Ecco come risolvere eventuali problemi che si potrebbero verificare durante la configurazione di Google Cloud Directory Sync (GCDS).
Impostazione e configurazione | Simulazioni e sincronizzazioni | Errori | Utenti e gruppi | Contatti e calendari | Regole
Prova lo Strumento di analisi log
Questo strumento consente di identificare la maggior parte dei problemi pochi istanti dopo l'invio dei log.
- Invia i log di traccia (in formato non compresso o come file ZIP) allo Strumento di analisi log degli Strumenti amministrativi Google.
- Per l'analisi avanzata dei log, invia i file non compressi allo Strumento di analisi log 2.
Scopri i dettagli su come attivare la registrazione a livello di traccia.
Installazione e configurazione
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Risolvere i problemi di configurazione con Configuration ManagerSe la sincronizzazione non funziona come dovrebbe, verifica che le informazioni di configurazione in Configuration Manager siano corrette e prendi nota dei test che hanno esito negativo:
- In Configuration Manager, apri il file XML che utilizzi per configurare la sincronizzazione.
- Nella pagina LDAP Connections (Connessioni LDAP), fai clic su Test Connections (Prova connessioni) per verificare di riuscire a collegarti al server LDAP.
- Nella pagina Notifications (Notifiche), fai clic su Test Notification (Prova notifiche) per verificare di riuscire a inviare una notifica di test.
- Nella pagina Sync (Sincronizzazione), fai clic su Simulate Sync (Simula sincronizzazione) per verificare di aver compilato i campi richiesti e che la sincronizzazione venga eseguita.
In casi sporadici, l'assistenza Google Cloud può chiedere di attivare la generazione di log HTTP completi oltre alla generazione di log a livello di traccia in GCDS. I log HTTP completi sono utili per esaminare l'esatta richiesta API effettuata da GCDS e la risposta fornita dalle API di Google.
Importante: i log HTTP completi possono contenere dati estremamente sensibili. Rimuovi tutti i dati sensibili (ad esempio i campi refresh_token o access_token attuali) prima di inviare i log all'assistenza.
Per attivare il logging HTTP completo:
- Accertati che GCDS non sia in esecuzione con sync-cmd o Configuration Manager.
- Vai alla cartella di installazione di GCDS.
-
Modifica il file jre/lib/logging.properties.
- Aggiungi le seguenti righe alla fine del file:
java.util.logging.FileHandler.pattern = %h/gcdshttp%u.%g.log
java.util.logging.FileHandler.limit = 5000000
java.util.logging.FileHandler.count = 100
java.util.logging.FileHandler.formatter = java.util.logging.SimpleFormatter
handlers = java.util.logging.FileHandler
com.google.api.client.http.level = CONFIG
com.google.gdata.client.http.HttpGDataRequest.level = ALL
sun.net.www.protocol.http.HttpURLConnection.level = ALL - Salva il file.
- Avvia un'altra sincronizzazione di GCDS, impostando il logging su Trace (Traccia).
In homedir (Linux) o nella cartella del profilo (Microsoft Windows) vengono creati file di log denominati gcdshttp*.log. Archivia i file insieme, in quanto potrebbero essere molto grandi.
- Elimina le linee aggiunte nel passaggio 4 per evitare che in futuro vengano creati file di log di grandi dimensioni.
Quindi, fornisci i seguenti file all'assistenza:
- Il file XML utilizzato.
- I log a livello di tracce dell'ultima sincronizzazione.
-
I file gcdshttp*.log generati dalla sincronizzazione.
Grazie a questi log, l'assistenza potrà esaminare le informazioni fornite a GCDS dall'API Directory e le risposte restituite da GCDS.
Il corpo di ogni richiesta e risposta registrata nei log può avere una dimensione massima di 16 KB. Se vedi una voce di log troncata perché supera questo limite, usa Fiddler come suggerito di seguito.
