Di seguito sono riportate le domande più comuni relative all'uso di Google Cloud Directory Sync.
Configurare GCDS | Il tuo Account Google | Sincronizzazione di utenti e unità organizzative | Sincronizzazione dei gruppi | Generale | Google Cloud
Configurare GCDS
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Come faccio ad autorizzare GCDS su un computer senza un'interfaccia GUI?- Assicurati di eseguire GCDS 4.7.14 o versioni successive.
Per maggiori dettagli, vedi Aggiornare GCDS.
- Autorizza GCDS su un computer che dispone di una GUI.
Per maggiori dettagli, vedi Autorizzare l'Account Google.
- Crea e salva il file XML.
- Nello stesso computer, utilizza la riga di comando per eseguire lo strumento upgrade-config utilizzando il parametro -exportkeys.
Esempio: upgrade-config -exportkeys file delle chiavi di crittografia [password]
In questo esempio, le chiavi sono esportate in un file denominato file delle chiavi di crittografia. L'utilizzo di una password è facoltativo.
- Copia il file delle chiavi di crittografia e il file di configurazione su un computer che non ha un'interfaccia GUI.
- Sul computer privo di GUI, utilizza la riga di comando per eseguire upgrade-config utilizzando il parametro -importkeys.
Esempio: upgrade-config -importkeys nome file
Importante: il parametro -importkeys rimuove tutte le configurazioni di GCDS autorizzate che potresti avere sul computer.
- Se necessario, inserisci la password che hai impostato nel passaggio 4.
Dovresti ricevere un messaggio di conferma dell'importazione delle chiavi.
Suggerimento: per ulteriori opzioni, inserisci il comando upgrade-config -help dalla riga di comando.
- Se sei sicuro o hai il dubbio di avere modifiche di indirizzi email utente (ridenominazioni utente) in sospeso, scegli un'opzione:
- Esegui una sincronizzazione sul vecchio server.
- Copia i file con i valori delimitati da tabulazioni (TSV) nel nuovo server.
Per trovare il nome e la posizione dei file TSV nel file di configurazione, cerca .tsv.
- Installa GCDS sul nuovo server. Per le istruzioni, vedi Scaricare e installare GCDS.
- Copia il file di configurazione nel nuovo server.
- Sul nuovo server, in Configuration Manager, apri il file di configurazione.
- Autorizza di nuovo GCDS per il tuo Account Google. Per maggiori dettagli, vedi Autorizzare l'Account Google.
- Nella pagina LDAP Configuration (Configurazione LDAP), aggiorna la password LDAP. Per maggiori dettagli, vedi Impostazioni di connessione LDAP.
- Nella pagina Notifications (Notifiche), aggiorna la password SMTP. Per le istruzioni, vedi Attributi di notifica.
- Esegui una sincronizzazione simulata.
- Rivedi la sincronizzazione per assicurarti che non ci siano modifiche impreviste.
- Esegui una sincronizzazione completa.
Dopo la sincronizzazione, i file TSV del vecchio server vengono aggiornati. Se non hai trasferito i file TSV, vengono creati nuovi file.
Se riscontri qualsiasi problema con i certificati durante l'esecuzione di GCDS, vedi Risolvere i problemi relativi ai certificati.
Il tuo Account Google
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Quali API utilizzano GCDS?GCDS utilizza le API per caricare i dati e inviare richieste al tuo Account Google. GCDS utilizza OAuth per autenticare le API. Inoltre, utilizza SMTP per inviare i rapporti di sincronizzazione. GCDS utilizza le seguenti API:
- API Directory: consente di gestire dispositivi Google Chrome, gruppi, alias di gruppo, membri, unità organizzative, utenti e alias utente.
- API Domain Shared Contacts: crea, elimina e aggiorna le informazioni di contatto condivise per i contatti esterni.
Potrebbe essere necessario attendere fino a 8 giorni prima che le modifiche vengano visualizzate nel tuo Account Google. Per comprendere il motivo, è necessario sapere come GCDS memorizza i dati nella cache.
GCDS conserva una cache di dati per il tuo Account Google per un massimo di 8 giorni, ma può cancellarla più di frequente, in base alla quantità di dati memorizzati. Tuttavia, se la cache non viene cancellata, potrebbe essere necessario attendere fino a 8 giorni prima di poter visualizzare le modifiche apportate direttamente al tuo Account Google tramite la Console di amministrazione o un altro client API.
Una volta cancellata la cache, GCDS rileva la modifica nell'Account Google e la confronta con i dati di origine della directory LDAP. Se i dati non corrispondono, GCDS annulla la modifica apportata nell'Account Google.
