Soluciona problemas relacionados con certificados

Es posible que veas los siguientes errores relacionados con los certificados en el archivo de registro de Google Cloud Directory Sync (GCDS):

  • sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
  • ldap_simple_bind_s() failed: Strong Authentication Required

Sigue los pasos que se indican a continuación para corregir estos errores.

Contenido de esta página

Cómo corregir errores relacionados con certificados

Pasos para Microsoft Windows

Actualiza el archivo vmoption

  1. Cierra el Administrador de configuración.
  2. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions.

    Por lo general, el directorio de instalación es C:\Archivos de programa\Google Cloud Directory Sync.

  3. Edita los archivos para agregar las siguientes líneas:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT
    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Reinicia Configuration Manager y ve a la página Configuración de LDAP.
  5. En Tipo de conexión, especifica LDAP+SSL.
  6. En Puerto, elige una opción:
    • Si antes usabas 389, especifica 636.
    • Si antes usabas 3268, especifica 3269.
  7. Haz clic en Probar conexión.
  8. Si recibes el siguiente mensaje:

Importa el certificado de servidor

También puedes seguir estos pasos para importar certificados para servidores LDAP o proxies HTTP que usen certificados autofirmados.

  1. Accede al controlador de dominio y abre un símbolo del sistema.
  2. Para exportar el certificado del controlador de dominio, ingresa el siguiente comando:

    certutil -store My DomainController dccert.cer

  3. Copia el archivo dccert.cer en el servidor donde está instalado GCDS.
  4. Como administrador, abre un símbolo del sistema.
  5. Para abrir la carpeta de instalación del entorno de ejecución de Java (JRE) de GCDS, ingresa el siguiente comando:

    cd "c:\Program Files\Google Cloud Directory Sync\jre"

    Si ejecutas una versión de 32 bits de GCDS instalada en un sistema Windows de 64 bits, usa cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre".

  6. Para importar el certificado del controlador de dominio, ingresa el siguiente comando:

    bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

    Si necesitas importar más de un certificado, repite estos pasos con un alias diferente en lugar de mydc.

  7. Ingresa Yes para confiar en el certificado.
  8. Cierra el Administrador de configuración.
  9. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.
  10. En cada archivo, quita lo siguiente:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Cuando quitas las líneas, GCDS usa el almacén de certificados en lib/security/cacerts en lugar del almacén del sistema de Windows.

  11. Abre el Administrador de configuración, ve a la página Configuración de LDAP y haz clic en Probar conexiones.
  12. Si sigues viendo errores relacionados con el certificado, es posible que debas importar el certificado de la autoridad certificadora (AC) de tu organización en lugar del certificado del controlador de dominio. Para ello, repite estos pasos, pero exporta e importa el certificado de la AC.

Pasos para Linux

También puedes seguir estos pasos para importar certificados para servidores LDAP o proxies HTTP que usen certificados autofirmados.

  1. Accede al controlador de dominio y abre un símbolo del sistema.
  2. Para ubicar el certificado de dominio, ingresa el siguiente comando:

    certutil -store My DomainController dccert.cer

  3. Copia el archivo dccert.cer en el servidor donde está instalado GCDS.
  4. Para abrir la carpeta de instalación del entorno de ejecución de Java (JRE) de GCDS, abre un símbolo del sistema y, luego, ingresa el siguiente comando:

    cd ~/GoogleCloudDirSync/jre

  5. Para importar el certificado del controlador de dominio, ingresa el siguiente comando:

    bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

    Si necesitas importar más de un certificado, repite estos pasos con un alias diferente en lugar de mydc.

  6. Ingresa Yes para confiar en el certificado.
  7. Cierra el Administrador de configuración.
  8. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.

    Por lo general, el directorio de instalación es ~/GoogleCloudDirSync.

  9. En cada archivo, quita lo siguiente:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Cuando quitas las líneas, GCDS usa el almacén de certificados en lib/security/cacerts en lugar del almacén del sistema de Windows.

