Fehlermeldungen in GCDS

Der allgemeine Name (Common Name, CN) und der alternative Antragstellername (Subject Alternative Name, SAN) des Zertifikats stimmen nicht mit dem Namen des LDAP-Servers in Ihrer GCDS-Konfigurationsdatei überein.

Beheben Sie diesen Fehler durch einen der folgenden Schritte:

• Korrigieren Sie die GCDS-Konfigurationsdatei. Wenn Sie die IP-Adresse des LDAP-Servers in der GCDS-Konfiguration hinzugefügt haben, geben Sie auch den voll qualifizierten Domainnamen (Fully Qualified Domain Name, FQDN) ein, z. B. dc01.solarmora.com.
• Fügen Sie dem Zertifikat einen SAN hinzu. Achten Sie darauf, dass der SAN den Namen des LDAP-Servers enthält, den Sie in der GCDS-Konfiguration verwenden.

Als vorübergehende Problemumgehung können Sie die Endpunktidentifikation deaktivieren, indem Sie den Dateien config-manager.vmoptions und sync-cmd.vmoptions im GCDS-Installationsordner eine neue Zeile hinzufügen. Entfernen Sie den Zeilenumbruch, bevor Sie die Dateien hinzufügen:

-Dcom.sun.jndi.ldap.object. disableEndpointIdentification=true

Ein anderer Prozess greift gleichzeitig mit GCDS auf den oder die Cache-Ordner oder die Dateien zu.

Laden Sie zur Fehlerbehebung den Prozessmonitor von Microsoft herunter, führen Sie ihn aus und erstellen Sie einen Filter. Verwenden Sie in den Filteroptionen Pfad, Enthält und *Pfad-zum-Ordner*\syncState, um die Prozesse zu identifizieren, die auf den Ordner oder die Dateien zugreifen. Weitere Informationen finden Sie unter Prozessüberwachung.

Wenn diese Meldung beim Herstellen einer Verbindung zum LDAP-Server angezeigt wird, hat der Server die Verbindung getrennt. Mögliche Gründe:

• Sie verwenden LDAP + SSL und der LDAP-Server ist nicht dafür konfiguriert, die von GCDS unterstützten TLS-Parameter (z. B. Cipher Suite) zu akzeptieren. Achten Sie darauf, dass auf Ihrem LDAP-Server die neuesten Sicherheitsupdates und ‑einstellungen konfiguriert sind.
• Eine Firewallregel blockiert die Verbindung.

1. Achten Sie darauf, dass nur eine Instanz von GCDS auf Ihrem Computer ausgeführt wird. Sie können jeweils nur eine Instanz von GCDS mit derselben XML-Datei ausführen.
2. Starten Sie das System neu, damit keine anderen Prozesse auf die GCDS-Cache-Datenbank zugreifen. Führen Sie dann die Synchronisierung noch einmal aus.
3. Wenn das Problem weiterhin besteht, suchen Sie den Ordner SyncState und benennen Sie ihn um, damit GCDS eine neue Cache-Datenbank erstellen kann. Sie finden den Ordner im Nutzerprofilordner (Windows) oder im Basisverzeichnis (Linux).

• GCDS wird durch einen anderen Nutzer ausgeführt als den, der das Tool installiert hat.
• Die Berechtigungen haben sich seit der Installation geändert

GCDS versucht, eine Konfigurationsdatei mit einer nicht unterstützten Zeichencodierung zu laden. In GCDS wird UTF-8 als Standardzeichencodierung verwendet. Wir empfehlen, für Ihre Konfigurationsdateien dieselbe Codierung zu nutzen, auch wenn andere Codierungen kompatibel sind.

So lösen Sie dieses Problem:

1. Ändern Sie die Codierung Ihrer Konfigurationsdatei in UTF-8:
   1. Öffnen Sie einen Texteditor.
   2. Speichern Sie die Datei mit einer anderen Codierung.
2. Prüfen Sie, ob der Inhalt Ihrer Konfigurationsdatei korrekt ist.
3. Versuchen Sie, die Konfigurationsdatei noch einmal in GCDS zu laden.

