שאלות נפוצות על GCDS

איך מאשרים את GCDS במחשב שאין בו GUI?

1. מוודאים שפועלת גרסה 4.7.14 או גרסה עדכנית יותר של GCDS.

   תוכלו לקרוא פרטים נוספים במאמר בנושא עדכון GCDS.

2. נותנים הרשאה ל-GCDS במחשב שיש בו GUI.

   פרטים נוספים זמינים במאמר על מתן הרשאה לחשבון Google.

3. יוצרים ושומרים את קובץ ה-XML. 
4. באותו מחשב, משתמשים בשורת הפקודה כדי להריץ את הכלי upgrade-config באמצעות הפרמטר -exportkeys.

   דוגמה: upgrade-config -exportkeys encryption key file [password]

   בדוגמה הזו, המפתחות מיוצאים לקובץ בשם encryption key file. השימוש בסיסמה הוא אופציונלי.

5. מעתיקים את קובץ מפתח ההצפנה ואת קובץ התצורה למחשב בלי ממשק משתמש גרפי (GUI).
6. במחשב ללא ממשק משתמש גרפי, משתמשים בשורת הפקודה כדי להריץ את הכלי upgrade-config באמצעות הפרמטר -importkeys.

   דוגמה: upgrade-config -importkeys file name

   חשוב: הפרמטר -importkeys מסיר את כל הגדרות GCDS המורשות שיש לכם במחשב. 

7. אם צריך, מזינים את הסיסמה שהגדרתם בשלב 4.

   אמור להופיע אישור שהמפתחות יובאו בהצלחה.

טיפ: כדי לראות אפשרויות נוספות, מזינים את הפקודה upgrade-config -help בשורת הפקודה.

איך מעבירים את GCDS לשרת אחר?

1. אם אתם חושבים שיש לכם שינויים בהמתנה בכתובות אימייל של משתמשים (שינויי שמות של משתמשים), או אם אתם לא בטוחים, בחרו אפשרות:
   • מפעילים סנכרון בשרת הישן.
   • מעתיקים את הקבצים עם הערכים המופרדים בטאבים (TSV) לשרת החדש.

     כדי למצוא את השם והמיקום של קובצי ה-TSV בקובץ התצורה, מחפשים את ‎.tsv.

   • מתקינים את GCDS בשרת החדש. הוראות מפורטות זמינות במאמר בנושא הורדה והתקנה של GCDS.
2. מעתיקים את קובץ התצורה לשרת החדש.
3. בשרת החדש, פותחים את קובץ התצורה ב-Configuration Manager.
4. מאשרים מחדש את GCDS בחשבון Google. הוראות מפורטות מופיעות במאמר מתן הרשאה לחשבון Google.
5. בדף הגדרות LDAP, מעדכנים את סיסמת ה-LDAP. הוראות מפורטות זמינות בקטע הגדרות חיבור LDAP.
6. בדף Notifications, מעדכנים את סיסמת ה-SMTP. הוראות מופיעות במאמר מאפייני התראות.
7. מפעילים סנכרון מדומה.
8. בודקים את הסנכרון כדי לוודא שאין שינויים לא צפויים.
9. מפעילים סנכרון מלא.

   אחרי הסנכרון, קובצי ה-TSV מהשרת הישן מתעדכנים. אם לא העברתם את קובצי ה-TSV, נוצרים קבצים חדשים.

מה אפשר לעשות אם נתקלים בבעיות עם אישורים?

אם נתקלתם בבעיות שקשורות לאישורים בזמן הפעלת GCDS, אתם יכולים לעבור אל פתרון בעיות שקשורות לאישורים.

באילו ממשקי API משתמשים ב-GCDS?

כדי לסנכרן את נתוני הספרייה עם חשבון Google, ‏GCDS משתמש בממשקי API של Google Workspace. ממשקי ה-API משתמשים ב-OAuth, ולא בסיסמה של אדמין, לצורך אימות. הגישה הזו מאפשרת לתכונות כמו אימות דו-שלבי (2SV) להישאר פעילות בלי להשפיע על הפונקציונליות של GCDS.

‫GCDS משתמש בממשקי ה-API הבאים:

• ממשק Directory API
• Cloud Identity API
• Groups Settings API
• Enterprise License Manager API
• Domain Shared Contacts API

למה אני לא רואה את השינויים הצפויים בחשבון Google שלי?

