Benutzersynchronisierung

Einführung

Wenn es sich bei der Bereitstellung um eine Veröffentlichungsfarm handelt, müssen Mitglieder sich anmelden und ihre Daten auf allen Veröffentlichungsknoten einsehen können.

In der Veröffentlichungsumgebung erstellte Benutzer und Benutzergruppen (Benutzerdaten) werden in der Autorenumgebung nicht benötigt.

Die meisten in der Autorenumgebung erstellten Benutzerdaten sind auf einen Verbleib in der Autorenumgebung ausgelegt und werden nicht in Veröffentlichungsinstanzen kopiert.

Registrierungs- und Änderungsvorgänge in einer Veröffentlichungsinstanz müssen mit anderen Veröffentlichungsinstanzen synchronisiert werden, damit sie Zugriff auf dieselben Benutzerdaten haben.

Ab AEM 6.1 werden Benutzerdaten bei aktivierter Benutzersynchronisierung automatisch über alle Veröffentlichungsinstanzen in der Farm hinweg synchronisiert und nicht in Autoreninstanzen erstellt.

Sling Distribution

Die Benutzerdaten werden zusammen mit den ACLs im Oak Core, der Ebene unter Oak JCR gespeichert und über die Oak API aufgerufen. Bei seltenen Aktualisierungen ist es sinnvoll, Benutzerdaten mit anderen Instanzen im Veröffentlichungsmodus unter Verwendung von Sling Content Distribution (Sling-Distribution) zu synchronisieren.

Die Vorteile der Benutzersynchronisierung mit der Sling-Distribution im Vergleich zur herkömmlichen Replikation sind:

• In Veröffentlichungsinstanzen erstellte Benutzer, Benutzerprofile und Benutzergruppen werden nicht in Autoreninstanzen erstellt.

• Sling Distribution legt Eigenschaften in jcr-Ereignissen fest, sodass innerhalb veröffentlichungsseitiger Event-Listener agiert werden kann, ohne unendliche Replikationsschleifen berücksichtigen zu müssen.

• Sling Distribution sendet Benutzerdaten ausschließlich an nicht ursprüngliche Veröffentlichungsinstanzen, wodurch unnötiger Traffic beseitigt wird.

• ACLsset im Knoten user sind in der Synchronisierung enthalten

Aktivieren der Benutzersynchronisierung

Die Benutzersynchronisierung ist davon abhängig, dass die Autorenumgebung die Verteilung der Benutzerdaten verwaltet, auch wenn die Benutzerdaten nicht in der Autoreninstanz erstellt werden. Viele, aber nicht alle der Konfigurationen finden in der Autorenkonfiguration statt und jeder Schritt gibt klar an, ob sie beim Autor oder beim Veröffentlichen durchgeführt werden soll.

Im Folgenden finden Sie eine Beschreibung der Schritte, die zum Aktivieren der Benutzersynchronisierung erforderlich sind, gefolgt von einem Abschnitt zur Fehlerbehebung:

Voraussetzungen

1. Wenn Benutzer und Benutzergruppen bereits auf einem Herausgeber erstellt wurden, wird empfohlen, die Benutzerdaten vor der Konfiguration und Aktivierung der Benutzersynchronisierung manuell zu synchronisieren.

   Sobald die Benutzersynchronisierung aktiviert wurde, werden nur neu erstellte Benutzer und Gruppen synchronisiert.

2. Stellen Sie sicher, dass der neueste Code installiert wurde:

• AEM-Plattformupdates
• AEM Communities-Updates

1. Apache Sling Distribution Agent – Sync Agents Factory

Aktivieren der Benutzersynchronisierung

• In der Autoreninstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4502/system/console/configMgr

  • Apache Sling Distribution Agent - Sync Agents Factory

    • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

      Überprüfen name: socialpubsync

    • Kontrollkästchen Enabled auswählen

    • auswählen Save

2. Erstellen autorisierter Benutzer

Konfigurieren von Berechtigungen Dieser autorisierte Benutzer wird in Schritt 3 zum Konfigurieren einer Sling Distribution in Autoreninstanzen verwendet.

