Mensajes de error de GCDS

El nombre común (CN) y el nombre alternativo de la entidad (SAN) del certificado no coinciden con el nombre del servidor LDAP en tu archivo de configuración de GCDS.

Para solucionar este problema, haz una de las siguientes acciones:

• Corrige el archivo de configuración de GCDS. Si agregaste la dirección IP del servidor LDAP en la configuración de GCDS, ingresa también su nombre de dominio completamente calificado (FQDN) (por ejemplo, dc01.solarmora.com).
• Agrega un SAN al certificado. Asegúrate de que el SAN incluya el nombre del servidor LDAP que usas en la configuración de GCDS.

Como solución alternativa temporal, puedes desactivar la identificación de extremos agregando una línea nueva a los archivos config-manager.vmoptions y sync-cmd.vmoptions en la carpeta de instalación de GCDS. Quita el salto de línea antes de agregar los archivos:

-Dcom.sun.jndi.ldap.object. disableEndpointIdentification=true

Otro proceso accede a la carpeta o los archivos de caché al mismo tiempo que GCDS.

Para solucionar el problema, descarga y ejecuta Process Monitor de Microsoft, y crea un filtro. En las opciones de filtro, usa Ruta de acceso, Contiene y *ruta-a-la-carpeta*\syncState para identificar los procesos que acceden a la carpeta o los archivos. Para obtener más información, consulta Process Monitor.

Si ves este mensaje cuando te conectas al servidor LDAP, significa que el servidor cerró la conexión. Las posibles razones son las siguientes:

• Usas LDAP+SSL y el servidor LDAP no está configurado para aceptar los parámetros de TLS que admite GCDS (por ejemplo, el conjunto de algoritmos de cifrado). Asegúrate de que tu servidor LDAP tenga la configuración y las actualizaciones de seguridad más recientes.
• Una regla de firewall bloquea la conexión.

1. Asegúrate de que solo se ejecute una instancia de GCDS en tu computadora. Solo puedes ejecutar una instancia de GCDS a la vez con el mismo archivo XML.
2. Reinicia el sistema para asegurarte de que ningún otro proceso acceda a la base de datos de caché de GCDS. Luego, vuelve a ejecutar la sincronización.
3. Si el problema persiste, busca y cambia el nombre de la carpeta SyncState para obligar a GCDS a crear una nueva base de datos de caché. Puedes encontrar la carpeta en la carpeta del perfil del usuario (Windows) o en el directorio principal (Linux).

• GCDS se ejecuta como un usuario diferente del que instaló GCDS
• Los permisos cambiaron desde la instalación

GCDS está intentando cargar un archivo de configuración con una codificación de caracteres no compatible. GCDS usa UTF-8 como codificación de caracteres predeterminada. Debes usar la misma codificación para tus archivos de configuración, aunque otras codificaciones también son compatibles.

Para solucionar este problema, sigue estos pasos:

1. Cambia la codificación de tu archivo de configuración a UTF-8:
   1. Abre un editor de texto.
   2. Guarda el archivo con una codificación diferente.
2. Verifica que el contenido del archivo de configuración sea correcto.
3. Intenta cargar el archivo de configuración en GCDS nuevamente.

Las codificaciones no admitidas más comunes son UTF-7 y UTF-8 BOM.

Un problema de conexión de red impidió que GCDS completara un protocolo de enlace de capa de conexión segura (SSL) con el servidor de Google. Este problema puede deberse a que una computadora enruta un paquete demasiado lento o a que tu ISP pierde el servicio de forma temporal. GCDS intenta completar el protocolo de enlace SSL hasta 3 veces. Si ves el siguiente mensaje en los registros, significa que GCDS completó el handshake correctamente en los intentos posteriores y no es necesario realizar ninguna acción adicional: [usersyncapp.sync.FullSyncAgent] No differences detected, no changes necessary.

Trabaja con tu administrador de red local para ver qué podría estar causando los tiempos de espera de la red.

