Directory Sync のトラブルシューティングを行う

• プロジェクトで Data Connectors API が有効になっていることを確認してください。詳しくは、Data Connectors API を有効にするをご覧ください。
• Virtual Private Cloud（VPC）Service Controls の境界ルールが構成されていて、storage.googleapis.com に関連する PERMISSION_DENIED エラーが Google Cloud コンソールに表示される場合は、プロジェクトに対して Cloud Storage API へのアクセスを許可する必要があります。artifactregistry.googleapis.com に関連するエラーも表示される場合は、次の下り（外向き）ルールを追加して、Directory Sync リソースが外部ディレクトリに到達できるようにします。

  egress To:

  _ serviceName : artifactregistry.googleapis.com

   methodSelectors :

    - method: artifactregistry.googleapis.com/DockerRead

  リソース

  - projects/397958601689

  egressFrom:

   identityType: ANY_IDENTITY

サービス境界ルールの編集の詳細については、サービス境界の詳細と確認をご覧ください。

複数の Directory Sync 接続で同じドメインを参照することはできません。Directory Sync はベース識別名（DN）を比較します。ドメインが一致すると、ディレクトリの作成は失敗します。

この問題を解決するには、一致する DN との接続を削除してから、同じドメインの新しい DN を作成してください。

管理ログイベントのデータにこのエラーがある場合は、次の点をご確認ください。

• Microsoft Active Directory（AD）サーバーが稼働している。
• ネットワークとファイアウォールが、LDAP ポートで受信トラフィックを許可するように設定されている。
• [ユーザー名]@[ドメイン名] または [ドメイン名]\[ユーザー名] の形式を使用して、承認済みのアカウントの認証情報が正しく入力されている。

それでもエラーが表示される場合は、ドメイン ネーム システム（DNS）サーバーの詳細を追加して AD ホスト名を解決します。詳しくは、外部ディレクトリを追加するをご確認ください。

Virtual Private Cloud（VPC）アクセス コネクタと同じサブネットに Linux 仮想マシン（VM）を作成することもできます。636 番ポートを指定して AD サーバーの IP アドレスに Telnet 接続できるか試してみてください。Telnet 接続に失敗した場合は、AD サーバーのネットワーク設定を確認してください。たとえば、636 番ポートが開いていて到達可能であるか確認してください。

Telnet 接続に成功した場合は、Linux VM で次のコマンドを入力して AD サーバーが正しい証明書を使用しているかどうかを確認してください。

openssl s_client -showcerts -connect [外部サーバーの IP アドレス]:636

管理ログイベントのデータに記録されるエラーには次の 2 種類があります。

エラー 1 - An error occurred while attempting to connect to server ([サーバー IP]) within the configured timeout of 10000 milliseconds

このエラーは、Directory Sync が Active Directory（AD）サーバーに接続できなかったことを示します。トラブルシューティングを行うには、AD が正しく設定されているか確認してください。詳しくは、AD ディレクトリを追加するをご覧ください。

エラー 2 - An error occurred while attempting to establish a connection to server ([サーバー IP]): (SSLHandshakeException(sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target)

このエラーは、外部ディレクトリ接続の構成時に添付した証明書と AD TLS 証明書が一致しないことを示します。トラブルシューティングを行うには、証明書が一致しているか確認してください。詳しくは、AD ディレクトリを追加するをご覧ください。

AD TLS 証明書をローカルに保存するには、Microsoft PowerShell で次のスクリプトを入力してください。localhostlocalhost は AD サーバーの DNS レコードまたは IP アドレスに置き換えます。

$webRequest = [Net.WebRequest]::Create("https://localhost:636")
try { $webRequest.GetResponse() } catch {}
$cert = $webRequest.ServicePoint.Certificate
$bytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "$pwd\Workspace.cer"

Google と Microsoft Azure Active Directory の間の接続をテストできない場合は、管理ログイベントでトラブルシューティング情報を確認してください。詳しくは、管理ログイベントをご覧ください。

Directory Sync のログイベントに「User could not be created. Message: DOMAIN_OVER_USER_LIMIT_FIX_BY_CONTACT_SUPPORT.」というエラーが記録されることがあります。

このエラーは、ユーザーのライセンスに問題があることを示します。Google Workspace で使用可能なライセンス数を超えた場合や、割り当てできるライセンスがない場合は、ユーザーの作成に失敗し、このエラーが記録されます。

