Thông báo lỗi của GCDS

Tên phổ biến (CN) và Tên thay thế của thực thể (SAN) trên chứng chỉ không khớp với tên của máy chủ LDAP trong tệp cấu hình GCDS.

Để khắc phục vấn đề này, hãy thực hiện một trong hai cách sau:

• Chỉnh sửa tệp cấu hình GCDS. Nếu bạn đã thêm địa chỉ IP máy chủ LDAP vào cấu hình GCDS, hãy nhập Tên miền đủ điều kiện (FQDN) của địa chỉ IP đó (ví dụ: dc01.solarmora.com).
• Thêm một SAN vào chứng chỉ – Đảm bảo rằng SAN bao gồm tên của máy chủ LDAP mà bạn đang sử dụng trong cấu hình GCDS.

Trong thời gian chờ đợi, giải pháp tạm thời là tắt tính năng nhận dạng điểm cuối bằng cách thêm một dòng mới vào các tệp config-manager.vmoptions và sync-cmd.vmoptions trong thư mục cài đặt GCDS. Xoá dấu ngắt dòng trước khi thêm vào các tệp:

-Dcom.sun.jndi.ldap.object. disableEndpointIdentification=true

Một quy trình khác đang truy cập vào thư mục hoặc tệp trong bộ nhớ đệm cùng lúc với GCDS.

Để khắc phục sự cố, hãy tải và chạy Trình giám sát quy trình của Microsoft rồi tạo một bộ lọc. Trong các lựa chọn bộ lọc, hãy sử dụng Đường dẫn, Chứa và *đường dẫn đến thư mục*\syncState để xác định những quy trình đang truy cập vào thư mục hoặc tệp. Để biết thêm thông tin, hãy truy cập vào Process Monitor (Trình giám sát quy trình).

Nếu bạn thấy thông báo này khi kết nối với máy chủ LDAP, thì có nghĩa là máy chủ đã đóng kết nối. Một số lý do có thể là:

• Bạn đang sử dụng LDAP+SSL và máy chủ LDAP không được định cấu hình để chấp nhận các tham số TLS mà GCDS hỗ trợ (ví dụ: bộ thuật toán mật mã). Đảm bảo máy chủ LDAP của bạn có các chế độ cài đặt và bản cập nhật bảo mật mới nhất.
• Một quy tắc tường lửa đang chặn kết nối.

1. Đảm bảo rằng chỉ có một phiên bản GCDS đang chạy trên máy tính của bạn. Mỗi lần, bạn chỉ có thể chạy một phiên bản GCDS bằng cùng một tệp XML.
2. Khởi động lại hệ thống để đảm bảo không có quy trình nào khác đang truy cập vào cơ sở dữ liệu bộ nhớ đệm GCDS. Sau đó, hãy chạy lại quá trình đồng bộ hoá.
3. Nếu vấn đề vẫn tiếp diễn, hãy tìm và đổi tên thư mục SyncState để buộc GCDS tạo một cơ sở dữ liệu bộ nhớ đệm mới. Bạn có thể tìm thấy thư mục này trong thư mục hồ sơ người dùng (Windows) hoặc trong thư mục chính (Linux).

• GCDS đang chạy với tư cách là một người dùng khác với người dùng đã cài đặt GCDS
• Các quyền đã thay đổi kể từ khi cài đặt

GCDS đang cố gắng tải một tệp cấu hình có phương thức mã hoá ký tự không được hỗ trợ. GCDS sử dụng UTF-8 làm phương thức mã hoá ký tự mặc định. Bạn nên sử dụng cùng một phương thức mã hoá cho các tệp cấu hình, mặc dù các phương thức mã hoá khác cũng tương thích.

Cách giải quyết vấn đề này:

1. Thay đổi phương thức mã hoá của tệp cấu hình thành UTF-8:
   1. Mở một trình chỉnh sửa văn bản.
   2. Lưu tệp bằng một phương thức mã hoá khác.
2. Xác minh rằng nội dung trong tệp cấu hình của bạn là chính xác.
3. Hãy thử tải lại tệp cấu hình trên GCDS.

