Resolver problemas do Directory Sync

• Verifique se a API Data Connectors está ativada no projeto. Confira mais detalhes em Ativar a API Data Connectors.
• Se uma regra de perímetro do VPC Service Controls estiver configurada e o console do Google Cloud tiver erros PERMISSION_DENIED correspondentes relacionados a storage.googleapis.com, você precisará permitir o acesso à API Cloud Storage para seu projeto. Se você também encontrar erros correspondentes em artifactregistry.googleapis.com, adicione a seguinte regra de saída para permitir que os recursos do Directory Sync acessem seu diretório externo:

  egress To:
  _ serviceName : artifactregistry.googleapis.com
   methodSelectors :
    - method: artifactregistry.googleapis.com/DockerRead
  Resources
  - projects/397958601689
  egressFrom:
   identityType: ANY_IDENTITY

Para mais detalhes sobre como editar regras de perímetro de serviço, acesse detalhes e confirmação do perímetro de serviço.

Várias conexões do Directory Sync não podem apontar para o mesmo domínio. A Sincronização de diretório compara nomes distintos (DNs) de base e, se os domínios forem correspondentes, a criação do diretório falha.

Para resolver o problema, exclua a conexão com o DN igual antes de criar uma nova com o mesmo domínio.

Se essa mensagem de erro aparecer nos dados de eventos de registro do administrador, confirme o seguinte:

• O servidor do Microsoft Active Directory (AD) está em operação.
• A rede e os firewalls estão configurados para permitir o tráfego de entrada na porta LDAP.
• Você inseriu as credenciais da conta autorizadas corretamente no formato nomedeusuario@example.com ou EXEMPLO\nomedeusuario.

Se o erro persistir, adicione os detalhes do servidor Sistema de Nomes de Domínio (DNS) para resolver o nome do host do AD. Confira mais detalhes em Adicionar um diretório externo.

Também é possível criar uma máquina virtual (VM) Linux na mesma sub-rede que o conector de acesso à nuvem privada virtual (VPC). Tente usar o protocolo Telnet como endereço IP do servidor do AD na porta 636. Se isso não der certo, verifique as configurações de rede do servidor do AD. Por exemplo, confirme se a porta 636 está aberta e disponível.

Se o Telnet funcionar, para verificar se o servidor do AD está usando o certificado correto, digite o seguinte comando na VM do Linux:

openssl s_client -showcerts -connect external server IP address:636

Há duas versões desse erro nos dados de eventos de registro do administrador.

Versão 1: Ocorreu um erro na tentativa de conexão com o servidor (IP do servidor) no tempo limite configurado de 10.000 milissegundos

Esse erro indica que o Directory Sync não conseguiu se conectar ao servidor do Active Directory (AD). Para resolver o problema, configure o AD corretamente. Saiba mais em Adicionar um diretório do AD.

Versão 2: Ocorreu um erro na tentativa de conexão com o servidor (IP do servidor) (SSLHandshakeException(sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target).

Esse erro indica que o certificado TLS do AD é diferente do certificado que você anexou ao configurar a conexão com o diretório externo. Para resolver o problema, verifique se os certificados são iguais. Saiba mais em Adicionar um diretório do AD.

Para salvar o certificado TLS do AD localmente, digite o seguinte script no Microsoft PowerShell, substituindo localhost pelo registro DNS ou endereço IP do servidor do AD:

$webRequest = [Net.WebRequest]::Create("https://localhost:636")
try { $webRequest.GetResponse() } catch {}
$cert = $webRequest.ServicePoint.Certificate
$bytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "$pwd\Workspace.cer"

Se não for possível testar a conexão entre o Google e o Microsoft Azure Active Directory, consulte as informações de solução de problemas nos eventos de registro do administrador. Veja mais detalhes em Eventos de registro do administrador.

Nos eventos de registro do Directory Sync, a criação de usuários pode falhar se um endereço de e-mail entrar em conflito com uma conta pessoal não gerenciada ou conta de trabalho não gerenciada. Confira a descrição do registro para saber o tipo de conflito e acesse Resolver erros de contas duplicadas para ver as etapas de resolução.

É possível que você receba a seguinte mensagem de erro nos eventos de registro do Directory Sync: "Não foi possível criar o usuário. Mensagem: DOMAIN_OVER_USER_LIMIT_FIX_BY_CONTACT_SUPPORT."

Esse erro indica um problema no licenciamento de usuários. Se você ultrapassar o número de licenças disponíveis no Google Workspace ou se não houver licenças disponíveis para atribuição, haverá um erro na criação do usuário e essa mensagem aparecerá.

Para resolver o problema, aumente o número de licenças disponíveis para os usuários. Confira mais detalhes em Comprar mais licenças de usuários.

Temas relacionados

• Verificar eventos de registro do Directory Sync
• Atribuir, remover e reatribuir licenças

Se você receber uma mensagem de erro começando com Resultado - referência, verifique se o Nome distinto (DN) de base que você inseriu ao configurar a sincronização está correto.