Per cancellare manualmente la cache:
- Esegui una sincronizzazione da Configuration Manager e specifica che la cache deve essere cancellata quando viene eseguita una sincronizzazione.
- Utilizza il flag -f della riga di comando per forzare uno svuotamento della cache.
- Modifica il file XML di configurazione per impostare il valore maxCacheLifetime su 0.
Importante: lo svuotamento della cache può aumentare notevolmente i tempi di sincronizzazione.
I profili utente, inclusi gli attributi utente aggiuntivi, vengono scritti nell'account utente Google e sono visibili nella Directory dell'account. GCDS accede alla directory di Contatti Google. Per maggiori dettagli, vedi Panoramica: configurare e gestire la directory.
Nella configurazione di GCDS puoi specificare gli attributi presi in considerazione da GCDS. GCDS valuta i dati archiviati nell'attributo solo se questo corrisponde a un indirizzo SMTP valido.
Quando utilizzi proxyAddresses di Microsoft Active Directory, GCDS elimina il prefisso amtp: durante la sincronizzazione in modo che non sia visibile nel tuo dominio Google.
Sì. Puoi utilizzare GCDS per eseguire la sincronizzazione da una directory LDAP a più Account Google utilizzando più di un file di configurazione. Se vengono eseguite più sincronizzazioni contemporaneamente, assicurati che i file di configurazione vengano salvati con nomi univoci.
Per clonare un file di configurazione esistente, utilizza l'opzione Save as (Salva con nome) di Configuration Manager e salva il file con un nuovo nome.
Se hai attivato le impostazioni di gestione degli account in conflitto nella Console di amministrazione Google, GCDS le ignora durante una sincronizzazione.
Se GCDS rileva un account in conflitto, crea un nuovo account Google Workspace e l'account personale esistente viene rinominato come username%googleworkspacedomain@gtempaccount.com.
Sincronizzare gli utenti e le unità organizzative
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Come faccio a configurare GCDS in modo da eseguire il provisioning solo di un sottoinsieme di utenti?Se vuoi sincronizzare un sottoinsieme di utenti con il tuo Account Google, puoi utilizzare un unico gruppo di directory Active Directory o LDAP come origine. L'utilizzo di un gruppo limita il numero di utenti sottoposti a provisioning nel tuo Account Google.
Esempio:
Query utente
(&(memberof=cn=appsUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
Questa query restituisce tutti gli utenti che sono membri del gruppo identificato dal DN del gruppo, dispongono di indirizzi email con account non disattivati.
Puoi configurare GCDS in modo da escludere un'unità organizzativa impostata nel tuo Account Google definendo una regola di esclusione di tipo Organization Complete Path (Percorso completo dell'organizzazione) nella configurazione del dominio Google.
Esempio:
Regola di esclusione
Tipo: Organization Complete Path (Percorso completo dell'organizzazione)
Tipo di corrispondenza: Exact Match (Corrispondenza esatta)
Regola: /OUPath/MyExcludedOU
Se hai aggiunto un altro dominio (secondario), puoi utilizzare GCDS per sincronizzare gli utenti con quel dominio. Per sincronizzare gli utenti con il dominio secondario, assicurati che gli indirizzi email degli utenti nel server LDAP corrispondano al nome del dominio secondario. GCDS crea gli utenti nel tuo Account Google utilizzando il dominio secondario come indirizzo email principale.
Se non vuoi modificare l'attributo di posta LDAP esistente, assegna un altro attributo per sincronizzare gli indirizzi email degli utenti del dominio secondario. Per maggiori dettagli sui domini secondari, vedi Aggiungere un dominio degli alias utente o un dominio secondario.
Sì, purché il server LDAP supporti i caratteri jolly.
Le directory LDAP non supportano i caratteri jolly negli attributi DN quando esegui una query di ricerca utente. Ad esempio, puoi utilizzare (mail=user*), ma non (distinguishedName=*,DC=domain,DC=com).
Sì, se utilizzi un server LDAP che supporta le ricerche ricorrenti di tipo memberOf. Sono supportate da Active Directory, ma non da OpenLDAP.
La sospensione di un account utente Google Workspace dopo l'esecuzione di GCDS viene registrata nel rapporto di sincronizzazione, con l'indicazione della causa. Per evitare di ripetere l'errore che ha causato il problema nelle sincronizzazioni successive, puoi implementare una delle soluzioni seguenti, a seconda dell'origine del problema:
- Problema: l'utente non esiste sul server LDAP.
