フェデレーションディレクトリへの Google Sync の追加

Adobe Admin Console に同期するには、あらかじめライセンス要件に基づいて Google OU を設定する必要があります。

次に、Google Admin Console にログインし、アプリ／ウェブアプリとモバイルアプリに移動します。「アドビ SAML アプリ」を選択して、「自動プロビジョニング」に移動した後、「属性のマッピングを編集」を選択します。

属性ウィンドウで、アプリ属性 urn:ietf:params:scim:schemas:extension:Adobe:2.0:User.organizationalUnit のドロップダウンから組織単位のパスを選択します。

Adobe Admin Console の任意のディレクトリに Google Sync を追加して、ユーザー管理プロセスを自動化することができます。Google Sync は SCIM プロトコルを使用してユーザー管理を行い、アドビと共有するユーザー情報を制御できます。Adobe Admin Console に同期された Google 管理コンソール内の特定のユーザーは、1 つまたは複数の製品プロファイルに割り当てることができます。

Google Sync を設定すると、Google は、Google 管理コンソールディレクトリのユーザーとグループのプロビジョニングに従って、Adobe Admin Console へのデータの送信を開始します。ディレクトリの詳細は、Adobe Admin Console の「設定」セクションに表示されます。

Google Sync のメリット

Adobe Admin Console でディレクトリに Google Sync を使用することには、次のメリットがあります。

前提条件

Adobe Admin Console のユーザー管理を Google 管理コンソールと統合するには、次の前提条件を満たす必要があります。

• ユーザーデータへの管理者アクセス権を持つ Google 管理コンソールアカウント
• 検証済みドメインを含む Adobe Admin Console のフェデレーションディレクトリ

サポートされている統合シナリオ

同期設定の準備

以下の各ポイントに沿って、Google Sync 設定準備のベストプラクティスと推奨事項を確認してください。

• Google Sync を追加する前に既存のユーザーリストを書き出して、セットアップ時点でのすべてのユーザーアカウントとプロビジョニングされたライセンスの記録を残します。
• Federated ID ユーザーを持つディレクトリに Google Sync を統合する場合、Adobe Admin Console のユーザー名が Google 管理コンソールのユーザープロビジョニングマッピングのユーザー名と一致することを確認してください。これらの値が一致しない場合、Adobe Admin Console はこれを新規のユーザーアカウントと認識するため、1 人のユーザーに対して重複したレコードが作成されることになります。これを避けるため、同期によって渡される値が Adobe Admin Console のユーザープロファイルの値と一致するように属性マッピングを更新しください。これにより、次回の同期時にアカウントが自動的に更新されます。
• Google Sync を確立するためには、Admin Console に少なくとも 1 つのフェデレーションディレクトリが必要です。Google Sync を搭載した Adobe Admin Console（所有コンソール）が別の Adobe Admin Console（トラスティコンソール）と信頼関係にある場合、トラスティコンソールは User Sync ツール、User Management API、CSV による一括アップロードなど、別の形式のユーザー管理を使用して、Federated ID ユーザーの作成、管理、ライセンス付与を行う必要があります。
• ライセンスプロビジョニングのためにトラスティコンソールにユーザーを追加するには、所有コンソールにユーザーを追加する必要があります。
• ユーザー同期ツールまたは UMAPI 統合を使用している場合は、統合を一時停止する必要があります。次に、Google Sync を追加して Google 管理コンソールからユーザー管理を自動化します。Google Sync を設定して実行した後、ユーザー同期ツールまたは UMAPI 統合を削除します。
• Google Syn で確立されたディレクトリとの間でドメインを移動するには、選択したディレクトリから Google Sync を削除する必要があります。その後、選択したディレクトリとの間で目的のドメインを移動し、ターゲットディレクトリへの同期を再度確立します。

フェデレーションディレクトリへの Google Sync の追加

Google 管理コンソールからユーザーを同期するには、次の手順を実行します。

Google 組織単位の同期

Admin Console で Google Sync が有効なディレクトリに Google 組織単位（OU）を同期できます。Google Admin Console の各 OU（ルート OU を含む）は、関連付けられたユーザーと共に個別のグループとして同期されます。

例えば、Google Admin Console に 3 人のユーザー（ユーザー A、ユーザー B、ユーザー C）がいて、それぞれ別々の OU に属しているとします。次の表は、これらのユーザーが Adobe Admin Console の対応するグループにどのように追加されるかを示しています（ユーザー B とユーザー C は複数のグループに追加されます）。

同期設定の編集

システム管理者は、設定が完了したら、ディレクトリ設定の「同期」タブで「設定に移動」を選択して、「ソースの同期」の設定を更新することができます。設定オプションは次のとおりです。

