คำถามที่พบบ่อยเกี่ยวกับ GCDS

ฉันจะให้สิทธิ์ GCDS ในเครื่องที่ไม่มี GUI ได้อย่างไร

1. ตรวจสอบว่าคุณเรียกใช้ GCDS เวอร์ชัน 4.7.14 ขึ้นไป

   โปรดดูรายละเอียดที่หัวข้ออัปเดต GCDS

2. ให้สิทธิ์ GCDS ในคอมพิวเตอร์ที่มี GUI

   โปรดดูรายละเอียดที่หัวข้อให้สิทธิ์บัญชี Google ของคุณ

3. สร้างและบันทึกไฟล์ XML 
4. ในคอมพิวเตอร์เดียวกัน ให้ใช้บรรทัดคำสั่งเพื่อเรียกใช้เครื่องมือการกำหนดค่าการอัปเกรดโดยใช้พารามิเตอร์ -exportkeys

   ตัวอย่าง: upgrade-config -exportkeys ไฟล์คีย์การเข้ารหัส [รหัสผ่าน]

   ในตัวอย่างนี้ ระบบจะส่งออกคีย์เป็นไฟล์ชื่อไฟล์คีย์การเข้ารหัส โดยที่คุณจะใช้รหัสผ่านหรือไม่ก็ได้

5. คัดลอกไฟล์คีย์การเข้ารหัสและไฟล์การกำหนดค่าไปยังคอมพิวเตอร์ที่ไม่มี GUI
6. ในคอมพิวเตอร์ที่ไม่มี GUI ให้ใช้บรรทัดคำสั่งเพื่อเรียกใช้เครื่องมือการกำหนดค่าการอัปเกรดโดยใช้พารามิเตอร์ -importkeys

   ตัวอย่าง: upgrade-config -importkeys ชื่อไฟล์

   สําคัญ: พารามิเตอร์ -importkeys จะนําการกําหนดค่า GCDS ที่ได้รับอนุญาตที่อาจมีอยู่ในคอมพิวเตอร์ออก 

7. หากจำเป็น ให้ป้อนรหัสผ่านที่คุณตั้งไว้ในขั้นตอนที่ 4

   คุณควรได้รับการยืนยันว่านำเข้าคีย์เรียบร้อยแล้ว

เคล็ดลับ: หากต้องการดูตัวเลือกเพิ่มเติม ให้ป้อนคำสั่ง upgrade-config -help จากบรรทัดคำสั่ง

ฉันจะย้าย GCDS ไปยังเซิร์ฟเวอร์อื่นได้อย่างไร

1. หากคุณมีการเปลี่ยนแปลงอีเมลผู้ใช้ที่รอดำเนินการ (การเปลี่ยนชื่อผู้ใช้) หรือไม่แน่ใจว่ามีหรือไม่ ให้เลือกตัวเลือกดังต่อไปนี้
   • เรียกใช้การซิงค์ข้อมูลในเซิร์ฟเวอร์เก่า
   • คัดลอกไฟล์ค่าที่คั่นด้วยแท็บ (TSV) ไปยังเซิร์ฟเวอร์ใหม่

     คุณจะหาชื่อและตำแหน่งของไฟล์ TSV ได้ในไฟล์การกำหนดค่าโดยการค้นหา .tsv

   • ติดตั้ง GCDS ในเซิร์ฟเวอร์ใหม่ โปรดดูวิธีการที่หัวข้อดาวน์โหลดและติดตั้ง GCDS
2. คัดลอกไฟล์การกำหนดค่าไปยังเซิร์ฟเวอร์ใหม่
3. เปิดไฟล์การกำหนดค่าในเครื่องมือจัดการการกำหนดค่าในเซิร์ฟเวอร์ใหม่
4. ให้สิทธิ์ GCDS สำหรับบัญชี Google ของคุณอีกครั้ง โปรดดูวิธีการที่หัวข้อให้สิทธิ์บัญชี Google ของคุณ
5. อัปเดตรหัสผ่าน LDAP ในหน้าการกำหนดค่า LDAP โปรดดูวิธีการที่หัวข้อการตั้งค่าการเชื่อมต่อ LDAP
6. อัปเดตรหัสผ่าน SMTP ในหน้าการแจ้งเตือน โปรดดูวิธีการที่หัวข้อแอตทริบิวต์การแจ้งเตือน
7. เรียกใช้การซิงค์จำลอง
8. ตรวจสอบการซิงค์เพื่อให้แน่ใจว่าไม่มีการเปลี่ยนแปลงที่ไม่คาดคิด
9. เรียกใช้การซิงค์แบบเต็ม

   หลังจากการซิงค์ ระบบจะอัปเดตไฟล์ TSV จากเซิร์ฟเวอร์เก่า หากคุณไม่ได้โอนไฟล์ TSV ระบบจะสร้างไฟล์ใหม่

ฉันควรทำอย่างไรหากมีปัญหาเกี่ยวกับใบรับรอง

หากคุณมีปัญหาเกี่ยวกับใบรับรองเมื่อเรียกใช้ GCDS โปรดไปที่หัวข้อแก้ปัญหาเกี่ยวกับใบรับรอง

GCDS ใช้ API ใด

GCDS ใช้ Google Workspace API เพื่อซิงค์ข้อมูลไดเรกทอรีกับบัญชี Google API ใช้ OAuth ในการตรวจสอบสิทธิ์ ไม่ใช่รหัสผ่านของผู้ดูแลระบบ วิธีนี้จะทำให้ฟีเจอร์ต่างๆ เช่น การยืนยันแบบ 2 ขั้นตอน (2SV) ทำงานได้ต่อไปโดยไม่ส่งผลกระทบต่อฟังก์ชันของ GCDS