יכול להיות שיעברו עד 8 ימים לפני שהשינוי יופיע בחשבון Google. כדי להבין למה, צריך להבין איך GCDS שומר נתונים במטמון.

‫GCDS שומר מטמון של נתונים בחשבון Google למשך 8 ימים לכל היותר. GCDS יכול לנקות את המטמון בתדירות גבוהה יותר, בהתאם לגודל הנתונים שנשמרו במטמון. עם זאת, אם המטמון לא נמחק, יכול להיות שיעברו עד 8 ימים עד שיופיעו שינויים שבוצעו ישירות בחשבון Google (באמצעות מסוף Admin או לקוח API אחר).

אחרי ניקוי המטמון, GCDS מזהה את השינוי בחשבון Google ומשווה אותו לנתוני המקור בספריית ה-LDAP. אם הנתונים לא תואמים, GCDS מבטל את השינוי שבוצע בחשבון Google.

כדי לנקות את המטמון באופן ידני:

• מריצים סנכרון מ-Configuration Manager ובוחרים באפשרות לנקות את המטמון כשמבצעים סנכרון.
• משתמשים בהגדרת flag בשורת הפקודה -f כדי לאלץ ניקוי של המטמון.
• משנים את קובץ התצורה של ה-XML כדי להגדיר את הערך של maxCacheLifetime ל-0.

חשוב: ניקוי המטמון יכול להאריך משמעותית את זמן הסנכרון.

איך GCDS ניגש לנתונים של פרופיל המשתמש בחשבון Google שלי?

פרופילי המשתמשים, כולל מאפייני משתמש נוספים, נכתבים בחשבון המשתמש ב-Google ומופיעים בספרייה של החשבון. ‫GCDS ניגש לספרייה באנשי קשר בחשבון Google. פרטים נוספים זמינים במאמר סקירה כללית: הגדרה וניהול של הספרייה.

איך GCDS קובע אילו כתובות אימייל חלופיות יתווספו לחשבון Google?

בהגדרות של GCDS, אתם יכולים לציין את המאפיינים ש-GCDS מעריך. ‫GCDS מעריך את הנתונים שמאוחסנים במאפיין רק אם הם תואמים לכתובת SMTP חוקית.

כשמשתמשים ב-proxyAddresses של Microsoft Active Directory, ‏GCDS מסיר את הקידומת smtp:‎ במהלך הסנכרון כדי שהקידומת לא תופיע בדומיין של Google. 

אפשר לסנכרן ליותר מחשבון Google אחד בו-זמנית?

כן. אתם יכולים להשתמש ב-GCDS כדי לסנכרן מספריית LDAP אחת לכמה חשבונות Google, באמצעות יותר מקובץ תצורה אחד. אם אתם מפעילים כמה סנכרונים בו-זמנית, ודאו שקובצי התצורה נשמרים עם שמות ייחודיים.

כדי לשכפל קובץ תצורה קיים, משתמשים באפשרות שמירה בשם באשף ההגדרות ושומרים את הקובץ בשם חדש.

איך GCDS פותר בעיות שקשורות לחשבונות בעלי מאפיינים זהים לחשבון פעיל?

‫GCDS פועל לפי ההגדרות לניהול חשבונות עם אותה כתובת אימייל שהגדרתם במסוף Google Admin. פרטים נוספים זמינים במאמר בנושא ניהול חשבונות עם פרטים זהים באמצעות GCDS.

האופן שבו GCDS מטפל בחשבונות בעלי מאפיינים זהים לחשבון פעיל תלוי בשאלה אם החשבון הזה הוא חשבון אישי לא מנוהל, חשבון לצורכי עבודה לא מנוהל או משתמש קיים בארגון. פרטים על האופן שבו מתבצע הטיפול בהתנגשויות ופתרון הבעיות מופיעים במאמרים ניהול חשבונות מתנגשים באמצעות GCDS ופתרון שגיאות של חשבונות כפולים.

איך מגדירים את GCDS כך שיקצה רק קבוצת משנה של משתמשים? 

