Berikut cara memecahkan masalah yang mungkin Anda alami saat mengonfigurasi Google Cloud Directory Sync (GCDS).
Penyiapan & Konfigurasi | Simulasi & sinkronisasi | Error | Pengguna & grup | Kontak & kalender | Aturan
Mencoba Penganalisis Log
Alat ini dapat mengidentifikasi sebagian besar masalah dalam waktu singkat setelah pengiriman.
- Kirim log rekaman aktivitas (sebagai file yang tidak dikompresi atau file ZIP) ke Penganalisis Log Toolbox Google Admin.
- Untuk analisis log lanjutan, kirim file yang tidak dikompresi ke Log Analyzer 2.
Lihat detail tentang cara mengaktifkan logging tingkat pelacakan.
Penyiapan & konfigurasi
Buka bagian | Ciutkan semua & ke bagian atas
Memecahkan masalah konfigurasi menggunakan Configuration ManagerJika Anda mengalami masalah saat menjalankan sinkronisasi, pastikan informasi konfigurasi sudah benar di Configuration Manager dan catat pengujian mana yang gagal:
- Di Configuration Manager, buka file XML yang Anda gunakan untuk mengonfigurasi sinkronisasi.
- Di halaman LDAP Connections, klik Test Connections untuk mengonfirmasi bahwa Anda dapat terhubung ke server LDAP.
- Di halaman Notifications, klik Test Notification untuk mengonfirmasi bahwa Anda dapat mengirim notifikasi pengujian.
- Di halaman Sync, klik Simulate Sync untuk mengonfirmasi bahwa Anda telah melengkapi semua kolom yang wajib diisi dan bahwa sinkronisasi berjalan.
Dalam kasus yang jarang terjadi, Dukungan Google Cloud mungkin meminta Anda untuk mengaktifkan pencatatan log HTTP lengkap di samping mengaktifkan pencatatan log tingkat trace pada GCDS. Pencatatan log HTTP lengkap digunakan untuk melihat permintaan API yang sama persis dengan yang dibuat oleh GCDS dan respons yang diberikan oleh Google API.
Penting: Log HTTP lengkap dapat berisi informasi yang sangat sensitif. Hapus informasi sensitif apa pun (seperti kolom refresh_token atau access_token saat ini) sebelum mengirim log ke dukungan.
Untuk mengaktifkan logging HTTP lengkap:
- Pastikan GCDS tidak berjalan dengan sync-cmd maupun Configuration Manager.
- Buka folder penginstalan GCDS.
-
Edit file jre/lib/logging.properties.
- Tambahkan baris berikut ke bagian akhir file:
java.util.logging.FileHandler.pattern = %h/gcdshttp%u.%g.log
java.util.logging.FileHandler.limit = 5000000
java.util.logging.FileHandler.count = 100
java.util.logging.FileHandler.formatter = java.util.logging.SimpleFormatter
handlers = java.util.logging.FileHandler
com.google.api.client.http.level = CONFIG
com.google.gdata.client.http.HttpGDataRequest.level = ALL
sun.net.www.protocol.http.HttpURLConnection.level = ALL - Simpan file.
- Jalankan sinkronisasi GCDS lain (dengan logging disetel ke Trace).
File log bernama gcdshttp*.log dibuat di homedir (Linux) atau folder profil (Microsoft Windows). Arsipkan file ini bersama-sama karena ukurannya bisa sangat besar.
- Hapus baris yang ditambahkan pada langkah 4 untuk mencegah file log berukuran besar dibuat di masa mendatang.
Kemudian, berikan file berikut ke dukungan:
- File XML yang digunakan.
- Log tingkat trace dari sinkronisasi terbaru.
-
File gcdshttp*.log yang dibuat oleh sinkronisasi.
Dengan menggunakan log ini, dukungan dapat melihat informasi yang diberikan oleh Directory API ke GCDS dan cara GCDS menanggapinya.
Permintaan dan respons yang dicatat ke log masing-masing dibatasi hingga ukuran 16 KB. Jika melihat entri log yang dipotong karena melampaui batas, gunakan Fiddler seperti yang disarankan berikut ini.
