Google Cloud Directory Sync (GCDS) günlük dosyanızda sertifikalarla ilgili olarak aşağıdaki hataları görebilirsiniz.
- sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
- ldap_simple_bind_s() failed: Strong Authentication Required
Bu hataları düzeltmek için aşağıdaki adımları uygulayın.
Bu sayfadakiler
- Sertifikalarla ilgili hataları düzeltme
- GCDS sertifika iptal listelerini nasıl kontrol ediyor?
- LDAP+SSL'ye geçtikten sonra senkronizasyon yavaşladı
- Microsoft ADV190023 güncellemesinden sonra kimlik doğrulamayı kullanma
Sertifikalarla ilgili hataları düzeltme
Bölümü aç | Tümünü daralt ve başa dön
Microsoft Windows için uygulanacak adımlarvmoption dosyasını güncelleme
- Configuration Manager'ı kapatın.
- GCDS'nin yükleme dizininde sync-cmd.vmoptions ve config-manager.vmoptions dosyalarını açın.
Yükleme dizini genellikle C:\Program Files\Google Cloud Directory Sync şeklindedir.
- Aşağıdaki satırları ekleyerek dosyaları düzenleyin:
-Djavax.net.ssl.trustStoreProvider=SunMSCAPI
-Djavax.net.ssl.trustStoreType=Windows-ROOT
-Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
-Dcom.sun.jndi.ldap.connect.pool.authentication=none simple - Configuration Manager'ı yeniden başlatın ve LDAP Configuration (LDAP Yapılandırması) sayfasına gidin.
- Connection type (Bağlantı türü) olarak LDAP+SSL seçeneğini belirleyin.
- Port (Bağlantı noktası) için bir seçenek belirleyin:
- Daha önce 389 kullandıysanız 636 değerini girin.
- Daha önce 3268 kullandıysanız 3269 değerini girin.
- Test connection'ı (Bağlantıyı test et) tıklayın.
- Aşağıdaki hataları alırsanız:
- Sertifika hatası: GCDS'nin çalıştığı bilgisayarda, sertifikanın Windows için güvenli olup olmadığını kontrol edin. Ardından, bu sayfanın alt kısmında yer alan 2. Adım: Sunucu sertifikasını içe aktarın adımına geçin.
- Sertifika iptali kontrol hatası: GCDS sertifika iptal listelerini nasıl kontrol ediyor? başlıklı makaledeki adımları uygulayın.
- Diğer hatalar (ör. ağ hataları): Yaygın GCDS sorunlarını giderme başlıklı makaleyi inceleyin.
Sunucu sertifikasını içe aktarma
LDAP sunucuları veya kendinden imzalı sertifikalar kullanan HTTP proxy'lerin sertifikalarını içe aktarmak için de bu adımları kullanabilirsiniz.
- Etki alanı denetçisinde oturum açıp bir komut istemi açın.
- Etki alanı denetçisi sertifikasını dışa aktarmak için aşağıdaki komutu girin:
certutil -store My DomainController dccert.cer
- dccert.cer dosyasını GCDS'nin yüklü olduğu sunucuya kopyalayın.
- Yönetici olarak bir komut istemi açın.
- GCDS Java Runtime Environment (JRE) yükleme klasörünü açmak için aşağıdaki komutu girin:
cd "c:\Program Files\Google Cloud Directory Sync\jre"
GCDS'nin 32 bit sürümünü 64 bit bir Windows sisteminde kullanıyorsanız cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre" dizinini kullanın
- Etki alanı denetçisi sertifikasını içe aktarmak için aşağıdaki komutu girin:
bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc
Birden fazla sertifikayı içe aktarmanız gerekiyorsa mydc yerine farklı bir takma ad kullanarak bu adımları tekrarlayın.
- Sertifikaya güvenmek için Yes (Evet) yazın.
- Configuration Manager'ı kapatın.
- Bir metin düzenleyici kullanarak GCDS'nin yükleme dizinindeki sync-cmd.vmoptions ve config-manager.vmoptions dosyalarını açın.
