פתרון בעיות שקשורות לאישורים

יכול להיות שתראו את השגיאות הבאות שקשורות לאישורים בקובץ היומן של Google Cloud Directory Sync ‏(GCDS):

  • sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
  • ‫ldap_simple_bind_s()‎ נכשל: נדרש אימות חזק

כדי לתקן את השגיאות האלה, בצעו את השלבים הבאים.

הנושאים בדף

תיקון שגיאות שקשורות לאישורים

שלבים ל-Microsoft Windows

עדכון הקובץ vmoption

  1. סוגרים את Configuration Manager.
  2. בספריית ההתקנה של GCDS, פותחים את הקבצים sync-cmd.vmoptions ו-config-manager.vmoptions.

    ספריית ההתקנה היא בדרך כלל C:\Program Files\Google Cloud Directory Sync.

  3. עורכים את הקבצים כדי להוסיף את השורות הבאות:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT
    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. מפעילים מחדש את Configuration Manager ועוברים לדף LDAP Configuration.
  5. בשדה Connection type, מציינים LDAP+SSL.
  6. בוחרים אפשרות בשדה יציאה:
    • אם השתמשתם בעבר ב-389, ציינו 636
    • אם השתמשתם בעבר ב-3268, ציינו 3269.
  7. לוחצים על בדיקת החיבור.
  8. אם מקבלים:
    • שגיאה באישור – במחשב שבו GCDS פועל, צריך לוודא שהאישור מהימן על ידי Windows. אחר כך, ממשיכים אל שלב 2: מייבאים את אישור השרת (בהמשך הדף הזה).
    • שגיאה בבדיקת ביטול אישור – פועלים לפי השלבים בקטע איך רשימות אישורים שבוטלו נבדקות ב-GCDS.
    • שגיאות אחרות (לדוגמה, שגיאות בחיבור לרשת) – אפשר לעבור למאמר פתרון בעיות נפוצות ב-GCDS.

ייבוא אישור השרת

אפשר גם להשתמש בשלבים האלה כדי לייבא אישורים לשרתי LDAP או לשרתי proxy ל-HTTP שמשתמשים באישורים חתומים באופן עצמי.

  1. נכנסים לבקר הדומיין ופותחים את שורת הפקודה.
  2. כדי לייצא את האישור של בקר הדומיין, מזינים את הפקודה הבאה:

    certutil -store My DomainController dccert.cer

  3. מעתיקים את הקובץ dccert.cer לשרת שבו GCDS מותקן.
  4. כאדמין, פותחים את שורת הפקודה.
  5. כדי לפתוח את תיקיית ההתקנה של סביבת זמן הריצה של Java‏ (JRE) ב-GCDS, מזינים את הפקודה הבאה:

    cd "c:\Program Files\Google Cloud Directory Sync\jre"

    אם אתם מריצים גרסת 32 ביט של GCDS שמותקנת במערכת Windows של 64 ביט, צריך להשתמש ב-cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre"

  6. כדי לייבא את האישור של בקר הדומיין, מזינים את הפקודה הבאה:

    bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

    אם אתם צריכים לייבא יותר מאישור אחד, חזרו על השלבים האלה והשתמשו בכינוי אחר במקום mydc.

  7. מזינים Yes כדי לתת אמון באישור.
  8. סוגרים את Configuration Manager.
  9. בספריית ההתקנה של GCDS, פותחים את הקבצים sync-cmd.vmoptions ו-config-manager.vmoptions באמצעות כלי לעריכת טקסט.
  10. בכל קובץ, מסירים את:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    כשמסירים את השורות, GCDS משתמש במאגר האישורים ב-lib/security/cacerts במקום במאגר המערכת של Windows.

  11. פותחים את Configuration Manager, עוברים לדף LDAP Configuration ולוחצים על Test Connections.
  12. אם עדיין מופיעות שגיאות שקשורות לאישור, יכול להיות שצריך לייבא את אישור ה-CA (רשות האישורים) של הארגון במקום את האישור של בקר הדומיין. כדי לעשות את זה, חוזרים על השלבים האלה אבל מייצאים ומייבאים את אישור ה-CA במקום זאת.

השלבים ב-Linux

אפשר גם להשתמש בשלבים האלה כדי לייבא אישורים לשרתי LDAP או לשרתי proxy ל-HTTP שמשתמשים באישורים בחתימה עצמית.

  1. נכנסים לבקר הדומיין ופותחים את שורת הפקודה.
  2. כדי לאתר את אישור הדומיין, מזינים את הפקודה הבאה:

    certutil -store My DomainController dccert.cer

  3. מעתיקים את הקובץ dccert.cer לשרת שבו GCDS מותקן.
  4. כדי לפתוח את תיקיית ההתקנה של סביבת זמן הריצה של Java‏ (JRE) ב-GCDS, פותחים את שורת הפקודה ומזינים את הפקודה הבאה:

    cd ~/GoogleCloudDirSync/jre

  5. כדי לייבא את האישור של בקר הדומיין, מזינים את הפקודה הבאה:

    bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

    אם אתם צריכים לייבא יותר מאישור אחד, חזרו על השלבים האלה והשתמשו בכינוי אחר במקום mydc.

  6. מזינים Yes כדי לתת אמון באישור.
  7. סוגרים את Configuration Manager.
  8. בספריית ההתקנה של GCDS, פותחים את הקבצים sync-cmd.vmoptions ו-config-manager.vmoptions באמצעות כלי לעריכת טקסט.