Nota: se intendi utilizzare un proxy di debug (ad esempio Fiddler) con GCDS, devi aggiornare i file .vmoptions per impostare GCDS in modo che utilizzi l'archivio certificati attendibili di Windows e disattivare i controlli CRL. Quindi, potrai impostare Fiddler come server proxy in GCDS (di solito 127.0.0.1 sulla porta 8888) e Fiddler eseguirà la registrazione dei dati relativi alla connessione. Se utilizzi GCDS su Linux, non puoi utilizzare l'archivio certificati attendibili di Windows, quindi devi importare il certificato radice di Fiddler nell'archivio attendibile Java di GCDS. Per saperne di più, vedi Importare il certificato del server.
Per informazioni su come aprire un file XML salvato su un computer diverso oppure come utente diverso sullo stesso computer, vedi Utilizzare i file di configurazione.
Se, nei log a livello di traccia di GCDS, i dati LDAP non corrispondono a quanto previsto sul server LDAP (ad esempio se un utente non viene trovato o se il valore di un attributo non è corretto), esporta i dati dalla directory LDAP in formato LDIF. L'assistenza può confrontare i dati con i dati LDAP presenti nei log di GCDS.
Quando esporti i dati, utilizza uno strumento di query LDAP come ldapsearch (Linux) o ldifde (Windows) e simula le stesse condizioni in cui viene eseguito GCDS:
- Utilizza le stesse impostazioni di connessione di quelle configurate per GCDS.
- Esegui lo strumento di query dallo stesso computer su cui è in esecuzione GCDS.
- Utilizza lo stesso nome utente utilizzato per l'autenticazione LDAP di GCDS.
Esempio
I tuoi log di GCDS non mostrano l'attributo mail degli utenti e le impostazioni delle regole di ricerca di GCDS sono:
- DN di base: ou=Ireland,dc=altostrat,dc=com
- Ambito: Subtree
- Filtro di ricerca: (&(objectCategory=person)(objectClass=user))
- Server: dc01.altostrat.com
- Porta: 636
- Protocollo: LDAP+SSL
- ND utente di autenticazione: cn=GCDS,ou=Users,dc=altostrat,dc=com
Utilizza questi comandi:
- Linux:
ldapsearch -v -b "ou=Ireland,dc=altostrat,dc=com" -s sub -h dc01.altostrat.com -p 636 -x -Z -D "cn=GCDS,ou=Users,dc=altostrat,dc=com" "(&(objectCategory=person)(objectClass=user))" mail givenname uniqueidentifier sn > out.ldif(Potresti dover modificare il comando, a seconda del sistema che utilizzi). - Windows:
ldifde -f out.ldif -s dc01.altostrat.com -v -t 636 -d "ou=Ireland,dc=altostrat,dc=com" -r "(&(objectCategory=person)(objectClass=user))" -p SubTree -l mail,givenname,uniqueidentifier,sn -a "cn=GCDS,ou=Users,dc=altostrat,dc=com" PASSWORD(sostituisciPASSWORDcon la password dell'utente LDAP impostata in GCDS.)
Se l'output (out.ldif) non contiene l'attributo mail per un utente interessato, si verifica un problema con l'infrastruttura LDAP. Potrebbe essere correlato alle autorizzazioni dell'utente che utilizzi per accedere a LDAP (ad esempio sia OpenLDAP sia Active Directory consentono di impostare le autorizzazioni a livello di attributo). Oppure, l'attributo potrebbe non essere replicato nel catalogo globale se utilizzi una porta di catalogo globale come 3268 o 3269.
Se l'output contiene l'attributo mail per un utente interessato, fornisci i seguenti dettagli all'assistenza Google Workspace:
- Il file out.ldif.
- Uno screenshot della finestra del prompt dei comandi o del terminale in cui hai eseguito il comando
(Assicurati prima di aver rimosso la password). - Il log a livello di traccia di GCDS
Simulazioni e sincronizzazioni
Apri sezione | Comprimi tutto e torna all'inizio della pagina
È necessario un server di notifica per eseguire una sincronizzazione simulata?Per eseguire una sincronizzazione simulata, è necessario un server in grado di inviare posta. Se utilizzi GCDS su un computer server di posta, puoi utilizzare l'indirizzo IP 127.0.0.1 per il server di posta. In caso contrario, contatta l'amministratore della posta per procurarti le informazioni corrette.