- Her iki dosyada da şu satırları kaldırın:
-Djavax.net.ssl.trustStoreProvider=SunMSCAPI
-Djavax.net.ssl.trustStoreType=Windows-ROOTSatırları kaldırdığınızda GCDS, Windows sistem deposu yerine lib/security/cacerts sertifika deposunu kullanır.
- Configuration Manager'ı açın, LDAP Configuration (LDAP Yapılandırması) sayfasına gidin ve Test Connections (Bağlantıları Test Et) seçeneğini tıklayın.
- Sertifikalarla ilgili hataları görmeye devam ediyorsanız alan denetleyici sertifikanız yerine kuruluşunuzun Sertifika Yetkilisi (CA) sertifikasını içe aktarmanız gerekebilir. Bunu yapmak için ilgili adımları tekrarlayın ancak CA sertifikasını dışa aktarıp içe aktarın.
LDAP sunucuları veya kendinden imzalı sertifikalar kullanan HTTP proxy'lerin sertifikalarını içe aktarmak için de bu adımları kullanabilirsiniz.
- Etki alanı denetçisinde oturum açıp bir komut istemi açın.
- Alan sertifikasını bulmak için aşağıdaki komutu girin:
certutil -store My DomainController dccert.cer
- dccert.cer dosyasını GCDS'nin yüklü olduğu sunucuya kopyalayın.
- GCDS Java Runtime Environment (JRE) yükleme klasörünü açmak için bir komut istemi açın ve aşağıdaki komutu girin:
cd ~/GoogleCloudDirSync/jre
- Etki alanı denetçisi sertifikasını içe aktarmak için aşağıdaki komutu girin:
bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc
Birden fazla sertifikayı içe aktarmanız gerekiyorsa mydc yerine farklı bir takma ad kullanarak bu adımları tekrarlayın.
- Sertifikaya güvenmek için Yes (Evet) yazın.
- Configuration Manager'ı kapatın.
- Bir metin düzenleyici kullanarak GCDS'nin yükleme dizininde sync-cmd.vmoptions ve config-manager.vmoptions dosyalarını açın.
Yükleme dizini genellikle ~/GoogleCloudDirSync şeklindedir.
- Her iki dosyada da şu satırları kaldırın:
-Djavax.net.ssl.trustStoreProvider=SunMSCAPI
-Djavax.net.ssl.trustStoreType=Windows-ROOTSatırları kaldırdığınızda GCDS, Windows sistem deposu yerine lib/security/cacerts sertifika deposunu kullanır.
- Configuration Manager'ı açın, LDAP Configuration (LDAP Yapılandırması) sayfasına gidin ve Test Connections (Bağlantıları Test Et) seçeneğini tıklayın.
- Sertifikalarla ilgili hataları görmeye devam ediyorsanız alan denetleyici sertifikanız yerine kuruluşunuzun Sertifika Yetkilisi (CA) sertifikasını içe aktarmanız gerekebilir. Bunu yapmak için ilgili adımları tekrarlayın ancak CA sertifikasını dışa aktarıp içe aktarın.
GCDS sertifika iptal listelerini nasıl kontrol ediyor?
GCDS'nin HTTPS üzerinden Google API'lerine ve SSL üzerinden LDAP'ye bağlanırken Güvenli Yuva Katmanı (SSL) sertifikalarını doğrulaması gerekir. GCDS bu işlemi, sertifika yetkililerinden, HTTP aracılığıyla sertifika iptal listelerini alarak yapar. Bazen, genellikle HTTP isteğini engelleyen bir proxy veya güvenlik duvarı nedeniyle bu doğrulamalar başarısız olur.
GCDS sunucusunun aşağıdaki URL'lere HTTP üzerinden (bağlantı noktası 80) erişebildiğinden emin olun:
- http://crl.pki.goog
- http://crls.pki.goog
Geçerli CRL'lerle ilgili ayrıntıları CRL kontrolü bölümünde bulabilirsiniz. SSL üzerinden LDAP bağlantısı için kendi sertifikalarınızı kullanıyorsanız ek URL'ler gerekebilir.