Die häufigsten nicht unterstützten Codierungen sind UTF-7 und UTF-8 BOM.

Ein Problem mit der Netzwerkverbindung hat GCDS daran gehindert, einen SSL-Handshake mit dem Google-Server abzuschließen. Möglicherweise wurde ein Paket zu langsam weitergeleitet oder der Dienst Ihres Internetanbieters war vorübergehend nicht verfügbar. GCDS versucht bis zu dreimal, einen SSL-Handshake abzuschließen. Wenn Sie die folgende Nachricht in den Protokollen sehen, wurde der Handshake bei einem nachfolgenden Versuch von GCDS erfolgreich abgeschlossen und es sind keine weiteren Maßnahmen notwendig: [usersyncapp.sync.FullSyncAgent] No differences detected, no changes necessary.

Wenden Sie sich an Ihren lokalen Netzwerkadministrator, um festzustellen, welche Ursache die Netzwerkzeitüberschreitungen haben könnten.

• LDAP-Konfiguration Organisationseinheiten Suchregeln
• LDAP-Konfiguration Nutzer Nutzersynchronisierung
• LDAP-Konfiguration Gruppen Gruppensuchregeln
• LDAP Configuration (LDAP-Konfiguration) User Profiles (Nutzerprofile) User Profiles Sync (Synchronisierung der Nutzerprofile)
• LDAP-Konfiguration Freigegebene Kontakte Kontaktsynchronisierung

1. Fügen Sie der Konfigurationsdatei im Abschnitt <features> folgende Zeile hinzu:

   GROUP_NESTED_GROUPS_AS_USERS

2. Setzen Sie die Zeile in <optional>-Tags.
3. Speichern Sie die Konfigurationsdatei und starten Sie die Synchronisierung.

GCDS versucht möglicherweise, unerwartete Änderungen vorzunehmen, wenn Sie eine Synchronisierung mit einer Konfigurationsdatei durchführen, die außerhalb des Konfigurationsmanagers dupliziert wurde. Die neue Konfigurationsdatei greift auf denselben Cache zu wie die Originaldatei. Diskrepanzen zwischen beiden Dateien können zur Sperrung von Nutzern führen.

Verwenden Sie zum Duplizieren einer GCDS-Konfigurationsdatei stets die Option Speichern unter im Konfigurationsmanager. So wird sichergestellt, dass die neue Konfigurationsdatei über einen eigenen Cache verfügt.

Weitere Informationen finden Sie unter Konfigurationsdateien verwenden.

Sie verwenden eine ältere GCDS-XML-Konfigurationsdatei und GCDS hat ein Gruppenmitglied gefunden, das in den Nutzersuchregeln Ihrer Konfiguration nicht enthalten ist. Integrieren Sie sämtliche Gruppenmitglieder und ‑inhaber in Ihre Nutzersuchregeln, selbst wenn Sie diese Nutzer nicht mit Ihrer Google-Domain synchronisieren möchten. GCDS muss die E‑Mail-Adressen dieser Nutzer extrahieren, um Gruppen korrekt bearbeiten zu können.

Alternativ können Sie eine neue, leere XML-Konfigurationsdatei erstellen. GCDS aktiviert dann eine unabhängige Gruppensynchronisierung, bei der die Gruppenmitglieder ungeachtet der nutzereigenen Synchronisierungsregeln bestimmt werden. Wenn Sie nicht sicher sind, wie Sie vorgehen sollten, empfehlen wir diese Option.

Nach jeder Konfigurationsänderung oder Erstellung einer neuen Konfigurationsdatei sollten Sie vor der Durchführung einer vollständigen Synchronisierung eine Simulation ausführen und deren Ergebnisse prüfen.

Weitere Informationen finden Sie unter Nutzerliste definieren.