אם אתם רוצים לסנכרן קבוצת משנה של משתמשים עם חשבון Google, אתם יכולים להשתמש בקבוצה אחת של Active Directory או של ספריית LDAP כמקור. שימוש בקבוצה מגביל את מספר המשתמשים שמוקצים בחשבון Google שלכם.

דוגמה:

שאילתת משתמש
(&(memberof=cn=appsUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

השאילתה הזו מחזירה את כל המשתמשים שחברים בקבוצה שמזוהה לפי ה-DN של הקבוצה, שיש להם כתובות אימייל ושהחשבונות שלהם לא מושבתים.

איך אפשר להחריג יחידה ארגונית בחשבון Google מסנכרון?

כדי להגדיר ל-GCDS להחריג יחידה ארגונית שהוגדרה בחשבון Google, צריך להגדיר כלל החרגה של נתיב ארגוני מלא בהגדרות של דומיין Google.

דוגמה:

כלל להחרגה
סוג: נתיב ארגוני מלא
סוג התאמה: התאמה מדויקת
כלל: ‎/OUPath/MyExcludedOU

אפשר לסנכרן משתמשים לדומיין משני?

אם הוספתם דומיין נוסף (משני), אתם יכולים להשתמש ב-GCDS כדי לסנכרן משתמשים לדומיין הזה. כדי לסנכרן משתמשים לדומיין המשני, צריך לוודא שכתובות האימייל של המשתמשים בשרת ה-LDAP תואמות לשם הדומיין המשני. מערכת GCDS יוצרת את המשתמשים בחשבון Google שלכם, ומשתמשת בדומיין המשני ככתובת האימייל הראשית.

אם אתם לא רוצים לשנות את מאפיין האימייל הקיים ב-LDAP, אתם יכולים להקצות מאפיין אחר לסנכרון כתובות האימייל של המשתמשים בדומיין המשני. פרטים נוספים על דומיינים משניים זמינים במאמר הוספת דומיין חלופי או דומיין משני של משתמש.

איך GCDS מטפל בהתנגשויות בין כתובות אימייל ראשיות לבין כתובות אימייל חלופיות?

אפשר להשתמש בתווים כלליים לחיפוש (wildcards) בשאילתות חיפוש של משתמשים ב-LDAP?

כן, כל עוד שרת ה-LDAP תומך בתווים כלליים לחיפוש.

ספריות LDAP לא תומכות בתווים כלליים לחיפוש במאפיינים של שם ייחודי (DN) כשמבצעים שאילתת חיפוש של משתמש. לדוגמה, אפשר להשתמש ב-(mail=user*), אבל לא ב-(distinguishedName=*,DC=domain,DC=com).

אפשר להשתמש בחיפוש רקורסיבי של memberOf לשאילתות חיפוש של משתמשים?

כן, אם אתם משתמשים בשרת LDAP שתומך בחיפושים רקורסיביים של memberOf. הם נתמכים ב-Active Directory, אבל לא ב-OpenLDAP.

למה חשבון המשתמש שלי ב-Google Workspace מושעה אחרי שאני מפעיל את GCDS?

אם חשבון משתמש ב-Google Workspace מושעה אחרי הפעלת GCDS, תופיע הודעת שגיאה עם הסבר לסיבה. כדי למנוע את השגיאה הספציפית הזו בסנכרונים הבאים, אתם יכולים ליישם את אחד מהפתרונות הבאים, בהתאם לסיבת הבעיה:

• הבעיה: המשתמש לא קיים בשרת ה-LDAP.

  פתרון: מכיוון שהמשתמש לא קיים בשרת ה-LDAP, הלקוח צריך להגדיר כלל להחרגת משתמשים ב-Google כדי למנוע מ-GCDS להשעות את המשתמש הזה ב-Google Workspace.

• הבעיה: למשתמש אין כתובת אימייל תקינה בשרת ה-LDAP.

  פתרון: צריך להגדיר כתובת אימייל למשתמש הזה או להגדיר כלל החרגה של משתמש Google כדי למנוע מ-GCDS להשעות את המשתמש ב-Google Workspace.

  אפשר גם לשנות את ההגדרות של GCDS כך שישתמש במאפיין של כתובת האימייל של המשתמש שנמצא בשרת ה-LDAP. לדוגמה, השתמשו במאפיין userPrincipalName ‏ (UPN) במקום במאפיין mail.