Se utilizzi la riga di comando per eseguire una sincronizzazione e questa non si avvia, controlla se hai utilizzato l'argomento -o o --oneinstance nella riga di comando.
Se utilizzi uno di questi argomenti, GCDS crea un file LOCK (.lock) associato al file di configurazione XML. Inoltre, se viene trovato un altro file LOCK sullo stesso server, GCDS non eseguirà la sincronizzazione per impedire l'esecuzione contemporanea di più istanze di GCDS.
Se non sono presenti altre istanze di GCDS in esecuzione, controlla se sul server è presente un altro file LOCK. Elimina il file manualmente e riprova a eseguire la sincronizzazione.
Se la sincronizzazione era incompleta, ad esempio perché l'iscrizione completa di un gruppo non veniva sincronizzata, l'API Directory potrebbe presentare un problema. Per verificare se il problema riguarda un'API anziché il prodotto GCDS, chiama manualmente l'API Directory ed esamina i risultati. Per chiamare manualmente l'API, scegli una delle due opzioni.
Opzione 1: utilizza la pagina Riferimento API
- Vai alla Admin SDK API reference overview (panoramica dei riferimenti dell'API SDK Admin).
- A sinistra, fai clic su Directory API (API Directory), poi, per REST Resources (Risorse REST), vai alla risorsa REST su cui vuoi eseguire la query.
- A destra, fai clic sul metodo che vuoi provare e poi su Try it (Prova).
Se nella pagina di riferimento dell'API non è visualizzato Try it (Prova), vai a Opzione 2: utilizza OAuth 2.0 Playground.
- Inserisci le credenziali amministratore che hai utilizzato per autorizzare GCDS.
Per maggiori dettagli, vedi Definire le impostazioni del dominio Google.
- Esamina le informazioni per assicurarti che l'API abbia risposto come previsto.
Opzione 2: utilizza OAuth 2.0 Playground
- Apri OAuth 2.0 Playground.
- Scegli un'opzione:
- Seleziona un ambito dall'elenco.
- Copia un ambito dall'elenco Authorization scopes (Ambiti di autorizzazione) nella pagina di riferimento dell'API. Quindi, incolla l'ambito nel campo Input your own addresses (Inserisci i tuoi ambiti).
- Fai clic su Authorize APIs (Autorizza API)
- Inserisci le credenziali amministratore che hai utilizzato per autorizzare GCDS.
Per maggiori dettagli, vedi Definire le impostazioni del dominio Google.
- Fai clic su Exchange authorization code for tokens (Scambio codice di autorizzazione per i token)
Se la procedura ha esito positivo, si aprirà la pagina Passaggio 3: configura la richiesta all'API.
- Inserisci le informazioni richieste.
Suggerimento: puoi trovare la maggior parte delle informazioni nella pagina web di riferimento del metodo API.
- Fai clic su Send the request (Invia richiesta).
- Esamina le informazioni per assicurarti che l'API abbia risposto come previsto.
Errori
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Cosa causa errori o conflitti di tipo EntityItNotExist/EntityExists?Nel file di configurazione XML, imposta l'opzione useDynamicMaxCacheLifetime. Questa opzione configura GCDS in modo che i dati restino memorizzati nella cache per un massimo di otto giorni e che la cache sia svuotata più di frequente in set di dati medio-piccoli. In questo modo si riduce la possibilità che i dati memorizzati nella cache diventino obsoleti o creino conflitti con i nuovi dati. L'opzione useDynamicMaxCacheLifetime è automatica nelle configurazioni create con GCDS 3.2.1 e versioni successive.
Nota: questi errori generalmente si verificano quando le eventuali modifiche vengono apportate direttamente nel dominio Google. Quando si utilizza GCDS per la sincronizzazione, è consigliabile evitare di apportare modifiche al dominio Google direttamente. Si consiglia invece di apportare le modifiche a utenti, gruppi e altre entità nella directory LDAP e quindi utilizzare GCDS per sincronizzare le modifiche nel dominio Google.