GCDS ใช้ API ต่อไปนี้

• Directory API
• Cloud Identity API
• Groups Settings API
• Enterprise License Manager API
• Domain Shared Contacts API

ทำไมฉันจึงไม่เห็นการเปลี่ยนแปลงที่คาดไว้ในบัญชี Google ของฉัน

ระบบอาจใช้เวลาดำเนินการถึง 8 วันก่อนที่คุณจะเห็นการเปลี่ยนแปลงในบัญชี Google หากต้องการทราบเหตุผล คุณต้องเข้าใจวิธีแคชข้อมูลที่ GCDS ใช้ก่อน

GCDS จะเก็บแคชของข้อมูลสำหรับบัญชี Google ไว้นานสูงสุด 8 วัน แต่จะล้างแคชบ่อยกว่านี้ได้ โดยขึ้นอยู่กับขนาดข้อมูลที่แคชไว้ แต่หากไม่มีการล้างแคช ระบบอาจใช้เวลาดำเนินการถึง 8 วันกว่าคุณจะเห็นการเปลี่ยนแปลงที่ทำในบัญชี Google โดยตรง (โดยใช้คอนโซลผู้ดูแลระบบหรือไคลเอ็นต์ API อื่น)

หลังจากล้างแคชแล้ว GCDS จะระบุการเปลี่ยนแปลงในบัญชี Google และเปรียบเทียบกับข้อมูลต้นฉบับในไดเรกทอรี LDAP หากข้อมูลไม่ตรงกัน GCDS จะยกเลิกการเปลี่ยนแปลงที่ทำในบัญชี Google

วิธีล้างแคชด้วยตัวเอง

• ซิงค์จากเครื่องมือจัดการการกำหนดค่า แล้วเลือกล้างแคชเมื่อซิงค์
• ใช้ Flag บรรทัดคำสั่ง -f เพื่อบังคับให้ล้างแคช
• แก้ไขไฟล์การกำหนดค่า XML เพื่อตั้ง maxCacheLifetime เป็น 0

ข้อมูลสำคัญ: การล้างแคชอาจทำให้การซิงค์ใช้เวลานานขึ้นอย่างมาก

GCDS เข้าถึงข้อมูลโปรไฟล์ผู้ใช้ในบัญชี Google ของฉันอย่างไร

ระบบจะบันทึกโปรไฟล์ผู้ใช้ ซึ่งรวมถึงแอตทริบิวต์เพิ่มเติมของผู้ใช้ไว้ในบัญชีผู้ใช้ Google ซึ่งดูได้ในไดเรกทอรีของบัญชี โดย GCDS จะเข้าถึงไดเรกทอรีนี้จาก Google Contacts โปรดดูรายละเอียดที่หัวข้อภาพรวม: ตั้งค่าและจัดการไดเรกทอรี

GCDS มีหลักเกณฑ์อย่างไรในการเลือกที่อยู่อีเมลนามแฝงเพื่อเพิ่มลงในบัญชี Google

คุณสามารถระบุแอตทริบิวต์ที่ต้องการให้ GCDS ประเมินได้ในการกำหนดค่า GCDS ซึ่ง GCDS จะประเมินข้อมูลที่เก็บไว้ในแอตทริบิวต์ก็ต่อเมื่อตรงกับที่อยู่ SMTP ที่ถูกต้องเท่านั้น

เมื่อใช้ proxyAddresses ของ Microsoft Active Directory ระบบของ GCDS จะตัดส่วนนำหน้า smtp: ออกขณะซิงค์ เพื่อไม่ให้ส่วนนำหน้านี้ปรากฏในโดเมน Google 

ฉันจะซิงค์กับบัญชี Google มากกว่า 1 บัญชีพร้อมกันได้ไหม

ได้ คุณใช้ GCDS เพื่อซิงค์จากไดเรกทอรี LDAP หนึ่งไปยังบัญชี Google หลายบัญชีได้ โดยใช้ไฟล์การกำหนดค่ามากกว่า 1 ไฟล์ หากทำการซิงค์หลายรายการพร้อมกัน ให้ตรวจสอบว่าระบบได้บันทึกไฟล์การกำหนดค่าด้วยชื่อที่ไม่ซ้ำกัน

หากต้องการโคลนไฟล์การกำหนดค่าที่มีอยู่ ให้ใช้ตัวเลือกบันทึกเป็นในเครื่องมือจัดการการกำหนดค่า และบันทึกไฟล์ในชื่อใหม่

GCDS แก้ไขบัญชีที่ทับซ้อนกันอย่างไร

GCDS จะดำเนินการตามการตั้งค่าการจัดการบัญชีที่ทับซ้อนกันที่คุณตั้งค่าไว้ในคอนโซลผู้ดูแลระบบของ Google โปรดดูรายละเอียดที่หัวข้อจัดการบัญชีที่ทับซ้อนกันด้วย GCDS

วิธีที่ GCDS จัดการกับบัญชีที่ทับซ้อนกันจะขึ้นอยู่กับว่าการทับซ้อนนั้นเกิดขึ้นกับบัญชีส่วนตัวที่ไม่มีการจัดการ บัญชีงานที่ไม่มีการจัดการ หรือผู้ใช้ที่มีอยู่ในองค์กร โปรดดูรายละเอียดเกี่ยวกับวิธีประมวลผลและแก้ไขข้อขัดแย้งที่หัวข้อจัดการบัญชีที่ทับซ้อนกันด้วย GCDS และแก้ไขข้อผิดพลาดของบัญชีที่ซ้ำกัน

