macOS／Linux の場合は、ターミナルを開きます。
Windows では、openssl をサポートするプログラム（インストールされている場合、Cygwin、cmd など）を開きます。それ以外の場合、バージョン 2.6.0 以降は、User Sync ツールを使用して、公開証明書と秘密キーを生成できます。これには、ツールをローカルにダウンロードし、user-sync.exe ファイルが含まれているフォルダー内からコマンドプロンプトで次のコマンドラインを実行する必要があります。
最終更新日 :
2021年6月23日
|
次にも適用 : Creative Cloud for enterprise
- アドビエンタープライズ版とグループ版：管理ガイド
- デプロイメントの計画
- 基本概念
- デプロイメントガイド
- Creative Cloud 教育機関向けのデプロイ
- 組織の設定
- ID タイプ | 概要
- ID の設定 | 概要
- Enterprise ID を使用した組織の設定
- Azure AD フェデレーションと同期の設定
- Google Federation と Google Sync の設定
- Microsoft ADFS を使用した組織の設定
- 組織の教育委員会ポータルと LMS の設定
- 他の ID プロバイダーを使用した組織の設定
- SSO に関するよくある質問とトラブルシューティング
- 組織の設定の管理
- ユーザーの管理
- 製品および使用権限の管理
- 製品および製品プロファイルの管理
- 共有デバイスライセンスの管理
- 製品および製品プロファイルの管理
- Global Admin Console の使用を開始
- ストレージとアセットの管理
- ストレージ
- アセットの移行
- ユーザーのアセットの再利用
- 学生アセットの移行 | 教育機関のみ
- Managed Services
- Adobe Stock
- カスタムフォント
- Adobe Asset Link
- Adobe Acrobat Sign
- Creative Cloud エンタープライズ版 – 無料メンバーシップ
- アプリおよびアップデートのデプロイ
- 概要
- パッケージの作成
- パッケージのカスタマイズ
- パッケージのデプロイ
- アップデートの管理
- Adobe Update Server Setup Tool（AUSST）
- Adobe Remote Update Manager（RUM）
- トラブルシューティング
- グループ版アカウントの管理
- 更新
- 契約の管理
- レポートとログ
- ヘルプを表示
本ドキュメントでは、User Sync ツールを実装してユーザー管理プロセスを自動化する方法について説明します。
User Sync ツールは、ユーザーとグループの情報を組織のエンタープライズディレクトリシステム（Active Directory やその他の LDAP システムなど）から Adobe Admin Console 内の組織のディレクトリに移すための、コマンドラインユーティリティです。User Sync ツールを実行すると、ツールでは、2 つのシステム間のユーザーおよびグループ情報の差異を探し、お使いのディレクトリの情報に Adobe のディレクトリを一致させるよう更新します。
このドキュメントでは、Active Directory システムを Adobe Admin Console を使用してインターフェイス接続するステップバイステップの手順を提供します。これは、小中高校教育機関および中小企業のセグメントで当社のお客様に最もよく利用されている組み合わせの 1 つです。User Sync ツールは柔軟性があり、大抵の LDAP およびディレクトリシステムとのインターフェイス接続に利用可能です。Active Directory 以外のディレクトリシステムをご使用の場合は、本ドキュメントにある手順をそのまま使用できないため、適宜変更を加える必要があります。詳しくは、セットアップと成功のガイドを参照してください。
はじめに
ご使用の LDAP システムに関して、以下の情報を収集します。不明な場合は、IT 管理者に問い合わせてください。
- ドメインコントローラー名（または存在する場合、その固定 IP）とポート。
- ツールが LDAP からユーザーを抽出するために使用するサービスアカウントのユーザー名とパスワード（読み取り専用アクセス）。
- サーバーがユーザーを検索する基点となるベース DN。同期が必要なすべてのユーザーとグループを検出できる十分な幅が必要です。
- 同期の一部であるグループ名。
- Admin Console で作成する必要があるすべてのユーザーのメール／ユーザー名に最適な LDAP 属性。
- （オプション）デフォルトのフィルターが要件を満たしていない場合、Adobe と同期するユーザーのセットを選択するカスタム LDAP クエリが併せて必要になることがあります。
このキーペアは、JWT に署名し、access_token プロセスの取得にあたって JWT の正当性を証明するために使用します。このプロセスを円滑に進めるため、必要に応じてセキュリティ部門にお問い合わせください。
証明書に関する説明：
- 公開証明書は、お客様独自の CA によって署名できます（必要に応じて CSR を作成します）。自己署名証明書を使用することもできます。
- 秘密鍵は RSA：2048 ビット以上である必要があります。
- 公開証明書のファイル拡張子には、.crt 拡張子を使用します。
- 署名には SHA-256 を使用します。
- 公開鍵の有効期間：3 年間を推奨しますが、組織内のセキュリティポリシーに従ってください。
自己署名証明書を作成する
ランダム化された値を持つ自己署名入り証明書と、有効期間が 1 年の公開証明書を使用する場合、adobe.io ポータルによって、プロジェクトの作成段階または既存プロジェクトのサービスアカウント（JWT） メニュー内で証明書を生成できます。詳しくは、 Adobe I/O との統合の作成を参照してください。
