Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Fehlerbehebung in AD Connector
Das Folgende kann Ihnen bei der Behebung einiger häufig auftretender Probleme helfen, die bei der Erstellung oder Verwendung Ihres AD Connectors auftreten können.
Themen
Probleme bei der Erstellung
Im Folgenden finden Sie häufig Probleme bei der Erstellung von AD Connector
Der Fehler „Beschränktes AZ” wird angezeigt, wenn ich ein Verzeichnis erstellen will.
Einige AWS Konten, die vor 2012 erstellt wurden, haben möglicherweise Zugriff auf Availability Zones in den Regionen USA Ost (Nord-Virginia), USA West (Nordkalifornien) oder Asien-Pazifik (Tokio), die Directory Service Verzeichnisse nicht unterstützen. Wenn Sie beim Erstellen eines Active Directorys eine solche Fehlermeldung erhalten, wählen Sie ein Subnetz in einer anderen Availability Zone aus und versuchen Sie erneut, das Verzeichnis zu erstellen.
Ich erhalte die Fehlermeldung „Verbindungsprobleme festgestellt“, wenn ich versuche, AD Connector zu erstellen
Wenn Sie beim Versuch, einen AD Connector zu erstellen, die Fehlermeldung „Verbindungsproblem erkannt“ erhalten, kann der Fehler an der Portverfügbarkeit oder an der Komplexität des AD Connector-Passworts liegen. Sie können die Verbindung Ihres AD Connectors testen, um festzustellen, ob die folgenden Ports verfügbar sind:
-
53 (DNS)
-
88 (Kerberos)
-
389 (LDAP)
Informationen zum Testen Ihrer Verbindung finden Sie unterTesten Sie Ihren AD Connector. Der Verbindungstest sollte auf der Instance durchgeführt werden, die mit beiden Subnetzen verbunden ist, denen die IP-Adressen des AD Connectors zugeordnet sind.
Wenn der Verbindungstest erfolgreich ist und die Instanz der Domain beitritt, überprüfen Sie das Passwort Ihres AD Connectors. AD Connector muss die Anforderungen an die AWS Passwortkomplexität erfüllen. Weitere Informationen finden Sie unter Dienstkonto inAD-Connector-Voraussetzungen.
Wenn Ihr AD Connector diese Anforderungen nicht erfüllt, erstellen Sie Ihren AD Connector erneut mit einem Passwort, das diese Anforderungen erfüllt.
Ich erhalte die Meldung „Beim Verbinden des Verzeichnisses ist ein interner Servicefehler aufgetreten. Bitte versuchen Sie den Vorgang erneut.“ Fehler beim Erstellen eines AD Connectors
Dieser Fehler tritt normalerweise auf, wenn der AD Connector nicht erstellt werden kann und keine Verbindung zu einem gültigen Domänencontroller für Ihre selbstverwaltete Active Directory-Domäne herstellen kann.
Anmerkung
Als bewährte Methode gilt: Wenn in Ihrem selbstverwalteten Netzwerk Active Directory-Standorte definiert sind, müssen Sie Folgendes sicherstellen:
-
Die VPC-Subnetze, in denen sich Ihr AD Connector befindet, sind an einem Active Directory-Standort definiert.
-
Zwischen Ihren VPC-Subnetzen und den Subnetzen an Ihren anderen Standorten bestehen keine Konflikte.
AD Connector verwendet den Active Directory-Standort, dessen Subnetz-IP-Adressbereiche denen in der VPC, die den AD Connector enthalten, nahe kommen, um Ihre AD-Domänencontroller zu ermitteln. Wenn Sie einen Standort haben, dessen Subnetze dieselben IP-Adressbereiche wie die in Ihrer VPC haben, erkennt AD Connector die Domänencontroller an diesem Standort. Der Domänencontroller befindet sich möglicherweise nicht physisch in der Nähe der Region, in der sich Ihr AD Connector befindet.
-
Inkonsistenzen in DNS-SRV-Einträgen (diese Einträge verwenden die folgende Syntax:
_ldap._tcp.<DnsDomainName>und_kerberos._tcp.<DnsDomainName>), die in der vom Kunden verwalteten Active Directory-Domäne erstellt wurden. Dies kann auftreten, wenn AD Connector anhand dieser SRV-Einträge keinen gültigen Domänencontroller finden und keine Verbindung zu diesem herstellen konnte. -
Netzwerkprobleme zwischen AD Connector und vom Kunden verwalteten AD-Geräten wie Firewallgeräten.