ฉันจะกำหนดค่า GCDS เพื่อจัดสรรเฉพาะผู้ใช้บางส่วนได้อย่างไร 

หากต้องการซิงค์ผู้ใช้บางส่วนกับบัญชี Google คุณจะใช้กลุ่ม Active Directory หรือไดเรกทอรี LDAP เดียวเป็นแหล่งที่มาได้ โดยการใช้กลุ่มจะจำกัดจำนวนผู้ใช้ที่ได้รับการจัดสรรในบัญชี Google

ตัวอย่าง

การค้นหาผู้ใช้
(&(memberof=cn=appsUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

คำค้นหานี้จะแสดงผู้ใช้ทุกคนที่เป็นสมาชิกกลุ่มที่ระบุโดย DN ของกลุ่ม รวมไปถึงผู้ใช้ที่มีอีเมลและยังเปิดใช้บัญชีอยู่

ฉันจะยกเว้นหน่วยขององค์กรในบัญชี Google จากการซิงค์ได้อย่างไร

คุณจะกำหนดค่า GCDS ให้ยกเว้นหน่วยขององค์กรที่ตั้งค่าในบัญชี Google ได้โดยการกำหนดกฎการยกเว้นเส้นทางแบบเต็มขององค์กรในการกำหนดค่าโดเมน Google

ตัวอย่าง

กฎการยกเว้น
ประเภท: เส้นทางแบบเต็มขององค์กร
ประเภทการทำงานของคีย์เวิร์ด: การทำงานแบบตรงทั้งหมด
กฎ: /OUPath/MyExcludedOU

ฉันจะซิงค์ผู้ใช้กับโดเมนรองได้ไหม

หากคุณเพิ่มโดเมน (รอง) เพิ่มเติม คุณก็ใช้ GCDS เพื่อซิงค์ผู้ใช้กับโดเมนนั้นได้ หากต้องการซิงค์ผู้ใช้กับโดเมนรอง ให้ตรวจสอบว่าอีเมลของผู้ใช้ในเซิร์ฟเวอร์ LDAP ตรงกับชื่อโดเมนรอง GCDS จะสร้างผู้ใช้ในบัญชี Google โดยใช้โดเมนรองเป็นอีเมลหลัก

หากไม่ต้องการเปลี่ยนแปลงแอตทริบิวต์อีเมล LDAP ที่มีอยู่ ให้กำหนดแอตทริบิวต์อื่นเพื่อซิงค์อีเมลของผู้ใช้โดเมนรอง โปรดดูรายละเอียดเกี่ยวกับโดเมนรองในหัวข้อเพิ่มโดเมนชื่อแทนผู้ใช้หรือโดเมนรอง

GCDS จัดการกับการทับซ้อนกันระหว่างอีเมลหลักและอีเมลแทนอย่างไร

ฉันใช้ไวลด์การ์ดกับคำค้นหาผู้ใช้ LDAP ได้ไหม

ได้ ตราบเท่าที่เซิร์ฟเวอร์ LDAP รองรับไวลด์การ์ด

ไดเรกทอรี LDAP ไม่รองรับไวลด์การ์ดในแอตทริบิวต์ Distinguished Name (DN) ขณะดำเนินการค้นหาผู้ใช้ เช่น คุณใช้ (mail=user*) ได้ แต่ใช้ (distinguishedName=*,DC=domain,DC=com) ไม่ได้

ฉันจะใช้การค้นหาแบบเรียกซ้ำ memberOf สำหรับคำค้นหาผู้ใช้ได้ไหม

ได้ หากคุณใช้เซิร์ฟเวอร์ LDAP ที่รองรับการค้นหา memberOf แบบเรียกซ้ำ โดย Active Directory จะรองรับการค้นหาดังกล่าว แต่ OpenLDAP จะไม่รองรับ

ทำไมบัญชีผู้ใช้ Google Workspace ของฉันถูกระงับหลังจากที่เรียกใช้ GCDS

หากบัญชีผู้ใช้ Google Workspace ถูกระงับหลังจากเรียกใช้ GCDS คุณจะได้รับการแจ้งข้อผิดพลาดที่อธิบายสาเหตุที่บัญชีถูกระงับ หากต้องการหลีกเลี่ยงไม่ให้เกิดข้อผิดพลาดซ้ำในการซิงค์ครั้งถัดไป คุณสามารถใช้วิธีแก้ปัญหาวิธีใดวิธีหนึ่งต่อไปนี้ โดยขึ้นอยู่กับสาเหตุของปัญหา

• ปัญหา: ผู้ใช้ไม่อยู่ในเซิร์ฟเวอร์ LDAP

  วิธีแก้: เนื่องจากผู้ใช้ไม่อยู่ในเซิร์ฟเวอร์ LDAP ลูกค้าจึงควรตั้งกฎการยกเว้นผู้ใช้ Google เพื่อป้องกันไม่ให้ GCDS ระงับผู้ใช้รายนี้ใน Google Workspace

• ปัญหา: ผู้ใช้ไม่มีอีเมลที่ถูกต้องในเซิร์ฟเวอร์ LDAP

  วิธีแก้ปัญหา: คุณควรกำหนดค่าอีเมลสำหรับผู้ใช้รายนี้ หรือตั้งกฎการยกเว้นผู้ใช้ Google เพื่อป้องกันไม่ให้ GCDS ระงับผู้ใช้ใน Google Workspace