• Configuración de LDAP Unidades organizativas Reglas de búsqueda
• Configuración de LDAP Usuarios Sincronización de usuarios
• Configuración de LDAP Grupos Reglas de búsqueda de grupos
• Configuración de LDAP Perfiles de usuario Sincronización de perfiles de usuario
• Configuración de LDAP Contactos compartidos Sincronización de contactos

1. Agrega la siguiente línea a tu archivo de configuración, en la sección <features>:

   GROUP_NESTED_GROUPS_AS_USERS

2. Encierra la línea entre etiquetas <optional>.
3. Guarda el archivo de configuración y sincroniza.

Es posible que GCDS intente realizar cambios inesperados si ejecutas una sincronización con un archivo de configuración que se duplicó fuera del Administrador de configuración. El archivo de configuración nuevo accede a la misma caché que el archivo de configuración original, y las incoherencias entre ambos pueden provocar la suspensión de los usuarios.

Para duplicar un archivo de configuración de GCDS, siempre usa la opción Guardar como en el Administrador de configuración. De esta manera, se garantiza que el nuevo archivo de configuración tenga su propia caché.

Para obtener más información, consulta Cómo trabajar con archivos de configuración.

Estás usando un archivo de configuración XML de GCDS anterior, y GCDS encontró un miembro del grupo que no está incluido en las reglas de búsqueda de usuarios de tu configuración. Debes incluir a todos los miembros y propietarios del grupo en tus reglas de búsqueda de usuarios, incluso si no quieres sincronizar a esos usuarios con el dominio de Google. GCDS necesita extraer las direcciones de correo electrónico de estos usuarios para procesar los grupos correctamente.

También puedes crear un archivo de configuración XML nuevo y en blanco. Luego, GCDS habilita una sincronización de grupos independiente, lo que obliga a GCDS a resolver los miembros del grupo independientemente de las reglas de sincronización de usuarios. Si no tienes certeza, esta es la opción recomendada.

Cuando realices cambios en la configuración o crees un archivo de configuración nuevo, asegúrate de ejecutar una simulación y revisar los resultados antes de ejecutar una sincronización completa.

Para obtener más información, consulta Cómo definir tu lista de usuarios.

La cuenta de administrador que especificaste en Configuration Manager no es de administrador, o bien el nombre de usuario y la contraseña son incorrectos.

En el Administrador de configuración, ve a Google Domain Settings y verifica la información de la cuenta de administrador especificada en Admin Email Address.

Para obtener más información, consulta Cómo definir la configuración de tu dominio de Google.

• En el Administrador de configuración, ve a Cuentas de usuario Reglas de exclusión y crea reglas de exclusión de usuarios que excluyan a los usuarios de dominios externos.
• Cambia las reglas de búsqueda de usuarios para que no se muestren los usuarios de dominios externos.
• Agrega el dominio faltante a tu Cuenta de Google como dominio secundario.

• En el Administrador de configuración, ve a Cuentas de usuario Buscar reglas y limita el alcance de la búsqueda de usuarios para que se muestren menos usuarios.
• En el Administrador de configuración, asegúrate de haber especificado el DN adecuado que apunta a la raíz que contiene solo los usuarios que se deben importar al dominio de Google.
• También puedes obtener más licencias de usuario. Para obtener más información, consulta Cómo comprar más licencias de usuario.

Otro servicio o dispositivo de red impide que GCDS se comunique con la autoridad certificadora del certificado HTTPS que se usa para las APIs. Verifica si hay reglas de firewall o proxy que restrinjan las conexiones desde la máquina que ejecuta GCDS. Si se requiere un proxy para acceder a la Web desde la máquina que ejecuta GCDS, debe configurarse correctamente.

Para solucionar el problema, puedes inhabilitar la verificación de la lista de revocación de certificados (CRL). Para inhabilitar la verificación de la CRL, agrega las siguientes líneas a los archivos config-manager.vmoptions y sync-cmd.vmoptions en el directorio de instalación de GCDS:

-Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false

Para obtener más información, consulta Cómo GCDS verifica las listas de revocación de certificados.

• Configuración de LDAP Unidades organizativas Reglas de búsqueda
• Configuración de LDAP Usuarios Sincronización de usuarios
• Configuración de LDAP Grupos Reglas de búsqueda de grupos
• Configuración de LDAP Perfiles de usuario Sincronización de perfiles de usuario
• Configuración de LDAP Contactos compartidos Sincronización de contactos

GCDS no puede resolver el nombre del servidor LDAP proporcionado. Asegúrate de ingresar un nombre de dominio completamente calificado para el servidor LDAP y de que la computadora que ejecuta GCDS pueda resolverlo.

