Felsöka Directory Sync

• Kontrollera att Data Connectors API har aktiverats i projektet. Mer information finns i Aktivera Data Connectors API.
• Om en regel för VPC-tjänstkontroller (Virtual Private Cloud) har konfigurerats och Google Cloud Console har motsvarande PERMISSION_DENIED-fel relaterade till storage.googleapis.com måste du tillåta åtkomst till Cloud Storage API för ditt projekt. Om du även ser motsvarande fel för artifactregistry.googleapis.com lägger du till följande utgående regel för att tillåta att Directory Sync-resurser når din externa katalog:

  egress To:
  _ serviceName : artifactregistry.googleapis.com
   methodSelectors :
    - method: artifactregistry.googleapis.com/DockerRead
  Resources
  - projects/397958601689
  egressFrom:
   identityType: ANY_IDENTITY

Mer information om hur du redigerar regler för tjänstegränser finns i Information om och bekräftelse av tjänstegränser.

Flera Directory Sync-anslutningar kan inte peka på samma domän. Directory Sync jämför unika basnamn (DN). Om domänerna matchar går det inte att skapa katalogen.

Lös problemet genom att radera anslutningen med matchande DN innan du skapar en ny med samma domän.

Om det här felet visas i händelserna i administratörsloggen kontrollerar du följande:

• Active Directory-servern (AD) är igång.
• Nätverket och brandväggarna är konfigurerade för att tillåta inkommande trafik på LDAP-porten.
• Du har angett användaruppgifterna för det auktoriserade kontot på rätt sätt i formatet användarnamn@example.com eller EXAMPLE\användarnamn.

Om felet kvarstår lägger du till information om DNS-servern (domännamnssystem) för att lösa AD-värdnamnet. Mer information finns i Lägga till en extern katalog.

Du kan även skapa en virtuell Linux-dator (VM) i samma delnät som VPC-åtkomstanslutaren (Virtual Private Cloud). Testa att ansluta via telnet till AD-serverns IP-adress på port 636. Om telnet misslyckas verifierar du AD-serverns nätverksinställningar. Kontrollera till exempel att port 636 är öppen och tillgänglig.

Om telnet lyckas kan du kontrollera om AD-servern använder rätt certifikat genom att ange följande kommando på Linux-VM:

openssl s_client -showcerts -connect external server IP address:636

Du kan få två versioner av det här felet i data för administratörslogghändelser.

Fel 1 – ett fel uppstod vid försök att ansluta till servern (server-IP) inom den konfigurerade tidsgränsen på 10 000 millisekunder

Det här felet indikerar att katalogsynkroniseringen inte kunde ansluta till Active Directory-servern (AD). Kontrollera att du har ställt in AD korrekt för att felsöka. Mer information finns i Lägga till en AD-katalog.

Fel 2 – ett fel uppstod när en anslutning till servern skulle upprättas (server-IP): (SSLHandshakeException(sun.security.validator.ValidatorException: Det gick inte att skapa PKIX-sökvägen: sun.security.provider.certpath.SunCertPathBuilderException: Det gick inte att hitta en giltig certifieringssökväg till det begärda målet)

Det här felet indikerar att AD TLS-certifikatet inte matchar certifikatet som du bifogade när du konfigurerade den externa kataloganslutningen. Kontrollera att certifikaten stämmer överens för att felsöka. Mer information finns i Lägga till en AD-katalog.

Om du vill spara AD TLS-certifikatet lokalt anger du följande skript i Microsoft PowerShell och ersätter localhost med DNS-posten eller IP-adressen för AD-servern:

$webRequest = [Net.WebRequest]::Create("https://localhost:636")
try { $webRequest.GetResponse() } catch {}
$cert = $webRequest.ServicePoint.Certificate
$bytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "$pwd\Workspace.cer"

Om du inte kan testa anslutningen mellan Google och Microsoft Azure Active Directory kan du leta efter felsökningsinformation i administratörsloggen. Mer information finns i Administratörslogghändelser.

I Directory Sync-logghändelser kan det hända att användaren inte skapas om en e-postadress står i konflikt med ett befintligt ohanterat personligt konto eller ohanterat jobbkonto. Kontrollera loggbeskrivningen för att se vilken typ av konflikt det rör sig om och gå till Åtgärda fel med dubbletter av konton för att se hur du löser problemet.

Följande fel kan visas i Directory Sync-logghändelserna: Det gick inte att skapa användaren. Meddelande: DOMAIN_OVER_USER_LIMIT_FIX_BY_CONTACT_SUPPORT.

Det här felet indikerar ett problem med användarlicensiering. Om du överskrider antalet tillgängliga licenser i Google Workspace eller om det inte finns några licenser att tilldela går det inte att skapa användaren och det här felet visas.

Öka antalet licenser som är tillgängliga för användarna för att felsöka. Mer information finns i Köpa fler användarlicenser.

Relaterade ämnen

• Kontrollera logghändelser för Directory Sync
• Tilldela, ta bort och ändra tilldelningen av licenser

Om du får ett felmeddelande som börjar med Resultat – hänvisning kontrollerar du att bas-DN som du angav när du konfigurerade synkroniseringen är korrekt.

