Häufige Probleme mit GCDS beheben

Hier finden Sie Informationen dazu, wie Sie Probleme bei der Konfiguration von Google Cloud Directory Sync (GCDS) beheben können.

Einrichtung und Konfiguration  |  Simulationen und Synchronisierungen  |  Fehler  |  Nutzer und Gruppen  |  Kontakte und Kalender  |  Regeln

Log-Analysetool verwenden

Mit diesem Tool lassen sich die meisten Probleme direkt nach dem Eingang ermitteln. 

• Senden Sie die Trace-Logs (als unkomprimierte ZIP-Dateien) an das Log-Analysetool in der Google Admin Toolbox.
• Für erweiterte Protokollanalysen können Sie unkomprimierte Dateien an das Log-Analysetool 2 senden. 

So aktivieren Sie das Trace-Level-Logging.

Einrichtung und Konfiguration

Abschnitt öffnen  |  Alle minimieren und nach oben

Konfigurationsfehler mit dem Konfigurationsmanager beheben

Wenn Probleme bei der Synchronisierung auftreten, prüfen Sie die Konfigurationsangaben im Konfigurationsmanager, um festzustellen, welche Tests nicht wie vorgesehen funktionieren:

1. Öffnen Sie im Konfigurationsmanager die XML-Datei, die Sie zum Konfigurieren der Synchronisierung verwenden.
2. Klicken Sie auf der Seite LDAP Connections (LDAP-Verbindungen) auf Test Connections (Verbindungen prüfen), um sicherzustellen, dass eine Verbindung zu Ihrem LDAP-Server hergestellt werden kann.
3. Klicken Sie anschließend auf der Seite Notifications (Benachrichtigungen) auf Test Notification (Testbenachrichtigung), um zu prüfen, ob eine Testnachricht erfolgreich versendet werden kann.
4. Klicken Sie auf der Seite Sync (Synchronisierung) auf Simulate Sync (Synchronisierung simulieren), um sicherzustellen, dass alle erforderlichen Felder ausgefüllt sind und die Synchronisierung funktioniert.

Wie aktiviere ich das vollständige HTTP-Logging für API-Anfragen?

In seltenen Fällen wird Sie das Supportteam möglicherweise darum bitten, zusätzlich zur Trace-Protokollierung in GCDS auch die vollständige HTTP-Protokollierung zu aktivieren. Damit können die genaue API-Anfrage von GCDS sowie die Rückmeldung von den Google APIs abgerufen werden.

Wichtig: Vollständige HTTP-Protokolle können streng vertrauliche Informationen enthalten. Entfernen Sie diese Daten (z. B. aktuelle Felder „refresh_token“ oder „access_token“), bevor Sie die Protokolle an den Support senden.

So aktivieren Sie das vollständige HTTP-Logging:

1. Achten Sie darauf, dass GCDS weder mit sync-cmd noch mit dem Konfigurationsmanager ausgeführt wird.
2. Rufen Sie den GCDS-Installationsordner auf.

3. Bearbeiten Sie die Datei jre/lib/logging.properties.

4. Fügen Sie am Dateiende folgende Zeilen hinzu:

   java.util.logging.FileHandler.pattern = %h/gcdshttp%u.%g.log
   java.util.logging.FileHandler.limit = 5000000
   java.util.logging.FileHandler.count = 100
   java.util.logging.FileHandler.formatter = java.util.logging.SimpleFormatter
   handlers = java.util.logging.FileHandler
   com.google.api.client.http.level = CONFIG
   
   com.google.gdata.client.http.HttpGDataRequest.level = ALL
   sun.net.www.protocol.http.HttpURLConnection.level = ALL

5. Speichern Sie die Datei.
6. Führen Sie eine weitere GCDS-Synchronisierung durch, bei der Trace für die Protokollierung festgelegt ist.

   Die Protokolldateien mit dem Namen gcdshttp*.log werden im Basisverzeichnis „homedir“ (Linux) bzw. im Profilordner (Microsoft Windows) erstellt. Diese Dateien können recht umfangreich sein und sollten daher in einem ZIP-Ordner zusammengefasst werden.

