Soluciona problemas relacionados con certificados

Es posible que veas los siguientes errores relacionados con el certificado en el archivo de registro de Google Cloud Directory Sync (GCDS):

  • sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
  • ldap_simple_bind_s() failed: Strong Authentication Required

Sigue los pasos que se indican a continuación para corregir estos errores.

En esta página

Cómo corregir errores relacionados con certificados

Pasos para Microsoft Windows

Actualiza el archivo vmoption

  1. Cierra el Administrador de configuración.
  2. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions.

    Por lo general, el directorio de instalación es C:\Program Files\Google Cloud Directory Sync.

  3. Edita los archivos para agregar las siguientes líneas:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT
    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
    -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Reinicia el Administrador de configuración y ve a la página Configuración LDAP.
  5. En Tipo de conexión, especifica LDAP+SSL.
  6. En Puerto, elige una opción:
    • Si antes usabas 389, especifica 636.
    • Si antes usabas 3268, especifica 3269.
  7. Haz clic en Test Connection.
  8. Si ves lo siguiente:

Importa el certificado del servidor

También puedes seguir estos pasos para importar certificados para servidores LDAP o proxies HTTP que usen certificados autofirmados.

  1. Accede al controlador de dominio y abre un símbolo del sistema.
  2. Para exportar el certificado del controlador de dominio, ingresa el siguiente comando:

    certutil -store My DomainController dccert.cer

  3. Copia el archivo dccert.cer en el servidor en el que está instalado GCDS.
  4. Como administrador, abre un símbolo del sistema.
  5. Para abrir la carpeta de instalación de Java Runtime Environment (JRE) de GCDS, ingresa el siguiente comando:

    cd "c:\Program Files\Google Cloud Directory Sync\jre"

    Si ejecutas una versión de 32 bits de GCDS instalada en un sistema Windows de 64 bits, usa cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre".

  6. Para importar el certificado del controlador de dominio, ingresa el siguiente comando:

    bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

    Si necesitas importar más de un certificado, repite estos pasos con un alias diferente en lugar de mydc.

  7. Ingresa Yes para confiar en el certificado.
  8. Cierra el Administrador de configuración.
  9. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.
  10. En cada archivo, quita lo siguiente:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Cuando quitas las líneas, GCDS usa el almacén de certificados en lib/security/cacerts en lugar del almacén del sistema de Windows.

  11. Abre el Administrador de configuración, ve a la página Configuración LDAP y haz clic en Probar conexiones.
  12. Si sigues viendo errores relacionados con el certificado, es posible que debas importar el certificado de la autoridad certificadora (AC) de tu organización en lugar del certificado del controlador de dominio. Para ello, repite estos pasos, pero exporta e importa el certificado de la AC.

Pasos para Linux

También puedes seguir estos pasos para importar certificados para servidores LDAP o proxies HTTP que usen certificados autofirmados.

  1. Accede al controlador de dominio y abre un símbolo del sistema.
  2. Para ubicar el certificado de dominio, ingresa el siguiente comando:

    certutil -store My DomainController dccert.cer

  3. Copia el archivo dccert.cer en el servidor en el que está instalado GCDS.
  4. Para abrir la carpeta de instalación de Java Runtime Environment (JRE) de GCDS, abre un símbolo del sistema y escribe el siguiente comando:

    cd ~/GoogleCloudDirSync/jre

  5. Para importar el certificado del controlador de dominio, ingresa el siguiente comando:

    bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

    Si necesitas importar más de un certificado, repite estos pasos con un alias diferente en lugar de mydc.

  6. Ingresa Yes para confiar en el certificado.
  7. Cierra el Administrador de configuración.
  8. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.

    Por lo general, el directorio de instalación es ~/GoogleCloudDirSync.

  9. En cada archivo, quita lo siguiente:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Cuando quitas las líneas, GCDS usa el almacén de certificados en lib/security/cacerts en lugar del almacén del sistema de Windows.

  10. Abre el Administrador de configuración, ve a la página Configuración LDAP y haz clic en Probar conexiones.
  11. Si sigues viendo errores relacionados con el certificado, es posible que debas importar el certificado de la autoridad certificadora (AC) de tu organización en lugar del certificado del controlador de dominio. Para ello, repite estos pasos, pero exporta e importa el certificado de la AC.