Sie können die Netzwerkpaketerfassung
Probleme mit der Verbindung
Im Folgenden sind häufig auftretende Verbindungsprobleme für AD Connector aufgeführt
Ich erhalte die Fehlermeldung „Connectivity issues detected“, wenn ich eine Verbindung zu meinem on-premises Verzeichnis herstellen möchte
Sie erhalten eine Fehlermeldung ähnlich der folgenden, wenn Sie eine Verbindung zu Ihrem lokalen Verzeichnis herstellen: Konnektivitätsprobleme erkannt: LDAP nicht verfügbar (TCP-Port 389) für IP: <IP address> Kerberos/authentication nicht verfügbar (TCP-Port 88) für IP: <IP
address> Bitte stellen Sie sicher, dass die aufgelisteten Ports verfügbar sind, und wiederholen Sie den Vorgang.
AD Connector muss mit Ihren On-Premises-Domain-Controllern via TCP und UDP über folgende Ports kommunizieren können. Überprüfen Sie, ob Ihre Sicherheitsgruppen und On-Premises-Firewalls die TCP- und UDP-Kommunikation über diese Ports erlauben. Weitere Informationen finden Sie unter AD-Connector-Voraussetzungen.
-
88 (Kerberos)
-
389 (LDAP)
Je nach Bedarf benötigen Sie möglicherweise zusätzliche TCP/UDP Anschlüsse. In der folgenden Liste finden Sie einige dieser Anschlüsse. Weitere Informationen zu den von Active Directory verwendeten Ports finden Sie in der Microsoft Dokumentation unter So konfigurieren Sie eine Firewall für Active Directory-Domänen und
-
135 (RPC Endpoint Mapper)
-
646 (LDAP-SSL)
-
3268 (LDAP GC)
-
3269 (LDAP GC SSL)
Ich erhalte die Fehlermeldung „DNS unavailable“, wenn ich eine Verbindung zu meinem On-Premises-Verzeichnis herstellen möchte
Sie erhalten eine Fehlermeldung ähnlich der Folgenden, wenn Sie eine Verbindung zu Ihrem On-Premises-Verzeichnis herstellen möchten:
DNS unavailable (TCP port 53) for IP: <DNS IP address>AD Connector muss über TCP und UDP über Port 53 mit Ihrem On-Premises-DNS-Server kommunizieren können. Stellen Sie sicher, dass Ihre Sicherheitsgruppen und On-Premises-Firewalls die TCP- und UDP-Kommunikation über diesen Port erlauben. Weitere Informationen finden Sie unter AD-Connector-Voraussetzungen.
Ich erhalte die Fehlermeldung „SRV record“, wenn ich eine Verbindung zu meinem On-Premises-Verzeichnis herstellen möchte
Sie erhalten eine Fehlermeldung ähnlich einer oder mehr der Folgenden, wenn Sie eine Verbindung zu Ihrem On-Premises-Verzeichnis herstellen möchten:
SRV record for LDAP does not exist for IP: <DNS IP address> SRV record for Kerberos does not exist for IP: <DNS IP address>AD Connector muss beim Aufbau einer Verbindung zu Ihrem Verzeichnis SRV-Datensätze für _ldap._tcp. und <DnsDomainName>_kerberos._tcp. abrufen. Sie erhalten diese Fehlermeldung, wenn der Service diese Datensätze nicht von den DNS-Servern abrufen kann, die Sie beim Aufbau einer Verbindung zu ihrem Verzeichnis angegeben haben. Weitere Informationen zu diesen SRV-Datensätzen finden Sie unter SRV record requirements.<DnsDomainName>
Probleme bei der Authentifizierung
Hier sind einige häufig auftretende Authentifizierungsprobleme mit AD Connector:
Ich erhalte die Fehlermeldung „Die Zertifikatsvalidierung ist fehlgeschlagen“, wenn ich versuche, mich anzumelden Amazon WorkSpaces mit einer Smartcard
Wenn Sie versuchen, sich WorkSpaces mit einer Smartcard bei Ihrem System anzumelden, wird eine Fehlermeldung ähnlich der folgenden angezeigt: FEHLER: Die Zertifikatsvalidierung ist fehlgeschlagen. Bitte versuchen Sie es erneut, indem Sie Ihren Browser oder Ihre Anwendung neu starten und sicherstellen, dass Sie das richtige Zertifikat ausgewählt haben. Der Fehler tritt auf, wenn das Smartcard-Zertifikat nicht ordnungsgemäß auf dem Client gespeichert ist, der die Zertifikate verwendet. Weitere Informationen zu AD Connector- und Smartcard-Anforderungen finden Sie unterVoraussetzungen.