Se vengono visualizzati errori relativi alla memoria, devi aumentare la dimensione dello heap per Java Virtual Machine. Per aumentare le dimensioni dell'heap puoi modificare i file sync-cmd.vmoptions e config-manager.vmoptions che si trovano nella directory di installazione di GCDS. Le voci pertinenti hanno il seguente aspetto:
- -Xmx1000m (la quantità massima di memoria allocata per la dimensione dell'heap)
- -Xms64m (la quantità minima di memoria allocata per da dimensione dell'heap)
Modifica i file sync-cmd.vmoptions e config-manager.vmoptions in modo che la modifica sia applicata alle versioni di sync-cmd e di Configuration Manager.
Modifica il numero -Xmx per aumentare la quantità di memoria. La "m" dopo il numero indica che la memoria è misurata in megabyte (MB). La quantità di memoria corretta dipende dalla quantità di memoria che il server GCDS ha a disposizione e da quanta gliene occorre per eseguire una sincronizzazione. Potrebbe essere necessario modificare il numero più volte per impostare la dimensione corretta. Per ulteriori informazioni sulla quantità di RAM disponibile richiesta per eseguire GCDS, vedi Requisiti di sistema per GCDS.
Il problema potrebbe essere causato da un problema di configurazione, ad esempio l'errata configurazione di una regola di esclusione. Questo tipo di errore di configurazione può essere ignorato dalla memorizzazione nella cache di GCDS.
GCDS conserva una cache di dati per il servizio Google (ad esempio Google Workspace o Cloud Identity) per un massimo di 8 giorni, ma potrebbe cancellarla con maggiore frequenza, a seconda della mole di dati memorizzati. Tuttavia, se la cache non viene cancellata, potresti non vedere gli aggiornamenti per un periodo che può arrivare a 8 giorni.
Supponiamo ad esempio che, dopo aver sincronizzato i dati LDAP, crei un nuovo gruppo per il servizio Google (come Google Workspace o Cloud Identity). Successivamente, crei una regola di esclusione per escludere quel gruppo dalle sincronizzazioni successive, ma questa regola di esclusione è configurata in modo errato e non funzionerà. Tuttavia, la sincronizzazione successiva viene eseguita su dati memorizzati nella cache, quindi il gruppo non viene rimosso dal servizio Google. In occasione della sincronizzazione successiva, quando la cache sarà vuota, la configurazione errata causerà invece la rimozione del gruppo dal servizio Google.
Per cancellare manualmente la cache:
- Esegui una sincronizzazione da Configuration Manager e seleziona l'opzione per svuotare la cache durante una sincronizzazione.
- Esegui una sincronizzazione tramite il comando e utilizza l'argomento -f per forzare uno svuotamento della cache.
- Modifica il file XML config per impostare il valore maxCacheLifetime su 0.
Importante: se forzi lo svuotamento della cache, i tempi di sincronizzazione potrebbero aumentare notevolmente.
Utenti e gruppi
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Perché GCDS prova a creare utenti Google già esistenti?Se viene visualizzato il messaggio di errore 409: Entità già esistente, GCDS sta tentando di creare utenti Google già esistenti. Se non vedi l'errore nelle sincronizzazioni successive, è probabile che la cache di GCDS non fosse aggiornata, quindi puoi ignorare l'errore.
Se il problema si verifica a ogni sincronizzazione o a cadenza regolare di giorni, è molto probabile che:
- Una regola di esclusione utente Google sia troppo generica: la regola corrisponde ad alcuni utenti Google presenti anche nella directory LDAP.
- Una query sia troppo ristretta: la query non corrisponde ad alcuni utenti Google presenti anche nella directory LDAP.
Entrambi gli scenari possono portare GCDS a ignorare gli utenti Google già esistenti. Se questi utenti sono presenti nei risultati della regola di ricerca degli utenti LDAP, GCDS tenta di crearli nel tuo Account Google.