7. Löschen Sie die in Schritt 4 hinzugefügten Zeilen, um die weitere Erstellung großer Protokolldateien zu verhindern.
8. Stellen Sie dann die folgenden Dateien dem Supportteam zur Verfügung:
   • XML-Datei
   • Protokolle auf Trace-Ebene und die gcdshttp*.log-Dateien der letzten Synchronisierung

Debug-Proxy verwenden

Die protokollierten Anfrage- und Rückmeldungstexte sind auf je 16 KB beschränkt. Wenn Sie einen Protokolleintrag sehen, der abgeschnitten ist, weil er diesen Grenzwert überschreitet, verwenden Sie einen Debug-Proxy wie beispielsweise Fiddler.

Aktualisieren Sie dazu die .vmoptions-Dateien, sodass GCDS den vertrauenswürdigen Zertifikatspeicher von Windows verwendet, und deaktivieren Sie CRL-Prüfungen. Legen Sie Fiddler als Proxyserver in GCDS fest (normalerweise 127.0.0.1 auf Port 8888). Wenn Sie GCDS unter Linux verwenden, können Sie den vertrauenswürdigen Zertifikatspeicher von Windows nicht nutzen. In diesem Fall müssen Sie das Fiddler-Root-Zertifikat in den Java-Trust Store von GCDS importieren. Weitere Informationen zu diesen Schritten finden Sie unter Zertifikatsbezogene Probleme beheben.

Problem beim Einrichten des SMTP-Relay-Hosts

Wenn Sie Probleme beim Einrichten des SMTP-Relay-Hosts für Ihre Benachrichtigungen haben, versuchen Sie die folgenden Schritte zur Fehlerbehebung.

Meldung „Verbindung fehlgeschlagen“ & „Unbekannter SMTP-Host“

1. Öffnen Sie die Eingabeaufforderung.
2. Um zu überprüfen, ob der konfigurierte Hostname des SMTP-Servers in eine IP-Adresse aufgelöst werden kann, geben Sie den folgenden Befehl ein:

   nslookup smtp-hostname.com

Meldung „Verbindung fehlgeschlagen“ & „Keine Verbindung zum SMTP-Host möglich“

Überprüfen Sie, ob der Server, auf dem GCDS ausgeführt wird, eine Verbindung zum SMTP-Host herstellen kann.

1. Um die Verbindung zu überprüfen, geben Sie in der Windows-Befehlszeile oder im Terminal den folgenden Befehl ein:

   telnet smtp.gmail.com 587

2. Wenn der Host keine Verbindung herstellen kann, überprüfen Sie die eingehenden Firewall-Regeln des SMTP-Servers und die ausgehenden Firewall-Regeln des GCDS-Servers.
3. Stellen Sie sicher, dass Sie Datenverkehr auf dem SMTP-Port zugelassen haben.

Socket konnte nicht in TLS-Fehler in Protokollen konvertiert werden

Deaktivieren Sie die Überprüfung von Zertifikatsperrlisten (CRL). Ausführliche Informationen finden Sie unter So prüft GCDS Zertifikatsperrlisten.

Wie öffne ich eine XML-Datei, die auf einem anderen Computer oder unter einem anderen Nutzer gespeichert ist?

Weitere Informationen zur Verwendung von XML-Datei auf verschiedenen Computern oder mit unterschiedlichen Nutzern finden Sie im Hilfeartikel Konfigurationsdateien verwenden.

Wie exportiere ich Daten aus dem LDAP-Verzeichnis?

Wenn die LDAP-Daten in den Logs der GCDS-Trace-Ebene nicht dem entsprechen, was Sie auf dem LDAP-Server zu lesen erwarten, z. B. weil ein Nutzer nicht gefunden wurde oder ein Attribut nicht den richtigen Wert hat, exportieren Sie die Daten aus dem LDAP-Verzeichnis im LDIF-Format. Der Support kann die Daten mit den LDAP-Daten aus den GCDS-Logs vergleichen.

