Soluciona problemas comunes de GCDS

Soluciona problemas de una configuración con el Administrador de configuración

Si tienes problemas para que se ejecute una sincronización correctamente, confirma que la información de configuración sea correcta en el Administrador de configuración y anota qué pruebas fallan:

1. En Configuration Manager, abre el archivo XML que usas para configurar la sincronización.
2. En la página LDAP Connections, haz clic en Test Connections para confirmar que puedes conectarte a tu servidor LDAP.
3. En la página Notificaciones, haz clic en Notificación de prueba para confirmar que puedes enviar una notificación de prueba.
4. En la página Sync, haz clic en Simulate Sync para confirmar que completaste todos los campos obligatorios y que se ejecuta la sincronización.

¿Cómo activo el registro HTTP completo para las solicitudes de API?

En casos excepcionales, es posible que el equipo de asistencia al cliente te pida que actives el registro HTTP completo, además del registro a nivel de seguimiento en GCDS. El registro HTTP completo se usa para ver la solicitud exacta de la API que realiza GCDS y la respuesta que proporcionan las APIs de Google.

Importante: Los registros HTTP completos pueden contener información muy sensible. Quita la información sensible (como los campos refresh_token o access_token actuales) antes de enviar los registros al equipo de asistencia.

Para activar el registro HTTP completo, sigue estos pasos:

1. Asegúrate de que GCDS no se esté ejecutando con sync-cmd ni con el Administrador de configuración.
2. Navega a la carpeta de instalación de GCDS.

3. Edita el archivo jre/lib/logging.properties.

4. Agrega las siguientes líneas al final del archivo:

   java.util.logging.FileHandler.pattern = %h/gcdshttp%u.%g.log
   java.util.logging.FileHandler.limit = 5000000
   java.util.logging.FileHandler.count = 100
   java.util.logging.FileHandler.formatter = java.util.logging.SimpleFormatter
   handlers = java.util.logging.FileHandler
   com.google.api.client.http.level = CONFIG
   
   com.google.gdata.client.http.HttpGDataRequest.level = ALL
   sun.net.www.protocol.http.HttpURLConnection.level = ALL

5. Guarda el archivo.
6. Ejecuta otra sincronización de GCDS (con el registro establecido en Trace).

   Los archivos de registro llamados gcdshttp*.log se crean en homedir (Linux) o en la carpeta de perfil (Microsoft Windows). Archiva estos archivos juntos, ya que pueden ser bastante grandes.

7. Borra las líneas que agregaste en el paso 4 para evitar que se creen archivos de registro grandes en el futuro.
8. Proporciona los siguientes archivos para la asistencia:
   • Archivo XML
   • Registros a nivel de seguimiento y los archivos gcdshttp*.log de la sincronización más reciente

SUGERENCIA: Si deseas habilitar el registro para una clase nueva, agrega una línea con el formato class.fqdn.level = ALL. No es necesario duplicar todo el bloque de configuración.

Usa un proxy de depuración

El tamaño de los cuerpos de las solicitudes y respuestas registradas se limita a 16 KB cada uno. Si ves una entrada de registro truncada porque supera ese límite, usa un proxy de depuración, como Fiddler.

Para habilitar Fiddler, sigue estos pasos:

1. Ve a la ruta de acceso en la que está instalado GCDS, por ejemplo, C:\Program Files\Google Cloud Directory Sync.
2. Agrega las siguientes marcas a los archivos .vmoptions (por ejemplo, config-manager.vmoptions o sync-cmd.vmoptions) para desactivar las verificaciones de la CRL:

   -Dcom.sun.security.enableCRLDP=false

   -Dcom.sun.net.ssl.checkRevocation=false

Reinicia GCDS para que se apliquen los cambios.

1. Configura Fiddler como proxy en la configuración de proxy de tu dominio de Google. En el campo de nombre de host, agrega la dirección IP local 127.0.0.1. El puerto predeterminado es 8888, pero puedes confirmarlo abriendo Fiddler, yendo a Options > Connections y verificando el valor en el campo "Fiddler Classiclistens on port".