• In jeder Veröffentlichungsinstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Sicherheitskonsole auf.

    • Beispiel: http://localhost:4503/useradmin

  • Erstellen Sie einen neuen Benutzer.

    • zum Beispiel usersync-admin

  • diesen Benutzer zur Benutzergruppe administrators hinzufügen

  • ACL für diesen Benutzer zu /home hinzufügen

    • Allow jcr:all mit Einschränkungen rep:glob=*/activities/*

Hinzufügen von ACLs

• Rufen Sie CRXDE Lite auf.

  • Beispiel: http://localhost:4503/crx/de

• select /home-Knoten

• im rechten Bereich die Registerkarte Access Control

• Klicken Sie auf die Schaltfläche +, um einen ACL-Eintrag hinzuzufügen.

  • Prinzipal: nach dem für die Benutzersynchronisierung erstellten Benutzer suchen
  • Typ: Allow
  • Berechtigungen: jcr:all
  • ​​EinschränkungenRep:glob: */activities/*
  • Wählen Sie OK aus.

• Wählen Sie Alle speichern aus.

Siehe auch

• Verwalten von Zugriffsrechten
• Fehlerbehebung im Abschnitt Vorgangsausnahme während der Antwortverarbeitung ändern.

3. Adobe Granite Distribution – Encrypted Password Transport Secret Provider

Konfigurieren von Berechtigungen

Nachdem ein autorisierter Benutzer, ein Mitglied der administrators​Benutzergruppe, in allen Veröffentlichungsinstanzen erstellt wurde, muss dieser autorisierte Benutzer beim Autor als mit der Berechtigung zur Synchronisierung der Benutzerdaten vom Autor zur Veröffentlichung identifizierbar sein.

• In der Autoreninstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4502/system/console/configMgr

  • Adobe Granite Distribution - Encrypted Password Transport Secret Provider

  • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

    Überprüfen property name : socialpubsync-publishUser

  • Legen Sie den Benutzernamen und das Kennwort für den in der Veröffentlichungsinstanz in Schritt 2 erstellten autorisierten Benutzer fest.

    • zum Beispiel usersync-admin

4. Apache Sling Distribution Agent – Queue Agents Factory

Aktivieren der Benutzersynchronisierung

• In der Veröffentlichungsinstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4503/system/console/configMgr

  • Apache Sling Distribution Agent - Queue Agents Factory

    • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

      Überprüfen Name : socialpubsync-reverse

    • Kontrollkästchen Enabled auswählen

    • auswählen Save

  • Wiederholen Sie den Vorgang für jede Veröffentlichungsinstanz.

5. Adobe Granite Distribution – Diff Observer Factory

Aktivieren der Gruppensynchronisierung

• In jeder Veröffentlichungsinstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4503/system/console/configMgr

  • Adobe Granite Distribution - Diff Observer Factory

    • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

      Überprüfen agent name : socialpubsync-reverse

    • Kontrollkästchen Enabled auswählen

    • auswählen Save

6. Apache Sling Distribution Trigger – Scheduled Triggers Factory

(Optional) Bearbeiten des Abrufintervalls

Standardmäßig ruft der Autor Änderungen alle 30 Sekunden ab. So ändern Sie dieses Intervall:

• In der Autoreninstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4502/system/console/configMgr

  • Apache Sling Distribution Trigger - Scheduled Triggers Factory

    • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

      • Überprüfen Name : socialpubsync-scheduled-trigger

    • setzen Sie Interval in Seconds auf das gewünschte Intervall

    • auswählen Save

Konfigurieren für mehrere Veröffentlichungsinstanzen

Die Standardkonfiguration ist für eine einzelne Veröffentlichungsinstanz vorgesehen. Da durch die Benutzersynchronisierung mehrere Veröffentlichungsinstanzen, etwa für eine Veröffentlichungsfarm, synchronisiert werden sollen, müssen die zusätzlichen Veröffentlichungsinstanzen der Synchronisierungsagenten-Factory hinzugefügt werden.