Nota: Cuando uses Active Directory, usa el nombre de dominio completamente calificado de tu dominio como el nombre del servidor.

Por lo general, el problema se debe a que el tráfico se fuerza a través de un proxy. Si usas un proxy, debes configurar los parámetros de configuración del proxy de GCDS. Para asegurarte de que GCDS pueda conectarse a estas URLs y puertos específicos, completa los pasos que se indican en Permite el acceso a URLs y puertos.

El software de seguridad de la computadora local puede generar problemas de conexión. Pídele al administrador que inhabilite el software de seguridad en la máquina cliente y vuelve a intentarlo.

Comienza por verificar el DN en la pestaña Configuración de LDAP y en cualquiera de las reglas de búsqueda en las que hayas definido una anulación del DN base. Si el problema persiste y tienes la certeza de que el DN es válido, es posible que el problema esté relacionado con la resolución de DNS. Es posible que veas información adicional sobre el error en el registro, como la siguiente:

• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection refused: connect]]
• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection timed out: connect]]

Estos errores identifican que el nombre de host rechaza la conexión o se agota el tiempo de espera. Intenta ejecutar una búsqueda de DNS en este nombre de host y asegúrate de que todas las direcciones que se devuelvan sean válidas y permitan conexiones en el puerto que configuraste.

Nota: Estos errores pueden ocurrir incluso si especificaste un nombre de host o una dirección IP válidos en la configuración de GCDS. Es posible que Active Directory emita una respuesta de referencia de LDAP, que dirige a GCDS para que se conecte a través de un nombre de host. En última instancia, esta referencia podría ser al nombre de host que no se puede resolver. Para evitar estas referencias, conéctate a tu servidor de Active Directory a través del puerto del catálogo global, que tiene el valor predeterminado de 3268. Para obtener más detalles, consulta la documentación de Microsoft.

Parte de la información del esquema personalizado no es válida. Para verificar los límites que se aplican al esquema personalizado, consulta API de Directory: Campos de usuario personalizados.

Si tienes habilitados los registros a nivel de seguimiento, también puedes ver la solicitud HTTP completa para el esquema personalizado.

• Estás usando el protocolo de comunicación correcto. Si el servidor LDAP requiere un protocolo seguro, usa LDAP + SSL.
• El servidor LDAP está activo y no tiene problemas de conexión.

• El DN base existe en el servidor LDAP.
• El usuario autorizado tiene permisos para el DN base. Para obtener más información, consulta Configuración de conexión LDAP.

• El objeto <*base-dn*> existe y el usuario autorizado puede acceder a él. Para obtener más información, consulta Configuración de conexión LDAP.
• El <*attribute*> existe para el objeto <*base-dn*> en el servidor LDAP.

• Tienes un miembro cuya dirección LDAP principal es una dirección de alias en Google Workspace. Si es posible, evita esta situación (por ejemplo, usa un nombre de usuario diferente para el alias).
• Una cuenta de usuario tiene el mismo nombre de usuario para 2 direcciones de alias. Además, en la página Configuración del dominio de Google, marcaste la casilla Reemplazar nombres de dominio en las direcciones de correo electrónico LDAP. Cuando marcas la casilla, ambas direcciones de correo electrónico se cambian para que coincidan con el dominio que aparece en el campo Dominio de correo electrónico alternativo.

Desmarca la casilla o cambia uno de los nombres de usuario de alias.

Si también ves el siguiente mensaje en los registros: "Error while adding member *user-email-address* to group *group-email-address* due to address collision", verifica lo siguiente:

• GCDS excluyó al usuario con *user-email-address* de la sincronización según tus reglas de exclusión. Revisa tus reglas de exclusión y vuelve a intentarlo. Para obtener más información, consulta Cómo omitir datos con reglas y consultas de exclusión.
• Actualizaste el usuario o el grupo fuera de GCDS. Borra la caché y vuelve a intentarlo.