  คุณยังสามารถเปลี่ยนการกำหนดค่า GCDS เพื่อให้ใช้แอตทริบิวต์อีเมลของผู้ใช้ที่อยู่ในเซิร์ฟเวอร์ LDAP ได้อีกด้วย เช่น ใช้แอตทริบิวต์ userPrincipalName (UPN) แทนแอตทริบิวต์ mail

• ปัญหา: กฎการยกเว้นไม่สนใจผู้ใช้ในเซิร์ฟเวอร์ LDAP

  วิธีแก้: คุณควรแก้ไขกฎการยกเว้น หากไม่ต้องการระงับผู้ใช้ดังกล่าว

• ปัญหา: ระบบพบและระงับผู้ใช้ในกฎการค้นหา เนื่องจากมีการเลือกตัวเลือกระงับผู้ใช้เหล่านี้ในโดเมน Google

  วิธีแก้: ผู้ใช้รายนี้อาจต้องถูกระงับ

• ปัญหา: ผู้ใช้ถูกระงับในเซิร์ฟเวอร์ LDAP

  วิธีแก้: ผู้ใช้รายนี้อาจต้องถูกระงับ

GCDS จะซิงค์การเป็นสมาชิกกลุ่มแบบวนซ้ำได้ไหม

ในการเป็นสมาชิกกลุ่มแบบวนซ้ำ จะมีกลุ่ม 2 กลุ่ม (หรือมากกว่า) ที่เป็นสมาชิกของกันและกัน เช่น กลุ่ม A เป็นสมาชิกของกลุ่ม B และกลุ่ม B เป็นสมาชิกของกลุ่ม A

LDAP และ Microsoft Active Directory รองรับการเป็นสมาชิกกลุ่มแบบวนซ้ำ แต่ Google Groups จะไม่รองรับ หากคุณพยายามซิงค์ข้อมูลการเป็นสมาชิกแบบวนซ้ำ คุณจะเห็นข้อผิดพลาด "ไม่อนุญาตให้เป็นสมาชิกแบบวนซ้ำ"

จะแน่ใจได้อย่างไรว่า GCDS จะไม่ลบหรือแก้ไขกลุ่มที่ฉันสร้างไว้

คุณสามารถกำหนดค่า GCDS ให้ไม่รวมกลุ่มได้ โดยการกำหนดกฎการยกเว้นอีเมลกลุ่มในการกำหนดค่าโดเมน Google โปรดดูรายละเอียดที่หัวข้อใช้กฎสำหรับข้อมูลใน Google

ตัวอย่าง

กฎการยกเว้น
ประเภท: อีเมลกลุ่ม
ประเภทการจับคู่: ตรงทั้งหมด
กฎ: GCP_Project1@example.com

หมายเหตุ: เราขอแนะนำให้คุณสร้างและจัดการกลุ่มเหล่านี้ในไดเรกทอรี LDAP ข้อมูลการเป็นสมาชิกของกลุ่มจะอัปเดตอยู่เสมอในบัญชี Google เมื่อ GCDS ซิงค์ข้อมูล

หากต้องการเก็บกลุ่มปัจจุบันที่ไม่ได้อยู่ใน LDAP เอาไว้ คุณสามารถเปิดการตั้งค่าไม่ลบ Google Groups ที่ไม่พบใน LDAP โปรดดูรายละเอียดที่หัวข้อนโยบายการลบ Google Group

GCDS จะซิงค์กลุ่มที่สร้างโดยผู้ใช้ไหม

กลุ่มที่ผู้ใช้สร้างคือกลุ่มที่สร้างใน Google Groups for Business หากกลุ่ม LDAP ตรงกับกลุ่มที่ผู้ใช้สร้างไว้ GCDS จะไม่สนใจกลุ่มนั้น แม้จะมีกฎการยกเว้นของ GCDS สำหรับกลุ่มนั้นอยู่ก็ตาม และจะไม่นำกลุ่มนั้นออกหากกลุ่มดังกล่าวไม่ตรงกับข้อมูล LDAP 

หากคุณเพิ่มสมาชิกเข้าไปในออบเจ็กต์หรือเอนทิตีที่ตรงกันใน LDAP แล้ว GCDS จะเพิ่มสมาชิกเหล่านั้นเข้าไปในกลุ่ม หากคุณเพิ่มผู้ใช้เข้าไปในกลุ่ม Google Groups ที่ไม่ตรงกับข้อมูล LDAP ระบบจะไม่นำสมาชิกเหล่านั้นออกในระหว่างขั้นตอนการซิงค์

โปรดดูข้อมูลเพิ่มเติมเกี่ยวกับกลุ่มที่ผู้ใช้สร้างในหัวข้อคำถามที่พบบ่อยสำหรับผู้ดูแลระบบ Groups

GCDS ซิงค์สมาชิกภาพกลุ่มที่ซ้อนกันได้ไหม

ได้ GCDS ซิงค์การเป็นสมาชิกกลุ่มที่ซ้อนกันได้ แต่มีข้อจำกัดบางประการเกี่ยวกับกลุ่มที่ซ้อนกันและการส่งอีเมลด้วย Google Groups for Business สมาชิกของกลุ่มที่ซ้อนกันบางรายจะไม่ได้รับเนื้อหาอีเมลที่ส่งถึงกลุ่ม ในกรณีดังต่อไปนี้

• เมื่อเปิดใช้สิทธิ์ในการตรวจสอบ ระบบจะไม่ส่งอีเมลถึงสมาชิกกลุ่มหรือกลุ่มที่ซ้อนกันอื่นๆ โดยอัตโนมัติ จนกว่าผู้ตรวจสอบของกลุ่มจะอนุมัติ
• กลุ่มระดับบนไม่มีสิทธิ์โพสต์เพื่อส่งข้อความไปยังกลุ่มที่ซ้อนกัน