7. Apache Sling Distribution Agent – Sync Agents Factory

Hinzufügen von Veröffentlichungsinstanzen:

• In der Autoreninstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4502/system/console/configMgr

  • Apache Sling Distribution Agent - Sync Agents Factory

    • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

      Überprüfen Name : socialpubsync

• Exporter Endpoints Es sollte für jeden Herausgeber einen Exporter-Endpunkt geben. Beispielsweise sollten bei 2 Herausgebern, localhost:4503 und 4504, 2 Einträge vorhanden sein:

  • http://localhost:4503/libs/sling/distribution/services/exporters/socialpubsync-reverse
  • http://localhost:4504/libs/sling/distribution/services/exporters/socialpubsync-reverse

• Importer-
  EndpunkteEs sollte einen Importeur-Endpunkt für jeden Herausgeber geben. Beispielsweise sollten bei 2 Herausgebern, localhost:4503 und 4504, 2 Einträge vorhanden sein:

  • http://localhost:4503/libs/sling/distribution/services/importers/socialpubsync
  • http://localhost:4504/libs/sling/distribution/services/importers/socialpubsync

• auswählen Save

8. AEM Communities User Sync Listener

(Optional) Synchronisieren zusätzlicher JCR-Knoten

Wenn benutzerdefinierte Daten vorliegen, die über mehrere Veröffentlichungsinstanzen hinweg synchronisiert werden sollen, gehen Sie wie folgt vor:

• In jeder Veröffentlichungsinstanz:

  • Melden Sie sich mit Administratorrechten an.

  • Rufen Sie die Web-Konsole auf.

    • Beispiel: http://localhost:4503/system/console/configMgr

  • AEM Communities User Sync Listener

  • Wählen Sie die vorhandene Konfiguration aus, um sie zur Bearbeitung zu öffnen (Bleistiftsymbol).

    Überprüfen Name: socialpubsync-scheduled-trigger

• Knotentypen

  Dies ist die Liste der Knotentypen, die synchronisiert werden. Mit Ausnahme von „sling:Folder“ müssen hier alle Knotentypen aufgeführt werden („sling:Folder“ wird separat abgewickelt).

  Standardliste zu synchronisierender Knotentypen:

  • rep:User
  • nt:unstructured
  • nt:resource

• Ignorierbare Eigenschaften

  Hierbei handelt es sich um die Liste der Eigenschaften, die beim Erkennen von Änderungen ignoriert werden. Änderungen an diesen Eigenschaften werden möglicherweise im Zuge anderer Änderungen synchronisiert (da die Synchronisierung immer auf Knotenebene erfolgt), aber Änderungen an diesen Eigenschaften werden nicht von selbst durch eine Synchronisierung ausgelöst.

  Zu ignorierende Standardeigenschaft:

  • cq:lastModified

• Ignorierbare Knoten

  Unterpfade, die während der Synchronisierung vollständig ignoriert werden. Elemente in diesen Unterpfaden werden nie synchronisiert.

  Zu ignorierende Standardknoten:

  • .tokens
  • system

• Verteilte Ordner

  Am meisten sling:Folder werden ignoriert, da keine Synchronisierung erforderlich ist. Die wenigen Ausnahmen finden Sie hier aufgeführt.

  Zu synchronisierende Standardordner

  • segments/scoring
  • social/relationships
  • activities

9. Eindeutige Sling-ID

Wenn die Sling-ID für mehrere Veröffentlichungsinstanzen in einer Veröffentlichungsfarm identisch ist, werden Benutzergruppen nicht synchronisiert.

Um zu überprüfen, ob alle Sling-ID-Werte unterschiedlich sind, gehen Sie in jeder Veröffentlichungsinstanz wie folgt vor:

1. zu http://<host>:<port>/system/console/status-slingsettings navigieren
2. Überprüfen Sie den Wert unter Sling ID.