Das im Konfigurationsmanager angegebene Administratorkonto ist kein Administrator oder der Nutzername und das Passwort sind falsch.

Bestätigen Sie im Konfigurationsmanager unter Google-Domain Einstellungen die Daten des Administratorkontos, die als E-Mail-Adresse des Administrators festgelegt wurden.

Weitere Informationen finden Sie unter Einstellungen für die Google-Domain festlegen.

• Gehen Sie im Konfigurationsmanager zu Nutzerkonten Ausschlussregeln und erstellen Sie Regeln, mit denen Nutzer in externen Domains ausgeschlossen werden.
• Ändern Sie die Suchregeln, sodass Nutzer in externen Domains nicht zurückgegeben werden.
• Fügen Sie Ihrem Google-Konto die fehlende Domain als sekundäre Domain hinzu.

• Gehen Sie im Konfigurationsmanager zu Nutzerkonten Suchregeln und begrenzen Sie den Umfang Ihrer Nutzersuche auf weniger Nutzer.
• Im Konfigurationsmanager muss der korrekte DN festgelegt sein, der auf das Stammverzeichnis mit nur den Nutzern hinweist, die in die Google-Domain importiert werden müssen.
• Sie können auch weitere Nutzerlizenzen erwerben. Weitere Informationen

Ein anderer Dienst oder ein Netzwerkgerät verhindert, dass GCDS die Zertifizierungsstelle für das HTTPS-Zertifikat kontaktiert, das für APIs verwendet wird. Prüfen Sie Firewall- oder Proxyregeln, die Verbindungen vom GCDS-Gerät beschränken könnten. Falls für den Internetzugang von dem Gerät, das GCDS ausführt, ein Proxy erforderlich ist, muss dieser ordnungsgemäß konfiguriert werden.

Sie können das Problem umgehen, indem Sie die Überprüfung der Zertifikatssperrliste (CRL) deaktivieren. Fügen Sie den Dateien config-manager.vmoptions und sync-cmd.vmoptions im GCDS-Installationsverzeichnis die folgenden Zeilen hinzu, um die CRL-Prüfung zu deaktivieren:

-Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false

Weitere Informationen finden Sie unter Wie werden Zertifikatssperrlisten von GCDS überprüft?.

• LDAP-Konfiguration Organisationseinheiten Suchregeln
• LDAP Configuration Users User Sync
• LDAP Configuration (LDAP-Konfiguration) Groups (Gruppen) Group Search Rules (Gruppensuchregeln)
• LDAP Configuration User Profiles User Profiles Sync
• LDAP Configuration Shared Contacts Contacts Sync

GCDS kann den angegebenen LDAP-Servernamen nicht auflösen. Für den LDAP-Server muss ein geeigneter Domainname eingegeben werden, und der Computer, auf dem GCDS ausgeführt wird, muss diesen auflösen können.

Hinweis:Verwenden Sie bei Active Directory immer den voll qualifizierten Domainnamen als Servernamen.

Dieses Problem tritt normalerweise auf, wenn Datenverkehr durch einen Proxy gezwungen wird. Bei Verwendung eines Proxys müssen die GCDS-Proxyeinstellungen konfiguriert werden. Folgen Sie den Schritten unter Zugriff auf URLs und Ports zulassen, damit GCDS eine Verbindung zu diesen spezifischen URLs und Ports herstellen kann.

Die Sicherheitssoftware des lokalen Computers kann zu Verbindungsproblemen führen. Bitten Sie den Administrator, sämtliche Sicherheitssoftware auf dem Client-Computer zu deaktivieren, und versuchen Sie es erneut.