Verwenden Sie beim Exportieren der Daten ein LDAP-Abfragetool wie ldapsearch (Linux) oder ldifde (Windows) und simulieren Sie die gleichen Bedingungen, unter denen GCDS ausgeführt wird:

• Verwenden Sie die gleichen Verbindungseinstellungen, die auch für GCDS konfiguriert wurden.
• Führen Sie das Abfragetool auf derselben Maschine aus, auf der auch GCDS ausgeführt wird.
• Verwenden Sie für die GCDS-LDAP-Authentifizierung denselben Nutzernamen.

Beispiel

In Ihren GCDS-Logs wird das Attribut mail Ihrer Nutzer nicht angezeigt und Ihre GCDS-Suchregeleinstellungen lauten:

• Basis-DN: ou=Ireland,dc=altostrat,dc=com
• Bereich: Unterstruktur
• Suchfilter: (&(objectCategory=person)(objectClass=user))
• Server: dc01.altostrat.com
• Port: 636
• Protokoll: LDAP+SSL
• Authentifizierungs-Nutzer-DN: cn=GCDS,ou=Users,dc=altostrat,dc=com

Verwenden Sie diese Befehle:

• Linux: ldapsearch -v -b "ou=Ireland,dc=altostrat,dc=com" -s sub -h dc01.altostrat.com -p 636 -x -Z -D "cn=GCDS,ou=Users,dc=altostrat,dc=com" "(&(objectCategory=person)(objectClass=user))" mail givenname uniqueidentifier sn > out.ldif (Abhängig vom System müssen Sie den Befehl möglicherweise ändern.)
• Windows: ldifde -f out.ldif -s dc01.altostrat.com -v -t 636 -d "ou=Ireland,dc=altostrat,dc=com" -r "(&(objectCategory=person)(objectClass=user))" -p SubTree -l mail,givenname,uniqueidentifier,sn -a "cn=GCDS,ou=Users,dc=altostrat,dc=com" PASSWORD (Ersetzen Sie PASSWORD durch das Passwort des LDAP-Nutzersatzes in GCDS.)

Wenn die Ausgabe (out.ldif) das Attribut mail für einen betroffenen Nutzer nicht enthält, liegt ein Problem mit der LDAP-Infrastruktur vor. Möglicherweise hängt es mit den Berechtigungen des Nutzers zusammen, den Sie für den Zugriff auf das LDAP verwenden. So ermöglichen zum Beispiel sowohl in OpenLDAP als auch in Active Directory das Festlegen von Berechtigungen auf Attributebene. Es kann auch sein, dass das Attribut nicht in den globalen Katalog repliziert wird, wenn Sie einen Port wie 3268 oder 3269 für den globalen Katalog verwenden.

Wenn die Ausgabe das Attribut mail für einen betroffenen Nutzer enthält, erteilen Sie dem Google Workspace-Support die folgenden Informationen:

• Die Datei out.ldif
• Ein Screenshot der Eingabeaufforderung oder des Terminalfensters, in dem Sie den Befehl
  ausgeführt haben. Achten Sie darauf, zuerst das Passwort zu entfernen.
• GCDS-Log auf Trace-Ebene

Simulationen und Synchronisierungen

Abschnitt öffnen  |  Alle minimieren und nach oben

Benötige ich einen Benachrichtigungsserver, um eine simulierte Synchronisierung durchzuführen?

Um eine simulierte Synchronisierung durchzuführen, benötigen Sie einen Server, der E-Mails senden kann. Wenn GCDS über einen Mailserver ausgeführt wird, können Sie die IP-Adresse 127.0.0.1 für den Mailserver verwenden. Wenden Sie sich andernfalls an Ihren E-Mail-Administrator, um die richtigen E-Mail-Daten zu erhalten.

Warum führt GCDS keine Synchronisierung über die Befehlszeile aus?

Wenn Sie die Befehlszeile zum Ausführen einer Synchronisierung verwenden und die Synchronisierung nicht gestartet wird, prüfen Sie, ob Sie in der Befehlszeile das Argument -o oder --oneinstance verwendet haben.

Wenn Sie eines dieser Argumente verwenden, erstellt GCDS eine LOCK-Datei (.lock), die mit der XML-Konfigurationsdatei verknüpft ist. Und wenn eine andere LOCK-Datei auf demselben Server gefunden wird, führt GCDS die Synchronisierung nicht aus, um zu verhindern, dass mehrere Instanzen von GCDS gleichzeitig ausgeführt werden.