Wenn die Sling-ID einer Veröffentlichungsinstanz der Sling-ID einer anderen Veröffentlichungsinstanz entspricht, gehen Sie wie folgt vor:

1. Halten Sie eine der Veröffentlichungsinstanzen mit übereinstimmender Sling-ID an.

2. Gehen Sie wie folgt im Verzeichnis „crx-quickstart/launchpad/felix“ vor:

   • Suchen und löschen Sie die Datei sling.id.file.

     • zum Beispiel auf einem Linux-System:

       rm -i $(find . -type f -name sling.id.file)

     • z. B. auf einem Windows-System:

       use windows explorer and search for *sling.id.file*

3. beginn der Veröffentlichungsinstanz

   • Beim Start wird der Instanz eine neue Sling-ID zugewiesen.

4. Vergewissern Sie sich, dass die Sling-ID nun eindeutig ist.

Wiederholen Sie diese Schritte, bis alle Veröffentlichungsinstanzen über eine eindeutige Sling-ID verfügen.

Vault Package Builder Factory

Damit Updates ordnungsgemäß synchronisiert werden, muss der Vault-Paket-Builder zur Benutzersynchronisierung geändert werden:

• In jeder AEM-Veröffentlichungsinstanz:

• Rufen Sie die Web-Konsole auf.

  • Beispiel: http://localhost:4503/system/console/configMgr

• Apache Sling Distribution Packaging - Vault Package Builder Factor

  • Builder name: socialpubsync-vlt

• Wählen Sie das Bearbeitungssymbol aus.

• zwei Package Filters hinzufügen:

  • /home/users|-.*/.tokens
  • /home/users|-.*/rep:cache

• Richtlinienhandhabung:

  • Zum Überschreiben der vorhandenen Knoten „rep:policy“ mit neuen fügen Sie einen dritten Paketfilter hinzu:

    • /home/users|+.*/rep:policy

  • Um eine Richtlinienverteilung zu verhindern, stellen Sie Folgendes ein:

    • Acl Handling : IGNORE

Was passiert, wenn …

Selbstregistrierung oder Profilbearbeitung der Benutzer in der Veröffentlichungsumgebung

Per Design werden in der Veröffentlichungsumgebung erstellte Benutzer und Profile (Selbstregistrierung) nicht in der Autorenumgebung angezeigt.

Wenn die Topologie eine Veröffentlichungsfarm ist und die Benutzersynchronisierung korrekt konfiguriert wurde, wird das *user *und user-Profil mithilfe der Sling-Distribution über die Veröffentlichungsfarm hinweg synchronisiert.

Erstellung von Benutzern oder Benutzergruppen über die Sicherheitskonsole

Per Design werden die in der Veröffentlichungsumgebung erstellten Benutzerdaten nicht in der Autorenumgebung angezeigt (und umgekehrt).

Wenn in der Veröffentlichungsumgebung neue Benutzer über die Konsole Benutzerverwaltung und Sicherheit hinzugefügt werden, werden die neuen Benutzer und ihre Gruppenmitgliedschaft im Rahmen der Benutzersynchronisierung ggf. mit anderen Veröffentlichungsinstanzen synchronisiert. Bei der Benutzersynchronisierung werden auch die über die Sicherheitskonsole erstellten Benutzergruppen synchronisiert.

Fehlerbehebung

Offlineschalten der Benutzersynchronisierung

Zum Offlineschalten der Benutzersynchronisierung zwecks Entfernung eines Herausgebers oder manueller Datensynchronisierung muss die Verteilungswarteschlange leer und störungsfrei sein.

So prüfen Sie den Status der Verteilungswarteschlange:

• In der Autoreninstanz:

  • CRXDE Lite

    • nach Einträgen in /var/sling/distribution/packages suchen

      • die nach dem Muster distrpackage_* _* benannt sind.

  • Rufen Sie Package Manager auf.