หัวข้อที่เกี่ยวข้อง

• เพิ่มกลุ่มในกลุ่มอื่น
• ดูว่าใครมีสิทธิ์ดู โพสต์ และตรวจสอบ

GCDS จะค้นหาการเป็นสมาชิกกลุ่มที่ซ้อนกันได้ไหม

ได้ GCDS จะซิงค์สมาชิกกลุ่มโดยไม่คํานึงว่าจะเป็นผู้ใช้หรือกลุ่ม แต่ GCDS จะไม่รองรับกฎการค้นหาเพื่อขยายสมาชิกของกลุ่มที่ซ้อนกันอยู่หากเซิร์ฟเวอร์ LDAP ไม่รองรับกฎการค้นหาดังกล่าว

เหตุใด GCDS จึงไม่ซิงค์สมาชิกกลุ่ม

หาก GCDS ใช้พอร์ตแคตตาล็อกส่วนกลาง อาจเป็นเพราะวิธีที่ Active Directory คัดลอกรายละเอียดกลุ่มในเซิร์ฟเวอร์ต่างๆ Active Directory จะยกเว้นรายละเอียดสมาชิกกลุ่มจากดัชนีแคตตาล็อกส่วนกลางเพื่อประหยัดแบนด์วิดท์ เมื่อ GCDS ดึงข้อมูลกลุ่มโดยใช้พอร์ตแคตตาล็อกส่วนกลาง Active Directory จะแสดงผลกลุ่มแต่ไม่รวมรายชื่อสมาชิก ด้วยเหตุนี้ GCDS จึงคำนวณกลุ่มที่มีสมาชิกเป็นศูนย์

วิธีอนุญาตให้ GCDS ซิงค์สมาชิกกลุ่ม

1. ใน Active Directory ให้เปลี่ยนการตั้งค่า Group Scope เป็น Universal

   การเปลี่ยนแปลงนี้ช่วยให้มั่นใจได้ว่าระบบจะจำลองการเป็นสมาชิกของกลุ่มไปยังแคตตาล็อกส่วนกลาง และทำให้ GCDS มองเห็นสมาชิกเมื่อเครื่องมือค้นหาพอร์ต 3268 หรือ 3269

   หมายเหตุ: การเปลี่ยนแปลงอาจใช้เวลาถึง 30 นาที

2. หากนโยบายขององค์กรป้องกันไม่ให้คุณเปลี่ยนการตั้งค่าขอบเขตกลุ่ม ให้ทำดังนี้
   1. กำหนดค่า GCDS ให้ค้นหาพอร์ต LDAP 389 หรือ 636 แทนพอร์ตแคตตาล็อกส่วนกลาง
   2. ตรวจสอบว่าชื่อโฮสต์ LDAP ของ GCDS เชื่อมต่อกับตัวควบคุมโดเมนสำหรับโดเมนในเครื่องโดยตรง และชื่อที่จำแนกได้ฐานอยู่ในขอบเขตเส้นทางไดเรกทอรีที่กลุ่มอยู่

ฉันจะซิงค์เฉพาะสมาชิกกลุ่มที่ถูกต้องได้อย่างไร

คุณต้องการซิงค์เฉพาะสมาชิกซึ่งเป็นผู้ใช้ที่ใช้งานอยู่ในเซิร์ฟเวอร์ LDAP เช่น คุณมีกลุ่ม 1 ในเซิร์ฟเวอร์ LDAP ซึ่งมีสมาชิก 2 คน ได้แก่ user1 และ user2 แต่ user1 ถูกระงับในเซิร์ฟเวอร์ LDAP หลังจากการซิงค์ กลุ่ม 1 ในบัญชี Google ควรมี user2 เป็นสมาชิกเพียงคนเดียว ขณะที่ user1 ถูกระงับ (หรือนำออก ทั้งนี้ขึ้นอยู่กับการตั้งค่า GCDS)

วิธีซิงค์สมาชิกกลุ่มที่ถูกต้อง

1. ค้นหาไฟล์การกำหนดค่า ซึ่งเป็นไฟล์ XML เดียวกันกับที่คุณใช้โหลดการกำหนดค่า GCDS
2. เปิดไฟล์การกำหนดค่าด้วยเครื่องมือแก้ไขข้อความ
3. ค้นหาและลบตัวเลือก INDEPENDENT_GROUP_SYNC
4. ค้นหาตัวเลือก ADD_VALID_GROUP_MEMBERS_ONLY

   หากไม่มี ให้เพิ่มลงในไฟล์

5. ตรวจสอบว่าได้เปิดการซิงค์บัญชีผู้ใช้แล้ว

   โปรดดูรายละเอียดที่หัวข้อกำหนดรายชื่อผู้ใช้

6. เรียกใช้การจำลองเพื่อยืนยันผลลัพธ์ก่อนเรียกใช้การซิงค์แบบเต็ม

เหตุใด GCDS จึงไม่ซิงค์กลุ่มความปลอดภัย

หากตั้งค่าพร็อพเพอร์ตี้ adminCreated ใน Directory API เป็น false สำหรับกลุ่มที่ผู้ดูแลระบบสร้างขึ้นในคอนโซลผู้ดูแลระบบของ Google ทาง GCDS อาจข้ามกลุ่มเหล่านี้ในระหว่างการซิงค์ วิธีตรวจสอบว่า GCDS ซิงค์กลุ่มความปลอดภัยใหม่