Se estiver usando a porta de catálogo global 3269, mude para a 636.

Nos eventos de registro do Directory Sync, talvez você encontre erros de sincronização com essa descrição. Isso geralmente ocorre quando a conta de usuário está inativa ou o ID do e-mail tem um domínio incorreto no Active Directory. Consulte as tabelas para resolver o problema nos registros.

Resolver problemas de entradas de registro de usuários inativos

Resolver problemas com endereços de e-mail inválidos e entradas de registro de domínio incorretas

Tema relacionado

Verificar eventos de registro do Directory Sync

Para concluir estas etapas, você precisa ter a função de superadministrador ou administrador do Directory Sync ou o privilégio Gerenciar configurações do Directory Sync.

Se os usuários e grupos não estiverem sincronizados:

1. No Google Admin Console (em admin.google.com), clique em Directory Sync Diretórios externos.
2. Verifique o Status de sincronização do diretório.
3. Ative a sincronização se ela estiver inativa ou não estiver funcionando.

   Confira mais detalhes em Fazer uma sincronização.

Se a sincronização do grupo Usuários do domínio da Microsoft não estiver funcionando:

O grupo Usuários do domínio da Microsoft não é compatível com o Directory Sync. Saiba mais

1. No Active Directory, crie um novo grupo com todos os participantes e permissões relevantes do grupo Usuários do domínio da Microsoft.
2. Adicione esse grupo como participante do grupo Usuários do domínio da Microsoft.
3. Use o novo grupo para gerenciar os participantes e a sincronização.

Observação:não mude os atributos do grupo de usuários do domínio da Microsoft porque isso pode causar outros comportamentos inesperados.

Veja mais informações de solução de problemas sobre esse erro nos eventos de registro do Directory Sync:

1. Abra os eventos de registro do Directory Sync.

   Confira mais detalhes em Acessar dados de eventos de registro do Directory Sync.

2. Clique em Adicionar um filtro ID do objeto de destino.
3. Digite o endereço de e-mail do usuário e clique em Aplicar.
4. Confira os casos a seguir:
   • Evento Objeto atualizado com a descrição Novos atributos {suspended: true}, a Sincronização de diretório suspendeu o usuário porque a conta dele não está ativa no AD.
   • Caso haja um evento Objeto desprovisionado, verifique se o usuário no AD foi excluído ou movido para outro caminho fora do escopo da pesquisa LDAP.

Identifique quais usuários estão faltando e verifique se cada um deles:

• está ativo no diretório externo;
• é participante direto do grupo que você especificou ao configurar a sincronização de usuários;
• é um objeto User (não um contato no diretório externo);
• tem um ID de e-mail no diretório externo e o domínio nesse ID é igual ao domínio do Google Workspace.

Você encontra mais informações para resolver problemas nos eventos de registro do Directory Sync:

1. Abra os eventos de registro do Directory Sync.

   Confira mais detalhes em Acessar dados de eventos de registro do Directory Sync.

2. Clique em Adicionar um filtro ID do objeto de origem.
3. Adicione o Nome distinto (DN) do usuário e clique em Aplicar.
4. Localize os eventos de erro de sincronização e analise os erros.
5. Pesquise eventos Read Object com o DN do usuário.
6. Se não for possível encontrar eventos Read Object, isso significa que o usuário não foi sincronizado no Directory Sync. As razões mais comuns são:
   • A associação do usuário não está no escopo da pesquisa LDAP. Ou seja, o usuário não está dentro nem abaixo do DN de base do grupo que você especificou quando configurou a sincronização de usuários.
   • O Directory Sync está se comunicando com um controlador de domínio diferente, e uma sincronização incremental não está detectando todas as mudanças. Verifique se o nome do host e o endereço IP apontam para o mesmo controlador do domínio.

Verifique se o participante que não está sendo sincronizado no grupo:

• tem o valor do atributo de e-mail definido e um ID de e-mail em formato válido;
• está localizado no DN de base do grupo ou abaixo dele.

O erro O usuário já existe geralmente ocorre se você excluir um usuário no diretório externo e criar um novo com o mesmo endereço de e-mail.

O Directory Sync usa um identificador exclusivo para vincular usuários entre o Google Workspace e seu diretório externo. Os usuários do Microsoft Active Directory têm um identificador ObjectGUID, e os usuários do Microsoft Azure Active Directory têm um ID de objeto.

Se você recriar um usuário no diretório externo, o novo usuário vai receber um identificador ObjectGUID ou ID do objeto original. No entanto, como o endereço de e-mail do novo usuário ainda está vinculado ao usuário excluído no Workspace, a sincronização falha.

Se você planeja recriar um usuário com o mesmo endereço de e-mail, mantenha o ObjectGUID ou o ID do objeto do usuário no diretório externo. Você também pode renomear ou excluir o endereço de e-mail do usuário no Workspace para que a Sincronização de diretório possa vincular a conta ao novo usuário no seu diretório externo.