同期を削除

管理者は、Admin Console 内のフェデレーションディレクトリから同期の削除を選択できます。同期を削除することで、ディレクトリおよびそれに関連付けられたドメイン、ユーザーグループ、およびユーザーをそのまま残し、ディレクトリおよびそのユーザーとグループからの読み取り専用モードを削除します。

ディレクトリから同期を削除するには、設定に移動からディレクトリ設定の「同期」タブに移動して同期を削除を実行します。また、強制隔離を避けるため、Google 管理コンソールから Adobe SAML アプリの自動プロビジョニングをオフにしてください。これにより、Adobe Admin Console から同期設定が完全に削除されます。必要に応じて、同じディレクトリまたは異なるディレクトリとの同期を再度確立できます。

ユーザーの無効化

Google Sync を実装すると、新しいフェデレーションユーザーアカウントが作成され、ユーザーが Adobe Admin Console に同期されます。管理者は、Google Sync を介して追加されたユーザーとグループを次の 3 つの方法（Google 管理コンソール内）でプロビジョニング解除することもできます。

• Google Workspace からユーザーを削除または一時停止する。
  
• プロビジョニングスコープからユーザーに関連付けられているすべてのグループを削除する。
• Google Workspace 内で、関連する組織単位の Adobe SAML アプリをオフにする。

これら 3 つの操作を行うと、Adobe Admin Console でユーザーが無効になります。無効になったユーザーはログインできなくなり、ディレクトリユーザーリストに「無効」と表示されます。これらの方法のいずれかによってプロビジョニングが解除されたユーザーは、引き続き Google Sync で管理されます。ユーザーのアカウントもクラウドに保存されたアセットも組織から削除されていません。

Admin Console からユーザーと関連データを削除する：ディレクトリ設定の「同期」タブで「設定に移動」を選択し、「編集を有効にする」をクリックします。次に、ユーザー／ディレクトリユーザーに移動します。その後、リストからユーザーを選択してアカウントを完全に削除します。

編集を有効にすると、同期されたデータを 1 時間編集できるようになり、その後自動的に無効になります。ユーザーを削除した後は、即座に「編集を無効にする」をオンにして、Google 管理コンソールの変更を Admin Console に反映させることをお勧めします。

強制隔離ポリシー

アドビには、同期操作中の多数のエラー呼び出しを処理するための強制隔離ポリシーがあります。 

アドビのサービスは、同期の状態を個別に監視して、設定された時間内にエラー率が特定のしきい値を超えたことを確認します。しきい値を満たすエラーが発生する最小のリクエストにより、一時的な強制隔離が実行され、Google 管理コンソールからのすべての呼び出しと更新リクエストが一定期間拒否されます。その後、呼び出しは同期の再試行のために再度受け入れられます。エラー呼び出しが続く場合、同期は強制隔離された状態で長期間一時的な保護観察に置かれます。アドビが強制隔離を開始すると、呼び出しが拒否されたために、Google での後続の強制隔離につながる可能性もあります。これは、Google でのエラー率にカウントされます。アドビは、進行中のデータ分析に基づいて強制隔離パラメーターを更新する権利を留保することに注意してください。

一般的なエラーメッセージ

Google Admin Console から Google Sync を管理する際は、表示される一般的なエラーメッセージに注意する必要があります。様々なエラーメッセージの原因に対する理解は、エラーが発生したときのトラブルシューティングに役立ちます。

同期ログとエラーログは、Google 管理コンソールで、Adobe SAML アプリの自動プロビジョニングセクションで確認できる。Google 管理コンソール内でのデプロイメントの監視について詳しくはこちらを参照してください。

Google OU の同期エラー

Google 組織単位の同期中に、Adobe Admin Console で同期エラーが発生することがあります。Google ログには、次のエラーが表示されます。

• Failed because OU depth is greater than 10: max depth limit reached（OU の深度が 10 を超えているため失敗しました。最大深度制限に達しました）
  
• Failed because OU attribute would yield groups that are too long: group name shouldn't be longer than 256 characters（OU 属性の生成するグループが長すぎるため失敗しました。グループ名は 256 文字以内で指定する必要があります）
• Failed because OU attribute contains disallowed chars for group names: OU name contains disallowed characters（OU 属性にグループ名として許可されていない文字が含まれているため、失敗しました。OU 名に使用できない文字が含まれています）
  

トラブルシューティング

Adobe Admin Console は、Google sync サービスを使用しているため、すべての同期問題は Google 管理コンソール内でトラブルシューティングします。一般的な問題は、Google の設定手順を参照して解決することができます。解決策が見つからない場合は、Google カスタマーサポートに問い合わせることをお勧めします。

同期の問題を診断する手順は以下のとおりです。