1. ใช้คอนโซลผู้ดูแลระบบของ Google หรือ Directory API เพื่อสร้างกลุ่มใหม่เป็นกลุ่มการส่งอีเมล
2. แก้ไขการตั้งค่าของกลุ่มเพื่อเปลี่ยนเป็นกลุ่มความปลอดภัย

นอกจากนี้ GCDS จะไม่ซิงค์กลุ่มความปลอดภัยที่มีอยู่ในเซิร์ฟเวอร์ LDAP แต่ไม่มีใน Google ด้วย กลุ่มเหล่านี้จะซิงค์เป็นกลุ่มปกติ

ฉันจะเพิ่มแฟล็กฟีเจอร์ที่ไม่บังคับลงในไฟล์การกําหนดค่า GCDS ได้อย่างไร

ก่อนเริ่มต้น: ตรวจสอบว่า GCDS รองรับฟีเจอร์นี้

1. ค้นหาไฟล์การกำหนดค่า ซึ่งเป็นไฟล์ XML เดียวกันกับที่คุณใช้โหลดการกำหนดค่า GCDS
2. เปิดไฟล์การกำหนดค่าด้วยเครื่องมือแก้ไขข้อความ
3. ในไฟล์ XML ให้ค้นหาแท็ก <features> แล้วแทรกบรรทัดใหม่ภายในแท็ก 
4. ในบรรทัดใหม่ ให้เพิ่มแท็ก <optional> ใหม่พร้อมชื่อฟีเจอร์ด้านใน
5. บันทึกและปิดไฟล์

ตัวอย่าง

ตัวอย่างต่อไปนี้แสดงวิธีเพิ่มฟีเจอร์ DONT_RESOLVE_USER_CONFLICT_ACCOUNTS

<features>

      <optional>DONT_RESOLVE_USER_CONFLICT_ACCOUNTS</optional>

</features>

ทำไม GCDS จึงแจ้งข้อผิดพลาดซ้ำๆ เมื่อล้างแคชแล้ว

ข้อผิดพลาดอาจเกิดจากปัญหาด้านการกำหนดค่า เช่น การกำหนดค่ากฎการยกเว้นไม่ถูกต้อง ซึ่งการแคชของ GCDS จะซ่อนการกำหนดค่าที่ไม่ถูกต้องดังกล่าวเอาไว้

GCDS จะเก็บแคชของข้อมูลสำหรับบริการของ Google (เช่น Google Workspace หรือ Cloud Identity) ไว้นานสูงสุด 8 วัน แต่จะล้างแคชบ่อยกว่านี้ได้ โดยขึ้นอยู่กับขนาดข้อมูลที่แคชไว้ แต่หากไม่มีการล้างแคช ระบบอาจใช้เวลาดำเนินการถึง 8 วันกว่าคุณจะเห็นการเปลี่ยนแปลงที่ทำในบัญชี Google โดยตรง (โดยใช้คอนโซลผู้ดูแลระบบหรือไคลเอ็นต์ API อื่น) 

วิธีล้างแคชด้วยตัวเอง

• ซิงค์จากเครื่องมือจัดการการกำหนดค่า แล้วเลือกล้างแคชเมื่อซิงค์
• ใช้แฟล็กบรรทัดคำสั่ง -f เพื่อบังคับให้ล้างแคช
• แก้ไขไฟล์การกำหนดค่า XML เพื่อตั้ง maxCacheLifetime เป็น 0

ข้อมูลสำคัญ: การล้างแคชอาจทำให้การซิงค์ใช้เวลานานขึ้นอย่างมาก

ตัวอย่างเช่น คุณมีกลุ่มที่อยู่ทั้งในเซิร์ฟเวอร์ LDAP และบัญชี Google คุณสร้างกฎการยกเว้นของ Google สำหรับกลุ่มนี้ โดยหวังว่าจะป้องกันไม่ให้ GCDS เปลี่ยนกลุ่มในระหว่างการซิงค์

แต่กฎนี้กลับทำให้ GCDS ทำงานเสมือนว่าไม่มีกลุ่มอยู่ในบัญชี Google GCDS จะพยายามสร้างกลุ่ม แต่เนื่องจากมีกลุ่มนี้อยู่แล้ว คุณจึงเห็นข้อผิดพลาดและ GCDS จะเพิ่มกลุ่มนั้นลงในแคช เมื่อการซิงค์ครั้งถัดไปใช้แคชดังกล่าว GCDS ก็จะทราบว่ามีกลุ่มนั้นอยู่แล้ว จากนั้น เมื่อล้างแคชแล้ว GCDS จะทำงานอีกครั้งเสมือนว่าไม่มีกลุ่มอยู่

ทำไมต้องกำหนดค่า GCDS ให้ซิงค์รหัสผ่าน

การตั้งค่าการซิงค์รหัสผ่านเริ่มต้นใน GCDS จะใช้ในการกำหนดวิธีที่ GCDS สร้างรหัสผ่านให้กับบัญชีผู้ใช้ใหม่ หากไม่ต้องการตั้งรหัสผ่านของบัญชีเริ่มแรกขึ้นมาเอง คุณไม่จำเป็นต้องดำเนินการใดๆ และใช้การตั้งค่าเริ่มต้นได้เลย

หากกำลังใช้ Active Directory อยู่ คุณจะใช้ Password Sync เพื่อซิงค์รหัสผ่านของผู้ใช้จาก Active Directory ไปยังโดเมน Google ได้