Si usas GCDS en Linux, no puedes usar el almacén de certificados de confianza de Windows, por lo que debes importar el certificado raíz de Fiddler al almacén de confianza de Java de GCDS. Para obtener detalles sobre estos pasos, consulta Soluciona problemas relacionados con certificados.

Problema para configurar el host de retransmisión de SMTP

Si tienes problemas para configurar el host de retransmisión SMTP para tus notificaciones, prueba los siguientes pasos para solucionar problemas.

Error de conexión y mensaje de host SMTP desconocido

1. Abre un símbolo del sistema.
2. Para verificar si el nombre de host configurado del servidor SMTP se resuelve en una dirección IP, ingresa el siguiente comando:

   nslookup smtp-host-name.com

Mensaje de error de conexión y no se pudo conectar al host SMTP

Verifica si el servidor que ejecuta GCDS puede conectarse al host SMTP.

1. Para verificar la conexión, desde la línea de comandos o la terminal de Windows, ingresa el siguiente comando:

   telnet smtp.gmail.com 587

2. Si el host no se puede conectar, verifica las reglas de firewall de entrada del servidor SMTP y las reglas de firewall de salida del servidor de GCDS.
3. Asegúrate de haber permitido el tráfico en el puerto SMTP.

Error Could not convert socket to TLS en los registros

Inhabilita las verificaciones de la lista de revocación de certificados (CRL). Para obtener más información, consulta Cómo GCDS verifica las listas de revocación de certificados.

¿Cómo abro un archivo XML guardado en otra computadora o como otro usuario?

Consulta Cómo trabajar con archivos de configuración para obtener instrucciones sobre cómo abrir un archivo XML que se guardó en otra máquina o como otro usuario en la misma máquina.

¿Cómo exporto datos del directorio LDAP?

Si los datos de LDAP en los registros de nivel de seguimiento de GCDS no coinciden con lo que esperas leer en el servidor LDAP (por ejemplo, no se encuentra un usuario o un atributo no tiene el valor correcto), exporta los datos del directorio LDAP en formato LDIF. El equipo de asistencia puede comparar los datos con los datos de LDAP de los registros de GCDS.

Cuando exportes los datos, usa una herramienta de consultas LDAP, como ldapsearch (Linux) o ldifde (Windows), y simula las mismas condiciones con las que se ejecuta GCDS:

• Usa la misma configuración de conexión que GCDS está configurado para usar.
• Ejecuta la herramienta de consultas desde la misma máquina en la que se ejecuta GCDS.
• Usa el mismo nombre de usuario para la autenticación LDAP de GCDS.

Ejemplo

En tus registros de GCDS, no se muestra el atributo mail de tus usuarios, y la configuración de las reglas de búsqueda de GCDS es la siguiente:

• DN base: ou=Ireland,dc=altostrat,dc=com
• Alcance: Subtree
• Filtro de búsqueda: (&(objectCategory=person)(objectClass=user))
• Servidor: dc01.altostrat.com
• Puerto: 636
• Protocolo: LDAP+SSL
• DN del usuario de autenticación: cn=GCDS,ou=Users,dc=altostrat,dc=com

Usa los siguientes comandos:

• Linux: ldapsearch -v -b "ou=Ireland,dc=altostrat,dc=com" -s sub -h dc01.altostrat.com -p 636 -x -Z -D "cn=GCDS,ou=Users,dc=altostrat,dc=com" "(&(objectCategory=person)(objectClass=user))" mail givenname uniqueidentifier sn > out.ldif (es posible que debas modificar el comando según tu sistema)
• Windows: ldifde -f out.ldif -s dc01.altostrat.com -v -t 636 -d "ou=Ireland,dc=altostrat,dc=com" -r "(&(objectCategory=person)(objectClass=user))" -p SubTree -l mail,givenname,uniqueidentifier,sn -a "cn=GCDS,ou=Users,dc=altostrat,dc=com" PASSWORD (reemplaza PASSWORD por la contraseña del usuario de LDAP establecida en GCDS).

Si el resultado (out.ldif) no contiene el atributo mail para un usuario afectado, hay un problema con la infraestructura de LDAP. Es posible que se relacione con los permisos del usuario que usas para acceder a LDAP (por ejemplo, tanto OpenLDAP como Active Directory permiten configurar permisos a nivel del atributo). O bien es posible que el atributo no se replique en el catálogo global si usas un puerto de catálogo global, como 3268 o 3269.

