Khắc phục các vấn đề liên quan đến chứng chỉ

Các bước dành cho Microsoft Windows

Cập nhật tệp vmoption

1. Đóng Trình quản lý cấu hình.
2. Trong thư mục cài đặt GCDS, hãy mở tệp sync-cmd.vmoptions và config-manager.vmoptions.

   Thư mục cài đặt thường là C:\Program Files\Google Cloud Directory Sync.

3. Chỉnh sửa các tệp để thêm các dòng sau:

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT
   -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
   -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

4. Khởi động lại Trình quản lý cấu hình rồi chuyển đến trang Cấu hình LDAP.
5. Đối với Loại kết nối, hãy chỉ định LDAP+SSL.
6. Đối với Cổng , hãy chọn một cách:
   • Nếu trước đây bạn đã sử dụng 389, hãy chỉ định 636
   • Nếu trước đây bạn đã sử dụng 3268, hãy chỉ định 3269.
7. Nhấp vào Kiểm tra kết nối.
8. Nếu bạn nhận được:
   • Lỗi chứng chỉ – Trên máy tính đang chạy GCDS, hãy đảm bảo rằng Windows tin cậy chứng chỉ đó. Sau đó, hãy chuyển sang Bước 2: Nhập chứng chỉ máy chủ (bên dưới trên trang này).
   • Lỗi kiểm tra trạng thái thu hồi chứng chỉ – Hãy làm theo các bước trong bài viết Cách GCDS kiểm tra danh sách thu hồi chứng chỉ.
   • Các lỗi khác (ví dụ: lỗi mạng) – Hãy chuyển đến bài viết Khắc phục các vấn đề thường gặp về GCDS.

Nhập chứng chỉ máy chủ

Bạn cũng có thể sử dụng các bước này để nhập chứng chỉ cho máy chủ LDAP hoặc proxy HTTP sử dụng chứng chỉ tự ký.

1. Đăng nhập vào bộ điều khiển miền rồi mở lời nhắc lệnh.
2. Để xuất chứng chỉ bộ điều khiển miền, hãy nhập lệnh sau:

   certutil -store My DomainController dccert.cer

3. Sao chép tệp dccert.cer vào máy chủ đã cài đặt GCDS.
4. Với tư cách quản trị viên, hãy mở lời nhắc lệnh.
5. Để mở thư mục cài đặt Môi trường chạy Java (JRE) của Google Cloud Directory Sync (GCDS), hãy nhập lệnh sau:

   cd "c:\Program Files\Google Cloud Directory Sync\jre"

   Nếu bạn đang chạy phiên bản GCDS 32 bit được cài đặt trên hệ thống Windows 64 bit, hãy sử dụng cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre"

6. Để nhập chứng chỉ của bộ điều khiển miền, hãy nhập lệnh sau:

   bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

   Nếu bạn cần nhập nhiều chứng chỉ, hãy lặp lại các bước này bằng một bí danh khác thay cho mydc.

7. Nhập Có để tin cậy chứng chỉ.
8. Đóng Trình quản lý cấu hình.
9. Trong thư mục cài đặt GCDS, hãy mở tệp sync-cmd.vmoptions và config-manager.vmoptions bằng trình chỉnh sửa văn bản.
10. Trong mỗi tệp, hãy xoá:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Khi bạn xoá các dòng này, GCDS sẽ sử dụng kho chứng chỉ trong lib/security/cacerts thay vì kho hệ thống Windows.

11. Mở Trình quản lý cấu hình, chuyển đến trang Cấu hình LDAP rồi nhấp vào Kiểm tra kết nối.
12. Nếu bạn vẫn thấy các lỗi liên quan đến chứng chỉ, thì có thể bạn cần nhập chứng chỉ của Tổ chức cấp chứng chỉ (CA) của tổ chức thay vì chứng chỉ bộ điều khiển miền. Để thực hiện việc này, hãy lặp lại các bước này nhưng xuất và nhập chứng chỉ CA.