• הבעיה: המשתמש מדלג על כללי ההחרגה בשרת ה-LDAP.

  פתרון: אם אתם לא רוצים להשעות את המשתמש הזה, אתם צריכים לתקן את כללי ההחרגה.

• הבעיה: המשתמש נמצא ומושעה בכללי החיפוש כי האפשרות השעיית המשתמשים האלה בדומיין של Google מסומנת.

  פתרון: יכול להיות שצריך להשעות את המשתמש.

• הבעיה: המשתמש הושעה בשרת ה-LDAP.

  פתרון: יכול להיות שצריך להשעות את המשתמש.

האם אפשר לסנכרן ב-GCDS חברויות בקבוצות מעגליות?

בחברות בקבוצה מעגלית, 2 קבוצות (או יותר) חברות זו בזו. לדוגמה, קבוצה א' היא חברה בקבוצה ב', וקבוצה ב' היא חברה בקבוצה א'.

חברויות בקבוצות מעגליות נתמכות ב-LDAP וב-Microsoft Active Directory. עם זאת, אין תמיכה בהן בקבוצות Google. אם תנסו לסנכרן חברות מעגלית, תופיע השגיאה "חברות מעגלית לא מותרת".

איך אפשר לוודא ש-GCDS לא ימחק או ישנה קבוצות קיימות שיצרתי?

כדי להגדיר ל-GCDS להחריג קבוצה, צריך להגדיר כלל החרגה של כתובת אימייל של קבוצה בהגדרות של הדומיין ב-Google. פרטים נוספים זמינים במאמר שימוש בכללים לנתונים בחשבון Google.

דוגמה:

כלל להחרגה
סוג: כתובת אימייל של קבוצה
סוג התאמה: התאמה מדויקת
כלל: GCP_Project1@example.com

הערה: מומלץ ליצור ולנהל את הקבוצות האלה בספריית ה-LDAP. כשהנתונים מסונכרנים באמצעות GCDS, החברויות בקבוצות מתעדכנות בחשבון Google.

כדי לשמור קבוצות קיימות שלא נמצאות ב-LDAP, אפשר להפעיל את ההגדרה לא למחוק קבוצות Google שלא נמצאות ב-LDAP. פרטים נוספים זמינים במאמר בנושא המדיניות בנושא מחיקת קבוצות ב-Google.

האם GCDS מסנכרן קבוצות שנוצרו על ידי משתמשים?

קבוצה שנוצרה על ידי משתמש היא קבוצה שנוצרה ב-Google Groups for Business. אם קבוצת LDAP תואמת לקבוצה שנוצרה על ידי משתמש, GCDS מתעלמת מהקבוצה כאילו יש כלל החרגה של GCDS שמוגדר לקבוצה הספציפית הזו. הוא לא יסיר את הקבוצה אם היא לא תואמת לנתוני ה-LDAP. 

אם הוספתם חברים לאובייקט או לישות התואמים ב-LDAP, ‏ GCDS מוסיף את החברים האלה לקבוצה. אם הוספתם לקבוצה ב-Google משתמשים שלא תואמים לנתוני ה-LDAP, החברים האלה לא יוסרו במהלך תהליך הסנכרון.

מידע נוסף על קבוצות שנוצרו על ידי משתמשים זמין במאמר שאלות נפוצות לאדמינים של קבוצות.

האם אפשר לסנכרן ב-GCDS חברויות בקבוצות מוטמעות?

כן, GCDS מסנכרן חברויות בקבוצות משנה. עם זאת, יש כמה מגבלות שקשורות לקבוצות בת ולשליחת אימיילים ב-Google Groups for Business. לא כל החברים בקבוצה המשנית מקבלים תוכן באימייל שנשלח לקבוצה במקרים הבאים:

• הרשאת הניהול מופעלת. האימייל לא יועבר אוטומטית לחברי הקבוצה או לקבוצות משנה אחרות עד שמנהל התגובות של הקבוצה יאשר אותו.
• לקבוצת האם אין הרשאת פרסום כדי לשלוח את ההודעה לקבוצות המשנה.