Si el resultado contiene el atributo mail para un usuario afectado, proporciona los siguientes detalles al equipo de asistencia de Google Workspace:

• El archivo out.ldif
• Una captura de pantalla de la ventana de la terminal o del símbolo del sistema en la que ejecutaste el comando
  (asegúrate de quitar la contraseña primero)
• El registro de nivel de seguimiento de GCDS

¿Necesito un servidor de notificaciones para ejecutar una sincronización simulada?

Para ejecutar una sincronización simulada, necesitas un servidor capaz de enviar correos electrónicos. Si ejecutas GCDS en un servidor de correo, puedes usar la dirección IP 127.0.0.1 para tu servidor de correo. De lo contrario, comunícate con tu administrador de correo para obtener la información correcta.

¿Por qué GCDS no ejecuta una sincronización desde la línea de comandos?

Si usas la línea de comandos para ejecutar una sincronización y esta no se inicia, verifica si usaste el argumento -o o --oneinstance en la línea de comandos.

Si usas uno de esos argumentos, GCDS crea un archivo LOCK (.lock) asociado con el archivo de configuración XML. Además, si se encuentra otro archivo LOCK en el mismo servidor, GCDS no ejecutará la sincronización para evitar que se ejecuten varias instancias de GCDS de forma simultánea.

Si no se está ejecutando ninguna otra instancia de GCDS, busca otro archivo LOCK en el servidor. Borra el archivo de forma manual y vuelve a ejecutar la sincronización.

Mi sincronización no se completó. ¿Podría ser un problema de la API?

Si la sincronización no se completó (por ejemplo, no se sincronizó la membresía completa de un grupo), es posible que la API de Directory tenga un problema. Para verificar si el problema se relaciona con una API en lugar del producto de GCDS, llama manualmente a la API de Directory y revisa los resultados. Para llamar a la API de forma manual, elige una de las 2 opciones.

Opción 1: Usa la página de referencia de la API

1. Ve a Descripción general de la referencia de la API del SDK de Admin.
2. A la izquierda, haz clic en Directory API y, luego, en REST Resources, ve al recurso de REST que deseas consultar.
3. A la derecha, haz clic en el método que quieras probar y, luego, en Try it.

   Si en la página de referencia de la API no se muestra la opción Pruébalo, ve a la opción 2: Usa OAuth 2.0 Playground.

4. Ingresa las credenciales de administrador que usaste para autorizar GCDS.

   Para obtener más información, consulta Cómo definir la configuración de tu dominio de Google.

5. Revisa la información para asegurarte de que la API respondió según lo esperado.

Opción 2: Usa OAuth 2.0 Playground

1. Abre OAuth 2.0 Playground.
2. Elige una opción:
   • Selecciona un alcance de la lista.
   • Copia un alcance de la lista Permisos de autorización en la página de referencia de la API. Luego, pega el alcance en el campo Ingresa tus propios alcances.
3. Haz clic en Autorizar API.
4. Ingresa las credenciales de administrador que usaste para autorizar GCDS.

   Para obtener más información, consulta Cómo definir la configuración de tu dominio de Google.

5. Haz clic en Intercambiar código de autorización para tokens.

   Si el proceso se realiza correctamente, se te redireccionará al Paso 3: Configura la solicitud a la API.

6. Completa la información solicitada.

   Nota: Puedes encontrar la mayor parte de la información en la página web de referencia del método de la API.

7. Haz clic en Enviar la solicitud.
8. Revisa la información para asegurarte de que la API respondió según lo esperado.

¿Qué causa los errores o conflictos EntityDoesNotExist/EntityExists?

En tu archivo de configuración XML, establece la opción useDynamicMaxCacheLifetime. Esta opción configura GCDS para almacenar datos en caché durante un máximo de 8 días y borrar la caché con mayor frecuencia en conjuntos de datos pequeños y medianos para reducir la posibilidad de que los datos almacenados en caché se vuelvan obsoletos o entren en conflicto con los datos nuevos. La opción useDynamicMaxCacheLifetime es automática en las configuraciones creadas con GCDS 3.2.1 y versiones posteriores.

