証明書に関する問題のトラブルシューティング

vmoption ファイルを更新する

1. 設定マネージャーを閉じます。
2. GCDS のインストール ディレクトリにある sync-cmd.vmoptions ファイルと config-manager.vmoptions ファイルを開きます。

   通常、インストール ディレクトリは C:\Program Files\Google Cloud Directory Sync です。

3. ファイルを編集して次の行を追加します。

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT
   -Dcom.sun.jndi.ldap.connect.pool.protocol=plain ssl
   -Dcom.sun.jndi.ldap.connect.pool.authentication=none simple

4. 設定マネージャーを再起動し、[LDAP Configuration] ページに移動します。
5. [Connection type] に [LDAP+SSL] を指定します。
6. [ポート] で、次のいずれかを選択します。
   • 以前に 389 を使用していた場合は、636 を指定します。
   • 以前に 3268 を使用していた場合は、3269 を指定します。
7. [Test connection] をクリックします。
8. 以下が表示される場合は、次のように対応します。
   • 証明書エラー - GCDS を実行しているパソコンで、証明書が Windows によって信頼されていることを確認します。次に、ステップ 2: サーバー証明書を読み込む（このページの下部）に進みます。
   • 証明書失効チェックのエラー - GCDS による証明書失効リストの確認の手順に沿って対応します。
   • その他のエラー（ネットワーク エラーなど）- GCDS の一般的な問題のトラブルシューティングに進みます。

サーバー証明書を読み込む

自己署名証明書を使用する LDAP サーバーや HTTP プロキシについても、この手順で証明書を読み込むことができます。

1. ドメイン コントローラにログインし、コマンド プロンプトを開きます。
2. ドメイン コントローラの証明書を書き出すには、次のコマンドを入力します。

   certutil -store My DomainController dccert.cer

3. dccert.cer ファイルを、GCDS がインストールされているサーバーにコピーします。
4. コマンド プロンプトを管理者として開きます。
5. GCDS Java Runtime Environment（JRE）のインストール フォルダを開くには、次のコマンドを入力します。

   cd "c:\Program Files\Google Cloud Directory Sync\jre"

   64 ビット版の Windows システムにインストールされている 32 ビット版の GCDS を実行している場合は、cd "c:\Program Files (x86)\Google Cloud Directory Sync\jre" を使用します。

6. ドメイン コントローラの証明書を読み込むには、次のコマンドを入力します。

   bin\keytool -keystore lib\security\cacerts -storepass changeit -import -file c:\dccert.cer -alias mydc

   複数の証明書を読み込む必要がある場合は、このコマンドを証明書ごとに実行します。その際、「mydc」の部分は別のエイリアスを指定します。

7. 「はい」と入力して証明書を信頼します。
8. 設定マネージャーを閉じます。
9. テキスト エディタを使用して、GCDS のインストール ディレクトリにある sync-cmd.vmoptions ファイルと config-manager.vmoptions ファイルを開きます。
10. 各ファイルで、次の行を削除します。

    -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
    -Djavax.net.ssl.trustStoreType=Windows-ROOT

    これらの行を削除すると、GCDS は Windows システム ストアではなくlib/security/cacertsの証明書ストアを使用します。

11. 設定マネージャーを開き、[LDAP Configuration] ページに移動して [Test Connections] をクリックします。
12. 引き続き証明書に関するエラーが表示される場合は、ドメイン コントローラの証明書ではなく、組織の認証局（CA）の証明書を読み込む必要があります。組織の CA 証明書を読み込むには、上記の手順をもう一度実施します。その際に、ドメイン コントローラの証明書の代わりに CA 証明書を書き出して読み込みます。

自己署名証明書を使用する LDAP サーバーや HTTP プロキシについても、この手順で証明書を読み込むことができます。

1. ドメイン コントローラにログインし、コマンド プロンプトを開きます。
2. ドメイン証明書を確認するには、次のコマンドを入力します。

   certutil -store My DomainController dccert.cer

3. dccert.cer ファイルを、GCDS がインストールされているサーバーにコピーします。
4. GCDS Java Runtime Environment（JRE）のインストール フォルダを開くには、コマンド プロンプトを開いて次のコマンドを入力します。

   cd ~/GoogleCloudDirSync/jre

5. ドメイン コントローラの証明書をインポートするには、次のコマンドを入力します。

   bin/keytool -keystore lib/security/cacerts -storepass changeit -import -file ~/dccert.cer -alias mydc

   複数の証明書を読み込む必要がある場合は、このコマンドを証明書ごとに実行します。その際、「mydc」の部分は別のエイリアスを指定します。

6. 「はい」と入力して証明書を信頼します。
7. 設定マネージャーを閉じます。
8. テキスト エディタを使用して、GCDS のインストール ディレクトリにある sync-cmd.vmoptions ファイルと config-manager.vmoptions ファイルを開きます。

   通常、インストール ディレクトリは ~/GoogleCloudDirSync です。

9. 各ファイルで、次の行を削除します。

   -Djavax.net.ssl.trustStoreProvider=SunMSCAPI
   -Djavax.net.ssl.trustStoreType=Windows-ROOT

   これらの行を削除すると、GCDS は Windows システム ストアではなくlib/security/cacertsの証明書ストアを使用します。

10. 設定マネージャーを開き、[LDAP Configuration] ページに移動して [Test Connections] をクリックします。
11. 引き続き証明書に関するエラーが表示される場合は、ドメイン コントローラの証明書ではなく、組織の認証局（CA）の証明書を読み込む必要があります。組織の CA 証明書を読み込むには、上記の手順をもう一度実施します。その際に、ドメイン コントローラの証明書の代わりに CA 証明書を書き出して読み込みます。

多くの場合、TLS と SSL という用語は同じ意味で使用されます。

Active Directory で TLS を有効にするには、以下の Microsoft の記事を参照してください。

• サードパーティの認証局を使用して LDAP over SSL を有効にする 
• Creating Custom Secure LDAP Certificates for Domain Controllers with Auto Renewal 
• Troubleshoot LDAP over SSL connection problems

ドメイン コントローラの証明書に署名した認証局（CA）は、GCDS によって信頼されている必要があります。Verisign、Comodo、Let's Encrypt などの有名なインターネット CA のほとんどは信頼されているので、これらの CA を使用する場合は、この手順をスキップできます。

1. 設定マネージャーを開き、[LDAP Configuration] ページに移動します。
2. [Connection type] に [LDAP+SSL] を指定します。
3. [Port] に「636」（以前に 389 を使用していた場合）または「3269」（以前に 3268 を使用した場合）を指定します。
4. [Test connection] をクリックします。