  10. Abre el Administrador de configuración, ve a la página Configuración de LDAP y haz clic en Probar conexiones.
  11. Si sigues viendo errores relacionados con el certificado, es posible que debas importar el certificado de la autoridad certificadora (AC) de tu organización en lugar del certificado del controlador de dominio. Para ello, repite estos pasos, pero exporta e importa el certificado de la AC.

Cómo GCDS verifica las listas de revocación de certificados

GCDS necesita validar los certificados de capa de conexión segura (SSL) cuando se conecta a las APIs de Google (a través de HTTPS) y a LDAP a través de SSL. Para ello, GCDS recupera las listas de revocación de certificados (CRL) de las autoridades certificadoras a través de HTTP. A veces, estas validaciones fallan, por lo general, debido a que un proxy o un firewall bloquean la solicitud HTTP.

Asegúrate de que el servidor de GCDS pueda acceder a las siguientes URLs a través de HTTP (puerto 80):

  • http://crl.pki.goog
  • http://c.pki.goog

Para obtener detalles sobre las CRL actuales, consulta Verificación de CRL. Es posible que se necesiten URLs adicionales si usas tus propios certificados para LDAP sobre SSL.

Si no puedes permitir el acceso a la CRL, puedes desactivar las verificaciones de CRL:

  1. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.

    Por lo general, el directorio de instalación es C:\Archivos de programa\Google Cloud Directory Sync (Windows) o ~/GoogleCloudDirSync (Linux).

  2. Agrega estas líneas a los archivos:

    -Dcom.sun.net.ssl.checkRevocation=false
    -Dcom.sun.security.enableCRLDP=false

La sincronización es lenta después de cambiar a LDAP+SSL

Si cambiaste a LDAP+SSL y el proceso de sincronización se ralentizó, haz lo siguiente:

  1. Cierra el Administrador de configuración.

  2. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.

    Por lo general, el directorio de instalación es C:\Archivos de programa\Google Cloud Directory Sync (Windows) o ~/GoogleCloudDirSync (Linux).

  3. Edita los archivos para agregar las siguientes líneas:

    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Guarda los archivos y vuelve a intentar la sincronización.

Garantiza la autenticación después de la actualización de Microsoft ADV190023

Si usas Microsoft Active Directory con la vinculación de canales y la firma LDAP activadas, debes realizar pasos adicionales para asegurarte de que GCDS se autentique con LDAP por SSL. De lo contrario, GCDS no se conectará a Active Directory y tus sincronizaciones fallarán. Debes seguir estos pasos incluso si ya ejecutaste una sincronización con la autenticación LDAP estándar. Para obtener detalles sobre el aviso ADV190023 de Microsoft, consulta la documentación de Microsoft.

Si ya usas LDAP sobre SSL correctamente, no necesitas realizar ninguna acción.

Paso 1: Activa TLS en Active Directory

Los términos TLS y SSL suelen usarse de manera indistinta.

Para activar TLS en Active Directory, consulta estos artículos de Microsoft:

Paso 2: Asegúrate de que el certificado sea de confianza

La autoridad certificadora (AC) que firmó el certificado de tu controlador de dominio debe ser de confianza para GCDS. La mayoría de las AC de Internet conocidas, como Verisign, Comodo y Let's Encrypt, son de confianza. Si usas estas AC, puedes omitir este paso.

Si tu CA no es de confianza o si usas tu propia CA raíz, sigue los pasos anteriores que se indican en Corrige errores relacionados con los certificados.

Paso 3: Configura Configuration Manager

  1. Abre Configuration Manager y ve a la página LDAP Configuration.
  2. En el parámetro de configuración Tipo de conexión, especifica LDAP+SSL.
  3. En el parámetro de configuración Puerto, especifica 636 (si antes usaste 389) o 3269 (si antes usaste 3268).
  4. Haz clic en Probar conexión.


Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.