Nota: Por lo general, estos errores se producen cuando se realizan modificaciones directamente en tu dominio de Google. Cuando uses GCDS para la sincronización, debes evitar realizar cambios directamente en tu dominio de Google. En cambio, realiza cambios en los usuarios, los grupos y otras entidades de tu directorio de LDAP. Luego, usa GCDS para sincronizar estos cambios con tu dominio de Google.

¿Cómo puedo corregir los errores relacionados con la memoria?

Si ves errores relacionados con la memoria, debes aumentar el tamaño del montón de la máquina virtual de Java. Aumenta el tamaño del heap editando los archivos sync-cmd.vmoptions y config-manager.vmoptions en el directorio de instalación de GCDS. Las entradas relevantes se ven de la siguiente manera:

• -Xmx1000m (la cantidad máxima de memoria asignada para el tamaño del montón)
• -Xms64m (la cantidad mínima de memoria asignada para el tamaño del montón)

Edita los archivos sync-cmd.vmoptions y config-manager.vmoptions para que el cambio se aplique a las versiones de sync-cmd y Configuration Manager.

Edita el número -Xmx para aumentar la cantidad de memoria. La "m" que sigue al número indica que la memoria se mide en megabytes (MB). La cantidad correcta de memoria depende de la que tiene el servidor de GCDS y de la que necesita para una sincronización. Es posible que debas revisar el número varias veces para establecer el tamaño correcto. Para obtener más información sobre la cantidad de RAM libre necesaria para ejecutar GCDS, consulta Requisitos del sistema para GCDS.

¿Por qué GCDS sigue mostrando un error cuando la caché está desactivada?

El problema podría deberse a un problema de configuración, como una configuración incorrecta de una regla de exclusión. Este tipo de configuración incorrecta puede ocultarse con el almacenamiento en caché de GCDS.

GCDS mantiene una caché de datos para tu servicio de Google (como Google Workspace o Cloud Identity) durante un máximo de 8 días. Es posible que GCDS borre la caché con mayor frecuencia, según el tamaño de los datos almacenados en caché. Sin embargo, si no se borra la caché, es posible que no veas las actualizaciones hasta dentro de 8 días.

Por ejemplo, puedes sincronizar tus datos de LDAP y crear un grupo nuevo para tu servicio de Google (como Google Workspace o Cloud Identity). Luego, crea una regla de exclusión para excluir ese grupo de las sincronizaciones posteriores. La regla de exclusión está configurada de forma incorrecta y fallará. Sin embargo, las llamadas de sincronización posteriores en los datos almacenados en caché y el grupo permanecerán en tu servicio de Google. Cuando vuelvas a sincronizar con la caché borrada, la configuración incorrecta hará que se quite el grupo de tu servicio de Google.

Para borrar la caché de forma manual, haz lo siguiente:

• Ejecuta una sincronización desde el Administrador de configuración y selecciona la opción para borrar la caché cuando realices una sincronización.
• Ejecuta una sincronización desde el comando y usa el argumento -f para forzar el vaciado de la caché.
• Modifica el archivo de configuración XML para establecer el valor de maxCacheLifetime en 0.

Importante: Forzar una limpieza de caché puede aumentar drásticamente el tiempo de sincronización.

¿Por qué GCDS intenta crear usuarios de Google que ya existen?

Si recibes el error 409: Entity already exists, significa que GCDS está intentando crear usuarios de Google que ya existen. Si no ves el error en las sincronizaciones posteriores, es probable que la caché de GCDS no estuviera actualizada y que puedas ignorar el error sin problemas.

Si el problema se produce en cada sincronización o cada varios días, los motivos más probables son los siguientes:

• Una regla de exclusión de usuarios de Google es demasiado amplia: La regla coincide con algunos usuarios de Google que también existen en el directorio de LDAP.
• Una búsqueda es demasiado limitada: La búsqueda no coincide con algunos usuarios de Google que también existen en el directorio LDAP.

En ambos casos, GCDS puede ignorar a los usuarios de Google que ya existen. Si esos usuarios existen en los resultados de la regla de búsqueda de usuarios de LDAP, GCDS intenta crearlos en tu Cuenta de Google.