Cómo GCDS verifica las listas de revocación de certificados

GCDS debe validar los certificados de capa de conexión segura (SSL) cuando se conecta a las APIs de Google (a través de HTTPS) y a LDAP a través de SSL. Para ello, GCDS recupera las listas de revocación de certificados (CRL) de las autoridades certificadoras a través de HTTP. A veces, estas validaciones fallan, por lo general, debido a que un proxy o firewall bloquea la solicitud HTTP.

Asegúrate de que el servidor de GCDS pueda acceder a las siguientes URLs a través de HTTP (puerto 80):

  • http://crl.pki.goog
  • http://crls.pki.goog
  • http://c.pki.goog

Para obtener detalles sobre las CRL actuales, consulta Verificación de CRL. Es posible que necesites URLs adicionales si usas tus propios certificados para LDAP a través de SSL.

Si no puedes permitir el acceso a la CRL, puedes desactivar las verificaciones de la CRL:

  1. En el directorio de instalación de GCDS, abre los archivos <code class="notranslate">sync-cmd.vmoptions</code> y <code class="notranslate">config-manager.vmoptions</code> con un editor de texto.

    El directorio de instalación suele ser <code class="notranslate">C:\Program Files\Google Cloud Directory Sync</code> (Windows) o <code class="notranslate">~/GoogleCloudDirSync</code> (Linux).

  2. Agrega estas líneas a los archivos:

    -Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false

La sincronización es lenta después de cambiar a LDAP+SSL

Si cambiaste a LDAP+SSL y tu proceso de sincronización se ralentizó, haz lo siguiente:

  1. Cierra el Administrador de configuración.

  2. En el directorio de instalación de GCDS, abre los archivos <code class="notranslate">sync-cmd.vmoptions</code> y <code class="notranslate">config-manager.vmoptions</code> con un editor de texto.

    El directorio de instalación suele ser <code class="notranslate">C:\Program Files\Google Cloud Directory Sync</code> (Windows) o <code class="notranslate">~/GoogleCloudDirSync</code> (Linux).

  3. Edita los archivos para agregar las siguientes líneas:

    -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
-Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

  4. Guarda los archivos y vuelve a intentar la sincronización.

Garantiza la autenticación después de la actualización de Microsoft ADV190023

Si usas Microsoft Active Directory con la vinculación de canales y la firma de LDAP activadas, debes realizar pasos adicionales para asegurarte de que GCDS se autentique con LDAP a través de SSL. De lo contrario, GCDS no se conectará a Active Directory y fallarán las sincronizaciones. Debes seguir estos pasos incluso si ya ejecutaste una sincronización con la autenticación LDAP estándar. Para obtener detalles sobre el aviso ADV190023 de Microsoft, consulta la documentación de Microsoft.

Si ya usas LDAP a través de SSL correctamente, no es necesario que realices ningún paso.

Paso 1: Activa TLS en Active Directory

Paso 2: Asegúrate de que el certificado sea de confianza

GCDS debe confiar en la autoridad certificadora (CA) que firmó el certificado de tu controlador de dominio. La mayoría de las CA de Internet más conocidas, como Verisign, Comodo y Let's Encrypt, son de confianza. Si usas estas entidades certificadoras, puedes omitir este paso.

Si tu AC no es de confianza o si usas tu propia AC raíz, sigue los pasos anteriores en Cómo corregir errores relacionados con el certificado.

Paso 3: Configura Configuration Manager

  1. Abre el Administrador de configuración y ve a la página Configuración de LDAP.
  2. En el parámetro de configuración Tipo de conexión, especifica LDAP+SSL.
  3. En el parámetro de configuración Port, especifica 636 (si antes usabas 389) o 3269 (si antes usabas 3268).
  4. Haz clic en Test Connection.


Google, Google Workspace y las marcas y los logotipos relacionados son marcas de Google LLC. Todos los demás nombres de productos y empresas son marcas de las empresas con las que se encuentran asociados.