データと有効性を自分で設定した自己署名入り証明書の場合は、次の手順に従います。
-
user-sync.exe certgen
-
以下のコマンドを実行します。
openssl req -x509 -sha256 -nodes -days 1095 -newkey rsa:2048 -keyout private.key -out certificate_pub.crt
-
秘密鍵の生成が完了すると、公開鍵の識別名を作成するための追加情報の入力を求めるメッセージが表示されます。デフォルト値をそのまま使用するか、別の適切な識別名を入力します。フィールドを空白のままにする場合は、"."（ドット）を入力します。
公開鍵証明書ファイルと秘密鍵ファイルは、デフォルトで以下の場所に保存されます。
Windows: C:¥cygwin64¥home¥<your_user_name>
（user-sync.exe を使用した場合、このファイルがスクリプトと同じフォルダー内に置かれている必要があります）。
macOS: /Users/<your_user_name>
お使いのマシンへの User Sync のインストールをお考えの場合は、次の必要システム構成を満たしていることを確認してください。
- インターネットアクセスと LDAP または AD などのディレクトリサービスがある。
- 保護されセキュアな環境にある（管理者情報はここに保存されアクセスされます）。
- いつでも使用可能で安定性があり、バックアップと復旧機能を装備。
- User Sync から管理者へレポートを送信するための電子メールの送信が可能。
- Windows マシンの場合は、64-bit プロセッサー対応。
上記を満たさない場合は、IT 部門に相談して、サーバーを特定してアクセスできるようにしてください。
組織用にディレクトリを作成しており、製品プロファイルとユーザーグループが Adobe Admin Console に作成されていることを確認します。
サーバーのセットアップ
adobe.io の連携を設定するには、以下の操作をおこないます。
-
システム管理者として、 Adobe I/O コンソールにログインし、右上のドロップダウンリストから組織を選択します。「新規プロジェクトを作成」をクリックします。
-
右上の「プロジェクトを編集」をクリックし、プロジェクトのタイトルと説明を入力します。「保存」をクリックします。
-
「API を追加」をクリックします。
-
API を追加ウィンドウで、「 Adobe サービス」を基準にフィルターし、「ユーザー管理 API」を選択します。「次へ」をクリックします。
-
- キーペアを生成：
adobe.io で生成されたランダムな値を持つ、1 年間有効な自己署名証明書を使用する場合は、「キーペアを生成」を選択します。その後、「キーペアを生成」をクリックします。
certificate_pub.crt ファイルと private.key が含まれた config.zip ファイルがローカルマシンにダウンロードされます。公開証明書は、連携に自動的に追加されます。private.key は、後で設定プロセスで使用されます。
- 公開キーをアップロード：
独自の公開証明書がある場合、または公開キーと秘密キーの取得セクションの手順を使用して証明書を生成した場合は、「公開キーをアップロード」を選択します。下にスクロールし、公開キー証明書ファイルをアップロードします。「次へ」をクリックします。
-
「設定済み API を保存」をクリックします。
-
資格情報の詳細を表示するには、サービスアカウント（JWT）に移動します。
このページの情報は、後で User Sync ツールの設定ファイルの 1 つで使用されます。
-
必要な権限を持つユーザーがそのコンテンツにアクセスできるドライブ上の場所に、user_sync_tool という名前のフォルダーを作成します。
-
GitHub にアクセスし、「Latest release（最新のリリース）」タグを見つけます。
このリリース内で、「Assets（アセット）」を見つけて展開します。次に、以下を見つけてダウンロードします。
- examples.zip ファイル
- リスト内の User Sync ツールの .zip（使用する OS タイプとに応じて選択）
-
examples.zip を展開し、config files／basic に移動して、ファイル connector-ldap.yml、connector-umapi.yml、user-sync-config.yml を user_sync_tool フォルダーにコピーします。
-
もう 1 つの zip ファイルから user-sync.exe ファイルを抽出し、先ほど作成した user_sync_tool フォルダーに保存します。
-
公開証明書に付属している private.key を見つけて、同じ user_sync_tool フォルダーに移動します。これで、このフォルダーには次のものが含まれます。
- connector-ldap.yml
- connector-umapi.yml
- private.key
- user-sync.exe
- user-sync-config.yml
User Sync の設定
-
専用のテキストエディターで connector-ldap.yml ファイルを編集します。
-
ユーザー名、パスワード、base_dn 値を入力します。
-
search_page_size を「200」に設定します。
-
ほとんどの場合、デフォルトのフィルターが適切です。ユーザーのセットを抽出するカスタム LDAP クエリが必要な場合は、all_users_filter 構成パラメーターを変更します。
-
残りの設定（コメントアウトされたものを除く）と、それらが指す LDAP 属性を確認します。必要に応じて変更してください。
デプロイによっては、ユーザー名によるログインが設定されます（Admin Console で、対象ユーザーのユーザー名フィールドが電子メールタイプの値ではありません）。