Per risolvere il problema, modifica la regola di esclusione o la query di ricerca. Se vuoi che GCDS ignori completamente gli utenti nella directory LDAP, modifica la regola di ricerca degli utenti LDAP o crea una regola di esclusione degli utenti LDAP. Per informazioni dettagliate, vedi Omettere i dati con query e regole di esclusione.
Per sincronizzare i membri dei gruppi separatamente rispetto ai risultati delle regole di ricerca utenti, in GCDS abilita INDEPENDENT_GROUP_SYNC per impostazione predefinita. Se utilizzi attributi di riferimento per i membri per le sincronizzazioni dei gruppi, GCDS tenta di risolvere l'indirizzo email di ciascun utente nella directory LDAP, indipendentemente dalle regole di ricerca utenti.
Per sincronizzare i membri dei gruppi in base solo ai risultati delle regole di ricerca utenti, rimuovi INDEPENDENT_GROUP_SYNC dal file XML di configurazione. GCDS:
- Utilizza i risultati delle regole di ricerca utenti per risolvere l'appartenenza al gruppo
- Sincronizza come membri del gruppo solo gli utenti inclusi nella sincronizzazione utenti.
- Esegue le regole di ricerca utenti, anche se disattivi la sincronizzazione degli account utente in Impostazioni generali.
Tuttavia, i risultati non vengono sincronizzati con Google come utenti, ma come membri del gruppo, se gli utenti idonei sono anche membri del gruppo.
In genere questa non è la modalità che viene adottata per la sincronizzazione, in particolare se sincronizzi i contatti condivisi e alcuni membri del gruppo sono anche dei contatti. In questo caso, i contatti non verranno sincronizzati come membri del gruppo.
Questo problema accade quando l'attributo LDAP configurato come attributo del nome del gruppo non contiene un indirizzo email completo. Per risolvere questo problema, controlla le regole di ricerca dei gruppi e accertati che GCDS utilizzi un indirizzo email completo per i nomi dei gruppi. Utilizza uno dei seguenti metodi:
- Imposta l'attributo del nome del gruppo su un attributo LDAP diverso che indichi un indirizzo email completo per ciascun gruppo, ad esempio: mail.
- Abilita Replace domain names in LDAP email addresses (Sostituisci i nomi di dominio negli indirizzi email LDAP) nelle impostazioni del dominio Google in modo che l'attributo del nome del gruppo corrisponda ai nomi dei gruppi sul lato Google.
- Aggiungi il nome di dominio al nome del gruppo specificando un suffisso di nome gruppo nella regola di ricerca dei gruppi.
Assicurati di aver selezionato MS Active Directory nel campo del tipo di server della sezione Configurazione LDAP.
Questa opzione (che compare come SUPPRESS_DOMAIN nel file XML) viene utilizzata se gli indirizzi email della directory LDAP si trovano in domini diversi da quello Google. Se l'opzione è abilitata, GCDS rimuove il dominio da tutti gli indirizzi email letti.
Qualsiasi operazione di elaborazione viene eseguita senza il nome di dominio. Se utilizzi regole di esclusione basate sugli indirizzi email, per la regola di esclusione dovrai considerare esclusivamente la porzione locale dell'indirizzo email.
Se l'opzione Replace domain names in LDAP email addresses (Sostituisci i nomi di dominio negli indirizzi email LDAP) è disattivata e stai creando una regola di esclusione con una corrispondenza esatta, devi inserire mariorossi@example.com come indirizzo email dell'utente di cui trovare la corrispondenza esatta. Se hai attivato Replace domain names in LDAP email addresses (Sostituisci i nomi di dominio negli indirizzi email LDAP), utilizza mariorossi. La ricerca di una corrispondenza con mariorossi@example.com non funzionerà perché la porzione @example.com viene rimossa prima del confronto.
