Problemen met certificaten oplossen

Mogelijk ziet u de volgende certificaatgerelateerde fouten in uw Google Cloud Directory Sync (GCDS)-logbestand:

  • sun.security.provider.certpath.SunCertPathBuilderException: kan geen geldig certificeringspad vinden naar het gevraagde doel
  • ldap_simple_bind_s() mislukt: Sterke authenticatie vereist

Volg de onderstaande stappen om deze fouten te verhelpen.

Op deze pagina

Corrigeer certificaatgerelateerde fouten.

Stappen voor Microsoft Windows

Werk het vmoption-bestand bij.

  1. Configuratiebeheer sluiten.
  2. Open in de installatiemap van GCDS de bestanden sync-cmd.vmoptions en config-manager.vmoptions .

    De installatiemap is meestal C:\Program Files\Google Cloud Directory Sync .

  3. Bewerk de bestanden en voeg de volgende regels toe:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT
    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Start Configuration Manager opnieuw op en ga naar de pagina LDAP-configuratie .
  5. Selecteer bij Verbindingstype LDAP+SSL .
  6. Kies voor de poort een optie:
    • Als u eerder 389 hebt gebruikt, geef dan 636 op.
    • Als u eerder 3268 hebt gebruikt, geef dan 3269 op.
  7. Klik op Verbinding testen .
  8. Als je het volgende krijgt:

Importeer het servercertificaat

Je kunt deze stappen ook gebruiken om certificaten te importeren voor LDAP-servers of HTTP-proxy's die gebruikmaken van zelfondertekende certificaten.

  1. Meld u aan bij de domeincontroller en open een opdrachtprompt.
  2. Om het certificaat van de domeincontroller te exporteren, voert u de volgende opdracht in:

    certutil -store Mijn domeincontroller dccert.cer

  3. Kopieer het bestand dccert.cer naar de server waarop GCDS is geïnstalleerd.
  4. Open als beheerder een opdrachtprompt.
  5. Om de installatiemap van de GCDS Java Runtime Environment (JRE) te openen, voert u de volgende opdracht in:

    cd "c:\Program Files\Google Cloud Directory Sync\jre"

    Als je een 32-bits versie van GCDS gebruikt die is geïnstalleerd op een 64-bits Windows-systeem, gebruik dan cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre"

  6. Om het certificaat van de domeincontroller te importeren, voert u de volgende opdracht in:

    bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

    Als u meer dan één certificaat moet importeren, herhaalt u deze stappen met een andere alias in plaats van mydc .

  7. Voer 'Ja' in om het certificaat te vertrouwen.
  8. Configuratiebeheer sluiten.
  9. Open in de installatiemap van GCDS met een teksteditor de bestanden sync-cmd.vmoptions en config-manager.vmoptions .
  10. Verwijder in elk bestand:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Als je de regels verwijdert, gebruikt GCDS het certificaatarchief in lib/security/cacerts in plaats van het Windows-systeemarchief.

  11. Open Configuration Manager , ga naar de pagina LDAP-configuratie en klik op Verbindingen testen .
  12. If you're still seeing certificate-related errors, you might need to import your organization's Certificate Authority (CA) certificate rather than your domain controller certificate. To do this, repeat these steps but export and import the CA certificate instead.

Stappen voor Linux

Je kunt deze stappen ook gebruiken om certificaten te importeren voor LDAP-servers of HTTP-proxy's die gebruikmaken van zelfondertekende certificaten.

  1. Meld u aan bij de domeincontroller en open een opdrachtprompt.
  2. Om het domeincertificaat te vinden, voert u de volgende opdracht in:

    certutil -store Mijn domeincontroller dccert.cer

  3. Kopieer het bestand dccert.cer naar de server waarop GCDS is geïnstalleerd.
  4. Om de installatiemap van de GCDS Java Runtime Environment (JRE) te openen, opent u een opdrachtprompt en voert u de volgende opdracht in:

    cd ~/GoogleCloudDirSync/jre

  5. Om het certificaat van de domeincontroller te importeren, voert u de volgende opdracht in:

    bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

    Als u meer dan één certificaat moet importeren, herhaalt u deze stappen met een andere alias in plaats van mydc .

  6. Voer 'Ja' in om het certificaat te vertrouwen.
  7. Configuratiebeheer sluiten.
  8. Open in de installatiemap van GCDS met een teksteditor de bestanden sync-cmd.vmoptions en config-manager.vmoptions .