נושאים קשורים

• איך מוסיפים קבוצה לקבוצה אחרת
• מי יכול לצפות, לפרסם ולנהל

האם GCDS יכול לחפש חברויות בקבוצות משנה?

כן. ‫GCDS מסנכרן חברים בקבוצות, גם אם החבר הוא משתמש וגם אם הוא קבוצה. עם זאת, GCDS לא תומך בכלל חיפוש להרחבת חברים בקבוצות שנמצאות עמוק בהיררכיה אם כלל החיפוש הזה לא נתמך על ידי שרת ה-LDAP.

למה GCDS לא מסנכרן חברים בקבוצה?

אם GCDS משתמש ביציאות של Global Catalog, יכול להיות שהסיבה לכך היא האופן שבו Active Directory מעתיק את פרטי הקבוצה בין השרתים. כדי לחסוך ברוחב פס, Active Directory לא כולל את פרטי החברים בקבוצה באינדקס של Global Catalog. כש-GCDS מאחזר קבוצות באמצעות יציאות של קטלוג גלובלי, Active Directory מחזיר את הקבוצה אבל לא כולל את רשימת החברים. כתוצאה מכך, GCDS מחשב את הקבוצה עם אפס חברים.

כדי לאפשר ל-GCDS לסנכרן חברי קבוצה:

1. ב-Active Directory, משנים את ההגדרה Group Scope (היקף הקבוצה) ל-Universal (אוניברסלי).

   השינוי הזה מבטיח שהחברים בקבוצה ישוכפלו לקטלוג הגלובלי, ושהם יהיו גלויים ל-GCDS כשהכלי שולח שאילתה ליציאה 3268 או 3269.

   הערה: יכול להיות שיחלפו עד 30 דקות לפני שהשינויים ייכנסו לתוקף.

2. אם מדיניות הארגון לא מאפשרת לכם לשנות את ההגדרה "היקף הקבוצה":
   1. מגדירים את GCDS לשלוח שאילתות ליציאת LDAP‏ 389 או 636 במקום ליציאת Global Catalog.
   2. מוודאים ששם המארח של LDAP ב-GCDS מתחבר ישירות לבקר הדומיין (DC) של הדומיין המקומי, ושה-Base DN מוגדר לנתיב הספרייה שבו נמצאות הקבוצות.

איך אפשר לסנכרן רק חברי קבוצה חוקיים?

אתם רוצים לסנכרן רק חברים שהם משתמשים פעילים בשרת ה-LDAP. לדוגמה, נניח שיש לכם את קבוצה 1 בשרת ה-LDAP, ויש בה 2 חברים, משתמש1 ומשתמש2. עם זאת, משתמש 1 הושעה בשרת ה-LDAP. אחרי הסנכרון, קבוצה 1 בחשבון Google שלכם צריכה להכיל רק את משתמש 2, ומשתמש 1 מושעה (או מוסר, בהתאם להגדרות של GCDS).

כדי לסנכרן חברי קבוצה תקינים:

1. מאתרים את קובץ התצורה. זה אותו קובץ XML שמשמש לטעינת ההגדרות של GCDS.
2. פותחים את קובץ התצורה בכלי לעריכת טקסט.
3. מוצאים את האפשרות INDEPENDENT_GROUP_SYNC ומוחקים אותה.
4. מחפשים את האפשרות ADD_VALID_GROUP_MEMBERS_ONLY.

   אם הוא לא קיים, מוסיפים אותו לקובץ.

5. מוודאים שהסנכרון של חשבונות המשתמשים מופעל.

   פרטים נוספים זמינים בקטע הגדרת רשימת המשתמשים.

6. כדאי להריץ סימולציה כדי לאמת את התוצאות לפני שמריצים סנכרון מלא.

למה GCDS לא מסנכרן קבוצות אבטחה?

אם המאפיין adminCreated ב-Directory API מוגדר כ-false בקבוצות שנוצרו על ידי אדמינים במסוף Google Admin, יכול להיות ש-GCDS ידלג על הקבוצות האלה במהלך הסנכרון. כדי לוודא ש-GCDS מסנכרן קבוצת אבטחה חדשה:

1. משתמשים במסוף Google Admin או ב-Directory API כדי ליצור את הקבוצה החדשה כקבוצת דיוור.
2. משנים את ההגדרות של הקבוצה כדי להפוך אותה לקבוצת אבטחה.