この場合、次の行も有効にします（# 文字を削除します）。
user_username_format: {sAMAccountName}sAMAccountName を使用する必要がない場合は、正しい属性に置き換えます。
-
connector-umapi.yml ファイルを編集します。このファイルには、Adobe 組織へのアクセス情報が含まれています。
-
前のステップで作成した adobe.io の連携から以下の情報を入力します。
- org_id
- api_key
- client_secret
- tech_acct
-
priv_key_path に、user_sync_tool フォルダー内にある秘密鍵の正確な名前が含まれていることを確認してください。
秘密鍵が残りの UST ファイルと同じフォルダー内にある場合、priv_key_path にはファイルの名前のみを含めることができ。これは相対パスとして機能します。
ディレクトリで各ユーザーの国が表示されない場合、初期設定の国を設定することができます。
-
user-sync-config.ym ファイルを編集します。
-
初期設定の国コード行から # を削除し、適切な国コードを入力します。以下に例を示します。
default_country_code: US
注意：国コードは Federated ID には必須ですが、Enterprise ID では推奨されています。Enterprise ID で国コードが入力されなかった場合、ユーザーは初回ログイン時に国を選択するメッセージが表示されます。
グループマッピングは、LDAP のどのグループに対して、Admin Console 内のユーザーグループまたは PLC を対応させる必要があるかを定義します。
ここでの目標は、ツールに対してグループ／ユーザーのソースを指定して、Admin Console 側のグループ／PLC 内の同じメンバーとの対応付けを可能にすることです。
-
user-sync-config.yml ファイルで、group mapping を編集します。
-
Adobe 製品プロファイルまたはユーザーグループへのマッピングが必要な各ディレクトリグループについては、groups セクションの後に項目を追加します。以下に例を示します。
groups: - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here - directory_group: LDAP_group_name_goes_here adobe_groups: - Adobe_group_name_goes_here
注意：Adobe ユーザーグループまたは製品プロファイルを使用して、グループマッピングできます。製品名へはマッピングしません。また、1 つのディレクトリグループを複数の Adobe ユーザーグループまたは製品プロファイルにマッピングすることができます。
設定ミスなどの問題による意図しないアカウント削除を防ぐため、毎日の同期で予想されるアカウント削除数の制限を決めておくことができます。
-
制限を変更するには、user-sync-config.yml ファイルで max_ Adobe_only_users を見つけます。
-
ユーザー設定の次回実行までに削除されるアカウントの数が、max_adobe_only_users の値より多いことが予想される場合は、値を大きくしてすべてのアカウント削除に対応します。
注意：削除するアカウントの数が、max_adobe_only_users の値より多い場合、ツールはアカウント削除を一切処理しません。その制限に達したことを通知する重要エントリがログに表示されます。
この制限は、作成アクションには影響しません。
状況によっては、一部のアカウントを同期から除外しなければならないことがあります。この場合、user-sync-config.yml ファイルを編集します。
ツールには、ID タイプ別、グループ名別、正規表現によるフィルターの 3 つの除外機能があります。
Admin Console で上記の基準の少なくとも 1 つに一致するアカウントが検出された場合、そのアカウントは（グループ、Org からの）削除アクションから保護されます。
Admin Console にシステム管理者用の Adobe ID を用意し、exclude_identity_types: adobeID を使って除外して、それらの Adobe ID を除外することをお勧めします
以下に例を示します。
adobe_users:
exclude_identity_types:
- adobeID # adobe ID、Enterprise ID、Federated ID のいずれか
exclude_ adobe_groups:
- adobe_group_name # そのメンバーは User Sync によって削除されません
- other_group_name # 複数のグループを除外できます。
exclude_users:
- ".*@example.com"
- important_user@domain.com
User Sync では、ログの記録を標準出力に表示し、ログファイルにも書き出します。構成設定のログ出力セットでは、ログ情報を出力する場所と量の詳細を管理します。
-
ファイルのログのオンとオフを切り替えるには、user-sync-config.yml ファイルで log_to_file の値を編集します。
-
ログの設定を確認し、必要に応じて変更します。初期セットアップでは、以下の使用をお勧めします。
log_to_file: True
file_log_level: debug
別の方法として、Windows サーバーを使用している場合は、User Sync ツール構成ウィザードを使用してユーザー同期を構成することもできます。
User Sync ツール構成ウィザードは、User Management API（ Adobe.io）、Enterprise ディレクトリ（LDAP）、同期設定を使用して User Sync ツールを簡単に設定するのに役立つ GUI ツールです。コンテキストベースのヘルプと User Sync ツールのドキュメントへのリンクを提供しています。詳しくは、 Adobe User Sync ツール構成ウィザードを参照してください。