トラブルシューティングを行うには、ユーザーが使用できるライセンスの数を増やしてください。詳しくは、ユーザー ライセンスを追加購入するをご覧ください。

関連トピック

• Directory Sync のログイベントを確認する
• ライセンスの割り当て、削除、再割り当て

Result - referral で始まるエラーが記録された場合は、同期の設定時に入力したベース DN が正しいかどうか確認してください。

グローバル カタログ ポート 3269 を使用している場合は、636 に変更してください。

Directory Sync のログイベントに、この説明が記載された同期エラーが記録されることがあります。このエラーは通常、ユーザー アカウントが無効になっているか、AD 内のメール ID のドメインが正しくない場合に発生します。表を参照して、ログの問題のトラブルシューティングを行ってください。

非アクティブなユーザーのログエントリのトラブルシューティング

無効なメールアドレスと不正なドメインのログエントリのトラブルシューティング

関連トピック

Directory Sync のログイベントを確認する

この手順を行うには、特権管理者または Directory Sync 管理者のロール、または Directory Sync の設定管理の権限を持っている必要があります。

ユーザーとグループが同期されていない場合は、以下の操作を行います。

1. Google 管理コンソール（admin.google.com）で、[Directory Sync] [外部ディレクトリ] をクリックします。
2. ディレクトリの [同期ステータス] を確認します。
3. 同期が無効または失敗している場合は、同期を有効にします。

   詳しくは、同期の実行をご覧ください。

Microsoft Domain Users グループが同期されない場合:

Microsoft Domain Users グループは Directory Sync でサポートされていません。詳細

1. Active Directory で、Microsoft Domain Users グループに該当するすべてのメンバーと権限が含まれた新しいグループを作成します。
2. そのグループを Microsoft Domain Users グループのメンバーとして追加します。
3. この新しいグループを使用して、メンバーの管理と同期を行います。

注: Microsoft Domain Users グループの属性は変更しないでください。他の予期しない動作が発生する可能性があります。

Directory Sync のログイベントで、このエラーに関する詳しいトラブルシューティング情報を確認できます。

1. Directory Syncのログイベントを開きます。

   詳しくは、Directory Sync のログイベント データにアクセスするをご覧ください。

2. [フィルタを追加] [ターゲット オブジェクト ID] をクリックします。
3. ユーザーのメールアドレスを入力して [適用] をクリックします。
4. 以下のように表示されます。
   • [オブジェクトの更新] イベントの詳細に [新しい属性 {suspended: true}] と記載されている場合は、AD でユーザーのアカウントが有効になっていないため、Directory Sync がユーザーを一時停止したことを示しています。
   • [オブジェクトのデプロビジョニング] イベントが表示される場合は、AD のユーザーが削除されていないか、LDAP の検索範囲外の別のパスに移動されていないかを確認してください。

同期されていないユーザーを特定し、以下のことを確認します。

• 外部ディレクトリで非アクティブではない
• ユーザー同期の設定時に指定したグループの直接的なメンバーである
• 外部ディレクトリ内のユーザー オブジェクトであり、連絡先ではない
• 外部ディレクトリにメール ID が存在しており、そのメール ID のドメインが Google Workspace のドメインと同じである

Directory Sync のログイベントで、詳しいトラブルシューティング情報を確認できます。

1. Directory Syncのログイベントを開きます。

   詳しくは、Directory Sync のログイベント データにアクセスするをご覧ください。

2. [フィルタを追加] [ソース オブジェクト ID] をクリックします。
3. 対象ユーザーの DN を追加して、[適用] をクリックします。
4. [同期エラー] イベントを見つけて、エラーを確認します。
5. 対象ユーザーの DN が記録された Read Object イベントを検索します。
6. Read Object イベントが見つからない場合、Directory Sync はそのユーザーを同期していません。よくある原因としては次のことが考えられます。
   • ユーザー メンバーシップが LDAP の検索スコープに含まれていない（ユーザー同期の設定時に指定したグループのベース DN またはその下にユーザーが配置されていない）。
   • Directory Sync が別のドメイン コントローラと通信しており、増分同期ですべての変更が検出されていない。ホスト名と IP アドレスが同じドメイン コントローラを指しているかどうか確認してください。

グループ メンバーについて、次のことを確認します。

• メール属性値が設定されており、有効な形式のメール ID がある
• グループのベース DN またはその下に配置されていない