Soluzione: dato che l'utente non esiste sul server LDAP, il cliente deve configurare una regola di esclusione per utenti Google per impedire che GCDS sospenda l'utente in Google Workspace.
-
Problema: l'utente non ha un indirizzo email valido sul server LDAP.
Soluzione: devi configurare un indirizzo email per l'utente o impostare una regola di esclusione utenti Google per impedire a GCDS di sospendere l'utente in Google Workspace.
Puoi anche modificare la configurazione di CDS in modo che utilizzi l'attributo dell'indirizzo email dell'utente che si trova sul server LDAP. Ad esempio, puoi utilizzare l'attributo userPrincipalName (UPN) invece dell'attributo mail.
-
Problema: l'utente viene ignorato dalle regole di esclusione sul server LDAP.
Soluzione: se non vuoi sospendere l'utente, devi correggere le regole di esclusione.
-
Problema: l'utente viene individuato e sospeso dalle regole di ricerca perché è stata selezionata l'opzione Suspend these users in the Google Domain (Sospendi questi utenti nel dominio Google).
Soluzione: la sospensione dell'utente potrebbe essere necessaria.
-
Problema: l'utente è stato sospeso sul server LDAP.
Soluzione: la sospensione dell'utente potrebbe essere necessaria.
Sincronizzare i gruppi
Apri sezione | Comprimi tutto e torna all'inizio della pagina
GCDS può sincronizzare le appartenenze cicliche ai gruppi?Nell'appartenenza ciclica a un gruppo, due (o più) gruppi sono membri l'uno dell'altro. Ad esempio, il Gruppo A è membro del Gruppo B e il Gruppo B è membro del Gruppo A.
Le appartenenze cicliche ai gruppi sono supportate da LDAP e Microsoft Active Directory. Tuttavia, non sono supportate da Google Gruppi. Se tenti di sincronizzare un'appartenenza ciclica, verrà visualizzato l'errore "Cyclic memberships not allowed" (Appartenenze cicliche non consentite).
Puoi configurare GCDS in modo che escluda un gruppo specificando una regola di esclusione Group Email Address (Indirizzo email del gruppo) nella configurazione del dominio Google. Per informazioni dettagliate, vedi Utilizzare regole per i dati di Google.
Esempio:
Regola di esclusione
Tipo: Group Email Address (Indirizzo email del gruppo)
Tipo di corrispondenza: Exact Match (Corrispondenza esatta)
Regola: GCP_Progetto1@example.com
Nota: ti consigliamo di creare e gestire questi gruppi nella tua directory LDAP. L'elenco dei membri del gruppo verrà mantenuto aggiornato nel tuo Account Google quando GCDS sincronizza i dati.
Per mantenere i gruppi esistenti che non utilizzano LDAP, puoi attivare l'impostazione Don’t delete Google Groups not found in LDAP (Non eliminare i gruppi Google non esistenti in LDAP). Per informazioni dettagliate, vedi Criteri di eliminazione dei gruppi Google.
Un gruppo creato dall'utente è un gruppo creato in Google Groups for Business. Se un gruppo LDAP corrisponde a un gruppo creato dall'utente, GCDS ignora il gruppo come se esistesse una regola di esclusione di GCDS applicata a quel gruppo specifico. Non rimuoverà il gruppo se non corrisponde ai dati LDAP.
Se hai aggiunto membri all'oggetto/entità corrispondente in LDAP, GCDS li aggiungerà al gruppo. Se hai aggiunto utenti al gruppo Google che non corrispondono ai tuoi dati LDAP, questi membri non verranno rimossi durante il processo di sincronizzazione.
Per ulteriori informazioni sui gruppi creati dall'utente, vedi le Domande frequenti per gli amministratori di Gruppi.
Sì, GCDS sincronizza l'elenco dei membri di gruppi nidificati. Esistono tuttavia alcune limitazioni relative ai gruppi nidificati e al recapito delle email per Google Groups for Business. Non tutti i membri dei gruppi nidificati ricevono i contenuti email inviati al gruppo quando:
- L'autorizzazione di moderazione è attiva. Un'email non viene inviata automaticamente ai membri del gruppo o ad altri gruppi nidificati se prima non è approvata dal moderatore del gruppo.
- Un gruppo principale non ha l'autorizzazione di pubblicazione richiesta per l'invio dei messaggi ai gruppi nidificati.
Argomenti correlati
Sì. GCDS sincronizza i membri dei gruppi, indipendentemente dal fatto che si tratti di un utente o di un gruppo. Tuttavia, GCDS non supporta una regola di ricerca per espandere i membri dei gruppi nidificati se tale regola non è supportata dal server LDAP.