Wenn keine andere Instanz von GCDS ausgeführt wird, suchen Sie auf dem Server nach einer anderen LOCK-Datei. Löschen Sie die Datei manuell und versuchen Sie, die Synchronisierung erneut auszuführen.

Meine Synchronisierung war unvollständig. Könnte es ein API-Problem sein?

Wenn Ihre Synchronisierung unvollständig war und beispielsweise nicht die gesamte Mitgliedschaft einer Gruppe synchronisiert wurde, liegt möglicherweise ein Problem mit der Directory-API vor. Wenn Sie herausfinden möchten, ob das Problem mit einer API und nicht mit dem GCDS-Produkt zusammenhängt, rufen Sie die Directory API manuell auf und überprüfen Sie die Ergebnisse. Um die API manuell aufzurufen, wählen Sie eine von zwei Optionen.

Option 1: Verwenden Sie die API-Referenzseite

1. Gehen Sie zur Admin SDK API-Referenzübersicht.
2. Klicken Sie links auf Directory API und gehen Sie dann bei REST-Ressourcen zu der REST-Ressource, die Sie abfragen möchten.
3. Klicken Sie rechts auf die Methode, die Sie ausprobieren möchten, und klicken Sie dann auf Ausprobieren.

   Wenn auf der API-Referenzseite nicht Jetzt testen angezeigt wird, gehen Sie zu „Option 2: OAuth 2.0 Playground verwenden“.

4. Geben Sie die Administratoranmeldeinformationen ein, die Sie zur Autorisierung von GCDS verwendet haben.

   Weitere Informationen finden Sie unter Google-Domaineinstellungen festlegen.

5. Überprüfen Sie die Informationen, um sicherzustellen, dass die API wie erwartet reagiert hat.

Option 2: OAuth 2.0 Playground verwenden

1. Öffnen Sie OAuth 2.0 Playground.
2. Wählen Sie eine Option aus:
   • Wählen Sie einen Bereich aus der Liste aus.
   • Kopieren Sie einen Bereich aus der Liste Autorisierungsbereiche auf der API-Referenzseite. Fügen Sie dann den Bereich in das Feld Eigene Bereiche eingeben ein.
3. Klicken Sie auf APIs autorisieren.
4. Geben Sie die Administratoranmeldeinformationen ein, die Sie zur Autorisierung von GCDS verwendet haben.

   Weitere Informationen finden Sie unter Google-Domaineinstellungen definieren.

5. Klicken Sie auf Exchange authorization code for tokens (Autorisierungscode für Tokens austauschen).

   Wenn der Vorgang erfolgreich ist, werden Sie zu Schritt 3: Anfrage an API konfigurieren weitergeleitet.

6. Vervollständigen Sie die angeforderten Informationen.

   Tipp: Die meisten Informationen finden Sie auf der Referenzwebseite zur API-Methode.

7. Klicken Sie auf Anfrage senden.
8. Überprüfen Sie die Informationen, um sicherzustellen, dass die API wie erwartet reagiert hat.

Fehler

Abschnitt öffnen  |  Alle minimieren und nach oben

Wodurch werden Fehler oder Konflikte vom Typ „EntityDoesNotExist/EntityExists“ verursacht?

Legen Sie in der XML-Konfigurationsdatei die Option useDynamicMaxCacheLifetime fest. Diese GCDS-Konfiguration sorgt dafür, dass Daten maximal acht Tage lang im Cache aufbewahrt werden und dass der Cache bei kleinen bis mittleren Datensätzen häufiger geleert wird. So verringert sich die Wahrscheinlichkeit, dass Daten im Cache veraltet sind oder mit neuen Daten in Konflikt stehen. Die Option useDynamicMaxCacheLifetime ist in Konfigurationen, die mit GCDS 3.2.1 oder höher erstellt wurden, automatisch aktiviert.