Các phương thức mã hoá không được hỗ trợ phổ biến nhất là UTF-7 và UTF-8 BOM.

Vấn đề về kết nối mạng đã ngăn GCDS hoàn tất quy trình bắt tay Lớp cổng bảo mật (SSL) với máy chủ Google. Vấn đề này có thể xảy ra khi máy tính định tuyến gói quá chậm hoặc ISP của bạn tạm thời mất dịch vụ. GCDS cố gắng hoàn tất quy trình bắt tay SSL tối đa 3 lần. Nếu bạn thấy thông báo sau trong nhật ký, thì GCDS đã hoàn tất thành công quy trình bắt tay trong các lần thử tiếp theo và bạn không cần làm gì thêm: [usersyncapp.sync.FullSyncAgent] No differences detected, no changes necessary.

Hãy làm việc với quản trị viên mạng cục bộ để xem nguyên nhân có thể gây ra tình trạng hết thời gian chờ của mạng.

• Cấu hình LDAP Đơn vị tổ chức Quy tắc tìm kiếm
• Cấu hình LDAP Người dùng Đồng bộ hoá người dùng
• Cấu hình LDAP Nhóm Quy tắc tìm kiếm nhóm
• Cấu hình LDAP Hồ sơ người dùng Đồng bộ hoá hồ sơ người dùng
• Cấu hình LDAP Danh bạ dùng chung Đồng bộ hoá danh bạ

1. Thêm dòng sau vào tệp cấu hình, trong phần <features>:

   GROUP_NESTED_GROUPS_AS_USERS

2. Đặt dòng này trong thẻ <optional>.
3. Lưu tệp cấu hình và đồng bộ hoá.

GCDS có thể cố gắng thực hiện những thay đổi không mong muốn nếu bạn đồng bộ hoá bằng một tệp cấu hình được sao chép bên ngoài Configuration Manager. Tệp cấu hình mới đang truy cập vào cùng một bộ nhớ đệm như tệp cấu hình ban đầu và sự không nhất quán giữa 2 tệp này có thể khiến người dùng bị tạm ngưng.

Để sao chép một tệp cấu hình GCDS, hãy luôn sử dụng lựa chọn Lưu dưới dạng trong Trình quản lý cấu hình. Việc này giúp đảm bảo rằng tệp cấu hình mới có bộ nhớ đệm riêng.

Để biết thêm thông tin, hãy chuyển đến phần Làm việc với tệp cấu hình.

Bạn đang sử dụng một tệp cấu hình XML cũ của GCDS và GCDS đã gặp phải một thành viên nhóm không có trong các quy tắc tìm kiếm người dùng của cấu hình. Bạn nên thêm tất cả thành viên và chủ sở hữu nhóm vào quy tắc tìm kiếm người dùng, ngay cả khi bạn không muốn đồng bộ hoá những người dùng đó với miền Google. GCDS cần trích xuất địa chỉ email của những người dùng này để xử lý các nhóm đúng cách.

Hoặc tạo một tệp cấu hình XML mới và trống. Sau đó, GCDS sẽ cho phép đồng bộ hoá nhóm độc lập, buộc GCDS phải phân giải thành viên nhóm bất kể quy tắc đồng bộ hoá người dùng. Nếu không chắc chắn, bạn nên chọn cách này.

Khi thực hiện bất kỳ thay đổi nào về cấu hình hoặc tạo một tệp cấu hình mới, hãy nhớ chạy mô phỏng và xem xét kết quả trước khi chạy quy trình đồng bộ hoá đầy đủ.

Để biết thêm thông tin, hãy xem bài viết Xác định danh sách người dùng.

Tài khoản quản trị mà bạn chỉ định trong Configuration Manager không phải là tài khoản quản trị viên hoặc tên người dùng và mật khẩu không chính xác.

Trong Trình quản lý cấu hình, hãy chuyển đến phần Miền Google Cài đặt rồi xác minh thông tin tài khoản quản trị viên được chỉ định trong Địa chỉ email quản trị viên.

Để biết thêm thông tin, hãy xem bài viết Xác định chế độ cài đặt miền của bạn trên Google.