בנוסף, GCDS לא מסנכרן קבוצות אבטחה שקיימות בשרת ה-LDAP אבל לא ב-Google. הקבוצות האלה מסתנכרנות כקבוצות רגילות.

איך מוסיפים דגל תכונה אופציונלי לקובץ התצורה של GCDS?

לפני שמתחילים: צריך לוודא ש-GCDS תומך בתכונה.

1. מאתרים את קובץ התצורה. זה אותו קובץ XML שמשמש לטעינת ההגדרות של GCDS.
2. פותחים את קובץ התצורה בכלי לעריכת טקסט.
3. בקובץ ה-XML, מאתרים את התג <features> ומוסיפים שורה חדשה בתוך התג. 
4. בשורה החדשה, מוסיפים תג <optional> חדש עם שם התכונה בתוכו.
5. שומרים וסוגרים את הקובץ.

דוגמה

בדוגמה הבאה אפשר לראות איך מוסיפים את התכונה DONT_RESOLVE_USER_CONFLICT_ACCOUNTS.

<features>

      <optional>DONT_RESOLVE_USER_CONFLICT_ACCOUNTS</optional>

</features>

למה GCDS ממשיך להחזיר שגיאה כשהמטמון נמחק?

יכול להיות שהשגיאה נגרמה בגלל בעיה בהגדרות, כמו הגדרה שגויה של כלל החרגה. ההגדרה השגויה יכולה להיות מוסתרת על ידי המטמון של GCDS.

GCDS שומר מטמון של נתונים לשירות Google (כמו Google Workspace או Cloud Identity) למשך 8 ימים לכל היותר. GCDS יכול לנקות את המטמון בתדירות גבוהה יותר, בהתאם לגודל הנתונים שנשמרו במטמון. עם זאת, אם המטמון לא נמחק, יכול להיות שיעברו עד 8 ימים עד שיופיעו שינויים שבוצעו ישירות בחשבון Google (באמצעות מסוף Admin או לקוח API אחר). 

כדי לנקות את המטמון באופן ידני:

• מריצים סנכרון מ-Configuration Manager ובוחרים באפשרות לנקות את המטמון בזמן הסנכרון.
• משתמשים בהגדרת flag בשורת הפקודה -f כדי לאלץ ניקוי של המטמון.
• משנים את קובץ התצורה של ה-XML כדי להגדיר את הערך של maxCacheLifetime ל-0.

חשוב: ניקוי המטמון יכול להאריך משמעותית את זמן הסנכרון.

דוגמה: יש לכם קבוצה שקיימת גם בשרת ה-LDAP וגם בחשבון Google. אתם יוצרים כלל החרגה ב-Google לקבוצה הזו, כדי למנוע מ-GCDS לשנות את הקבוצה במהלך הסנכרון.

עם זאת, הכלל הזה גורם ל-GCDS להתנהג כאילו הקבוצה לא קיימת בחשבון Google שלכם. מערכת GCDS מנסה ליצור את הקבוצה, אבל בגלל שהקבוצה כבר קיימת, מוצגת שגיאה ומערכת GCDS מוסיפה אותה למטמון. בסנכרונים הבאים, GCDS משתמש במטמון ומזהה שהקבוצה כבר קיימת. אחרי שהמטמון נמחק, GCDS שוב מתנהג כאילו הקבוצה לא קיימת.

למה צריך להגדיר את GCDS כדי לסנכרן סיסמאות?

הגדרות ברירת המחדל של סנכרון הסיסמאות ב-GCDS משמשות כדי להגדיר איך GCDS יוצרת סיסמאות לחשבונות משתמשים חדשים. אם אתם לא רוצים להתאים אישית את הסיסמה הראשונית לחשבון, אתם לא צריכים לעשות כלום. פשוט משתמשים בהגדרות ברירת המחדל.

אם אתם משתמשים ב-Active Directory, אתם יכולים להשתמש בסנכרון סיסמאות כדי לסנכרן את סיסמאות המשתמשים מ-Active Directory לדומיין שלכם ב-Google.

איך GCDS פותרת התנגשויות כשחלים כמה כללי סנכרון?