    ספריית ההתקנה היא בדרך כלל ‎~/GoogleCloudDirSync.

  9. בכל קובץ, מסירים את:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    כשמסירים את השורות, GCDS משתמש במאגר האישורים ב-lib/security/cacerts במקום במאגר המערכת של Windows.

  10. פותחים את Configuration Manager, עוברים לדף LDAP Configuration ולוחצים על Test Connections.
  11. אם עדיין מופיעות שגיאות שקשורות לאישור, יכול להיות שצריך לייבא את אישור ה-CA (רשות האישורים) של הארגון במקום את האישור של בקר הדומיין. כדי לעשות את זה, חוזרים על השלבים האלה אבל מייצאים ומייבאים את אישור ה-CA במקום זאת.

איך רשימות אישורים שבוטלו נבדקות ב-GCDS

כדי להתחבר ל-Google APIs (דרך HTTPS) ול-LDAP דרך SSL, ‏GCDS צריך לאמת אישורי שכבת שקע מאובטחת (פרוטוקול SSL). כדי לעשות את זה, GCDS מאחזר רשימות של אישורים שבוטלו (CRL) מרשויות אישורים דרך HTTP. לפעמים האימותים האלה נכשלים, בדרך כלל בגלל ששרת proxy או חומת אש חוסמים את בקשת ה-HTTP.

מוודאים שלשרת GCDS יש גישה לכתובות ה-URL הבאות דרך HTTP (יציאה 80):

  • http://crl.pki.goog
  • http://c.pki.goog

פרטים על רשימות ה-CRL הנוכחיות זמינים במאמר בדיקת CRL. אם אתם משתמשים באישורים משלכם ל-LDAP over SSL, יכול להיות שתצטרכו כתובות URL נוספות.

אם אתם לא יכולים לאפשר גישה ל-CRL, אתם יכולים להשבית את בדיקות ה-CRL:

  1. בספריית ההתקנה של GCDS, פותחים את הקבצים sync-cmd.vmoptions ו-config-manager.vmoptions באמצעות כלי לעריכת טקסט.

    ספריית ההתקנה היא בדרך כלל C:\Program Files\Google Cloud Directory Sync (ב-Windows) או ‎~/GoogleCloudDirSync (ב-Linux).

  2. מוסיפים את השורות הבאות לקבצים:

    -Dcom.sun.net.ssl.checkRevocation=false
    -Dcom.sun.security.enableCRLDP=false

הסנכרון איטי אחרי המעבר ל-LDAP+SSL

אם עברתם ל-LDAP+SSL ותהליך הסנכרון שלכם הואט:

  1. סוגרים את Configuration Manager.

  2. בספריית ההתקנה של GCDS, פותחים את הקבצים sync-cmd.vmoptions ו-config-manager.vmoptions באמצעות כלי לעריכת טקסט.

    ספריית ההתקנה היא בדרך כלל C:\Program Files\Google Cloud Directory Sync (ב-Windows) או ‎~/GoogleCloudDirSync (ב-Linux).

  3. עורכים את הקבצים כדי להוסיף את השורות הבאות:

    ‎-Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    ‎-Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. שומרים את הקבצים ומנסים לסנכרן שוב.

איך לוודא שהאימות פועל אחרי עדכון Microsoft ADV190023

אם אתם משתמשים ב-Microsoft Active Directory עם קישור ערוצים וחתימת LDAP מופעלת, אתם צריכים לבצע שלבים נוספים כדי לוודא ש-GCDS מאמת באמצעות LDAP over SSL. אחרת, GCDS לא יתחבר ל-Active Directory והסנכרונים ייכשלו. צריך לבצע את השלבים האלה גם אם כבר הפעלתם סנכרון באמצעות אימות LDAP רגיל. לפרטים על הייעוץ של Microsoft בנושא ADV190023, אפשר לעיין במסמכי התיעוד של Microsoft.

אם אתם כבר משתמשים ב-LDAP over SSL, אתם לא צריכים לעשות כלום.

שלב 1: הפעלת TLS ב-Active Directory

המונחים TLS ו-SSL משמשים לעיתים קרובות לסירוגין.

כדי להפעיל את TLS ב-Active Directory, אפשר לעיין במאמרים הבאים של מיקרוסופט:

שלב 2: וידוא שהאישור מהימן

רשות האישורים (CA) שחתמה על האישור של בקר הדומיין צריכה להיות מהימנה על ידי GCDS. רוב רשויות האישורים המוכרות באינטרנט, כמו Verisign,‏ Comodo ו-Let's Encrypt, הן מהימנות. אם אתם משתמשים ברשויות האישורים האלה, אתם יכולים לדלג על השלב הזה.

אם רשות האישורים לא מהימנה או אם אתם משתמשים באישור בסיס משלכם, בצעו את השלבים שמפורטים למעלה בקטע תיקון שגיאות שקשורות לאישורים.

שלב 3: מגדירים את Configuration Manager

  1. פותחים את Configuration Manager ועוברים לדף LDAP Configuration.
  2. בהגדרה Connection type (סוג החיבור), מציינים LDAP+SSL.
  3. בהגדרת היציאה, מציינים את הערך 636 (אם השתמשתם בעבר ב-389) או 3269 (אם השתמשתם בעבר ב-3268).
  4. לוחצים על בדיקת החיבור.


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.