• Trong Configuration Manager (Trình quản lý cấu hình), hãy chuyển đến User Accounts (Tài khoản người dùng) Exclusion Rules (Quy tắc loại trừ) rồi tạo các quy tắc loại trừ người dùng để loại trừ người dùng trong các miền bên ngoài.
• Thay đổi quy tắc tìm kiếm người dùng để không trả về người dùng ở các miền bên ngoài.
• Thêm miền bị thiếu vào Tài khoản Google của bạn dưới dạng miền phụ.

• Trong Configuration Manager, hãy chuyển đến User Accounts (Tài khoản người dùng) Search rules (Quy tắc tìm kiếm) và giới hạn phạm vi tìm kiếm người dùng để trả về ít người dùng hơn.
• Trong Configuration Manager, hãy đảm bảo bạn đã chỉ định DN thích hợp trỏ đến thư mục gốc chỉ chứa những người dùng cần được nhập vào miền Google.
• Bạn cũng có thể mua thêm giấy phép người dùng. Để biết thêm thông tin, hãy xem bài viết Mua thêm giấy phép người dùng.

Một dịch vụ hoặc thiết bị mạng khác đang ngăn GCDS liên hệ với tổ chức phát hành chứng chỉ cho chứng chỉ HTTPS dùng cho API. Kiểm tra các quy tắc về tường lửa hoặc proxy có thể hạn chế các kết nối từ máy đang chạy GCDS. Nếu cần có proxy để truy cập vào web từ máy đang chạy GCDS, thì bạn phải định cấu hình proxy đó một cách phù hợp.

Để giải quyết vấn đề này, bạn có thể tắt quy trình kiểm tra danh sách thu hồi chứng chỉ (CRL). Để tắt quy trình kiểm tra CRL, hãy thêm các dòng sau vào tệp config-manager.vmoptions và sync-cmd.vmoptions trong thư mục cài đặt GCDS:

-Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false

Để biết thêm thông tin, hãy xem bài viết Cách GCDS kiểm tra danh sách thu hồi chứng chỉ.

• Cấu hình LDAP Đơn vị tổ chức Quy tắc tìm kiếm
• Cấu hình LDAP Người dùng Đồng bộ hoá người dùng
• Cấu hình LDAP Nhóm Quy tắc tìm kiếm nhóm
• Cấu hình LDAP Hồ sơ người dùng Đồng bộ hoá hồ sơ người dùng
• Cấu hình LDAP Danh bạ dùng chung Đồng bộ hoá danh bạ

GCDS không thể phân giải tên máy chủ LDAP đã cho. Đảm bảo bạn nhập tên miền đủ điều kiện cho máy chủ LDAP và đảm bảo rằng máy tính chạy GCDS có thể phân giải tên miền đó.

Lưu ý: Khi sử dụng Active Directory, hãy dùng tên miền đủ điều kiện của miền làm tên máy chủ.

Vấn đề này thường là do lưu lượng truy cập bị buộc phải đi qua một proxy. Nếu đang sử dụng một proxy, bạn cần phải định cấu hình chế độ cài đặt proxy của GCDS. Đảm bảo GCDS có thể kết nối với các URL và cổng cụ thể này bằng cách hoàn tất các bước trong phần Cho phép truy cập vào URL và cổng.

Phần mềm bảo mật trên máy tính cục bộ có thể gây ra các vấn đề về kết nối. Yêu cầu quản trị viên tắt mọi phần mềm bảo mật trên máy khách rồi thử lại.

Bắt đầu bằng cách kiểm tra DN trong cả thẻ Cấu hình LDAP và trong mọi quy tắc tìm kiếm mà bạn đã xác định một chế độ ghi đè DN cơ sở. Nếu cách đó không giải quyết được vấn đề và bạn chắc chắn rằng DN hợp lệ, thì vấn đề có thể là do hoạt động phân giải DNS. Bạn có thể thấy thêm thông tin về lỗi trong nhật ký, chẳng hạn như:

• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection refused: connect]]
• javax.naming.PartialResultException [Root exception is javax.naming.CommunicationException: domain.com:389 [Root exception is java.net.ConnectException: Connection timed out: connect]]

Những lỗi này cho biết tên máy chủ đang từ chối kết nối hoặc hết thời gian chờ. Hãy thử chạy một quy trình tra cứu DNS trên tên máy chủ này và đảm bảo rằng tất cả các địa chỉ được trả về đều hợp lệ và cho phép kết nối trên cổng mà bạn đã định cấu hình.