הכללים ב-GCDS נבחנים לפי הסדר, מהגבוה לנמוך. 

לדוגמה, אתם מגדירים כלל סנכרון של חשבונות משתמשים כדי ליצור משתמשים ביחידה הארגונית ברמה הבסיסית או ב-/. לאחר מכן אתם יוצרים כלל נמוך יותר כדי ליצור משתמשים ביחידה הארגונית ‎ /Exceptions. אחרי הסנכרון, משתמשים שתואמים לשני הכללים נוצרים ביחידה הארגונית ברמה הבסיסית (root) כי לכלל הזה יש עדיפות גבוהה יותר. 

כדי לוודא שהמשתמשים ממוקמים נכון ב-‎ /Exceptions, צריך לוודא שהכלל מופיע מעל כל כלל אחר שמתנגש איתו. או לוודא שהוא הכלל הראשון ברשימה המסודרת.

איך אפשר לבדוק ולסקור את הסנכרון של GCDS? 

כדי לבצע הרשאה, GCDS משתמש ב-OAuth 2.0 תלת-רגלי. התהליך הזה מעניק ל-GCDS אסימון OAuth 2.0. האסימון מאפשר ל-GCDS לבצע פעולות בשם האדמין שביצע את ההרשאה.

כל אירועי הביקורת מופיעים לפי האדמין שאישר את GCDS. כדאי ליצור חשבון אדמין ייעודי ל-GCDS כדי שתוכלו לראות בבירור את השינויים והביקורות שבוצעו על ידי GCDS.

נושא קשור

אישור חשבון Google

אם מפעילים סנכרון סכימות, האם GCDS מוחק את הסכימות?

במהלך הסנכרון, GCDS בודק את הגדרת ה-LDAP הנוכחית כדי לקבוע אם צריך לשמור או למחוק סכימה מותאמת אישית בחשבון Google.

בנוסף, בקובץ התצורה של GCDS יש הגדרה של schemaHistory שמכילה מידע על סכימות מותאמות אישית שסונכרנו בעבר. אם סנכרנתם סכימה מותאמת אישית באמצעות GCDS, היא תתווסף באופן אוטומטי ל-schemaHistory. אם מוחקים באופן ידני את ההגדרות של schemaHistory בקובץ התצורה, והסכימה המותאמת אישית לא קיימת בספריית ה-LDAP, ‏GCDS מדלג על הסכימה המותאמת אישית בחשבון Google ולא מוחק אותה.

כדי למחוק באופן ידני את schemaHistory בקובץ התצורה, מחפשים את: 

<schemas>
   <schemaDefinitions />
   <schemaHistory>
      <schemaName>GroupMembership</schemaName>
   </schemaHistory>
</schemas>

האם אפשר לסנכרן את GCDS מכמה ספריות LDAP?

מערכת GCDS יכולה לסנכרן רק מספריית LDAP אחת. אם יש לכם כמה ספריות LDAP, אתם צריכים לאחד את נתוני שרת ה-LDAP לספרייה אחת. פרטים נוספים זמינים בשלב 2 במאמר בנושא הכנת ספריית LDAP.

איך GCDS יוצר את המפתח הסימטרי ומאחסן אותו בצורה מאובטחת?

המפתח הסימטרי שמצפין את טוקן הרענון של GCDS נוצר על ידי KeyGenerator של Java crypto כברירת מחדל באמצעות AES 128. 

האחסון של המפתח הסימטרי מטופל על ידי השיטה userNodeForPackage במחלקה Preferences ב-Java. המיקום המדויק של המפתח לא נשלט על ידי GCDS והוא תלוי במערכת ההפעלה.

ב-Windows, נתוני ההעדפות מאוחסנים בכוורת הרישום של המשתמש. ב-Linux, הוא מאוחסן בספריית הבית של המשתמש.

אנחנו ממליצים ללקוחות לפעול לפי השיטות המומלצות כדי לוודא שהמפתח מאובטח כראוי, גם באמצעות מערכת קבצים מוצפנת וגם באמצעות הגדרת רשימות ACL מגבילות.

מהו המזהה הייחודי?