Catatan: Jika ingin menggunakan proxy debug, seperti Fiddler, dengan GCDS, Anda perlu memperbarui file .vmoptions untuk menetapkan GCDS agar menggunakan penyimpanan sertifikat tepercaya Windows dan menonaktifkan pemeriksaan CRL. Anda kemudian dapat menetapkan Fiddler sebagai server proxy di GCDS (biasanya 127.0.0.1 pada port 8888) dan koneksinya dicatat di log oleh Fiddler. Jika menggunakan GCDS di Linux, Anda tidak dapat menggunakan penyimpanan sertifikat tepercaya Windows, jadi Anda perlu mengimpor root certificate Fiddler ke penyimpanan tepercaya Java GCDS. Untuk informasi selengkapnya, buka Mengimpor sertifikat server.
Lihat Menangani file konfigurasi untuk mengetahui petunjuk tentang cara membuka file XML yang disimpan di komputer lain, atau sebagai pengguna lain di komputer yang sama.
Jika data LDAP di log tingkat pelacakan GCDS tidak cocok dengan yang Anda inginkan di server LDAP (misalnya, pengguna tidak ditemukan atau atribut tidak memiliki nilai yang benar), ekspor data dari direktori LDAP dalam format LDIF. Bagian dukungan dapat membandingkan data tersebut dengan data LDAP dari log GCDS.
Saat mengekspor data, gunakan alat kueri LDAP, seperti ldapsearch (Linux) atau ldifde (Windows), dan simulasikan kondisi yang sama dengan yang dijalankan GCDS:
- Gunakan setelan koneksi yang sama dengan setelan yang digunakan GCDS.
- Jalankan alat kueri dari mesin yang sama dengan mesin yang menjalankan GCDS.
- Gunakan nama pengguna yang sama untuk autentikasi LDAP GCDS.
Contoh
Log GCDS Anda tidak menampilkan atribut mail pengguna, dan setelan aturan penelusuran GCDS Anda adalah:
- DN dasar: ou=Ireland,dc=altostrat,dc=com
- Cakupan: Subtree
- Filter penelusuran: (&(objectCategory=person)(objectClass=user))
- Server: dc01.altostrat.com
- Port: 636
- Protokol: LDAP+SSL
- DN pengguna autentikasi: cn=GCDS,ou=Users,dc=altostrat,dc=com
Gunakan command berikut:
- Linux:
ldapsearch -v -b "ou=Ireland,dc=altostrat,dc=com" -s sub -h dc01.altostrat.com -p 636 -x -Z -D "cn=GCDS,ou=Users,dc=altostrat,dc=com" "(&(objectCategory=person)(objectClass=user))" mail givenname uniqueidentifier sn > out.ldif(Bergantung pada sistem Anda, perintah mungkin perlu diubah.) - Windows:
ldifde -f out.ldif -s dc01.altostrat.com -v -t 636 -d "ou=Ireland,dc=altostrat,dc=com" -r "(&(objectCategory=person)(objectClass=user))" -p SubTree -l mail,givenname,uniqueidentifier,sn -a "cn=GCDS,ou=Users,dc=altostrat,dc=com" PASSWORD(GantiPASSWORDdengan sandi pengguna LDAP yang disetel di GCDS.)
Jika output (out.ldif) tidak berisi atribut mail untuk pengguna yang terpengaruh, artinya infrastruktur LDAP mengalami masalah. Masalah ini mungkin terkait dengan izin pengguna yang Anda gunakan untuk mengakses LDAP (misalnya, OpenLDAP dan Active Directory memungkinkan penetapan izin tingkat atribut). Atau, atribut tersebut mungkin tidak direplikasi ke Global Catalog jika Anda menggunakan port Global Catalog, seperti 3268 atau 3269.
Jika output berisi atribut mail untuk pengguna yang terpengaruh, berikan detail berikut kepada dukungan Google Workspace:
- File out.ldif
- Screenshot command prompt atau jendela terminal tempat Anda menjalankan command
(Pastikan Anda menghapus sandi terlebih dahulu.) - Log tingkat pelacakan GCDS
Simulasi & sinkronisasi
Buka bagian | Ciutkan semua & ke bagian atas
Apakah saya perlu server notifikasi untuk menjalankan simulasi sinkronisasi?Untuk menjalankan simulasi sinkronisasi, Anda memerlukan server yang dapat mengirim email. Jika menjalankan GCDS pada komputer server email, Anda dapat menggunakan alamat IP 127.0.0.1 untuk server email Anda. Jika tidak, hubungi administrator email untuk informasi email yang benar.
