디렉터리 동기화 문제 해결하기

• 프로젝트에 Data Connectors API가 사용 설정되어 있는지 확인합니다. 자세한 내용은 Data Connectors API 사용 설정하기를 참고하세요.
• 가상 프라이빗 클라우드(VPC) 서비스 제어 경계 규칙이 구성되어 있고 Google Cloud 콘솔에 storage.googleapis.com과 관련된 해당하는 PERMISSION_DENIED 오류가 발생하는 경우 프로젝트의 Cloud Storage API에 대한 액세스를 허용해야 합니다. artifactregistry.googleapis.com와 관련된 해당하는 오류도 발생하는 경우 다음 이그레스 규칙을 추가하여 디렉터리 동기화 리소스가 외부 디렉터리에 도달하도록 허용합니다.

  egress To:

  _ serviceName : artifactregistry.googleapis.com

   methodSelectors :

    - method: artifactregistry.googleapis.com/DockerRead

  리소스

  - projects/397958601689

  egressFrom:

   identityType: ANY_IDENTITY

서비스 경계 규칙 수정에 관한 자세한 내용은 서비스 경계 세부정보 및 확인을 참고하세요.

여러 디렉터리 동기화 연결이 동일한 도메인을 가리킬 수 없습니다. 디렉터리 동기화는 DN(기본 고유 이름)을 비교하며, 도메인이 일치하면 디렉터리를 만들지 못합니다.

이 문제를 해결하려면 동일한 도메인으로 새 DN을 만들기 전에 일치하는 DN과의 연결을 삭제하세요.

관리자 로그 이벤트 데이터에서 이 오류가 발생하면 다음을 확인하세요.

• Microsoft Active Directory(AD) 서버가 작동되어 실행 중입니다.
• 네트워크 및 방화벽이 LDAP 포트에서 들어오는 트래픽을 허용하도록 설정되어 있습니다.
• 승인된 계정의 사용자 인증 정보를 username@example.com 또는 EXAMPLE\username 형식을 사용하여 올바르게 입력했습니다.

오류가 계속 표시되는 경우 DNS(도메인 이름 시스템) 서버 세부정보를 추가하여 AD 호스트 이름 문제를 해결합니다. 자세한 내용은 외부 디렉터리 추가하기를 참고하세요.

가상 프라이빗 클라우드(VPC) 액세스 커넥터와 동일한 서브넷에 Linux 가상 머신(VM)을 만들 수도 있습니다. 포트 636에서 AD 서버의 IP 주소에 대해 telnet 연결을 시도합니다. Telnet 연결에 실패할 경우 AD 서버의 네트워크 설정을 확인합니다. 예를 들어 포트 636이 열려 있고 사용할 수 있는지 확인합니다.

Telnet 연결에 성공한 경우 AD 서버가 올바른 인증서를 사용하는지 확인하려면 Linux VM에 다음 명령어를 입력합니다.

openssl s_client -showcerts -connect external server IP address:636

이 오류는 관리자 로그 이벤트 데이터에서 두 가지 버전으로 표시될 수 있습니다.

오류 1: 구성된 제한 시간 10,000밀리초 이내에 서버(서버 IP)에 연결을 시도하는 중에 오류가 발생함

이 오류는 디렉터리 동기화에서 AD(Active Directory) 서버에 연결하지 못했음을 나타냅니다. 문제를 해결하려면 AD를 올바르게 설정했는지 확인하세요. 자세한 내용은 AD 디렉터리 추가하기를 참고하세요.

오류 2: 서버(서버 IP)에 연결을 설정하는 중에 오류가 발생함: (SSLHandshakeException(sun.security.validator.ValidatorException: PKIX 경로 구축 실패: sun.security.provider.certpath.SunCertPathBuilderException: 요청된 대상에 대한 유효한 인증 경로를 찾을 수 없음)

이 오류는 외부 디렉터리 연결을 구성할 때 첨부한 인증서와 AD TLS 인증서가 일치하지 않음을 나타냅니다. 문제를 해결하려면 인증서가 일치하는지 확인하세요. 자세한 내용은 AD 디렉터리 추가하기를 참고하세요.

AD TLS 인증서를 로컬에 저장하려면 Microsoft PowerShell에 다음 스크립트를 입력하여 localhost를 AD 서버 DNS 레코드 또는 IP 주소로 대체합니다.

$webRequest = [Net.WebRequest]::Create("https://localhost:636")
try { $webRequest.GetResponse() } catch {}
$cert = $webRequest.ServicePoint.Certificate
$bytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
set-content -value $bytes -encoding byte -path "$pwd\Workspace.cer"

Google과 Microsoft Azure Active Directory 간의 연결을 테스트할 수 없는 경우 관리자 로그 이벤트에서 문제 해결 정보를 확인합니다. 자세한 내용은 관리자 로그 이벤트를 참고하세요.

디렉터리 동기화 로그 이벤트에 다음과 같은 오류가 표시됩니다. '사용자를 만들 수 없습니다. 메시지: DOMAIN_OVER_USER_LIMIT_FIX_BY_CONTACT_SUPPORT.'

이 오류는 사용자 라이선스 문제가 있음을 나타냅니다. Google Workspace에서 사용 가능한 라이선스 수를 초과했거나 할당할 수 있는 라이선스가 없는 경우 사용자를 생성하지 못하고 이 오류가 표시됩니다.