Hinweis: Diese Fehler treten normalerweise auf, wenn Änderungen direkt in Ihrer Google-Domain vorgenommen werden. Während der Synchronisierung von Daten mit GCDS sollten Sie Änderungen direkt in Ihrer Google-Domain vermeiden. Verwenden Sie stattdessen Ihr LDAP-Verzeichnis, um Änderungen an Nutzern, Gruppen und anderen Entitäten vorzunehmen. Anschließend können Sie diese Änderungen mithilfe von GCDS mit Ihrer Google-Domain synchronisieren.

Wie kann ich Speicherfehler beheben?

Wenn speicherbezogene Fehler auftreten, müssen Sie die Heap-Größe für die Java Virtual Machine erhöhen, um das Problem zu beheben. Dazu bearbeiten Sie die Heap-Größe in den Dateien sync-cmd.vmoptions und config-manager.vmoptions im Installationsverzeichnis von GCDS. Die entsprechenden Einträge sehen so aus:

• -Xmx1000m (die maximale Größe des Heap-Speichers)
• -Xms64m (die Mindestgröße des Heap-Speichers)

Damit die Änderungen sowohl auf sync-cmd als auch auf den Konfigurationsmanager angewendet werden, bearbeiten Sie beide Dateien: sync-cmd.vmoptions und config-manager.vmoptions.

Ändern Sie den Wert für -Xmx, um den Speicherplatz zu erhöhen. Das „m“ nach der Zahl weist darauf hin, dass der Speicherplatz in Megabyte (MB) angegeben wird. Die richtige Speichermenge ist von der verfügbaren Speicherkapazität des GCDS-Servers sowie vom erforderlichen Speicher für die Synchronisierung durch GCDS abhängig. Deshalb müssen Sie den Wert möglicherweise mehrfach anpassen, bis die richtige Speichergröße eingestellt ist. Weitere Informationen zum erforderlichen RAM für die Ausführung von GCDS finden Sie im Hilfeartikel Systemanforderungen für GCDS.

Weshalb gibt GCDS weiterhin Fehlermeldungen zurück, wenn der Cache deaktiviert ist?

Der Fehler kann durch ein Konfigurationsproblem, z. B. eine falsch konfigurierte Ausschlussregel, verursacht werden. Solch eine fehlerhafte Konfiguration kann mit GCDS-Caching ignoriert werden. 

Bei GCDS werden die Daten Ihres Google-Dienstes (z. B. Google Workspace oder Cloud Identity) höchstens acht Tage lang im Cache gespeichert. Je nach Größe der im Cache gespeicherten Daten ist auch eine häufigere Leerung möglich. Wenn der Cache jedoch nicht geleert wird, werden Aktualisierungen für einen Zeitraum von bis zu 8 Tagen möglicherweise nicht angezeigt. 

Beispiel: Sie synchronisieren Ihre LDAP-Daten und erstellen eine neue Gruppe für Ihren Google-Dienst (z. B.Google Workspace oder Cloud Identity). Anschließend erstellen Sie eine Ausschlussregel, damit diese Gruppe von allen weiteren Synchronisierungen ausgeschlossen wird. Diese Ausschlussregel ist fehlerhaft konfiguriert und wird nicht erfolgreich angewendet. Bei weiteren Synchronisierungen wird jedoch auf Daten im Cache zugegriffen und die Gruppe bleibt im Google-Dienst. Wenn Sie erneut eine Synchronisierung bei leerem Cache ausführen, bewirkt die fehlerhafte Konfiguration, dass die Gruppe aus dem Google-Dienst entfernt wird.

So leeren Sie den Cache manuell:

• Führen Sie im Konfigurationsmanager eine Synchronisierung durch und wählen Sie dabei die Option zum Leeren des Cache aus.
• Führen Sie eine Synchronisierung über die Befehlszeile aus und verwenden Sie das Argument -f, um das Leeren des Cache zu erzwingen.
• Ändern Sie die XML-Konfigurationsdatei, um den Wert „maxCacheLifetime“ auf 0 zu setzen.

Wichtig: Das erzwungene Leeren des Caches kann die Synchronisierungsdauer deutlich verlängern.

Nutzer und Gruppen

Abschnitt öffnen  |  Alle minimieren und nach oben

Warum versucht GCDS, Google-Nutzer zu gewinnen, die es bereits gibt?