    De installatiemap is meestal ~/GoogleCloudDirSync .

  9. Verwijder in elk bestand:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Als je de regels verwijdert, gebruikt GCDS het certificaatarchief in lib/security/cacerts in plaats van het Windows-systeemarchief.

  10. Open Configuration Manager , ga naar de pagina LDAP-configuratie en klik op Verbindingen testen .
  11. If you're still seeing certificate-related errors, you might need to import your organization's Certificate Authority (CA) certificate rather than your domain controller certificate. To do this, repeat these steps but export and import the CA certificate instead.

Hoe GCDS certificaatintrekkingslijsten controleert

GCDS needs to validate Secure Sockets Layer (SSL) certificates when connecting to Google APIs (over HTTPS) and to LDAP over SSL. GCDS does this by retrieving certificate revocation lists (CRLs) from Certificate Authorities over HTTP. Sometimes, these validations fail, usually due to a proxy or firewall blocking the HTTP request.

Zorg ervoor dat de GCDS-server de volgende URL's via HTTP (poort 80) kan benaderen:

  • http://crl.pki.goog
  • http://crls.pki.goog
  • http://c.pki.goog

Voor details over de huidige CRL's kunt u terecht op CRL-controle . Mogelijk zijn er aanvullende URL's nodig als u uw eigen certificaten gebruikt voor LDAP via SSL.

Als u geen toegang tot de CRL kunt toestaan, kunt u de CRL-controles uitschakelen:

  1. Open in de installatiemap van GCDS de bestanden sync-cmd.vmoptions en config-manager.vmoptions met een teksteditor.

    De installatiemap is meestal C:\Program Files\Google Cloud Directory Sync (Windows) of ~/GoogleCloudDirSync (Linux).

  2. Voeg deze regels toe aan de bestanden:

    -Dcom.sun.net.ssl.checkRevocation=false
    -Dcom.sun.security.enableCRLDP=false

De synchronisatie verloopt traag na overschakeling naar LDAP+SSL.

Als u bent overgeschakeld naar LDAP+SSL en uw synchronisatieproces is vertraagd:

  1. Configuratiebeheer sluiten.

  2. Open in de installatiemap van GCDS de bestanden sync-cmd.vmoptions en config-manager.vmoptions met een teksteditor.

    De installatiemap is meestal C:\Program Files\Google Cloud Directory Sync (Windows) of ~/GoogleCloudDirSync (Linux).

  3. Bewerk de bestanden en voeg de volgende regels toe:

    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Sla de bestanden op en probeer de synchronisatie opnieuw.

Zorg voor authenticatie na de Microsoft ADV190023-update.

Als u Microsoft Active Directory gebruikt met ingeschakelde kanaalbinding en LDAP-ondertekening, moet u extra stappen ondernemen om ervoor te zorgen dat GCDS zich via SSL met LDAP verifieert. Anders maakt GCDS geen verbinding met Active Directory en mislukken uw synchronisaties. U moet deze stappen ook uitvoeren als u eerder een synchronisatie hebt uitgevoerd met standaard LDAP-verificatie. Raadpleeg uw Microsoft-documentatie voor meer informatie over Microsoft-advies ADV190023.

Als u al succesvol gebruikmaakt van LDAP via SSL, hoeft u geen stappen te ondernemen.

Stap 1: Schakel TLS in Active Directory in.

De termen TLS en SSL worden vaak door elkaar gebruikt.

Om TLS in Active Directory in te schakelen, raadpleegt u deze Microsoft-artikelen:

Stap 2: Zorg ervoor dat het certificaat betrouwbaar is.

The Certificate Authority (CA) that signed your domain controller's certificate must be trusted by GCDS. Most well-known internet CAs, such as Verisign, Comodo, and Let's Encrypt, are trusted. If you use these CAs, you can skip this step.

Als uw CA niet wordt vertrouwd of als u uw eigen root-CA gebruikt, volg dan de stappen hierboven in ' Certificaatgerelateerde fouten oplossen' .

Stap 3: Configuratiebeheer instellen

  1. Open Configuration Manager en ga naar de pagina LDAP-configuratie .
  2. Selecteer bij de instelling voor het verbindingstype LDAP+SSL .
  3. Voor de poortinstelling geeft u 636 op (als u eerder 389 gebruikte) of 3269 (als u eerder 3268 gebruikte).
  4. Klik op Verbinding testen .


Google, Google Workspace en aanverwante merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waaraan ze zijn verbonden.