Informazioni generali
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Perché GCDS continua a restituire un errore quando la cache viene cancellata?L'errore potrebbe essere causato da un problema di configurazione, ad esempio l'errata configurazione di una regola di esclusione. L'errore di configurazione può essere nascosto dalla memorizzazione nella cache di GCDS.
GCDS conserva una cache di dati per il servizio Google (ad esempio Google Workspace o Cloud Identity) per un massimo di 8 giorni, ma può cancellarla più di frequente, in base alla quantità di dati memorizzati. Tuttavia, se la cache non viene cancellata, potrebbe essere necessario attendere fino a 8 giorni prima di poter visualizzare le modifiche apportate direttamente al tuo Account Google tramite la Console di amministrazione o un altro client API.
Per cancellare manualmente la cache:
- Esegui una sincronizzazione da Configuration Manager e specifica che la cache deve essere cancellata quando viene eseguita una sincronizzazione.
- Utilizza il flag -f della riga di comando per forzare uno svuotamento della cache.
- Modifica il file XML di configurazione per impostare il valore maxCacheLifetime su 0.
Importante: lo svuotamento della cache può aumentare notevolmente i tempi di sincronizzazione.
Esempio: un gruppo è presente sia sul tuo server LDAP sia nel tuo Account Google. Puoi creare una regola di esclusione Google per questo gruppo, nel tentativo di impedire a GCDS di modificare il gruppo durante una sincronizzazione.
Tuttavia, questa regola fa sì che GCDS si comporti come se il gruppo non esistesse nell'Account Google. GCDS tenta di creare il gruppo, ma poiché esiste già, viene visualizzato un errore e GCDS lo aggiunge alla cache. Le sincronizzazioni successive utilizzano la cache e GCDS rileva che il gruppo esiste già. Quindi, una volta cancellata la cache, GCDS si comporta nuovamente come se il gruppo non esistesse.
Le impostazioni di sincronizzazione predefinite in GCDS si utilizzano per specificare in che modo GCDS creerà le password per i nuovi account utente. Se non vuoi personalizzare una password iniziale per l'account, non devi fare nulla. Utilizza le impostazioni predefinite.
Se utilizzi Active Directory, puoi usare Password Sync per sincronizzare le password degli utenti da Active Directory al tuo dominio Google.
GCDS applica le regole in ordine, da quella superiore a quella inferiore.
Ad esempio, puoi configurare una regola di sincronizzazione User Accounts (Account utente) per creare utenti nell'unità organizzativa principale o /. Puoi quindi creare una regola di livello inferiore per creare utenti nell'unità organizzativa /Exceptions (Eccezioni). Dopo una sincronizzazione, gli utenti che corrispondono a entrambe le regole vengono creati nell'unità organizzativa principale perché il livello di questa regola è superiore.
Per assicurare che gli utenti siano correttamente collocati in /Exceptions, accertati che la regola sia elencata in una posizione superiore rispetto a qualsiasi altra regola in conflitto. In alternativa, assicurati che sia la prima regola nell'elenco ordinato.
GCDS utilizza OAuth 2.0 a tre vie per l'autorizzazione. Questo processo assegna a GCDS un token OAuth 2.0. Il token permette a GCDS di agire per conto dell'amministratore che ha assegnato l'autorizzazione.
Tutti gli eventi di controllo sono elencati dall'amministratore che ha autorizzato GCDS. Può essere utile creare un account amministratore GCDS dedicato, così puoi vedere chiaramente quali modifiche e controlli sono stati eseguiti da GCDS.
Argomento correlato
Durante una sincronizzazione, GCDS valuta l'attuale configurazione LDAP per determinare se uno schema personalizzato deve essere conservato o eliminato nell'Account Google.
Inoltre, il file di configurazione di GCDS ha un'impostazione schemaHistory che contiene informazioni sugli schemi personalizzati sincronizzati in precedenza. Se uno schema personalizzato è stato sincronizzato da GCDS, viene aggiunto automaticamente a schemaHistory. Se elimini manualmente le impostazioni schemaHistory nel file di configurazione e se lo schema personalizzato non esiste nella directory LDAP, GCDS ignora e non elimina lo schema personalizzato nel tuo Account Google.
Per eliminare manualmente schemaHistory nel file di configurazione, cerca:
<schemas>
<schemaDefinitions />
<schemaHistory>
<schemaName>GroupMembership</schemaName>
</schemaHistory>
</schemas>
La chiave simmetrica che cripta i token di aggiornamento di GCDS è generata mediante la classe Java crypto KeyGenerator predefinita utilizzando AES 128.