Wenn Sie die Fehlermeldung 409: Entität existiert bereits erhalten, versucht GCDS, bereits vorhandene Google-Nutzer zu erstellen. Wenn der Fehler bei nachfolgenden Synchronisierungen nicht auftritt, war der GCDS-Cache wahrscheinlich veraltet und der Fehler kann ignoriert werden.

Wenn das Problem bei jeder Synchronisierung oder alle paar Tage auftritt, sind die wahrscheinlichsten Gründe dafür:

• Eine Ausschlussregel für Google-Nutzer ist zu allgemein: Die Regel trifft auf einige Google-Nutzer zu, die auch im LDAP-Verzeichnis vorhanden sind.
• Eine Abfrage ist zu eng gefasst: Die Abfrage stimmt nicht mit einigen Google-Nutzern überein, die auch im LDAP-Verzeichnis vorhanden sind.

Beide Szenarien können dazu führen, dass GCDS bereits vorhandene Google-Nutzer ignoriert. Wenn diese Nutzer in den Ergebnissen der LDAP-Nutzersuchregel vorhanden sind, versucht GCDS, sie in Ihrem Google-Konto zu erstellen.

Um das Problem zu beheben, passen Sie die Ausschlussregel oder Suchanfrage an. Wenn Sie möchten, dass GCDS die Nutzer in Ihrem LDAP-Verzeichnis vollständig ignoriert, passen Sie die Suchregel für LDAP-Nutzer an oder erstellen Sie eine Ausschlussregel für LDAP-Nutzer. Weitere Informationen finden Sie unter Daten mit Ausschlussregeln und Abfragen weglassen.

Weshalb werden einige Nutzer nicht als Gruppenmitglieder synchronisiert?

Damit Gruppenmitglieder unabhängig von den Ergebnissen aller Nutzersuchregeln synchronisiert werden, ist die Option „INDEPENDENT_GROUP_SYNC“ in GCDS standardmäßig aktiviert. Wenn Sie Mitgliederreferenzattribute für die Synchronisierung von Gruppen verwenden, wird in GCDS ohne Berücksichtigung etwaiger Nutzersuchregeln versucht, die E-Mail-Adressen aller Nutzer im LDAP-Verzeichnis aufzulösen.

Wenn Sie Gruppenmitglieder basierend auf den Ergebnissen von Nutzersuchregeln synchronisieren möchten, entfernen Sie „INDEPENDENT_GROUP_SYNC“ aus der XML-Konfigurationsdatei. GCDS:

• Die Ergebnisse der Nutzersuchregeln werden verwendet, um die Gruppenmitgliedschaft aufzulösen.
• Nur Nutzer, die in Ihrer Nutzersynchronisierung enthalten sind, werden als Gruppenmitglieder synchronisiert.
• Nutzersuchregeln werden ausgeführt, auch wenn Sie die Synchronisierung von Nutzerkonten in den allgemeinen Einstellungen deaktivieren.

  Allerdings werden die Ergebnisse nicht als Nutzer, sondern als Gruppenmitglieder mit Google synchronisiert, wenn die berechtigten Nutzer auch als Gruppenmitglieder infrage kommen.

Das ist in der Regel nicht die Art und Weise, wie die Synchronisierung ausgeführt werden soll, besonders dann nicht, wenn Sie freigegebene Kontakte synchronisieren und Gruppenmitglieder haben, die Kontakte sind. In diesem Fall werden die Kontakte nicht als Gruppenmitglieder synchronisiert.

Weshalb werden manche Nutzer oder Gruppen bei jeder Synchronisierung neu erstellt?