Überprüfen Sie den DN auf dem Tab LDAP-Konfiguration und in allen Suchregeln, in denen Sie eine DN-Überschreibung festgelegt haben. Wenn das Problem dadurch nicht behoben werden kann und Sie sicher sind, dass der DN gültig ist, liegt das Problem möglicherweise bei der DNS-Auflösung. Möglicherweise werden im Protokoll zusätzliche Fehlerinformationen angezeigt, wie etwa:

• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection refused: connect]]
• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection timed out: connect]]

Diese Fehler geben an, dass der Hostname die Verbindung verweigert oder die Dauer für den Verbindungsaufbau überschritten wurde. Versuchen Sie, für diesen Hostnamen ein DNS-Lookup auszuführen. Achten Sie darauf, dass alle zurückgegebenen Adressen gültig sind, und lassen Sie Verbindungen über den konfigurierten Port zu.

Hinweis: Diese Fehler können selbst dann auftreten, wenn Sie in der GCDS-Konfiguration einen gültigen Hostnamen bzw. eine gültige IP-Adresse angegeben haben. Active Directory gibt möglicherweise eine LDAP-Verweisantwort aus, die GCDS dazu anweist, sich über einen Hostnamen zu verbinden. Dieser Verweis kann letztlich auf den Hostnamen erfolgen, der nicht aufgelöst wird. Sie können diese Verweise vermeiden, indem Sie sich über den Global Catalog-Port (standardmäßig: 3268) mit Ihrem Active Directory-Server verbinden. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Einige Daten im benutzerdefinierten Schema sind ungültig. Informationen zu Einschränkungen für benutzerdefinierte Schemas finden Sie unter Directory API: Benutzerdefinierte Nutzerfelder.

Falls Sie Trace-Level-Protokolle aktiviert haben, können Sie auch die vollständige HTTP-Anfrage des benutzerdefinierten Schemas aufrufen.

• Sie verwenden das richtige Kommunikationsprotokoll. Wenn für den LDAP-Server ein sicheres Protokoll erforderlich ist, verwenden Sie LDAP mit SSL.
• Der LDAP-Server ist aktiv und es gibt keine Verbindungsprobleme.

• Der Base-DN ist auf dem LDAP-Server vorhanden.
• Der autorisierte Nutzer verfügt über die erforderlichen Berechtigungen für den Base-DN. Weitere Informationen finden Sie in den LDAP-Verbindungseinstellungen.

• Das Objekt <*base-dn*> ist vorhanden und kann vom autorisierten Nutzer aufgerufen werden. Weitere Informationen finden Sie in den LDAP-Verbindungseinstellungen.
• Das Attribut <*attribute*> ist für das Objekt <*base-dn*> auf dem LDAP-Server vorhanden.

• Sie haben ein Mitglied, dessen primäre LDAP-Adresse eine Aliasadresse in Google Workspace ist. Vermeiden Sie diese Situation nach Möglichkeit. Verwenden Sie beispielsweise einen anderen Nutzernamen als Alias.
• Ein Nutzerkonto hat für zwei Alias-Adressen denselben Nutzernamen. Auf der Seite Konfiguration der Google-Domain haben Sie das Kästchen Domainnamen in LDAP-E-Mail-Adressen ersetzen angeklickt. Wenn Sie das Kästchen anklicken, werden beide E-Mail-Adressen so geändert, dass sie der im Feld Alternative E-Mail-Domain aufgeführten Domain entsprechen.

Entfernen Sie das Häkchen oder ändern Sie einen der Alias-Nutzernamen.

Wenn Sie in den Protokollen auch die folgende Meldung sehen: „Fehler beim Hinzufügen des Mitglieds *Nutzer-E-Mail-Adresse* zur Gruppe *Gruppen-E-Mail-Adresse* aufgrund eines Adresskonflikts“, prüfen Sie, ob:

• GCDS den Nutzer mit *user-email-address* von der Synchronisierung ausgeschlossen hat. Prüfen Sie Ihre Ausschlussregeln und versuchen Sie es noch einmal. Weitere Informationen finden Sie unter Daten mit Ausschlussregeln und Abfragen weglassen.
• Sie haben den Nutzer oder die Gruppe außerhalb von GCDS aktualisiert. Leeren Sie den Cache und versuchen Sie es noch einmal.