Para resolver el problema, ajusta la regla de exclusión o la búsqueda. O bien, si quieres que GCDS ignore por completo a los usuarios de tu directorio de LDAP, ajusta la regla de búsqueda de usuarios de LDAP o crea una regla de exclusión de usuarios de LDAP. Para obtener más información, consulta Cómo omitir datos con reglas y consultas de exclusión.

¿Por qué algunos usuarios no se sincronizan como miembros del grupo?

Para sincronizar los miembros del grupo de forma independiente de los resultados de cualquier regla de búsqueda de usuarios, GCDS activa INDEPENDENT_GROUP_SYNC de forma predeterminada. Si usas atributos de referencia de miembros para las sincronizaciones de grupos, GCDS intenta resolver la dirección de correo electrónico de cada usuario en el directorio LDAP, independientemente de las reglas de búsqueda de usuarios.

Para sincronizar los miembros del grupo solo en función de los resultados de las reglas de búsqueda de usuarios, quita INDEPENDENT_GROUP_SYNC de tu archivo XML de configuración. GCDS:

• Usa los resultados de las reglas de búsqueda de usuarios para resolver la membresía a grupos
• Solo se sincronizan como miembros del grupo los usuarios incluidos en la sincronización de usuarios.
• Ejecuta reglas de búsqueda de usuarios, incluso si desactivas la sincronización de cuentas de usuario en Configuración general

  (Sin embargo, los resultados no se sincronizan con Google como usuarios, sino como miembros del grupo, si los usuarios aptos también cumplen con los requisitos para ser miembros del grupo).

Por lo general, no es así como deseas que se ejecute la sincronización, en especial si sincronizas contactos compartidos y tienes miembros del grupo que son contactos. En este caso, los contactos no se sincronizarán como miembros del grupo.

¿Por qué algunos usuarios o grupos se vuelven a crear con cada sincronización?

Este problema ocurre cuando el atributo LDAP configurado como atributo de nombre de grupo no contiene una dirección de correo electrónico completa. Para resolver este problema, revisa las reglas de búsqueda de grupos y asegúrate de que GCDS use una dirección de correo electrónico completa para los nombres de los grupos. Usa uno de los siguientes métodos:

• Establece el atributo Group Name en un atributo LDAP diferente que especifique una dirección de correo electrónico completa para cada grupo, como mail.
• Activa Reemplazar nombres de dominio en las direcciones de correo electrónico LDAP en la configuración del dominio de Google para que el atributo Nombre del grupo coincida con los nombres de grupo del lado de Google.
• Agrega el nombre de dominio al nombre del grupo especificando un sufijo de nombre de grupo en tu regla de búsqueda de grupos.

Los grupos con más de 1,500 miembros en Active Directory no se sincronizan correctamente

Asegúrate de haber seleccionado MS Active Directory en el campo de tipo de servidor de la sección Configuración de LDAP.

¿Cómo uso la opción "Reemplazar nombres de dominio en las direcciones de correo electrónico LDAP"?

Esta opción (que se muestra como SUPPRESS_DOMAIN en el archivo XML) se usa si las direcciones de correo electrónico del directorio LDAP se encuentran en un dominio diferente al de Google. Cuando lo activas, GCDS quita la parte del dominio de todas las direcciones de correo electrónico que lee.

Todo el procesamiento se realiza sin el nombre de dominio. Si usas reglas de exclusión basadas en direcciones de correo electrónico, solo debes tener en cuenta la parte local de la dirección de correo electrónico para la regla de exclusión.

Por ejemplo, si tienes desactivada la opción Reemplazar nombres de dominio en las direcciones de correo electrónico LDAP y creas una regla de exclusión de coincidencia exacta, ingresa luka@example.com como la dirección de correo electrónico del usuario que debe coincidir. Si activaste Reemplazar nombres de dominio en las direcciones de correo electrónico LDAP, usa luka. Intentar hacer coincidir luka@example.com no funcionará, ya que @example.com se quita antes de la comparación.

¿Puedo anidar grupos estáticos y dinámicos?

