GCDS のエラー メッセージ

証明書の一般名（CN）とサブジェクトの別名（SAN）が、GCDS 設定ファイル内の LDAP サーバーの名前と一致していない。

この問題を解決するには、次のいずれかを行います。

• GCDS 構成ファイルを修正します。GCDS の設定に LDAP サーバーの IP アドレスを追加している場合は、その FQDN（完全修飾ドメイン名）も入力します（例: dc01.solarmora.com）。
• 証明書に SAN を追加する - GCDS 設定で使用している LDAP サーバー名が SAN に含まれていることを確認します。

一時的な回避策として、GCDS インストール フォルダにある config-manager.vmoptions ファイルと sync-cmd.vmoptions ファイルに新しい行を追加して、エンドポイントの識別を無効にすることができます。改行を削除してからファイルに追加します。

-Dcom.sun.jndi.ldap.object. disableEndpointIdentification=true

別のプロセスが GCDS と同時にキャッシュ フォルダまたはファイルにアクセスしています。

トラブルシューティングを行うには、Microsoft のプロセス モニターをダウンロードして実行し、フィルタを作成します。フィルタ オプションで、[パス]、[次の語句を含む]、*フォルダのパス*\syncState を使用して、フォルダまたはファイルにアクセスしているプロセスを特定します。詳細については、プロセス モニターをご覧ください。

LDAP サーバーに接続しているときにこのメッセージが表示された場合は、サーバーが接続を閉じています。考えられる原因は次のとおりです。

• LDAP + SSL を使用しているが、LDAP サーバーが GCDS がサポートする TLS パラメータ（暗号スイートなど）を受け入れるように構成されていない。LDAP サーバーに最新のセキュリティ アップデートと設定が適用されていることを確認します。
• ファイアウォール ルールが接続をブロックしている。

1. お使いのパソコンで GCDS のインスタンスが 1 つだけ実行されていることを確認します。同じ XML ファイルを使用している場合、GCDS のインスタンスは一度に 1 つしか実行できません。
2. システムを再起動して、他のプロセスが GCDS キャッシュ データベースにアクセスしないようにします。その後、もう一度同期を実行します。
3. 問題が解決しない場合は、SyncState フォルダを見つけて名前を変更し、GCDS により新しいキャッシュ データベースが作成されるようにする必要があります。このフォルダは、ユーザーのプロファイル フォルダ（Windows）またはホーム ディレクトリ（Linux）にあります。

• GCDS が、GCDS をインストールしたユーザーとは別のユーザーとして実行されている
• インストールの後に権限が変更された

サポートされていない文字エンコードの設定ファイルを読み込もうとしています。GCDS では、デフォルトの文字エンコードとして UTF-8 が使用されます。構成ファイルには同じエンコードを使用する必要がありますが、他のエンコードにも対応しています。

この問題を解決するには:

1. 設定ファイルのエンコードを UTF-8 に変更します。
   1. テキスト エディタを開きます。
   2. ファイルを別のエンコードで保存します。
2. 構成ファイルの内容が正しいことを確認します。
3. GCDS でもう一度設定ファイルを読み込みます。

一般的なエンコードのうち、UTF-7 と UTF-8 BOM はサポートされていません。

ネットワーク接続に問題があり、Google サーバーとの SSL（Secure Sockets Layer）ハンドシェイクを完了できませんでした。この原因として、コンピュータのパケット転送に著しい遅延が発生しているか、ISP のサービスが一時的に失われたことが考えられます。GCDS では SSL ハンドシェイクの実行を 3 回まで試行します。ログに次のメッセージが記録されている場合、後続の試行でハンドシェイクに成功しています。この場合、対策は不要です。[usersyncapp.sync.FullSyncAgent] No differences detected, no changes necessary.