CRL erişimine izin veremiyorsanız CRL kontrollerini devre dışı bırakabilirsiniz.
- Bir metin düzenleyici kullanarak GCDS'nin yükleme dizinindeki sync-cmd.vmoptions ve config-manager.vmoptions dosyalarını açın.
Yükleme dizini genellikle C:\Program Files\Google Cloud Directory Sync (Windows) veya ~/GoogleCloudDirSync (Linux) şeklindedir.
- Dosyalara şu satırları ekleyin:
-Dcom.sun.net.ssl.checkRevocation=false
-Dcom.sun.security.enableCRLDP=false
LDAP+SSL'ye geçtikten sonra senkronizasyon yavaşladı
LDAP+SSL'ye geçtikten sonra senkronizasyon yavaşladıysa:
- Configuration Manager'ı kapatın.
- Bir metin düzenleyici kullanarak GCDS'nin yükleme dizininde sync-cmd.vmoptions ve config-manager.vmoptions dosyalarını açın.
Yükleme dizini genellikle C:\Program Files\Google Cloud Directory Sync (Windows) veya ~/GoogleCloudDirSync (Linux) şeklindedir.
- Aşağıdaki satırları ekleyerek dosyaları düzenleyin:
-Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
-Dcom.sun.jndi.ldap.connect.pool.authentication=none simple - Dosyaları kaydedin ve senkronizasyonu yeniden gerçekleştirmeyi deneyin.
Microsoft ADV190023 güncellemesinden sonra kimlik doğrulamayı kullanma
Kanal bağlama ve LDAP imzalama işlevleri etkin şekilde Microsoft Active Directory kullanıyorsanız GCDS'nin SSL üzerinden LDAP kullanarak kimlik doğrulaması yapabilmesi için bazı ek adımları uygulamanız gerekir. Aksi takdirde GCDS, Active Directory'ye bağlanmaz ve senkronizasyonlarınız başarısız olur. Daha önce Standart LDAP kimlik doğrulamasını kullanarak bir senkronizasyon çalıştırmış olsanız bile bu adımları uygulamanız gerekir. Microsoft önerisi ADV190023 ile ilgili ayrıntılar için Microsoft dokümanlarınıza bakın.
SSL üzerinden LDAP'yi başarıyla kullanıyorsanız herhangi bir adım atmanıza gerek yoktur.
Bölümü aç | Tümünü daralt ve başa dön
1. Adım: Active Directory'de TLS'yi etkinleştirinTLS ve SSL terimleri genellikle birbirinin yerine kullanılır.
Active Directory'de TLS'yi etkinleştirme hakkında bilgi edinmek için şu Microsoft makalelerini inceleyin:
Alan denetleyicinizin sertifikasını imzalayan Sertifika Yetkilisine (CA) GCDS tarafından güvenilmelidir. Verisign, Comodo ve Let's Encrypt gibi tanınmış internet tabanlı CA'lara güvenilir. Bu CA'ları kullanıyorsanız bu adımı atlayabilirsiniz.
CA'nız güvenilenler arasında değilse veya kendi kök CA'nızı kullanıyorsanız yukarıdaki Sertifikalarla ilgili hataları giderme bölümündeki adımları uygulayın.- Configuration Manager'ı açın ve LDAP Configuration (LDAP Yapılandırması) sayfasına gidin.
- Connection type (Bağlantı türü) ayarı için LDAP+SSL'yi belirtin.
- Port (Bağlantı noktası) ayarı için 636 (daha önce 389 kullandıysanız) veya 3269 (daha önce 3268 kullandıysanız) değerini belirtin.
- Test connection'ı (Bağlantıyı test et) tıklayın.
Google, Google Workspace ve ilgili markalarla logolar Google LLC'nin ticari markalarıdır. Diğer tüm şirket ve ürün adları, ilişkili oldukları şirketlerin ticari markalarıdır.
