことによって、付与または取り消すことができます。 +User Sync ツールを使用してアドビ製品へのユーザーアクセスをアップデートする場合、[Adobe Admin Console](https://www.adobe.io/console/) に定義したユーザーグループと製品プロファイルに対応するご自身のエンタープライズディレクトリにグループを作成する必要があります。製品プロファイルのメンバーシップがあると、特定のアドビ製品セットへのアクセス権が付与されます。ユーザーまたは定義されたユーザーグループのアクセスは、製品プロファイルから追加または取り除くことによって、付与または取り消すことができます。 -User Sync ツールは、エンタープライズディレクトリメンバーシップに基づいてユーザーをユーザーグループおよび製品構成に追加することにより、ユーザーに製品アクセスを付与することができます。ただし、グループ名が正しくマッピングされており、グループメンバーシップを処理するオプションでツールを実行する必要があります。 +User Sync ツールは、エンタープライズディレクトリメンバーシップに基づいてユーザーをユーザーグループおよび製品プロファイルに追加することにより、ユーザーに製品アクセスを付与することができます。ただし、グループ名が正しくマッピングされており、グループメンバーシップを処理するオプションでツールを実行する必要があります。 ツールをこのような方法で使用する場合は、メインの構成ファイルでエンタープライズディレクトリグループを対応するアドビグループにマッピングする必要があります。これをおこなうには、両方の側にグループが存在すること、また対応する正確な名前を把握していることが必要です。 -### 製品と製品構成の確認 +### 製品と製品プロファイルの確認 -User Sync を構成し始める前に、企業でどのアドビ製品を使用しているか、またアドビのユーザー管理システムでどの製品構成とユーザーグループが定義されているかを把握する必要があります。詳しくは、「[エンタープライズサービスの構成](https://helpx.adobe.com/jp/enterprise/help/configure-services.html#configure_services_for_group)」のヘルプページを参照してください。 +User Sync を構成し始める前に、企業でどのアドビ製品を使用しているか、またアドビのユーザー管理システムでどの製品プロファイルとユーザーグループが定義されているかを把握する必要があります。詳しくは、「[エンタープライズサービスの構成](https://helpx.adobe.com/jp/enterprise/help/configure-services.html#configure_services_for_group)」のヘルプページを参照してください。 -製品構成がまだない場合は、コンソールを使用して作成できます。User Sync がユーザーエンタイトルメント情報をアップデートするには、何らかの製品構成が必要で、それに対応するグループがエンタープライズディレクトリに存在する必要があります。 +製品プロファイルがまだない場合は、コンソールを使用して作成できます。User Sync がユーザーエンタイトルメント情報をアップデートするには、何らかの製品構成が必要で、それに対応するグループがエンタープライズディレクトリに存在する必要があります。 -製品構成の名前は一般に、全アクセスや単体製品アクセスなど、ユーザーが必要な製品アクセスのタイプを示します。正確な名前を確認するには、、[Adobe Admin Console](https://www.adobe.io/console/) の「製品」セクションに移動し、ユーザーの企業で有効化されている製品を表示します。その製品で定義されている製品構成の詳細を表示するには、製品をクリックします。 +製品プロファイルの名前は一般に、全アクセスや単体製品アクセスなど、ユーザーが必要な製品アクセスのタイプを示します。正確な名前を確認するには、、[Adobe Admin Console](https://www.adobe.io/console/) の「製品」セクションに移動し、ユーザーの企業で有効化されている製品を表示します。その製品で定義されている製品プロファイルの詳細を表示するには、製品をクリックします。 ### エンタープライズディレクトリで対応するグループを作成します。 -Adobe Admin Console でユーザーグループと製品構成を定義した後、自分のエンタープライズディレクトリで対応するグループを作成して名前を付ける必要があります。例えば、「コンプリートプラン」製品構成に対応するディレクトリグループは「all_apps」と呼ぶことができます。 +Adobe Admin Console でユーザーグループと製品プロファイルを定義した後、自分のエンタープライズディレクトリで対応するグループを作成して名前を付ける必要があります。例えば、「コンプリートプラン」製品プロファイルに対応するディレクトリグループは「all_apps」と呼ぶことができます。 これらのグループに付けた名前と、対応するアドビグループをメモしておきます。メインの User Sync 構成ファイルでマッピングをセットアップする際にこれを使用します。「[グループマッピングの構成](configuring_user_sync_tool.md#グループマッピングの構成)」で詳細を参照してください。 -ベストプラクティスとして、製品構成またはユーザーグループの説明フィールドに、グループが User Sync によって管理されており、Admin Console では編集しないことを注記します。 +ベストプラクティスとして、製品プロファイルまたはユーザーグループの説明フィールドに、グループが User Sync によって管理されており、Admin Console では編集しないことを注記します。 ![Figure 2:グループマッピングの概要](media/group-mapping.png) @@ -72,16 +74,16 @@ User Sync ツールは [GitHub の User Sync リポジトリ](https://github.com 1. User Sync ツールをインストールして構成ファイルを置くサーバーにフォルダーを作成します。 -1. 「**Releases**」リンクをクリックして最新のリリースを見つけます。このリリースには、リリースノート、このドキュメント、サンプル構成ファイル、およびすべてのビルドバージョン（さらにソースアーカイブ）が含まれます。 +1. 「**Releases**」リンクをクリックして最新のリリースを見つけます。このリリースには、リリースノート、サンプル構成ファイル、およびすべてのビルドバージョン（さらにソースアーカイブ）が含まれます。 -2. プラットフォーム用の圧縮パッケージを選択してダウンロードします（`.tar.gz` ファイル）。Windows、OSX、および Ubuntu のビルドが利用できます。（ソースから構築する場合、リリースに対応するソースコードパッケージをダウンロードするか、マスターブランチから最新のソースを使用できます）。 +2. プラットフォーム用の圧縮パッケージを選択してダウンロードします（`.tar.gz` ファイル）。Windows、OSX、Centos、および Ubuntu のビルドを利用できます。（ソースから構築する場合、リリースに対応するソースコードパッケージをダウンロードするか、マスターブランチから最新のソースを使用できます）。User Sync の今後のリリースでは、Python 3 ビルドの利用も予定されています。 3. Python 実行可能ファイル（Windows 用の `user-sync` または `user-sync.pex`）を見つけて、User Sync フォルダー内に置きます。 -4. サンプル構成ファイルの `example-configurations.tar.gz` アーカイブをダウンロードします。アーカイブ内に、「config files – basic」のフォルダーがあります。このフォルダーの最初の 3 つのファイルは必須です。パッケージ内の他のファイルは、特定の目的用のオプションのバージョンまたは別のバージョン、あるいはその両方です。それらをルートフォルダーにコピーし、名前を変更して編集し、独自の構成ファイルを作成できます。「[User Sync ツールの構成](configuring_user_sync_tool./md#User-Sync-ツールの構成)」を参照してください。 +4. サンプル構成ファイルの `example-configurations.tar.gz` アーカイブをダウンロードします。アーカイブ内に、「config files – basic」のフォルダーがあります。このフォルダーの最初の 3 つのファイルは必須です。パッケージ内の他のファイルは、特定の目的用のオプションのバージョンまたは別のバージョン、あるいはその両方です。それらをルートフォルダーにコピーし、名前を変更して編集し、独自の構成ファイルを作成できます。「[User Sync ツールの構成](configuring_user_sync_tool.md#User-Sync-ツールの構成)」を参照してください。 5. **Windows のみ** @@ -90,7 +92,7 @@ User Sync ツールは [GitHub の User Sync リポジトリ](https://github.com Windows オペレーティング システムでは、260 文字のファイルパスの長さの制限が適用されます。Python PEX ファイルを実行する際、パッケージのコンテンツを抽出するために一時的な場所を作成します。その場所へのパスが 260 文字を超える場合、スクリプトは正しく実行されません。 - デフォルトでは、一時的なキャッシュはホームフォルダーにありますが、パス名が制限を超える可能性があります。この問題を回避するには、Windows の環境変数である PEX\_ROOT を作成し、パスを C:\\user-sync\\.pex に設定します。OS はキャッシュの場所用にこの変数を使用し、パスが 260 文字の制限を超えるのを防ぎます。 + デフォルトでは、一時的なキャッシュはホームフォルダーにありますが、パス名が制限を超える可能性があります。この問題を回避するには、Windows の環境変数である PEX\_ROOT を作成し、パスを C:\\pex に設定します。OS はキャッシュの場所用にこの変数を使用し、パスが 260 文字の制限を超えるのを防ぎます。 6. User Sync ツールを実行するには、Python 実行可能ファイル、`user-sync` を実行します（または Windows で `python user-sync.pex` を実行します）。 @@ -111,13 +113,13 @@ User Sync がユーザーの企業のディレクトリにアクセスする場 #### 証明書ファイル -公開キーおよび秘密キーを含むファイル、特に秘密キーを含むファイルには、機密情報が含まれています。秘密キーは安全に保持する必要があります。秘密キーは復元または交換することはできません。紛失するか漏洩した場合、対応する証明書をアカウントから削除する必要があります。必要であれば、新しい証明書を作成してアップロードする必要があります。これらのファイルは、最低限でもアカウント名とパスワードを保護するのと同じように保護します。ベストプラクティスとしては、資格情報管理システムにキーファイルを格納するか、許可されたユーザーのみがアクセスできるようファイルシステム保護を使用します。 +公開キーおよび秘密キーを含むファイル、特に秘密キーを含むファイルには、機密情報が含まれています。秘密キーは安全に保持する必要があります。