Jika Anda menggunakan command line untuk menjalankan sinkronisasi dan sinkronisasi tidak dimulai, periksa apakah Anda menggunakan argumen -o atau --oneinstance dalam command line.
Jika Anda menggunakan salah satu argumen tersebut, GCDS akan membuat file LOCK (.lock) yang terkait dengan file konfigurasi XML. Selain itu, jika file LOCK lainnya ditemukan di server yang sama, GCDS tidak akan menjalankan sinkronisasi untuk mencegah beberapa instance GCDS berjalan secara bersamaan.
Jika tidak ada instance lain GCDS yang berjalan, periksa file LOCK lainnya di server. Hapus file secara manual dan coba jalankan sinkronisasi lagi.
Jika sinkronisasi Anda tidak selesai, misalnya, keanggotaan penuh grup tidak disinkronkan, Directory API dapat mengalami masalah. Untuk memverifikasi apakah masalah ini terkait dengan API dan bukan produk GCDS, panggil Directory API secara manual dan tinjau hasilnya. Untuk memanggil API secara manual, pilih salah satu dari 2 opsi.
Opsi 1: Gunakan halaman referensi API
- Buka Ringkasan referensi Admin SDK API.
- Di sebelah kiri, klik Directory API, lalu, untuk Resource REST, buka REST Resource yang ingin Anda buat kuerinya.
- Di sebelah kanan, klik metode yang ingin Anda coba, lalu klik Cobalah.
Jika halaman referensi API tidak menampilkan Cobalah, buka Opsi 2: Gunakan OAuth 2.0 Playground.
- Masukkan kredensial admin yang Anda gunakan untuk mengizinkan GCDS.
Untuk mengetahui detailnya, buka Menentukan setelan domain Google.
- Tinjau informasinya untuk memastikan API merespons seperti yang diharapkan.
Opsi 2: Gunakan OAuth 2.0 Playground
- Buka OAuth 2.0 Playground.
- Pilih salah satu opsi:
- Pilih cakupan dari daftar.
- Salin cakupan dari daftar Authorization scopes di halaman referensi API. Kemudian, tempelkan cakupan di kolom Input your own scopes.
- Klik Authorize APIs.
- Masukkan kredensial admin yang Anda gunakan untuk mengizinkan GCDS.
Untuk mengetahui detailnya, buka Menentukan setelan domain Google.
- Klik Exchange authorization code for tokens.
Jika proses berhasil, Anda akan dialihkan ke Langkah 3: Konfigurasi permintaan ke API.
- Lengkapi informasi yang diminta.
Tips: Anda dapat menemukan sebagian besar informasi di halaman web referensi metode API.
- Klik Send the request.
- Tinjau informasinya untuk memastikan API merespons seperti yang diharapkan.
Error
Buka bagian | Ciutkan semua & ke bagian atas
Apa yang menyebabkan error atau konflik EntityAreNotExist/EntityExist?Di file konfigurasi XML Anda, setel opsi useDynamicMaxCacheLifetime. Opsi ini mengonfigurasi GCDS agar menyimpan data dalam cache selama maksimum 8 hari, dan lebih sering menghapus cache dalam set data berukuran kecil hingga sedang untuk mengurangi kemungkinan data yang disimpan dalam cache menjadi usang atau bentrok dengan data baru. Opsi useDynamicMaxCacheLifetime bersifat otomatis dalam konfigurasi yang dibuat dengan GCDS 3.2.1 dan versi lebih baru.
Catatan: Error ini biasanya terjadi saat modifikasi dilakukan secara langsung di domain Google. Saat menggunakan GCDS untuk sinkronisasi, sebaiknya jangan lakukan perubahan ke domain Google secara langsung. Sebagai gantinya, lakukan perubahan terhadap pengguna, grup, dan entitas lainnya di direktori LDAP. Selanjutnya, gunakan GCDS untuk menyinkronkan domain Google Anda.