문제를 해결하려면 사용자에게 제공할 수 있는 라이선스 수를 늘립니다. 자세한 내용은 추가 사용자 라이선스 구매하기를 참고하세요.

관련 주제

• 디렉터리 동기화에 대한 로그 이벤트 확인하기
• 라이선스 할당, 삭제, 재할당하기

결과 - 추천으로 시작하는 오류가 발생하는 경우 동기화를 설정할 때 입력한 기본 DN이 올바른지 확인합니다.

글로벌 카탈로그 포트 3269를 사용하는 경우 636으로 변경하세요.

디렉터리 동기화 로그 이벤트에서 이러한 설명과 함께 동기화 오류가 발생할 수 있습니다. 일반적으로 이 오류는 AD에서 사용자 계정이 비활성 상태이거나 이메일 ID의 도메인이 잘못된 경우 발생합니다. 로그 문제 해결을 위해 표를 참고하세요.

비활성 사용자 로그 항목 문제 해결

잘못된 이메일 주소 및 잘못된 도메인 로그 항목 문제 해결하기

관련 주제

디렉터리 동기화의 로그 이벤트 확인하기

다음 단계를 완료하려면 최고 관리자 또는 디렉터리 동기화 관리자 역할 또는 디렉터리 동기화 설정 관리 권한이 있어야 합니다.

사용자 및 그룹이 동기화되지 않는 경우 다음 안내를 따르세요.

1. Google 관리 콘솔(admin.google.com)에서 디렉터리 동기화외부 디렉터리를 클릭합니다.
2. 디렉터리의 동기화 상태를 확인합니다.
3. 동기화가 비활성 또는 실패 상태인 경우 동기화를 활성화합니다.

   자세한 내용은 동기화 실행하기를 참고하세요.

Microsoft 도메인 사용자 그룹이 동기화되지 않는 경우 다음 안내를 따르세요.

Microsoft 도메인 사용자 그룹은 디렉터리 동기화에서 지원되지 않습니다. 자세히 알아보기 

1. Active Directory에서 Microsoft 도메인 사용자 그룹의 모든 관련 회원과 권한이 포함된 새 그룹을 만듭니다.
2. 만든 그룹을 Microsoft 도메인 사용자 그룹의 회원으로 추가합니다.
3. 새 그룹을 사용하여 회원을 관리하고 동기화합니다.

참고: Microsoft 도메인 사용자 그룹의 속성을 변경하면 다른 예기치 않은 동작이 트리거될 수 있으므로 변경하지 마세요.

디렉터리 동기화 로그 이벤트에서 이 오류에 관한 자세한 문제 해결 정보를 확인할 수 있습니다.

1. 디렉터리 동기화 로그 이벤트를 엽니다.

   자세한 내용은 디렉터리 동기화 로그 이벤트 데이터에 액세스하기를 참고하세요.

2. 필터 추가대상 객체 ID를 클릭합니다.
3. 사용자의 이메일 주소를 입력하고 적용을 클릭합니다.
4. 다음 내용이 표시되는 경우:
   • 새 속성 {suspended: true} 설명이 포함된 객체 업데이트됨 이벤트: 사용자 계정이 AD에서 활성화되어 있지 않으므로 디렉터리 동기화에서 사용자가 일시 정지되었습니다.
   • 객체 프로비저닝 해제됨 이벤트, AD의 사용자가 삭제되었거나 LDAP 검색 범위에 속하지 않는 다른 경로로 이동되었는지 확인합니다.

누락된 사용자를 파악하고 사용자가 다음 사항을 충족하는지 확인합니다.

• 외부 디렉터리에서 비활성 상태가 아님
• 사용자 동기화를 설정할 때 지정한 그룹의 직속 회원임
• 외부 디렉터리에 있는 연락처가 아닌 사용자 객체임
• 외부 디렉터리에 있는 이메일 ID가 있고 이메일 ID의 도메인이 Google Workspace 도메인과 동일함

디렉터리 동기화 로그 이벤트에서 자세한 문제 해결 정보를 확인할 수 있습니다.

1. 디렉터리 동기화 로그 이벤트를 엽니다.

   자세한 내용은 디렉터리 동기화 로그 이벤트 데이터에 액세스하기를 참고하세요.

2. 필터 추가소스 객체 ID를 차례로 클릭합니다.
3. 사용자의 DN을 추가하고 적용을 클릭합니다.
4. 동기화 오류 이벤트를 찾아 오류를 검토합니다.
5. 사용자의 DN을 사용하여 객체 읽기 이벤트를 검색합니다.
6. 객체 읽기 이벤트를 찾을 수 없는 경우 디렉터리 동기화에서 사용자를 동기화하지 않은 것입니다. 일반적인 이유는 다음과 같습니다.
   • 사용자 멤버십이 LDAP 검색 범위에 속하지 않습니다(사용자 동기화를 설정할 때 지정한 그룹의 기본 DN 또는 그 하위에 해당 사용자가 없음).
   • 디렉터리 동기화에서 다른 도메인 컨트롤러와 통신 중이며 추가된 동기화에서 모든 변경사항을 인식하지 못합니다. 호스트 이름과 IP 주소가 동일한 도메인 컨트롤러를 가리키는지 확인합니다.

그룹 회원이 다음을 충족하는지 확인합니다.

• 메일 속성 값이 설정되어 있으며 올바른 형식의 이메일 ID가 있음
• 그룹의 기본 DN 또는 그 하위에 없음