Problemen met Cloud Directory Sync oplossen

• Zorg ervoor dat de Data Connectors API aanstaat in het project. Ga naar De Data Connectors API aanzetten voor meer informatie.
• Als er een perimeterregel voor Virtual Private Cloud (VPC) Service Controls is ingesteld en de Google Cloud-console de bijbehorende PERMISSION_DENIED-fouten voor storage.googleapis.com bevat, moet u toegang tot de Cloud Storage API toestaan voor uw project. Als u ook bijbehorende fouten voor artifactregistry.googleapis.com ziet, voegt u de volgende regel voor uitgaand verkeer toe om toe te staan dat Cloud Directory Sync-bronnen uw externe directory bereiken:

  egress To:
  _ serviceName : artifactregistry.googleapis.com
   methodSelectors :
    - method: artifactregistry.googleapis.com/DockerRead
  Resources
  - projects/397958601689
  egressFrom:
   identityType: ANY_IDENTITY

Ga naar Details en configuratie van de serviceomtrek voor meer informatie over hoe u regels voor de serviceomtrek bewerkt.

Meerdere Directory Sync-verbindingen kunnen niet naar hetzelfde domein verwijzen. Directorysynchronisatie vergelijkt Base DN-namen (DN's) en als de domeinen overeenkomen, wordt er geen directory gemaakt.

U lost dit probleem op door de verbinding met de overeenkomende DN te verwijderen en vervolgens een nieuwe verbinding te maken met hetzelfde domein.

Als u deze foutmelding ziet in de gebeurtenisgegevens in het beheerderslogboek, checkt u of:

• de Microsoft Active Directory-server (AD) actief is,
• Uw netwerk en firewalls zo zijn ingesteld dat inkomend verkeer op de LDAP-poort is toegestaan.
• u de inloggegevens van het geautoriseerde account correct heeft ingevoerd volgens de indeling gebruikersnaam@voorbeeld.com of VOORBEELD\gebruikersnaam.

Als u de foutmelding nog steeds krijgt, voegt u de DNS-servergegevens (Domain Name System) toe om de AD-hostnaam om te zetten. Zie Een externe directory toevoegen voor meer informatie.

U kunt ook een Linux-virtuele machine (VM) maken in hetzelfde subnetwerk als de Virtual Private Cloud-toegangsconnector (VPC). Probeer te telnetten naar het IP-adres van de AD-server op poort 636. Als het telnetten mislukt, controleert u de netwerkinstellingen van de AD-server. Controleer bijvoorbeeld of poort 636 is geopend en beschikbaar is.

Als het telnetten wel lukt, voert u de volgende opdracht in op de Linux-VM om te controleren of de AD-server het juiste certificaat gebruikt:

openssl s_client -showcerts -connect external server IP address:636

U vindt 2 versies van deze fout via de gebeurtenisgegevens van het beheerderslogboek.

Fout 1: Er is een fout opgetreden bij het verbinden met de server (server-IP) binnen de geconfigureerde time-out van 10.000 milliseconden

Deze fout geeft aan dat Directory Sync geen verbinding kan maken met de Active Directory-server (AD). Zorg dat u AD correct heeft ingesteld om problemen op te lossen. Ga naar Een AD-directory toevoegen voor meer informatie.

Fout 2: Er is een fout opgetreden bij het tot stand brengen van een verbinding met de server (server-IP): (SSLHandshakeException(sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target)

Deze fout geeft aan dat het AD TLS-certificaat niet overeenkomt met het certificaat dat u heeft bijgevoeg toen u de verbinding met de externe directory configureerde. Zorg dat de certificaten overeenkomen om dit probleem op te lossen. Ga naar Een AD-directory toevoegen voor meer informatie.