Jika melihat error terkait memori, Anda perlu menambah ukuran heap untuk Mesin Virtual Java. Tingkatkan ukuran heap dengan mengedit file sync-cmd.vmoptions dan config-manager.vmoptions di direktori penginstalan GCDS. Entri yang relevan akan terlihat seperti ini:
- -Xmx1000m (jumlah maksimum memori yang dialokasikan untuk ukuran heap)
- -Xms64m (jumlah minimum memori yang dialokasikan untuk ukuran heap)
Edit file sync-cmd.vmoptions dan config-manager.vmoptions agar perubahan dapat diterapkan ke versi sync-cmd dan Configuration Manager.
Edit jumlah -Xmx untuk meningkatkan jumlah memori. Huruf "m" yang ditulis setelah jumlah menunjukkan bahwa memori diukur dalam megabyte (MB). Jumlah memori yang tepat bergantung pada banyaknya server GCDS yang tersedia dan banyaknya memori yang diperlukan GCDS untuk sinkronisasi. Anda mungkin harus merevisi jumlahnya beberapa kali untuk menetapkan ukuran yang tepat. Untuk informasi selengkapnya tentang jumlah RAM kosong yang diperlukan untuk menjalankan GCDS, buka Persyaratan sistem untuk GCDS.
Error tersebut mungkin karena masalah konfigurasi, seperti kesalahan konfigurasi aturan pengecualian. Jenis error konfigurasi ini dapat disembunyikan oleh penyimpanan cache GCDS.
GCDS menyimpan cache data untuk layanan Google Anda (seperti Google Workspace atau Cloud Identity) selama maksimum 8 hari. GCDS dapat lebih sering menghapus cache, bergantung pada ukuran data cache. Namun, jika cache tidak dihapus, Anda mungkin tidak melihat perubahan hingga 8 hari.
Misalnya, Anda menyinkronkan data LDAP dan membuat grup baru untuk layanan Google (seperti Google Workspace atau Cloud Identity). Kemudian, Anda membuat aturan pengecualian untuk mengecualikan grup tersebut dari sinkronisasi berikutnya. Aturan pengecualian tersebut tidak dikonfigurasi dengan benar dan akan gagal. Namun, sinkronisasi berikutnya menggunakan data cache dan grup tersebut tetap ada di layanan Google. Jika Anda menyinkronkan kembali dengan menghapus cache, kesalahan konfigurasi akan mengakibatkan grup dihapus dari layanan Google.
Cara menghapus cache secara manual:
- Jalankan sikronisasi dari Configuration Manager, lalu pilih opsi untuk menghapus cache saat melakukan sinkronisasi.
- Jalankan sinkronisasi dari perintah dan gunakan argumen -f untuk memaksa pembersihan cache.
- Ubah file konfigurasi XML untuk menetapkan nilai maxCacheLifetime ke 0.
Penting: Memaksa pembersihan cache dapat meningkatkan waktu sinkronisasi secara signifikan.
Pengguna & grup
Buka bagian | Ciutkan semua & ke bagian atas
Mengapa GCDS mencoba membuat pengguna Google yang sudah ada?Jika Anda menerima error 409: Entitas sudah ada, GCDS akan mencoba membuat pengguna Google yang sudah ada. Jika Anda tidak melihat error ini di sinkronisasi berikutnya, sepertinya cache GCDS sudah tidak berlaku dan mengabaikan error tersebut tidak akan menimbulkan masalah.
Jika masalah terjadi setiap sinkronisasi atau setiap beberapa hari, penyebab yang paling mungkin terjadi adalah:
- Aturan pengecualian pengguna Google terlalu luas—aturan cocok dengan beberapa pengguna Google yang juga ada di direktori LDAP.
- Kueri terlalu sempit—kueri tidak cocok dengan beberapa pengguna Google yang juga ada di direktori LDAP.
Kedua skenario dapat menyebabkan GCDS mengabaikan pengguna Google yang sudah ada. Jika pengguna tersebut ada di hasil aturan penelusuran pengguna LDAP, GCDS mencoba membuatnya di Akun Google Anda.