ローカル ネットワーク管理者と協力して、ネットワーク タイムアウトの原因を調べてください。

• [LDAP Configuration] [Org Units] [Search Rules]
• [LDAP Configuration] [Users] [User Sync]
• [LDAP Configuration] [Groups] [Group Search Rules]
• [LDAP Configuration] [User Profiles] [User Profiles Sync]
• [LDAP Configuration] [Shared Contacts] [Contacts Sync]

1. 設定ファイルの <features> セクションに次の行を追加します。

   GROUP_NESTED_GROUPS_AS_USERS

2. この行を <optional> タグで囲みます。
3. 設定ファイルを保存して同期します。

設定マネージャー以外で複製した設定ファイルを使用して同期を実行した場合に、予期しない変更が GCDS によって試みられることがあります。新しい設定ファイルが元の設定ファイルと同じキャッシュにアクセスしているため、2 つの間に矛盾が発生し、それによってユーザーが停止された可能性があります。

GCDS 設定ファイルの複製には、常に設定マネージャの [Save As] オプションを使用してください。そうすることで、新しい設定ファイルには固有のキャッシュが作成されるようになります。

詳しくは、設定ファイルの使い方をご覧ください。

古い GCDS XML 設定ファイルを使用していて、現在設定されているユーザー検索ルールに含まれないグループ メンバーが検出されました。ユーザー検索ルールには、Google ドメインと同期しないものを含めて、すべてのグループ メンバーとオーナーを含める必要があります。GCDS では、グループを適切に処理するために、こうしたユーザーのメールアドレスを抽出する必要があります。

代替方法として、新しい空の XML 設定ファイルを作成します。これにより、グループがルールに依存せず同期されるようになり、ユーザー検索ルールにかかわらずグループ メンバーが解決されるようになります。不明な場合は、この方法をおすすめします。

設定ファイルを変更したり、新しい設定ファイルを作成したりする場合は、完全な同期を行う前に、シミュレーションを行って結果を確認してください。

詳しくは、ユーザーリストを定義するをご覧ください。

設定マネージャーで指定した管理者アカウントが管理者ではないか、ユーザー名とパスワードが正しくありません。

設定マネージャーで、[Google Domain] [Settings] に移動し、[Admin Email Address] で指定した管理者アカウント情報を確認してください。

詳しくは、Google ドメインの設定を定義するをご覧ください。

• 設定マネージャーで、[User Accounts] [Exclusion Rules] に移動し、外部ドメインのユーザーを除外するユーザー除外ルールを作成します。
• ユーザー検索ルールを変更して、外部ドメインのユーザーが返されないようにします。
• 登録されていないドメインをセカンダリ ドメインとして Google アカウントに追加します。

• 設定マネージャーで、[User Accounts] [Search rules] に移動し、ユーザー検索の範囲を制限して、返されるユーザー数を少なくします。
• 設定マネージャーで、指定した DN が適正であることを確認します。ベース識別名が参照するルートには、Google ドメインに読み込む必要のあるユーザーのみが含まれます。
• ユーザー ライセンスを追加することもできます。詳しくは、ユーザー ライセンスを追加購入するをご覧ください。

別のサービスまたはネットワーク デバイスが原因で GCDS が認証局に接続できず、API で使用される HTTPS 証明書を確認できません。GCDS を実行しているコンピュータからの接続を制限していないかどうか、ファイアウォールまたはプロキシのルールを確認してください。 GCDS を実行しているコンピュータからインターネットにアクセスするためにプロキシが必要である場合は、正しく設定する必要があります。

この問題を回避するには、証明書失効リスト（CRL）チェックを無効にします。CRL チェックを無効にするには、GCDS のインストール ディレクトリにある config-manager.vmoptions ファイルと sync-cmd.vmoptions ファイルに次の行を追加します。

-Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false

詳しくは、GCDS による証明書失効リストの確認についての記事をご覧ください。

• [LDAP Configuration] [Org Units] [Search Rules]
• [LDAP Configuration] [Users] [User Sync]
• LDAP 構成 グループ グループ検索ルール
• [LDAP Configuration] [User Profiles] [User Profiles Sync]
• [LDAP Configuration] [Shared Contacts] [Contacts Sync]