Als u het AD TLS-certificaat lokaal wilt opslaan, voert u het volgende script in Microsoft Powershell in en vervangt u localhost door de DNS-record of het IP-adres van uw AD-server:

$webRequest = [Net.WebRequest]::Create("https://localhost:636")
try { $webRequest.GetResponse() } catch {}
$cert = $webRequest.ServicePoint.Certificate
$bytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "$pwd\Workspace.cer"

Als u de verbinding tussen Google en Microsoft Azure Active Directory niet kunt testen, controleert u de gebeurtenissen in het beheerderslogboek voor informatie over hoe u het probleem kunt oplossen. Controleer Gebeurtenissen in het beheerderslogboek voor meer informatie.

In de logboekgebeurtenissen van Cloud Directory Sync kan het maken van gebruikers mislukken als een e-mailadres conflicteert met een bestaand onbeheerd persoonlijk account of onbeheerd werkaccount. Check de logboekbeschrijving voor het conflicttype en ga naar Fouten met dubbele accounts oplossen voor oplossingsstappen.

U krijgt mogelijk de volgende fout in de Cloud Directory Sync-logboekgebeurtenissen: Gebruiker kan niet worden gemaakt. Bericht: DOMAIN_OVER_USER_LIMIT_FIX_BY_CONTACT_SUPPORT.

Deze fout wijst op een probleem met de licentie van de gebruiker. Als u het aantal beschikbare licenties in Google Workspace overschrijdt of als er geen licenties beschikbaar zijn om toe te wijzen, wordt de gebruiker niet gemaakt en krijgt u deze foutmelding.

Verhoog het aantal licenties dat beschikbaar is voor uw gebruikers om het probleem op te lossen. Ga naar Meer gebruikerslicenties kopen voor meer informatie.

Gerelateerde onderwerpen

• Logboekgebeurtenissen voor Cloud Directory Sync controleren
• Licenties toewijzen, verwijderen en opnieuw toewijzen

Als u een foutmelding krijgt die begint met Resultaat: Verwijzing, controleert u of de Base DN die u heeft ingevoerd toen u de synchronisatie instelde, correct is.

Als u de algemene cataloguspoort 3269 gebruikt, wijzigt u deze in 636.

In de Directory Sync-logboekgebeurtenissen krijgt u met deze beschrijving misschien synchronisatiefouten. Deze fout treedt meestal op als het gebruikersaccount inactief is of als de e-mail-ID een onjuist domein heeft in AD. Raadpleeg de tabellen om het probleem in uw logboeken op te lossen.

Problemen met logboekitems voor inactieve gebruikers oplossen

Problemen met ongeldige e-mailadressen en onjuiste domeinlogboekvermeldingen oplossen

Gerelateerd onderwerp

Logboekgebeurtenissen voor Cloud Directory Sync controleren

U heeft de rol hoofdbeheerder of Cloud Directory Sync-beheerder of het recht Cloud Directory Sync-instellingen beheren nodig om deze stappen te kunnen uitvoeren.

Als gebruikers en groepen niet worden gesynchroniseerd:

1. Klik in de Google Beheerdersconsole (op admin.google.com) op Directory Sync External directories (Directorysynchronisatie Externe directory's).
2. Controleer de synchronisatiestatus van uw directory.
3. Als de synchronisatie inactief of mislukt is, activeert u de synchronisatie.

   Ga naar Een synchronisatie uitvoeren voor meer informatie.

Als de groep Microsoft Domain Users niet wordt gesynchroniseerd:

De groep Microsoft Domain Users wordt niet ondersteund door Cloud Directory Sync. Meer informatie

1. Maak in Active Directory een nieuwe groep met alle toepasselijke leden en rechten van de groep Microsoft Domain Users.
2. Voeg die groep toe als lid van de groep Microsoft Domain Users.
3. Gebruik de nieuwe groep om leden te beheren en te synchroniseren.

Opmerking: Wijzig de kenmerken van de groep Microsoft Domain Users niet, omdat dit ander onverwacht gedrag kan veroorzaken.