デプロイと自動化
User Sync ツールがサーバーまたはマシンにセットアップされたので、求めている通りに機能するかどうかを確認できます。User Sync ツール実行中の一般的な問題のトラブルシューティングについては、一般的なエラーを解決するための説明を参照してください。
-
コマンドプロンプトを開きます。
-
以下のコマンドを使用して、user_sync_tool フォルダーに移動します。
cd path/to/user_sync_tool
-
設定が完了していることを確認するには、以下のコマンドを実行します。
Windows の場合：
user-sync.exe -v user-sync.exe -h
UNIX の場合：
。/user-sync –v ./user-sync –h
ここで -v はバージョンを表示し、-h はコマンドライン args のヘルプを表示します。
-
テストモードで、既存の Adobe 側アカウントを除外し、構成ファイルで指定されているマッピングされたグループのみに同期を実行します。
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action exclude
上記のコマンドは、user-sync-config.yml で指定されたマップされたグループ内のユーザーのみを同期させます。ユーザーが Admin Console に存在しない場合は、ユーザーを作成し、そのユーザーをディレクトリグループからマップされたいずれかのグループに追加しようと試みます。
テストモード（-t）で user-sync を実行すると、ユーザーの作成を試みるだけで、実際には実行しません。-- adobe-only-user-action exclude オプションは、Adobe 組織内で既存のユーザーアカウントが削除されるのを防止します。
-
invocation_defaults sets は、ツールが実行するデフォルトの引数を設定しますが、コマンドラインでそれらを指定することでオーバーライドできます。テストモードで、構成ファイルで指定されているマッピングされたグループのみに同期を実行して、Adobe 側では見つかるが LDAP 抽出には見つからない余分なアカウントを削除します。
user-sync.exe -t --users mapped --process-groups --adobe-only-user-action remove
-t
実際の同期ではなくシミュレーションを実行して、動作を確認します。
--users-mapped
LDAP から、all_user_filter の検出結果と、構成ファイルに指定された directory_group 名のメンバーの検出結果の両方に含まれているユーザーを抽出します。
--process-groups
アカウントが LDAP のマッピングされたグループのメンバーであるかどうかによって、Adobe 側のユーザーグループまたは PLC でユーザーを追加または削除します。
--adobe-only-user-action remove
Adobe 側で見つかったアカウントが、LDAP 抽出で見つからず、同期から除外されていない場合、ユーザーメニューから削除され、使用権限が取り消されます。
すべてのテストが予期したとおりの結果になれば、本番（テストモードフラグなし）で実行する準備が完了します。
注意：
- ここで紹介したコマンドラインは単なる例であり、ユースケースにすべて対応していない場合があります。
- 最初の同期にかかる時間は、同期するアカウント数に応じて数秒から数時間の幅があります。概算で、1.5〜2 分ごとに約 250 人のユーザーが作成されます（タイムアウトを含む）。
- UMAPI タイムアウト警告コード 429 メッセージが表示されることがあります。ツールが再試行メカニズムを処理します。
User Sync は手動で実行することも、1 日に 1 回〜数回自動的に実行する自動化を設定することもできます。
注意：
使用可能なログ分析とアラートシステムがある場合は、User Sync からのログをログ分析システムに送信するように準備してください。また、ログに表示されるすべてのエラーや重要なメッセージのアラートを設定します。
-
要約に関連するログエントリを表示するには、user_sync_tool フォルダーに、User Sync の起動でスキャンに送信されるバッチファイルを作成します。例えば、次のようなコンテンツで run_sync.bat ファイルを作成します。
cd path/to/user-sync-folder user-sync.exe --users file example.users-file.csv --process-groups | findstr /I "==== ----- WARNING ERROR CRITICAL Number" > temp.file.txt rem email the contents of temp.file.txt to the user sync administration your-mail-tool –send file temp.file.txt
-
電子メールコマンドラインツールを設定することもできます。
Windows には標準の電子メールコマンドラインツールはありませんが、市販のツールが複数存在します。これらを使って、具体的なコマンドラインオプションを入力できます。
-
Windows タスクスケジューラーを設定して、User Sync ツールを実行します。
例えば、以下のコードでは、毎日午後 4:00 に User Sync ツールの実行が開始されます。
C:\> schtasks /create /tn "Adobe User Sync" /tr path_to_bat_file/run_sync.bat /sc DAILY /st 16:00