秘密キーは復元または交換することはできません。紛失するか漏洩した場合、対応する証明書をアカウントから削除する必要があります。必要であれば、新しい証明書を作成してアップロードする必要があります。これらのファイルは、最低限でもアカウント名とパスワードを保護するのと同じように保護します。ベストプラクティスとしては、資格情報管理システム内の、オペレーティングシステムの安全なストレージに秘密キーファイルを格納するか、許可されたユーザーのみがアクセスできるようファイルシステム保護を使用します。 #### ログファイル ログ記録はデフォルトで有効になっており、ユーザー管理 API に対するすべてのトランザクションをコンソールに出力します。ログファイルに書き込むようツールを構成することもできます。実行時に作成したファイルには日付スタンプが押され、構成ファイルで指定されたフォルダー内のファイルシステムに書き込まれます。 -ユーザー管理 API では、ユーザーの電子メールアドレスを固有の識別子として処理します。すべてのアクションは、ユーザーに関連付けられた電子メールアドレスとともに、ログに書き込まれます。データをファイルに記録するよう選択した場合、それらのファイルにはこの情報が含まれています。 +User Management API では、ユーザーの電子メールアドレスを固有の識別子として処理します。すべてのアクションは、ユーザーに関連付けられた電子メールアドレスとともに、ログに書き込まれます。データをファイルに記録するよう選択した場合、それらのファイルにはこの情報が含まれています。 User Sync では、ログ保持の制御または管理を提供していません。毎日新しいログファイルが開始されます。データをファイルに記録する場合は、それらのファイルの有効期間とアクセスを管理するよう必要な処置を講じてください。 diff --git a/docs/jp/user-manual/usage_scenarios.md b/docs/jp/user-manual/usage_scenarios.md index 507b2ac3e..30b651f3c 100644 --- a/docs/jp/user-manual/usage_scenarios.md +++ b/docs/jp/user-manual/usage_scenarios.md @@ -1,12 +1,12 @@ --- layout: default lang: jp -nav_link: 使用のシナリオ +nav_link: よくある作業例 nav_level: 2 nav_order: 50 --- -# 使用のシナリオ +# よくある作業例 ## このセクションの内容 {:."no_toc"} @@ -31,9 +31,10 @@ User Sync ツールをエンタープライズプロセスに統合するには ## ユーザーとグループのメンバーシップのアップデート -これは、最も一般的なタイプの呼び出しです。User Sync はエンタープライズ側で、ユーザーの情報およびグループメンバーシップの情報に対するすべての変更を見つけます。そしてユーザー、ユーザーグループ、製品構成メンバーシップを追加、アップデート、および取り除いてアドビ側を同期します。 +これは、最も一般的なタイプの呼び出しです。User Sync はエンタープライズ側で、ユーザーの情報およびグループメンバーシップの情報に対するすべての変更を見つけます。そしてユーザー、ユーザーグループ、製品プロファイルメンバーシップを追加、アップデート、および取り除いてアドビ側を同期します。 -デフォルトでは、ID タイプが Enterprise ID または Federated ID のユーザーのみ作成される、取り除かれる、または User Sync によってグループメンバーシップが管理されます。なぜなら、一般に Adobe ID ユーザーはディレクトリ内で管理されないからです。ユーザーの組織がこのような仕組みになっている場合は、「[詳細な構成](advanced_configuration.md#詳細な構成)」の[後述の説明](advanced_configuration.md#adobe-id-によるユーザーの管理)を参照してください。 +デフォルトでは、ID タイプが Enterprise ID または Federated ID のユーザーのみ作成される、取り除かれる、または User Sync によってグループメンバーシップが管理されます。なぜなら、一般に Adobe ID ユーザーはディレクトリ内で管理されないからです。ユーザーの組織がこのような仕組みになっている場合は、「[詳細な構成](advanced_configuration.md#詳細な構成) +」の[後述の説明](advanced_configuration.md#adobe-id-によるユーザーの管理)を参照してください。 この例では、構成ファイル user-sync-config.yml に、ディレクトリグループから **Default Acrobat Pro DC configuration** という名前のアドビ製品構成へのマッピングが含まれることを前提とします。 @@ -70,9 +71,9 @@ User Sync ツールをエンタープライズプロセスに統合するには コマンドに `users` パラメーターのみを指定すると、アクションはエンタープライズディレクトリ内のユーザー情報の変更を見つけて、それらの変更についてアドビ側をアップデートします。エンタープライズ側でどのユーザーを探すかを制御する `users` パラメーターを引数に指定することもできます。 -この呼び出しでは、グループメンバーシップの変更を探したりアップデートしたりしません。この方法でツールを使用する場合は、Adobe Admin Console でユーザーグループおよび製品構成のメンバーシップをアップデートすることによってアドビ製品へのアクセスを制御することが期待されます。 +この呼び出しでは、グループメンバーシップの変更を探したりアップデートしたりしません。この方法でツールを使用する場合は、Adobe Admin Console でユーザーグループおよび製品プロファイルのメンバーシップをアップデートすることによってアドビ製品へのアクセスを制御することが期待されます。 -また、アドビ側にはあるもののディレクトリ側にはないユーザーを無視し、製品構成やユーザーグループ管理も実行されません。 +また、アドビ側にはあるもののディレクトリ側にはないユーザーを無視し、製品プロファイルやユーザーグループ管理も実行されません。 ```sh ./user-sync –c user-sync-config.yml --users all @@ -84,7 +85,7 @@ User Sync ツールをエンタープライズプロセスに統合するには ### 特定グループ内のユーザーのみ同期 -このアクションは、指定されたグループ内にあるユーザーのユーザー情報に対する変更を探します。エンタープライズディレクトリ内の他のユーザーは探さず、製品構成やユーザーグループ管理は実行しません。 +このアクションは、指定されたグループ内にあるユーザーのユーザー情報に対する変更を探します。エンタープライズディレクトリ内の他のユーザーは探さず、製品プロファイルやユーザーグループ管理は実行しません。 ```sh ./user-sync –c user-sync-config.yml --users groups "group1, group2, group3" diff --git a/examples/config files - basic/2 connector-umapi.yml b/examples/config files - basic/2 connector-umapi.yml index 6b9e2c261..043eb50d9 100644 --- a/examples/config files - basic/2 connector-umapi.yml +++ b/examples/config files - basic/2 connector-umapi.yml @@ -73,4 +73,4 @@ enterprise: # For better security, you should save your passphrase into the secure credential store # on your platform (username = your org ID, service/internet address = "umapi_private_key_passphrase") # and then uncomment this setting: - #secure_priv_pass_key: umapi_private_key_passphrase + #secure_priv_key_pass_key: umapi_private_key_passphrase diff --git a/user_sync/app.py b/user_sync/app.py index 82647d4bf..c82c47c20 100644 --- a/user_sync/app.py +++ b/user_sync/app.py @@ -367,7 +367,7 @@ def main(): except AssertionException as e: if not e.is_reported(): - logger.critical(e.message) + logger.critical("%s", e) e.set_reported() except KeyboardInterrupt: try: diff --git a/user_sync/connector/umapi.py b/user_sync/connector/umapi.py index d28e5f686..c9acbae3f 100644 --- a/user_sync/connector/umapi.py +++ b/user_sync/connector/umapi.py @@ -103,7 +103,7 @@ def __init__(self, name, caller_options): passphrase = enterprise_config.get_credential('priv_key_pass', org_id, True) if passphrase: try: - key_data = RSA.importKey(key_data, passphrase=passphrase).exportKey() + key_data = str(RSA.importKey(key_data, passphrase=passphrase).exportKey().decode('ascii')) except (ValueError, IndexError, TypeError) as e: raise AssertionException('%s: Error decrypting private key, either the password is wrong or: %s' % (enterprise_config.get_full_scope(), e)) diff --git a/user_sync/version.py b/user_sync/version.py index d48291d3a..6e911ff7c 100644 --- a/user_sync/version.py +++ b/user_sync/version.py @@ -18,4 +18,4 @@ # OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE # SOFTWARE. -__version__ = '2.2' +__version__ = '2.2.1'