Dies geschieht, wenn das als Gruppenname konfigurierte LDAP-Attribut keine vollständige E-Mail-Adresse umfasst. Prüfen Sie in diesem Fall Ihre Gruppensuchregeln und vergewissern Sie sich, dass GCDS vollständige E-Mail-Adressen für die Gruppennamen verwendet. Gehen Sie nach einer der folgenden Methoden vor:

• Legen Sie das Gruppennamenattribut auf ein anderes LDAP-Attribut fest, das für jede Gruppe eine vollständige E-Mail-Adresse angibt, z. B. „mail“.
• Aktivieren Sie in den Einstellungen der Google-Domain die Option Domainnamen in LDAP-E-Mail-Adressen ersetzen, damit Ihr Gruppennamenattribut den Google-Gruppennamen entspricht.
• Fügen Sie den Domainnamen dem Gruppennamen hinzu, indem Sie in Ihrer Gruppensuchregel ein Gruppennamensuffix festlegen.

Gruppen auf dem Active Directory-Server mit mehr als 1.500 Mitgliedern werden nicht richtig synchronisiert

Vergewissern Sie sich, dass Sie MS Active Directory als Servertyp im Abschnitt für die LDAP-Konfiguration ausgewählt haben.

Wie verwende ich die Option „Replace domain names in LDAP email addresses“ (Domainnamen in LDAP-E-Mail-Adressen ersetzen)?

GCDS verwendet diese Option, die in der XML-Datei als SUPPRESS_DOMAIN angezeigt wird, wenn sich die E-Mail-Adressen im LDAP-Verzeichnis nicht in Ihrer Google-Domain befinden, sondern in einer anderen Domain. Bei Aktivierung dieser Option wird GCDS den Domainanteil von allen gelesenen E-Mail-Adressen entfernen.

Jedwede Bearbeitung erfolgt ohne den Domainnamen. Bei der Verwendung von Ausschlussregeln, die auf E-Mail-Adressen beruhen, müssen Sie darauf achten, lediglich den lokalen Teil der E-Mail-Adresse für die jeweilige Ausschlussregel zu verwenden.

Wenn Sie beispielsweise die Option Domainnamen in LDAP-E-Mail-Adressen ersetzen deaktiviert haben und eine Ausschlussregel mit genauer Übereinstimmung erstellen, müssen Sie als Nutzer-E-Mail-Adresse [e-mail] eingeben, um einen Treffer zu erzielen. Wenn Sie die Option Domainnamen in LDAP-E-Mail-Adressen ersetzen aktiviert haben, verwenden Sie maxmustermann. Der Abgleich mit [e-mail] würde dann nicht funktionieren, weil @beispiel.de bereits vor dem Vergleich entfernt wird.

Kann ich statische und dynamische Gruppen verschachteln?

Sie können bei der Bereitstellung von Gruppen mit GCDS dynamische Gruppen nicht in statischen Gruppen verschachteln oder umgekehrt. In GCDS müssen statische Gruppen getrennt von dynamischen Gruppen abgefragt werden. Allerdings müssen alle verschachtelten Gruppen Teil derselben Abfrage sein.

Versuchen Sie nach Möglichkeit, dynamische Gruppen als statische Gruppen zu implementieren, etwa indem Sie eine Aufgabe automatisieren, die alle dynamischen Gruppen regelmäßig abfragt, um statische Gruppen im Verzeichnis darzustellen. GCDS kann diese statischen Gruppen, die aus den dynamischen Gruppen erstellt wurden, für die Bereitstellung verwenden und die dynamische Gruppe nicht bereitstellen.

Warum habe ich mit meiner LDAP-Abfrage unerwartete Ergebnisse erhalten?

Die Ergebnisse für LDAP-Abfragen hängen von den Einstellungen des Konfigurationsmanagers und dem LDAP-Server ab. Beachten Sie diese Tipps zur Fehlerbehebung, wenn Ihre LDAP-Suchregel ein unerwartetes Ergebnis zurückgibt. Folgendes müssen Sie beachten:

• Die LDAP-Abfrage ist im Konfigurationsmanager richtig eingerichtet: Klicken Sie beim Einrichten einer Suchregel auf LDAP-Abfrage testen, um sie zu bestätigen. Weitere Informationen finden Sie im Hilfeartikel LDAP-Suchregeln für die Synchronisierung von Daten verwenden.
• Mehrere Abfragen überschneiden sich nicht: Prüfen Sie, ob Sie eine Such- oder Ausschlussregel eingerichtet haben, durch die das Ergebnis einer Abfrage geändert wird.
• Der autorisierte Nutzer für den LDAP-Server hat die erforderlichen Berechtigungen: Sorgen Sie dafür, dass der Administrator, der für die Authentifizierung des LDAP-Servers verwendet wird, die Befehlszeile auf demselben Server verwenden kann. Führen Sie die Abfrage auf dem LDAP-Server durch und prüfen Sie die Ergebnisse.