Các bước dành cho Linux

Bạn cũng có thể sử dụng các bước này để nhập chứng chỉ cho máy chủ LDAP hoặc proxy HTTP sử dụng chứng chỉ tự ký.

1. Đăng nhập vào bộ điều khiển miền rồi mở lời nhắc lệnh.
2. Để tìm chứng chỉ miền, hãy nhập lệnh sau:

   certutil -store My DomainController dccert.cer

3. Sao chép tệp dccert.cer vào máy chủ đã cài đặt GCDS.
4. Để mở thư mục cài đặt Môi trường chạy Java (JRE) của Google Cloud Directory Sync (GCDS), hãy mở dấu nhắc lệnh rồi nhập lệnh sau:

   cd ~/GoogleCloudDirSync/jre

5. Để nhập chứng chỉ của bộ điều khiển miền, hãy nhập lệnh sau:

   bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

   Nếu bạn cần nhập nhiều chứng chỉ, hãy lặp lại các bước này bằng một bí danh khác thay cho mydc.

6. Nhập Có để tin cậy chứng chỉ.
7. Đóng Trình quản lý cấu hình.
8. Trong thư mục cài đặt GCDS, hãy mở tệp sync-cmd.vmoptions và config-manager.vmoptions bằng trình chỉnh sửa văn bản.

   Thư mục cài đặt thường là ~/GoogleCloudDirSync.

9. Trong mỗi tệp, hãy xoá:

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT

   Khi bạn xoá các dòng này, GCDS sẽ sử dụng kho chứng chỉ trong lib/security/cacerts thay vì kho hệ thống Windows.

10. Mở Trình quản lý cấu hình, chuyển đến trang Cấu hình LDAP rồi nhấp vào Kiểm tra kết nối.
11. Nếu bạn vẫn thấy các lỗi liên quan đến chứng chỉ, thì có thể bạn cần nhập chứng chỉ của Tổ chức cấp chứng chỉ (CA) của tổ chức thay vì chứng chỉ bộ điều khiển miền. Để thực hiện việc này, hãy lặp lại các bước này nhưng xuất và nhập chứng chỉ CA.

Bước 1: Bật TLS trong Active Directory

Các thuật ngữ TLS và SSL thường được sử dụng thay thế cho nhau.

Để bật TLS trong Active Directory, hãy tham khảo các bài viết sau của Microsoft:

• Enable LDAP over SSL with a third-party certification authority (Bật LDAP qua SSL bằng tổ chức cấp chứng chỉ bên thứ ba)
• Creating Custom Secure LDAP Certificates for Domain Controllers with Auto Renewal (Tạo chứng chỉ LDAP bảo mật tuỳ chỉnh cho bộ điều khiển miền có tính năng tự động gia hạn)
• Troubleshoot LDAP over SSL connection problems (Khắc phục sự cố kết nối LDAP qua SSL)

Bước 2: Đảm bảo rằng chứng chỉ được tin cậy

Tổ chức cấp chứng chỉ (CA) đã ký chứng chỉ của bộ điều khiển miền phải được GCDS tin cậy. Hầu hết các CA internet nổi tiếng, chẳng hạn như Verisign, Comodo và Let's Encrypt đều được tin cậy. Nếu sử dụng các CA này, bạn có thể bỏ qua bước này.

Nếu CA của bạn không được tin cậy hoặc nếu bạn đang sử dụng CA gốc của riêng mình, hãy làm theo các bước ở trên trong phần Khắc phục các lỗi liên quan đến chứng chỉ.

Bước 3: Thiết lập Trình quản lý cấu hình

1. Mở Trình quản lý cấu hình rồi chuyển đến trang Cấu hình LDAP.
2. Đối với chế độ cài đặt Loại kết nối, hãy chỉ định LDAP+SSL.
3. Đối với chế độ cài đặt Cổng, hãy chỉ định 636 (nếu trước đây bạn đã sử dụng 389) hoặc 3269 (nếu trước đây bạn đã sử dụng 3268).
4. Nhấp vào Kiểm tra kết nối.