Om du använder global katalogport 3269 ska du ändra den till 636.

I logghändelserna för Directory Sync kan synkroniseringsfel visas med den här beskrivningen. Felet uppstår vanligtvis om användarkontot är inaktiverat eller om e-post-id:t har fel domän i AD. Använd tabellerna för att felsöka problemet i loggarna.

Felsöka loggposter för inaktiva användare

Felsöka ogiltiga e-postadresser och felaktiga domänloggposter

Relaterat ämne

Kontrollera logghändelser för Directory Sync

Om du vill slutföra de här stegen måste du ha rollen som avancerad administratör, administratör för katalogsynkronisering eller behörigheten Hantera inställningar för katalogsynkronisering.

Om användare och grupper inte synkroniseras:

1. I Googles administratörskonsol (på admin.google.com) klickar du på Directory Sync Externa kataloger.
2. Kontrollera synkroniseringsstatusen för katalogen.
3. Aktivera synkroniseringen om den är inaktiv eller inte slutförs.

   Mer information finns i Köra en synkronisering.

Om gruppen Microsoft Domain Users inte synkroniseras:

Gruppen Microsoft Domain Users stöds inte av Directory Sync. Läs mer

1. Skapa en ny grupp i Active Directory som innehåller alla tillämpliga medlemmar och behörigheter för gruppen Microsoft Domain Users.
2. Lägg till gruppen som medlem i gruppen Microsoft Domain Users.
3. Använd den nya gruppen för att hantera medlemmar och synkronisering.

Obs! Ändra inte attributen för gruppen Microsoft Domain User eftersom det kan utlösa annat oväntat beteende.

Du hittar mer felsökningsinformation om det här felet i logghändelserna för Directory Sync:

1. Öppna logghändelserna för Directory Sync.

   Mer information finns i Få åtkomst till logghändelsedata för Directory Sync.

2. Klicka på Lägg till ett filter Målobjekt-id.
3. Ange användarens e-postadress och klicka på Tillämpa.
4. Om du får
   • Händelsen Objektet har uppdaterats med beskrivningen Nya attribut {suspended: true}, Directory Sync har stängt av användaren eftersom kontot inte är aktivt i AD.
   • Händelsen Objekt avregistrerat kontrollerar om användaren i AD har tagits bort eller har flyttats till en annan sökväg som inte omfattas av LDAP-sökomfattningen.

Identifiera vad användarna saknar och se till att användaren

• inte är inaktiv i din externa katalog
• är en direkt medlem i den grupp du angav när du konfigurerade användarsynkroniseringen
• är ett användarobjekt och inte en kontakt i den externa katalogen
• har ett e-post-id som finns i din externa katalog och att domänen i e-post-id:t är densamma som Google Workspace-domänen

Du hittar mer felsökningsinformation i logghändelserna för Directory Sync:

1. Öppna logghändelserna för Directory Sync.

   Mer information finns i Få åtkomst till logghändelsedata för Directory Sync.

2. Klicka på Lägg till ett filter Källobjekt-id.
3. Lägg till användarens DN och klicka på Tillämpa.
4. Leta reda på eventuella händelser av typen Synkroniseringsfel och granska felen.
5. Sök efter händelser av typen Läs objekt med användarens DN.
6. Om du inte hittar några händelser av typen Läs objekt har Directory Sync inte synkroniserat användaren. Vanliga orsaker är:
   • Användarmedlemskapet omfattas inte av LDAP-sökomfattningen (användaren finns inte på eller under bas-DN för gruppen som angavs när du konfigurerade användarsynkroniseringen).
   • Directory Sync kommunicerar med en annan domänkontrollant och en inkrementell synkronisering registrerar inte alla ändringar. Kontrollera att värdnamnet och IP-adressen pekar på samma domänkontrollör.

Kontrollera att gruppmedlemmen

• har värdet för postattributet och ett e-post-id i giltigt format
• inte finns på eller under bas-DN för gruppen.

Felet User already exists (användaren finns redan) uppstår vanligtvis om du raderar en användare i den externa katalogen och sedan skapar en ny användare med samma e-postadress.

Directory Sync använder en unik identifierare för att länka användare mellan Google Workspace och din externa katalog. Microsoft Active Directory-användare har identifieraren ObjectGUID och Microsoft Azure Active Directory-användare har ett objekt-id.

Om du skapar en användare på nytt i den externa katalogen får den nya användaren en ursprunglig identifierare för ObjectGUID eller Object ID. Eftersom den nya användarens e-postadress fortfarande är länkad till den raderade användaren i Workspace misslyckas synkroniseringen.

Om du planerar att återskapa en användare med samma e-postadress behåller du användarens ObjectGUID eller objekt-id i den externa katalogen. Du kan även byta namn på eller radera användarens e-postadress i Workspace så att katalogsynkroniseringen kan länka användarkontot till den nya användaren i den externa katalogen.