GCDS แก้ไขข้อขัดแย้งเมื่อมีการใช้กฎการซิงค์หลายข้อได้อย่างไร

GCDS จะพิจารณากฎตามลำดับจากระดับบนสุดไปล่างสุด 

ตัวอย่างเช่น คุณกำหนดค่ากฎการซิงค์บัญชีผู้ใช้เพื่อสร้างผู้ใช้ในหน่วยขององค์กรระดับบนสุดหรือ / จากนั้นจึงสร้างกฎระดับล่างลงมาเพื่อสร้างผู้ใช้ในหน่วยขององค์กร /Exceptions หลังจากซิงค์แล้ว ระบบจะสร้างผู้ใช้ที่ตรงตามกฎทั้ง 2 ข้อในหน่วยขององค์กรระดับบนสุดเนื่องจากกฎดังกล่าวมีความสำคัญสูงกว่า 

คุณต้องทำให้กฎดังกล่าวอยู่ในลำดับที่สูงกว่ากฎข้ออื่นๆ ที่ขัดแย้งกัน เพื่อให้ระบบสร้างผู้ใช้ไว้ใน /Exceptions อย่างถูกต้อง หรือตั้งกฎนั้นเป็นกฎแรกในรายการตามลำดับ

ฉันจะตรวจสอบและดูการซิงค์ข้อมูล GCDS ได้อย่างไร 

GCDS ใช้ OAuth 2.0 แบบ 3 ทางในการให้สิทธิ์ ซึ่งกระบวนการนี้จะให้โทเค็น OAuth 2.0 กับ GCDS โดยโทเค็นนี้ทำให้ GCDS ทำงานในนามของผู้ดูแลระบบที่ให้สิทธิ์ได้

ผู้ดูแลระบบที่ให้สิทธิ์ GCDS จะเป็นผู้จัดทำรายการกิจกรรมการตรวจสอบทั้งหมด คุณควรสร้างบัญชีผู้ดูแลระบบ GCDS ขึ้นโดยเฉพาะเพื่อให้เห็นได้อย่างชัดเจนว่า GCDS เปลี่ยนแปลงและตรวจสอบสิ่งใดบ้าง

หัวข้อที่เกี่ยวข้อง

ให้สิทธิ์บัญชี Google ของคุณ

หากฉันเปิดใช้การซิงค์สคีมา GCDS จะลบสคีมาของฉันไหม

GCDS จะพิจารณาการตั้งค่า LDAP ปัจจุบันในระหว่างการซิงค์เพื่อตัดสินว่าควรเก็บรักษาหรือลบสคีมาที่กำหนดเองในบัญชี Google ของคุณ

นอกจากนี้ ไฟล์การกําหนดค่า GCDS ยังมีการตั้งค่า schemaHistory ซึ่งมีข้อมูลเกี่ยวกับสคีมาที่กําหนดเองที่เคยซิงค์ด้วย หาก GCDS เคยซิงค์สคีมาที่กำหนดเองแล้ว ระบบจะเพิ่มสคีมาดังกล่าวไปยัง schemaHistory โดยอัตโนมัติ หากคุณลบการตั้งค่า schemaHistory ในไฟล์การกำหนดค่าเอง และหากไม่มีสคีมาที่กำหนดเองในไดเรกทอรี LDAP ของคุณ GCDS จะข้ามและไม่ลบสคีมาที่กำหนดเองในบัญชี Google ของคุณ

หากต้องการลบ schemaHistory ในไฟล์การกําหนดค่าเอง ให้มองหาข้อมูลต่อไปนี้ 

<schemas>
   <schemaDefinitions />
   <schemaHistory>
      <schemaName>GroupMembership</schemaName>
   </schemaHistory>
</schemas>

ฉันจะซิงค์ GCDS จากไดเรกทอรี LDAP หลายรายการได้ไหม

GCDS สามารถซิงค์จากไดเรกทอรี LDAP รายการเดียวเท่านั้น หากคุณมีไดเรกทอรี LDAP หลายรายการ ให้รวมข้อมูลเซิร์ฟเวอร์ LDAP ไว้ในไดเรกทอรีเดียว โปรดดูรายละเอียดในขั้นตอนที่ 2 ในหัวข้อเตรียมไดเรกทอรี LDAP

GCDS สร้างและจัดเก็บคีย์แบบสมมาตรอย่างไร

คีย์แบบสมมาตรที่เข้ารหัสโทเค็นการรีเฟรชของ GCDS จะสร้างขึ้นด้วย Java crypto KeyGenerator ค่าเริ่มต้นโดยใช้ AES 128 

การจัดเก็บคีย์แบบสมมาตรจะได้รับการจัดการโดยเมธอด userNodeForPackage ในคลาส "ค่ากำหนด" ใน Java ตำแหน่งที่แน่นอนของคีย์จะไม่อยู่ภายใต้การควบคุมของ GCDS แต่จะขึ้นอยู่กับ OS

ใน Windows ข้อมูลค่ากำหนดจะจัดเก็บไว้ในคลังรีจิสทรีของผู้ใช้ ใน Linux ข้อมูลดังกล่าวจะจัดเก็บไว้ที่ไดเรกทอรีหน้าหลักของผู้ใช้

เราขอแนะนำให้ลูกค้าทำตามแนวทางปฏิบัติแนะนำเพื่อให้คีย์ได้รับการจัดเก็บไว้อย่างปลอดภัยด้วยระบบไฟล์ที่เข้ารหัสและมี ACL ที่เข้มงวด

รหัสที่ไม่ซ้ำกันคืออะไร

รหัสที่ไม่ซ้ำกัน (หรือที่เรียกอีกอย่างว่าคีย์หลักที่ไม่มีที่อยู่) คือรหัสที่ใช้ภายในระบบ GCDS ซึ่งจะไม่มีการซิงค์ไปยัง Google Workspace โดย GCDS จะจัดเก็บรหัสที่ไม่ซ้ำกันในไฟล์ TSV บนคอมพิวเตอร์ที่ติดตั้ง GCDS ไว้ คุณสามารถดูชื่อไฟล์ TSV และเส้นทางแบบเต็มของไฟล์ได้ในไฟล์การกำหนดค่า XML

