Solucionar problemas relacionados con los certificados

Actualizar el archivo VMoption 

1. Cierra el gestor de configuración.
2. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions.

   El directorio de instalación suele ser C:\Program Files\Google Cloud Directory Sync.

3. Edita los archivos para añadir las siguientes líneas:

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT
   -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
   -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

4. Vuelve a abrir el gestor de configuración y ve a la página LDAP Configuration (Configuración de LDAP).
5. En el ajuste Connection type (Tipo de conexión), elige LDAP+SSL.
6. En Port, elige una opción:
   • Si ya has utilizado 389, especifica 636
   • Si ya has utilizado 3268, especifica 3269.
7. Haz clic en Test connection (Probar conexión).
8. A continuación se indica qué hacer en función de lo que aparezca: 
   • Un error de certificado: en el ordenador en el que se está ejecutando GCDS, comprueba que el certificado sea de confianza para Windows. Después, continúa con el apartado Paso 2: Importa el certificado del servidor (más abajo en esta página).
   • Se ha producido un error al comprobar la revocación del certificado: sigue los pasos que se indican en el artículo Cómo comprueba GCDS las listas de revocación de certificados.
   • Otros errores (por ejemplo, errores de red): consulta el artículo Solucionar problemas habituales de GCDS.

Importar el certificado del servidor

También puedes seguir estos pasos para importar certificados de servidores LDAP o proxies HTTP que utilicen certificados con firma automática.

1. Inicia sesión en el controlador de dominio y abre una petición de comando.
2. Para exportar el certificado del controlador de dominio, introduce el siguiente comando:

   certutil -store My DomainController dccert.cer

3. Copia el archivo dccert.cer en el servidor en el que se ha instalado GCDS.
4. Como administrador, abre una petición de comando.
5. Para abrir la carpeta de instalación de Java Runtime Environment (JRE) de GCDS, introduce el siguiente comando:

   cd "c:\Program Files\Google Cloud Directory Sync\jre"

   Si utilizas una versión de 32 bits de GCDS instalada en un sistema Windows de 64 bits, utiliza cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre"

6. Para importar el certificado del controlador de dominio, introduce el siguiente comando:

   bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

   Si necesitas importar más de un certificado, repite estos pasos con otro alias en lugar de mydc.

7. Introduce Yes (Sí) para indicar que confías en el certificado.
8. Cierra el gestor de configuración.
9. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.
10. En cada archivo, quita estas líneas:

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    Cuando elimines las líneas, GCDS utilizará el almacén de certificados de lib/security/cacerts en lugar del almacén del sistema de Windows.

11. Abre el gestor de configuración, ve a la página LDAP Configuration (Configuración LDAP) y haz clic en Test Connections (Probar conexiones).
12. Si se siguen produciendo errores con los certificados, es posible que debas importar el certificado de la autoridad de certificación (AC) de tu organización en lugar del certificado del controlador de tu dominio. Para ello, repite estos pasos, pero exporta e importa el certificado AC.

También puedes seguir estos pasos para importar certificados de servidores LDAP o proxies HTTP que utilicen certificados con firma automática.

1. Inicia sesión en el controlador de dominio y abre una petición de comando.
2. Para buscar el certificado del dominio, introduce el siguiente comando:

   certutil -store My DomainController dccert.cer

3. Copia el archivo dccert.cer en el servidor en el que se ha instalado GCDS.
4. Para abrir la carpeta de instalación de Java Runtime Environment (JRE) de GCDS, abre una petición de comando e introduce el siguiente comando:

   cd ~/GoogleCloudDirSync/jre

5. Para importar el certificado del controlador de dominio, introduce el siguiente comando:

   bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

   Si necesitas importar más de un certificado, repite estos pasos con otro alias en lugar de mydc.

6. Introduce Yes (Sí) para indicar que confías en el certificado.
7. Cierra el gestor de configuración.
8. En el directorio de instalación de GCDS, abre los archivos sync-cmd.vmoptions y config-manager.vmoptions con un editor de texto.

   El directorio de instalación suele ser ~/GoogleCloudDirSync.

9. En cada archivo, quita estas líneas:

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT

   Cuando elimines las líneas, GCDS utilizará el almacén de certificados de lib/security/cacerts en lugar del almacén del sistema de Windows.

10. Abre el gestor de configuración, ve a la página LDAP Configuration (Configuración LDAP) y haz clic en Test Connections (Probar conexiones).
11. Si se siguen produciendo errores con los certificados, es posible que debas importar el certificado de la autoridad de certificación (AC) de tu organización en lugar del certificado del controlador de tu dominio. Para ello, repite estos pasos, pero exporta e importa el certificado AC.

A menudo, los términos "TLS" y "SSL" se utilizan indistintamente. 

Para activar TLS en Active Directory, consulta estos artículos de Microsoft:

• Habilitar LDAP sobre SSL con una autoridad de certificación externa 
• Crear certificados LDAP personalizados seguros para utilizarlos en controladores de dominios con renovación automática (entrada de blog en inglés) 
• Solucionar problemas de conexión LDAP a través de SSL

GCDS debe considerar que la autoridad de certificación (CA) que firmó el certificado del controlador de tu dominio es de confianza. Las CAs de Internet más conocidas, como Verisign, Comodo y Let's Encrypt, son de confianza. Si utilizas esas ACs, puedes saltarte este paso.

Si tu CA no es de confianza o utilizas tu propia CA raíz, sigue los pasos que se indican en la sección Corregir errores relacionados con los certificados.

1. Abre el gestor de configuración y ve a la página LDAP Configuration (Configuración de LDAP).
2. En el ajuste Connection type (Tipo de conexión), elige LDAP+SSL.
3. En el ajuste Port (Puerto), elige 636 (si anteriormente usaste 389) o 3269 (si utilizaste 3268).
4. Haz clic en Test connection (Probar conexión).