    • Suchen Sie nach ausstehenden (noch nicht installierten) Paketen,

      • mit dem Muster socialpubsync-vlt* benannt
      • erstellt von communities-user-admin

Wenn die Verteilungswarteschlange leer ist, deaktivieren Sie die Benutzersynchronisierung:

• In der Autoreninstanz:

  • *deaktivieren Sie *das Kontrollkästchen Enabled für Apache Sling Distribution Agent - Sync Agents Factory

Um die Benutzersynchronisierung nach Durchführung der Aufgaben erneut zu aktivieren, gehen Sie wie folgt vor:

• In der Autoreninstanz:

  • Markieren Sie das Kontrollkästchen Enabled für Apache Sling Distribution Agent - Sync Agents Factory

Diagnose für Benutzersynchronisierung

Die Diagnose für Benutzersynchronisierung ist ein Tool zur Überprüfung von Konfigurationen und zur Identifizierung etwaiger Probleme.

Navigieren Sie im Autorenmodus einfach von der Hauptkonsole zu den Tools, Vorgängen, Diagnose, Diagnose und Diagnose.​

Die Ergebnisse werden einfach durch Aufrufen der Konsole „Diagnose für Benutzersynchronisierung“ angezeigt.

Folgendes wird angezeigt, wenn die Benutzersynchronisierung nicht aktiviert wurde:

Ausführen der Diagnose für Herausgeber

Wenn die Diagnose von der Authoring-Umgebung aus ausgeführt wird, enthalten die Ergebnisse für "bestanden/fehlgeschlagen"einen Abschnitt [INFO], in dem die Liste der konfigurierten Veröffentlichungsinstanzen zur Bestätigung angezeigt wird.

In der Liste enthalten ist eine URL für jede Veröffentlichungsinstanz, die die Diagnose für diese Instanz ausführt. Der URL-Parameter syncUser wird an die Diagnose-URL angehängt, wobei der Wert auf autorisierter Synchronisierungsbenutzer eingestellt ist, der in Schritt 2 erstellt wurde.

Hinweis: Bevor Sie die URL aufrufen, muss der autorisierte Synchronisierungsbenutzer bereits bei dieser Veröffentlichungsinstanz angemeldet sein.

Falsch hinzugefügte Konfiguration

Wenn ein Fehler bei der Benutzersynchronisierung auftritt, ist dies im Allgemeinen darauf zurückzuführen, dass zusätzliche Konfigurationen hinzugefügt wurden. Stattdessen hätte die *vorhandene *Standardkonfiguration bearbeitet werden sollen.

Im Folgende sehen Sie, wie die bearbeiteten Standardkonfigurationen in der Web-Konsole angezeigt werden sollten. Bei mehr als der einen Instanz sollte die hinzugefügte Konfiguration entfernt werden.

(Autor) Eine Konfiguration „Apache Sling Distribution Agent – Sync Agents Factory“

(Autor) Eine Konfiguration „Adobe Granite Distribution – Encrypted Password Transport Secret Provider“

(Veröffentlichung) Eine Konfiguration „Apache Sling Distribution Agent – Queue Agents Factory“

(Veröffentlichung) Eine Konfiguration „Adobe Granite Distribution – Diff Observer Factory“

(Autor) Eine Konfiguration „Apache Sling Distribution Trigger – Scheduled Triggers Factory“

Ausnahme bei Änderungsvorgang während Antwortverarbeitung

Wenn Folgendes im Protokoll steht:

org.apache.sling.servlets.post.impl.operations.ModifyOperation Exception during response processing.

java.lang.IllegalStateException: This tree does not exist

Überprüfen Sie dann, ob der Abschnitt 2. Autorisierter Benutzer erstellen wurde ordnungsgemäß befolgt.

Dieser Abschnitt beschreibt, wie ein autorisierter Benutzer erstellt wird, wer in allen Veröffentlichungsinstanzen existiert und wie diese Benutzer in der OSGi-Konfiguration „Secret Provider“ der Autoreninstanz identifiziert werden. Standardmäßig ist der Benutzer admin.