หากผู้ใช้ได้รับการเปลี่ยนชื่อในเซิร์ฟเวอร์ LDAP แต่ไม่ใช่ใน Google Workspace ในกรณีนี้ GCDS จะใช้รหัสที่ไม่ซ้ำกันเพื่อป้องกันไม่ให้ระบบลบหรือทำซ้ำรายละเอียดของผู้ใช้รายนี้

หมายเหตุ: คุณอาจทำให้เกิดปัญหาการซิงค์หากเปลี่ยนอีเมลของผู้ใช้ด้วยตนเองทั้งในเซิร์ฟเวอร์ LDAP และ Google Workspace เพื่อป้องกันไม่ให้เกิดปัญหานี้ โปรดนำบันทึกข้อมูลของผู้ใช้รายนั้นออกจากไฟล์ TSV ก่อนเรียกใช้ GCDS

ฉันจะซิงค์ข้อมูลกลุ่มความปลอดภัยจาก Active Directory หรือจากไดเรกทอรี LDAP ของฉัน และใช้ใน Cloud IAM ได้อย่างไร 

คุณสามารถกำหนดค่า GCDS ให้ซิงค์กลุ่มความปลอดภัยโดยใช้กฎการค้นหาของ LDAP

ตัวอย่างที่ 1: ค้นหากลุ่มความปลอดภัยทั้งหมด

ตัวอย่างนี้แสดงการค้นหาของ LDAP ที่ค้นหากลุ่มความปลอดภัยทั้งหมดที่มีอีเมล ดังนี้

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*))

ตัวอย่างที่ 2: ค้นหากลุ่มย่อยของกลุ่มความปลอดภัย

หากต้องการซิงค์กลุ่มย่อยของกลุ่มความปลอดภัย คุณควรใช้ extensionAttribute1 แล้วกำหนดค่าเฉพาะ เช่น GoogleCloud จากนั้นปรับคำค้นหา GCDS ให้จัดสรรให้เฉพาะกลุ่มย่อยของกลุ่มความปลอดภัยนั้น

ตัวอย่างนี้แสดงการค้นหาของ LDAP ที่ค้นหากลุ่มความปลอดภัยทั้งหมดที่มีอีเมลและแอตทริบิวต์ GoogleCloud ดังนี้

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*)(extensionAttribute1=GoogleCloud))

สำคัญ

• การอ้างอิงกลุ่มทุกกลุ่มในโดเมน Google จะใช้ที่อยู่อีเมล ดังนั้นจะต้องตรวจสอบว่ากลุ่มความปลอดภัยทั้งหมดที่คุณต้องการซิงค์ข้อมูลนั้นมีการกำหนดแอตทริบิวต์อีเมลที่ถูกต้อง
• กลุ่มที่สร้างในโดเมน Google จะไม่มีบทบาท Google Cloud Identity and Access Management (IAM) มาให้โดยอัตโนมัติ ดังนั้นหลังจากสร้างกลุ่มแล้ว คุณต้องใช้ Cloud IAM เพื่อกำหนดบทบาทให้กลุ่ม

ฉันจะเพิ่มผู้ใช้ที่ต้องการบัญชีสำหรับโปรเจ็กต์ Google Cloud เท่านั้นได้อย่างไร

คุณสามารถกำหนดค่า GCDS ได้โดยการเพิ่มกฎการซิงค์ผู้ใช้ให้กับผู้ใช้ Google Cloud วิธีที่ง่ายที่สุดคือการสร้างคำค้นหาใหม่โดยใช้ข้อมูลของผู้ใช้ที่เป็นสมาชิกกลุ่ม เช่น

(&(memberof=cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

จากนั้นคุณจะใช้ตัวกรองการค้นหาต่อไปนี้ได้เพื่อแสดงผู้ใช้ที่เป็นสมาชิกกลุ่ม ผู้มีอีเมล และผู้ใช้ที่บัญชีไม่ถูกระงับ 

group cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com

คุณควรจัดผู้ใช้เหล่านี้ให้อยู่ในหน่วยขององค์กรเดียวกัน ซึ่งทำได้โดยการตั้งชื่อหน่วยขององค์กร (เช่น Cloud Users) ไว้ในกฎ จากนั้นสร้างหน่วยขององค์กร หากยังไม่มี 

ปัญหาการให้ใบอนุญาต

พิจารณารูปแบบการกำหนดค่าโดเมนเพื่อมอบหมายใบอนุญาตผลิตภัณฑ์ให้กับบัญชีผู้ใช้ได้อย่างเหมาะสม หากเปิดใช้ใบอนุญาตอัตโนมัติไว้ คุณอาจต้องยกเว้นหน่วยขององค์กร Cloud Users ไม่ให้มีการมอบหมายใบอนุญาตผลิตภัณฑ์ โปรดดูรายละเอียดที่หัวข้อตั้งค่าตัวเลือกการอนุญาตให้ใช้สิทธิโดยอัตโนมัติสำหรับองค์กร

ในส่วนข้อกำหนดการอนุญาตที่ซับซ้อนยิ่งขึ้น คุณอาจกำหนดค่า GCDS ให้ซิงค์และจัดการการมอบหมายใบอนุญาตให้ผู้ใช้ทั้งหมดได้ โปรดดูรายละเอียดที่หัวข้อซิงค์ใบอนุญาต