U vindt meer informatie over het oplossen van problemen met deze fout in de gebeurtenissen in het Directory Sync-logboek:

1. Open de logboekgebeurtenissen van Directory Sync.

   Ga naar Gegevens van logboekgebeurtenissen over Directory Sync openen voor meer informatie.

2. Klik op Een filter toevoegen ID doelobject.
3. Voer het e-mailadres van de gebruiker in en klik op Toepassen.
4. Als u een van de volgende meldingen krijgt:
   • Gebeurtenis Object geüpdatet met de beschrijving Nieuwe kenmerken {suspended: true}, Directory Sync heeft de gebruiker opgeschort omdat het account niet actief is in AD.
   • De gebeurtenis Object uitgeschreven. Controleer of de gebruiker is verwijderd uit AD of is verplaatst naar een ander pad dat niet onder het LDAP-zoekbereik valt.

Bepaal welke gebruikers er ontbreken en zorg dat de gebruiker:

• niet is ingesteld op inactief in uw externe directory,
• een rechtstreeks lid is van de groep die u heeft opgegeven toen u de gebruikerssynchronisatie instelde,
• een gebruikersobject is en niet een contact in uw externe directory,
• een e-mail-ID heeft die in uw externe directory staat en dat het domein in de e-mail-ID hetzelfde is als uw Google Workspace-domein.

U vindt meer informatie over het oplossen van problemen in de gebeurtenissen in het Directory Sync-logboek:

1. Open de logboekgebeurtenissen van Directory Sync.

   Ga naar Gegevens van logboekgebeurtenissen over Directory Sync openen voor meer informatie.

2. Klik op Een filter toevoegen ID bronobject.
3. Voeg de DN van de gebruiker toe en klik op Toepassen.
4. Zoek Synchronisatiefout-gebeurtenissen en controleer de fouten.
5. Zoek naar Leesobject-gebeurtenissen met de DN van de gebruiker.
6. Als u geen Leesobject-gebeurtenissen kunt vinden, heeft Directory Sync de gebruiker niet gesynchroniseerd. Veelvoorkomende redenen zijn:
   • Het gebruikerslidmaatschap valt niet binnen het LDAP-zoekbereik (de gebruiker bevindt zich niet in de Base DN van de groep die is ingevoerd toen u de gebruikerssynchronisatie instelde).
   • Directory Sync communiceert met een andere domeincontroller en een incrementele synchronisatie haalt niet alle wijzigingen op. Controleer of de hostnaam en het IP-adres naar dezelfde domeincontroller verwijzen.

Controleer of het groepslid:

• de kenmerkwaarde voor e-mail heeft ingesteld en de e-mail-ID een geldige indeling heeft,
• zich wel bevindt in de Base DN van de groep.

De foutmelding Gebruiker bestaat al treedt meestal op als u een gebruiker in uw externe directory verwijdert en daarna een nieuwe gebruiker maakt met hetzelfde e-mailadres.

Directorysynchronisatie gebruikt een unieke ID om gebruikers te koppelen tussen Google Workspace en uw externe directory. Microsoft Active Directory-gebruikers hebben een ObjectGUID-ID en Microsoft Azure Active Directory-gebruikers hebben een Object ID.

Als u een gebruiker opnieuw maakt in uw externe directory, krijgt de nieuwe gebruiker een oorspronkelijke ObjectGUID of Object ID. Maar omdat het e-mailadres van de nieuwe gebruiker nog steeds aan de verwijderde gebruiker in Workspace is gekoppeld, mislukt de synchronisatie.

Als u van plan bent een gebruiker met hetzelfde e-mailadres opnieuw te maken, behoudt u de ObjectGUID of Object ID van de gebruiker in uw externe directory. U kunt ook de naam van het e-mailadres van de gebruiker wijzigen of het e-mailadres verwijderen in Workspace, zodat Cloud Directory Sync het gebruikersaccount kan koppelen aan de nieuwe gebruiker in uw externe directory.