המזהה הייחודי (שנקרא גם המפתח הראשי שאינו כתובת) משמש את GCDS באופן פנימי ולא מסונכרן עם Google Workspace. ‫GCDS מאחסן את המזהה הייחודי בקובץ TSV במחשב שבו GCDS מותקן. אתם יכולים למצוא את שם קובץ ה-TSV ואת הנתיב המלא שלו בקובץ התצורה של ה-XML.

אם משנים את השם של משתמש בשרת ה-LDAP אבל לא ב-Google Workspace, ‏GCDS משתמש במזהה הייחודי כדי למנוע מחיקה או שכפול של פרטי המשתמש.

הערה: אם תשנו באופן ידני את כתובות האימייל של המשתמשים גם בשרת ה-LDAP וגם ב-Google Workspace, יכול להיות שיהיו בעיות בסנכרון. כדי למנוע את הבעיה הזו, צריך להסיר את רשומות המשתמשים המתאימות מקובץ ה-TSV לפני שמפעילים את GCDS.

איך אפשר לסנכרן קבוצות אבטחה מ-Active Directory או מספריית LDAP ולהשתמש בהן ב-Cloud IAM? 

אתם יכולים להגדיר את GCDS לסנכרן קבוצות אבטחה באמצעות כללי חיפוש של LDAP.

דוגמה 1: חיפוש של כל קבוצות האבטחה

בדוגמה הזו מוצג חיפוש LDAP של כל קבוצות האבטחה שיש להן כתובת אימייל:

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*))

דוגמה 2: חיפוש קבוצת משנה של קבוצות אבטחה

אם רוצים לסנכרן קבוצת משנה של קבוצות אבטחה, אפשר להשתמש ב-extensionAttribute1 ולהגדיר ערך ספציפי, כמו GoogleCloud. לאחר מכן, אפשר לשפר את השאילתה של GCDS כדי להקצות רק את קבוצת המשנה הספציפית של קבוצות האבטחה.

בדוגמה הזו מוצג חיפוש LDAP של כל קבוצות האבטחה שיש להן כתובת אימייל ואת המאפיין GoogleCloud:

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*)(extensionAttribute1=GoogleCloud))

חשוב לדעת:

• כל הקבוצות בדומיין של Google מקבלות כתובת אימייל. אתם צריכים לוודא שלכל קבוצות האבטחה שאתם רוצים לסנכרן יש מאפיין אימייל תקין.
• לקבוצה שנוצרה בדומיין של Google אין באופן אוטומטי תפקיד מפורש ב-Cloud Identity and Access Management (IAM) של Google. אחרי שיוצרים קבוצה, צריך להשתמש ב-Cloud IAM כדי להקצות לה תפקידים ספציפיים.

איך אפשר להוסיף משתמשים שצריכים חשבון רק לפרויקטים ב-Google Cloud?

כדי להגדיר את GCDS, אתם יכולים להוסיף כלל סנכרון משתמשים למשתמשי Google Cloud. הדרך הכי פשוטה היא ליצור שאילתה חדשה שמבוססת על המשתמשים שחברים בקבוצה, לדוגמה:

(&(memberof=cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

אחר כך, אתם יכולים להשתמש במסנן החיפוש הבא כדי להחזיר משתמשים שחברים בקבוצה, שיש להם כתובת אימייל ושהחשבונות שלהם לא מושעים: 

group cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com

כדאי להעביר את המשתמשים האלה ליחידה ארגונית אחת. כדי לעשות את זה, מגדירים בכלל שם של יחידה ארגונית (לדוגמה, משתמשי Cloud). יוצרים את היחידה הארגונית אם היא עדיין לא קיימת. 

בעיות ברישוי

כדאי לבדוק איך הדומיין מוגדר כדי להקצות רישיונות למוצרים לחשבונות המשתמשים בצורה מתאימה. אם הפעלתם הקצאת רישיונות אוטומטית, יכול להיות שתרצו להחריג את היחידה הארגונית "משתמשי Cloud" מהקצאת רישיון למוצר. פרטים נוספים זמינים במאמר הגדרת אפשרויות רישוי אוטומטיות לארגון.

אם יש לכם דרישות רישוי מורכבות יותר, אתם יכולים להגדיר את GCDS כך שיסנכרן וינהל את כל הקצאות הרישיונות למשתמשים. פרטים נוספים זמינים במאמר בנושא סנכרון רישיונות.