Durante il provisioning dei gruppi con GCDS, non è possibile nidificare gruppi dinamici al di sotto di gruppi statici (o viceversa). In GCDS le query sui gruppi statici devono essere eseguite separatamente da quelle sui gruppi dinamici. Tuttavia, tutti i gruppi nidificati devono essere parte della stessa query.
Cerca di implementare i gruppi dinamici come gruppi statici, ad esempio creando un'attività automatizzata che esegue periodicamente una query su ogni gruppo dinamico per popolare i gruppi statici presenti nella directory. GCDS potrà quindi utilizzare per il provisioning i gruppi statici (creati a partire dai gruppi dinamici) anziché i gruppi dinamici.
I risultati delle query LDAP dipendono dalle impostazioni di Configuration Manager e dal server LDAP. Segui questi suggerimenti per la risoluzione dei problemi se la regola di ricerca LDAP restituisce un risultato imprevisto. Verifica che:
- La query LDAP sia impostata correttamente in Configuration Manager: quando imposti una regola di ricerca, fai clic su Test LDAP Query (Verifica query LDAP) per verificarne la correttezza. Per maggiori dettagli, vedi Utilizzare le regole di ricerca LDAP per sincronizzare dati.
- Più query non siano in contraddizione: verifica di non avere impostato una regola di ricerca o di esclusione che modifica il risultato di una query.
- L'utente autorizzato per il server LDAP dispone di autorizzazioni sufficienti: assicurati che l'amministratore utilizzato per autenticare il server LDAP possa utilizzare la riga di comando sullo stesso server. Prova la query sul server LDAP e verifica i risultati.
Potresti visualizzare il messaggio di errore Impossibile creare il gruppo. Messaggio: Non autorizzato ad accedere a questa risorsa/api nei log di GCDS.
Per risolvere i problemi, verifica che l'attributo di Active Directory (AD) che contiene il dominio per gli indirizzi email di utenti e gruppi corrisponda al dominio utilizzato dal tuo account super amministratore.
Contatti e calendari
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Perché dopo aver eseguito la sincronizzazione con GCDS sono presenti contatti duplicati nella directory del dominio?Di solito questo problema si verifica se esegui la sincronizzazione dei contatti condivisi e le regole di ricerca non sono state create correttamente.
Sono due i tipi di oggetti rilevanti che vengono sincronizzati con GCDS:
- Profili utente: utenti del dominio Google con dati aggiuntivi, come il numero di telefono o l'indirizzo. Puoi sincronizzare un solo profilo per ciascun utente che esiste nel tuo dominio.
- Contatti condivisi: soggetti esterni che gli utenti del tuo dominio devono contattare.
Per risolvere questo problema, configura le regole di ricerca dei contatti condivisi in modo che gli utenti del tuo dominio siano esclusi. GCDS tenterà di eliminare i contatti ridondanti durante la sincronizzazione successiva. Per la prima sincronizzazione, potrebbe essere necessario modificare il limite di eliminazione dei contatti condivisi.
In alcuni casi, gli utenti non vedono la propria sede di lavoro principale in Google Calendar quando pianificano o organizzano riunioni.
Se riscontri questo problema, assicurati che gli attributi relativi al tipo di luogo e all'area siano impostati su "Scrivania".
Regole
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Perché una regola di ricerca non restituisce alcun risultato?Se riscontri problemi con i risultati di ricerca, verifica quanto segue:
- L'ambito della regola. Potrebbe essere necessario impostare l'ambito su Sub-tree.
- La correttezza della regola di ricerca che stai utilizzando.
- Se gli attributi utilizzati esistono e sono visibili.
La query LDAP. Verifica che la query sul server LDAP utilizzi lo stesso nome utente dell'amministratore configurato in GCDS.
Per maggiori dettagli, vai a Utilizzare le regole di ricerca LDAP per sincronizzare dati.
Forse utilizzi un tipo di carattere troppo grande per lo schermo. La finestra di dialogo non funziona con caratteri grandi o molto grandi. Cambia le dimensioni del tipo di carattere o modifica direttamente il file XML.
Argomento correlato
Problemi noti di Google Workspace
Google, Google Workspace e marchi e loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.