L'archiviazione della chiave simmetrica è gestita tramite il metodo userNodeForPackage della classe Preferences in Java. La posizione esatta della chiave non è controllata da GCDS e dipende dal sistema operativo.
Su Windows, i dati sulle preferenze sono archiviati nell'hive del Registro di sistema per l'utente. Su Linux sono archiviati nella home directory dell'utente.
Consigliamo ai clienti di seguire le best practice per fare in modo che la chiave sia adeguatamente protetta tramite l'uso di un file system criptato e l'applicazione di ACL restrittivi.
L'ID univoco (chiamato anche chiave primaria senza indirizzo) viene utilizzato internamente da GCDS e non viene sincronizzato con Google Workspace. GCDS archivia l'ID univoco in un file TSV sul computer su cui è installato GCDS. Il nome file e il relativo percorso completo si trovano nel file di configurazione XML.
Se un utente viene rinominato sul server LDAP, ma non in Google Workspace, GCDS utilizza l'ID univoco per impedire che i suoi dettagli vengano eliminati o duplicati.
Nota : potresti causare problemi di sincronizzazione se modifichi manualmente gli indirizzi email dell'utente sia sul server LDAP che su Google Workspace. Per evitare questo problema, rimuovi i record utente corrispondenti dal file TSV prima di eseguire GCDS.
Google Cloud
Apri sezione | Comprimi tutto e torna all'inizio della pagina
Come faccio a sincronizzare i gruppi di protezione da Active Directory o dalla mia directory LDAP per poi utilizzarli in Cloud IAM?Puoi configurare GCDS in modo che sincronizzi i gruppi di protezione utilizzando le regole di ricerca LDAP.
Esempio 1: cerca tutti i gruppi di protezione
In questo esempio è illustrata una ricerca LDAP di tutti i gruppi di protezione che dispongono di un indirizzo email:
(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*))
Esempio 2: cerca un sottoinsieme di gruppi di protezione
Se vuoi sincronizzare un sottoinsieme di gruppi di protezione, puoi utilizzare extensionAttribute1 e impostare un valore specifico, ad esempio GoogleCloud. Successivamente, puoi perfezionare la query GCDS in modo che esegua solo il provisioning del sottoinsieme specifico di gruppi di protezione.
In questo esempio è illustrata una ricerca LDAP di tutti i gruppi di protezione che hanno un indirizzo email e l'attributo GoogleCloud:
(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=-2147483648)(mail=*)(extensionAttribute1=GoogleCloud))
Importante:
- Tutti i gruppi di un dominio Google hanno come riferimento un indirizzo email. Devi assicurarti che per tutti i gruppi di protezione che vuoi sincronizzare sia stato definito un attributo di posta valido.
- Un gruppo creato in un dominio Google non riceve automaticamente un ruolo esplicito di Google Cloud Identity and Access Management (IAM). Dopo aver creato un gruppo, devi utilizzare Cloud IAM per assegnare ruoli specifici al gruppo.
Puoi configurare GCDS aggiungendo una regola di sincronizzazione utente per gli utenti di Google Cloud. Il modo più semplice consiste nel creare una nuova query basata sull'appartenenza degli utenti a un gruppo, per esempio:
(&(memberof=cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com)(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
Quindi, puoi utilizzare il seguente filtro di ricerca per restituire gli utenti che sono membri del gruppo, dispongono di un indirizzo email e i cui account non sono sospesi:
group cn=CloudUsers,cn=users,dc=corp,dc=domain,dc=com
Può essere utile collocare questi utenti in una singola unità organizzativa. Per farlo, specifica nella regola un Org Unit Name (Nome unità organizzativa), ad esempio Utenti Cloud. Crea l'unità organizzativa, se non esiste già.
Problemi relativi alle licenze
Tieni presente la configurazione del tuo dominio per assegnare le licenze del prodotto agli account utente in modo appropriato. Se non sono abilitate le licenze automatiche, può essere consigliabile escludere l'unità organizzativa Utenti Cloud dall'assegnazione della licenza del prodotto. Per maggiori dettagli, vai a Impostare le opzioni di assegnazione automatica delle licenze per un'organizzazione.
Per requisiti di licenze complessi puoi configurare GCDS perché sincronizzi e gestisca tutte le assegnazioni di licenza utente. Per maggiori dettagli, vedi Sincronizzare le licenze.
Google, Google Workspace e marchi e loghi correlati sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.