Untuk menyelesaikan masalah ini, sesuaikan aturan pengecualian atau kueri penelusuran. Atau, jika Anda ingin GCDS mengabaikan pengguna sepenuhnya di direktori LDAP, sesuaikan aturan penelusuran pengguna LDAP atau buat aturan pengecualian pengguna LDAP. Untuk mengetahui detailnya, buka Menghapus data dengan aturan pengecualian & kueri.
Untuk menyinkronkan anggota grup secara terpisah dari hasil aturan penelusuran pengguna apa pun, GCDS menyalakan opsi INDEPENDENT_GROUP_SYNC secara default. Jika Anda menggunakan atribut referensi anggota untuk sinkronisasi grup, GCDS mencoba menyelesaikan alamat email setiap pengguna pada direktori LDAP, terlepas dari aturan penelusuran pengguna yang ada.
Untuk menyinkronkan anggota grup hanya berdasarkan hasil aturan penelusuran anggota, hapus INDEPENDENT_GROUP_SYNC dari file XML konfigurasi Anda. GCDS:
- Menggunakan hasil aturan penelusuran pengguna untuk menyelesaikan keanggotaan grup
- Hanya disinkronkan sebagai anggota grup yang disertakan pengguna tersebut di sinkronisasi pengguna Anda
- Menjalankan aturan penelusuran pengguna, meski Anda menonaktifkan sinkronisasi akun pengguna di Setelan Umum
(Namun, hasil tersebut tidak akan disinkronkan ke Google sebagai pengguna tetapi anggota grup, jika pengguna yang memenuhi syarat juga memenuhi syarat sebagai anggota grup.)
Biasanya, ini bukanlah cara kerja sinkronisasi yang Anda inginkan, terutama jika Anda menyinkronkan ulang kontak bersama dan memiliki anggota grup yang tercantum dalam kontak. Dalam hal ini, kontak tidak akan disinkronkan sebagai anggota grup.
Masalah ini terjadi saat atribut LDAP yang dikonfigurasi sebagai Atribut Nama Grup tidak berisi alamat email lengkap. Untuk menyelesaikan masalah ini, periksa aturan Penelusuran Grup dan pastikan bahwa GCDS menggunakan alamat email lengkap untuk nama grup. Gunakan salah satu metode berikut:
- Tetapkan Atribut Nama Grup ke atribut LDAP lain yang menentukan alamat email lengkap untuk setiap grup, misalnya email.
- Aktifkan Ganti nama domain di alamat email LDAP di Setelan Domain Google, sehingga Atribut Nama Grup Anda sesuai dengan nama grup sisi Google.
- Tambahkan nama domain ke nama grup dengan menentukan Akhiran Nama Grup di Aturan Penelusuran Grup Anda.
Pastikan Anda memilih MS Active Directory pada kolom jenis server bagian Konfigurasi LDAP.
Opsi ini (ditampilkan sebagai SUPPRESS_DOMAIN dalam file XML) digunakan jika alamat email di direktori LDAP berada di domain yang berbeda dengan domain Google Anda. Saat Anda mengaktifkannya, GCDS menghilangkan bagian domain semua alamat email yang telah dibaca.
Pemrosesan apa pun diselesaikan tanpa nama domain. Jika menggunakan aturan pengecualian berdasarkan alamat email, Anda hanya perlu mempertimbangkan bagian lokal alamat email untuk aturan pengecualian.
Misalnya, jika Anda telah menonaktifkan Ganti nama domain di alamat email LDAP, dan sedang membuat aturan pengecualian Pencocokan Persis, masukkan lukita@example.com sebagai alamat email pengguna yang ingin dicocokkan. Jika Anda telah mengaktifkan Ganti nama domain di alamat email LDAP, gunakan lukita. Mencoba mencocokkan lukita@example.com tidak akan berhasil, karena @example.com dihilangkan sebelum dibandingkan.
Saat menyediakan grup menggunakan GCDS, Anda tidak dapat mengumpulkan grup dinamis di bawah grup statis (atau grup statis di bawah kelompok dinamis). GCDS mewajibkan grup statis dikuerikan secara terpisah dari grup dinamis. Namun, semua grup bertingkat harus menjadi bagian dari kueri yang sama.