Lưu ý: Những lỗi này có thể xảy ra ngay cả khi bạn đã chỉ định một tên máy chủ hoặc địa chỉ IP hợp lệ trong cấu hình GCDS. Active Directory có thể đưa ra phản hồi chuyển hướng LDAP, hướng dẫn GCDS kết nối thông qua tên máy chủ. Lượt chuyển hướng này có thể cuối cùng sẽ chuyển đến tên máy chủ không phân giải được. Bạn có thể tránh những lượt giới thiệu này bằng cách kết nối với máy chủ Active Directory bằng cổng Danh mục chung (mặc định là 3268). Để biết thông tin chi tiết, hãy tham khảo tài liệu của Microsoft.

Một số thông tin trong giản đồ tuỳ chỉnh không hợp lệ. Để kiểm tra các giới hạn áp dụng cho giản đồ tuỳ chỉnh, hãy truy cập vào Directory API: Custom User Fields (Directory API: Trường người dùng tuỳ chỉnh).

Nếu đã bật nhật ký ở cấp độ theo dõi, bạn cũng có thể xem toàn bộ yêu cầu HTTP cho giản đồ tuỳ chỉnh.

• Bạn đang sử dụng đúng giao thức giao tiếp. Nếu máy chủ LDAP yêu cầu một giao thức bảo mật, hãy sử dụng LDAP + SSL.
• Máy chủ LDAP đang hoạt động và không gặp vấn đề về kết nối.

• DN cơ sở có trong máy chủ LDAP.
• Người dùng được uỷ quyền có quyền đối với DN cơ sở. Để biết thông tin chi tiết, hãy xem bài viết Chế độ cài đặt kết nối LDAP.

• Đối tượng <*base-dn*> tồn tại và người dùng được uỷ quyền có thể truy cập vào đối tượng này. Để biết thông tin chi tiết, hãy xem bài viết Chế độ cài đặt kết nối LDAP.
• <*attribute*> tồn tại cho đối tượng <*base-dn*> trong máy chủ LDAP.

• Bạn có một thành viên có địa chỉ LDAP chính là địa chỉ biệt hiệu trong Google Workspace. Tránh tình huống này nếu có thể (ví dụ: sử dụng tên người dùng khác cho biệt hiệu).
• Một tài khoản người dùng có cùng tên người dùng cho 2 địa chỉ biệt hiệu. Ngoài ra, trên trang Cấu hình Google Domains, bạn đã đánh dấu vào hộp Thay thế tên miền trong địa chỉ email LDAP. Khi bạn đánh dấu vào hộp này, cả hai địa chỉ email sẽ được thay đổi cho phù hợp với miền được liệt kê trong trường Miền email thay thế.

Bỏ đánh dấu hộp hoặc thay đổi một trong các tên người dùng bí danh.

Nếu bạn cũng nhận được thông báo sau trong nhật ký: "Error while adding member *user-email-address* to group *group-email-address* due to address collision" (Lỗi khi thêm thành viên *địa chỉ email người dùng* vào nhóm *địa chỉ email nhóm* do xung đột địa chỉ), hãy kiểm tra xem:

• GCDS đã loại trừ người dùng có *user-email-address* khỏi quá trình đồng bộ hoá dựa trên các quy tắc loại trừ của bạn. Kiểm tra các quy tắc loại trừ rồi thử lại. Để biết thông tin chi tiết, hãy xem bài viết Bỏ qua dữ liệu bằng các quy tắc và truy vấn loại trừ.
• Bạn đã cập nhật người dùng hoặc nhóm bên ngoài GCDS. Xoá bộ nhớ đệm rồi thử lại.