指定された LDAP サーバー名を解決できません。LDAP サーバーの完全修飾ドメイン名を入力していることと、GCDS を実行しているコンピュータがそのドメイン名を解決できることを確認してください。

注: Active Directory を使用している場合は、サーバー名としてドメインの完全修飾ドメイン名を使用します。

通常、この問題の原因は、プロキシ経由のトラフィックにあります。プロキシを使用している場合は、GCDS のプロキシ設定を行う必要があります。URL とポートへのアクセスを許可するの手順を完了して、GCDS がこれらの特定の URL とポートに接続できるようにします。

ローカル コンピュータのセキュリティ ソフトウェアで接続の問題が発生している場合もあります。クライアント マシン上のセキュリティ ソフトウェアをすべて無効にするよう管理者に依頼して、もう一度お試しください。

まず、[LDAP Configuration] タブと、ベース DN のオーバーライドを定義した検索ルールの両方で、DN を調べてください。DN が有効であるにもかかわらず問題が解決されない場合は、DNS の解決に問題がある可能性があります。ログに次のような追加のエラー情報が表示される場合があります。

• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection refused: connect]]
• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection timed out: connect]]

これらのエラーは、ホスト名が接続を拒否しているか、タイムアウトになっていることを示します。このホスト名で DNS ルックアップを実行して、返されたすべてのアドレスが有効であることを確認し、設定したポートでの接続を許可してください。

注: このようなエラーは、GCDS の設定で有効なホスト名や IP アドレスを指定した場合であっても発生することがあります。Active Directory は LDAP 参照応答を発行し、ホスト名を介して接続するよう GCDS に命令することがあります。結果的にこの参照がホスト名になることがあり、その場合は解決に失敗します。このような参照を回避するには、グローバル カタログ ポート（デフォルトでは 3268）を使用して Active Directory サーバーに接続します。詳しくは、Microsoft のドキュメントをご覧ください。

カスタム スキーマ内の一部の情報が有効ではありません。カスタム スキーマに適用される制限については、Directory API: カスタム ユーザー フィールドをご覧ください。

トレースレベルのログを有効にしている場合は、カスタム スキーマの完全な HTTP リクエストを見ることもできます。

• 正しい通信プロトコルを使用している。LDAP サーバーでセキュアなプロトコルが必要な場合は、LDAP + SSL を使用している。
• LDAP サーバーがアクティブで、接続に関する問題は発生していない。

• ベース DN が LDAP サーバーに存在する。
• 承認されたユーザーが、ベース DN の権限を持っている。詳しくは、LDAP 接続の設定をご覧ください。

• <*base-dn*> オブジェクトが存在し、承認されたユーザーにアクセス可能である。詳しくは、LDAP 接続の設定をご覧ください。
• LDAP サーバーの <*base-dn*> オブジェクトの <*attribute*> が存在する。

• いずれかのメンバーのメインの LDAP アドレスが Google Workspace のエイリアス アドレスになっている。可能であれば、エイリアスに別のユーザー名を使用するなどして、このような状況は避けてください。
• ユーザー アカウントの 2 つのエイリアス アドレスで同じユーザー名を使用している。さらに、[Google Domain Configuration] ページで [Replace domain names in LDAP email addresses] チェックボックスをオンにしている。このチェックボックスをオンにすると、両方のメールアドレスが [Alternate email domain] 欄に表示されているドメインに一致するように変更されます。

チェックボックスをオフにするか、いずれかのエイリアスのユーザー名を変更してください。

ログに「アドレスの衝突により、メンバー *ユーザーのメールアドレス* をグループ *グループのメールアドレス* に追加する際にエラーが発生しました」というメッセージも記録されている場合は、以下の原因が考えられます。

• GCDS で、除外ルールに基づいて *ユーザーのメールアドレス* のユーザーが同期から除外されました。除外ルールを確認してもう一度お試しください。詳しくは、除外ルールとクエリを使ってデータを除外するをご確認ください。
• GCDS 以外のユーザーまたはグループを更新しました。キャッシュを削除して、もう一度お試しください。