Temukan cara menerapkan grup dinamis sebagai grup statis, mungkin dengan mengotomatiskan tugas yang mengajukan kueri setiap grup dinamis secara berkala untuk mengisi grup statis dalam direktori. Kemudian, GCDS dapat menggunakan grup statis (seperti yang dibuat dari grup dinamis) untuk menyediakan dan tidak menyediakan grup dinamis.
Hasil kueri LDAP bergantung pada setelan Configuration Manager dan server LDAP. Gunakan tips pemecahan masalah ini jika aturan penelusuran LDAP menampilkan hasil yang tidak diinginkan. Pastikan bahwa:
- Kueri LDAP disiapkan dengan benar di Configuration Manager—Saat Anda menyiapkan aturan penelusuran, klik Uji Kueri LDAP untuk memverifikasi. Untuk mengetahui detailnya, buka Menggunakan aturan penelusuran LDAP untuk menyinkronkan data.
- Beberapa kueri tidak bertentangan satu sama lain—Pastikan Anda belum menyiapkan aturan penelusuran atau pengecualian yang mengubah hasil kueri.
- Pengguna yang diberi otorisasi untuk server LDAP memiliki izin yang memadai—Pastikan administrator yang digunakan untuk mengautentikasi server LDAP dapat menggunakan command line di server yang sama. Coba kueri di server LDAP dan verifikasi hasilnya.
Anda mungkin mendapati pesan error Grup ... tidak dapat dibuat. Pesan: Tidak Diizinkan mengakses resource/api ini di log GCDS.
Untuk memecahkan masalah, periksa apakah atribut Active Directory (AD) yang berisi domain untuk alamat email pengguna dan grup cocok dengan domain yang digunakan akun admin super Anda.
Kontak & kalender
Buka bagian | Ciutkan semua & ke bagian atas
Mengapa saya melihat kontak duplikat di direktori domain setelah melakukan sinkronisasi dengan GCDS?Masalah ini biasanya terjadi jika Anda menyinkronkan kontak bersama dan aturan penelusuran dibuat dengan tidak tepat.
Ada 2 jenis objek relevan yang dapat Anda sinkronkan dengan GCDS:
- Profil pengguna—Pengguna di domain Google dengan data tambahan seperti nomor telepon atau alamat. Anda dapat menyinkronkan profil hanya untuk pengguna yang ada di domain Anda.
- Kontak bersama—Kontak pihak eksternal yang perlu dihubungi oleh pengguna di domain Anda.
Untuk menyelesaikan masalah ini, perbaiki aturan penelusuran kontak bersama agar mengecualikan pengguna di domain milik Anda. Pada sinkronisasi berikutnya, GCDS berupaya untuk menghapus kontak berlebih. Anda mungkin harus menyesuaikan batas penghapusan kontak bersama untuk sinkronisasi pertama tersebut.
Dalam situasi tertentu, pengguna tidak melihat lokasi kerja utama mereka di Google Kalender saat menjadwalkan atau mengatur rapat.
Jika Anda melihat masalah ini, pastikan jenis lokasi dan atribut area ditetapkan ke "desk".
Aturan
Buka bagian | Ciutkan semua & ke bagian atas
Mengapa aturan penelusuran tidak menemukan apa pun?Jika Anda mengalami masalah dengan hasil penelusuran, periksa:
- Cakupan aturan. Anda mungkin perlu menetapkan cakupan ke Sub-tree.
- Aturan penelusuran yang Anda gunakan sudah benar.
- Atribut yang digunakan ada dan dapat dilihat.
Kueri LDAP Anda. Pastikan kueri di server LDAP Anda menggunakan nama pengguna admin yang sama dengan yang dikonfigurasi di GCDS.
Untuk mengetahui detail selengkapnya, buka Menggunakan aturan penelusuran LDAP untuk menyinkronkan data.
Anda mungkin menggunakan ukuran font yang terlalu besar untuk layar. Kotak dialog tidak berfungsi dengan font yang besar atau ekstra besar. Ubah ukuran font atau edit file XML secara langsung.
Topik terkait
Google, Google Workspace, serta merek dan logo yang terkait adalah merek dagang Google LLC. Semua nama perusahaan dan produk lainnya adalah merek dagang masing-masing perusahaan yang terkait.