Fehler: Gruppe konnte nicht erstellt werden

Möglicherweise wird die Fehlermeldung Gruppe ... konnte nicht erstellt werden angezeigt. Meldung: „Keine Berechtigung zum Zugriff auf diese Ressource/API“ in den GCDS-Protokollen. 

Überprüfen Sie zur Fehlerbehebung, ob das Active Directory (AD)-Attribut, das die Domain für Nutzer- und Gruppen-E-Mail-Adressen enthält, mit der Domain übereinstimmt, die Ihr Superadministratorkonto verwendet.

Kontakte und Kalender

Abschnitt öffnen  |  Alle minimieren und nach oben

Weshalb werden nach der Synchronisierung mit GCDS einige Kontakte in meinem Domainverzeichnis doppelt angezeigt?

Dieses Problem tritt in der Regel auf, wenn Sie gemeinsame Kontakte synchronisieren und die Suchregeln nicht korrekt erstellt wurden.

Es gibt zwei Typen relevanter Objekte, die mit GCDS synchronisiert werden können:

• Nutzerprofile: Nutzer in Ihrer Google-Domain, einschließlich zusätzlicher Daten wie z. B. Telefonnummer oder Adresse. Sie können ein Profil nur für einen Nutzer synchronisieren, der in Ihrer Domain vorhanden ist.
• Gemeinsame Kontakte: Kontaktdaten für externe Ansprechpartner, mit denen die Nutzer in Ihrer Domain kommunizieren müssen.

Ändern Sie die Suchregeln für freigegebene Kontakte, sodass Nutzer in Ihrer eigenen Domain ausgeschlossen werden, um dieses Problem zu beheben. Bei der nächsten Synchronisierung wird GCDS versuchen, die überflüssigen Kontakte zu löschen. Möglicherweise müssen Sie allerdings zuvor den Löschgrenzwert für die freigegebenen Kontakte bei dieser Synchronisierung anpassen.

Warum sehen manche Nutzer in Google Kalender ihren Hauptarbeitsort nicht?

Unter bestimmten Umständen sehen Nutzer in Google Kalender ihren Hauptarbeitsort nicht, wenn sie Besprechungen planen.

Wenn dieses Problem auftritt, überprüfen Sie, ob die Attribute für Standorttyp und Bereich auf „Schreibtisch“ festgelegt sind.

Regeln

Abschnitt öffnen  |  Alle minimieren und nach oben

Eine Suchregel gibt keine Ergebnisse aus. Woran liegt das?

Wenn Sie Probleme mit den Suchergebnissen haben, prüfen Sie Folgendes: 

• Wie ist der Geltungsbereich der Regel? Möglicherweise müssen Sie ihn auf Sub-tree festlegen.
• Ist die Suchregel, die Sie verwenden, korrekt?
• Die verwendeten Attribute müssen existieren und sichtbar sein.

Wie sieht die LDAP-Abfrage aus? Stellen Sie sicher, dass die Abfrage auf Ihrem LDAP-Server denselben Administrator-Nutzernamen verwendet, der in GCDS konfiguriert ist.

Weitere Informationen finden Sie im Hilfeartikel LDAP-Suchregeln für die Synchronisierung von Daten verwenden.

Weshalb wird die Schaltfläche „OK“ nicht angezeigt, wenn ich eine Ausnahmeregel erstelle?

Möglicherweise ist die verwendete Schrift zu groß für den Bildschirm. Das Dialogfeld ist nicht mit großen und sehr großen Schriften kompatibel. Ändern Sie die eingestellte Schriftgröße oder bearbeiten Sie die XML-Datei direkt.

Weitere Informationen

Google Workspace Bekannte Probleme

_{Google, Google Workspace sowie zugehörige Marken und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der Unternehmen, mit denen sie verbunden sind.}