Cuando aprovisionas grupos con GCDS, no puedes anidar grupos dinámicos debajo de grupos estáticos (ni grupos estáticos debajo de grupos dinámicos). GCDS requiere que los grupos estáticos se consulten por separado de los grupos dinámicos. Sin embargo, todos los grupos anidados deben formar parte de la misma consulta.

Busca una forma de implementar grupos dinámicos como grupos estáticos, posiblemente automatizando una tarea que consulte periódicamente cada grupo dinámico para propagar grupos estáticos en el directorio. Luego, GCDS puede usar los grupos estáticos (creados a partir de los grupos dinámicos) para el aprovisionamiento y no aprovisionar el grupo dinámico.

¿Por qué obtuve resultados inesperados de mi consulta LDAP?

Los resultados de las consultas de LDAP dependen de la configuración del Administrador de configuración y del servidor LDAP. Usa estas sugerencias para solucionar problemas si tu regla de búsqueda de LDAP devuelve un resultado inesperado. Asegúrate de lo siguiente:

• La consulta de LDAP está configurada correctamente en el Administrador de configuración: Cuando configures una regla de búsqueda, haz clic en Test LDAP Query para verificarla. Para obtener más información, consulta Cómo usar reglas de búsqueda de LDAP para sincronizar datos.
• Las múltiples consultas no se contradicen entre sí: Comprueba que no hayas configurado una regla de búsqueda o exclusión que cambie el resultado de una consulta.
• El usuario autorizado para el servidor LDAP tiene permisos suficientes: Asegúrate de que el administrador que se usó para autenticar el servidor LDAP pueda usar la línea de comandos en el mismo servidor. Prueba la consulta en el servidor LDAP y verifica los resultados.

Error al crear el grupo

Es posible que aparezca el mensaje de error No se pudo crear el grupo…. Mensaje: Not Authorized to access this resource/api en los registros de GCDS

Para solucionar el problema, verifica que el atributo de Active Directory (AD) que contiene el dominio de las direcciones de correo electrónico de usuarios y grupos coincida con el dominio que usa tu cuenta de administrador avanzado.

¿Por qué veo contactos duplicados en el directorio de mi dominio después de la sincronización con GCDS?

Por lo general, este problema ocurre si sincronizas contactos compartidos y las reglas de búsqueda no se compilan correctamente.

Existen 2 tipos de objetos relevantes que puedes sincronizar con GCDS:

• Perfiles de usuario: Usuarios de tu dominio de Google con datos adicionales, como un número de teléfono o una dirección Solo puedes sincronizar un perfil para un usuario que exista en tu dominio.
• Contactos compartidos: Son los contactos de terceros externos con los que los usuarios de tu dominio necesitan comunicarse.

Para resolver este problema, corrige las reglas de búsqueda de contactos compartidos para excluir a los usuarios de tu propio dominio. En la próxima sincronización, GCDS intentará borrar los contactos redundantes. Es posible que debas ajustar el límite de eliminación de contactos compartidos para esa primera sincronización.

¿Por qué algunos usuarios no ven su ubicación de trabajo principal en el Calendario de Google?

En algunas circunstancias, los usuarios no ven su ubicación de trabajo principal en el Calendario de Google cuando programan o organizan reuniones.

Si ves este problema, asegúrate de que los atributos de tipo de ubicación y área estén configurados como "escritorio".

¿Por qué una regla de búsqueda no encuentra nada?

Si tienes problemas con los resultados de la búsqueda, verifica lo siguiente:

• Es el alcance de la regla. Es posible que debas establecer el alcance en Sub-tree.
• La regla de búsqueda que estás usando es correcta.
• Los atributos que se usan existen y son visibles.

Es tu consulta LDAP. Verifica que la consulta en tu servidor LDAP use el mismo nombre de usuario de administrador que se configuró en GCDS.

Para obtener más detalles, consulta Cómo usar reglas de búsqueda de LDAP para sincronizar datos.

Cuando creo una regla de excepción, ¿por qué no veo el botón Aceptar?

Es posible que estés usando una fuente demasiado grande para la pantalla. El cuadro de diálogo no funciona con fuentes grandes o extra grandes. Cambia el tamaño de fuente o edita el archivo XML directamente.