Der autorisierte Benutzer sollte als Mitglied der Benutzergruppe administrators aufgenommen werden. Außerdem sollten die Berechtigungen für diese Gruppe nicht geändert werden.

Für den autorisierten Benutzer sollten explizit die folgenden Rechte und Einschränkungen für alle Veröffentlichungsinstanzen gelten:

Pfad	jcr:all	rep:glob
/home	X	*/Aktivitäten/*
/home/users	X	*/Aktivitäten/*
/home/groups	X	*/Aktivitäten/*

Als Mitglied der Gruppe administrators sollte der autorisierte Benutzer in allen Veröffentlichungsinstanzen über die folgenden Berechtigungen verfügen:

Pfad	jcr:all	jcr:read	rep:write
/etc/packages/sling/distribution			X
/libs/sling/distribution		X
/var			X
/var/eventing		X	X
/var/sling/distribution		X	X

Fehlgeschlagene Benutzergruppensynchronisierung

Wenn die Sling-ID zwischen zwei oder mehr Veröffentlichungsinstanzen übereinstimmt, schlägt die Benutzergruppesynchronisierung fehl.

Siehe Abschnitt 9. Eindeutige Sling-ID

Manuelles Synchronisieren von Benutzern und Benutzergruppen

• Bei Herausgebern mit Benutzern und Benutzergruppen:

  • Deaktivieren Sie ggf. die Benutzersynchronisierung.

  • Erstellen eines Pakets aus /home

    • Beim Bearbeiten des Pakets

      • Registerkarte "Filter": hinzufügen Filter: Stammpfad: /home
      • Registerkarte Erweitert: AC-Handhabung: Overwrite

  • Exportieren Sie das Paket.

• Bei anderen Veröffentlichungsinstanzen:

  • Importieren Sie das Paket.

Gehen Sie zum Konfigurieren oder Aktivieren der Benutzersynchronisierung zu Schritt 1: Apache Sling Distribution Agent - Sync Agents Factory

Nichtverfügbarkeit von Herausgebern

Wenn eine Veröffentlichungsinstanz nicht mehr verfügbar ist, sollte sie nicht entfernt werden, sofern sie zukünftig wieder online geschaltet wird. Änderungen für den Herausgeber werden in die Warteschlange gestellt und sobald dieser wieder online ist, werden die Änderungen verarbeitet.

Wenn die Instanz im Veröffentlichungsmodus nie wieder online ist, wenn sie dauerhaft offline ist, muss sie entfernt werden, da die Warteschlangenaufbauung zu einer merklichen Speichernutzung in der Autorendatei führt.

Wenn ein Herausgeber nicht mehr verfügbar ist, finden Sie im Autorprotokoll Ausnahmen wie die folgende:

28.01.2016 15:57:48.475 ERROR
 [pool-12-thread-34-org_apache_sling_distribution_queue_socialpubsync_endpoint1
 (org/apache/sling/distribution/queue/socialpubsync/endpoint1)]
 org.apache.sling.distribution.agent.impl.SimpleDistributionAgent [agent][socialpubsync] could not deliver package distrpackage_1454014575838_a2b45ec8-0400-42f3-bed8-ae09b66381cb
 org.apache.sling.distribution.packaging.DistributionPackageImportException: failed in importing package ...

Entfernen von Herausgebern

Um einen Herausgeber aus Apache Sling Distribution Agent – Sync Agents Factory zu entfernen, muss die Verteilungswarteschlange leer und störungsfrei sein.

• In der Autoreninstanz:

  • Schalten Sie die Benutzersynchronisierung offline.

  • Folgen Sie Schritt 7, um den Herausgeber aus beiden Serverlisten zu entfernen:

    • Exporter Endpoints
    • Importer Endpoints

  • Erneutes Aktivieren der Benutzersynchronisierung

    • Markieren Sie das Kontrollkästchen Enabled für Apache Sling Distribution Agent - Sync Agents Factory