Gehen Sie wie folgt vor, um Probleme mit der Fähigkeit der Smartcard zu beheben, Zertifikate im Zertifikatsspeicher des Benutzers zu speichern:
-
Greifen Sie auf dem Gerät, das Probleme beim Zugriff auf die Zertifikate hat, auf Microsoft Management Console (MMC) zu.
Wichtig
Bevor Sie fortfahren, erstellen Sie eine Kopie des Smartcard-Zertifikats.
-
Navigieren Sie in der MMC zum Zertifikatsspeicher. Löschen Sie das Smartcard-Zertifikat des Benutzers aus dem Zertifikatsspeicher. Weitere Informationen zum Anzeigen des Zertifikatsspeichers in der MMC finden Sie in der Dokumentation unter Vorgehensweise: Anzeigen von Zertifikaten mit dem MMC-Snap-In
. Microsoft -
Entfernen Sie die Smartcard.
-
Setzen Sie die Smartcard erneut ein, damit sie das Smartcard-Zertifikat im Zertifikatsspeicher des Benutzers erneut auffüllen kann.
Warnung
Wenn die Smartcard das Zertifikat nicht erneut in den Benutzerspeicher auffüllt, kann es nicht für die Smartcard-Authentifizierung verwendet werden. WorkSpaces
Das Dienstkonto des AD Connectors sollte Folgendes enthalten:
-
my/spnzum Namen des Serviceprinzips hinzugefügt -
Für den LDAP-Dienst delegiert
Nachdem das Zertifikat auf der Smartcard erneut ausgefüllt wurde, sollte der lokale Domänencontroller überprüft werden, um festzustellen, ob für ihn die UPN-Zuordnung (User Principal Name) für den alternativen Betreffnamen gesperrt ist. Weitere Informationen zu dieser Änderung finden Sie in der Dokumentation unter So deaktivieren Sie den alternativen Betreffnamen für die UPN-Zuordnung.
Gehen Sie wie folgt vor, um den Registrierungsschlüssel Ihres Domänencontrollers zu überprüfen:
-
Navigieren Sie im Registrierungseditor zum folgenden Hive-Schlüssel
HKEY_LOCAL_MACHINE\ SYSTEM\\ Services\ Kdc\ CurrentControlSet UseSubjectAltName
-
Prüfen Sie den UseSubjectAltName Wert von:
-
Wenn der Wert auf 0 gesetzt ist, ist die Zuordnung alternativer Betreffnamen deaktiviert und Sie müssen ein bestimmtes Zertifikat explizit nur einem Benutzer zuordnen. Wenn ein Zertifikat mehreren Benutzern zugeordnet ist und dieser Wert 0 ist, schlägt die Anmeldung mit diesem Zertifikat fehl.
-
Wenn der Wert nicht oder auf 1 gesetzt ist, müssen Sie ein bestimmtes Zertifikat explizit nur einem Benutzer zuordnen oder das Feld Alternativer Name für den Betreff für die Anmeldung verwenden.
-
Wenn das Feld Alternativer Name des Antragstellers auf dem Zertifikat vorhanden ist, wird es priorisiert.
-
Wenn das Feld Alternativer Name des Antragstellers auf dem Zertifikat nicht vorhanden ist und das Zertifikat explizit mehreren Benutzern zugeordnet ist, schlägt die Anmeldung mit diesem Zertifikat fehl.
-
-
-
Anmerkung
Wenn der Registrierungsschlüssel auf den lokalen Domänencontrollern festgelegt ist, kann der AD Connector die Benutzer in Active Directory nicht finden, was zu der obigen Fehlermeldung führt.
Die Zertifikate der Zertifizierungsstelle (CA) sollten auf das AD Connector-Smartcard-Zertifikat hochgeladen werden. Das Zertifikat sollte OCSP-Informationen enthalten. Im Folgenden sind zusätzliche Anforderungen für die CA aufgeführt:
-
Das Zertifikat sollte sich in der Trusted Root Authority des Domain Controllers, des Certificate Authority Servers und der befinden WorkSpaces.
-
Offline- und Root-CA-Zertifikate enthalten die OSCP-Informationen nicht. Diese Zertifikate enthalten Informationen über ihren Widerruf.
-
Wenn Sie ein CA-Zertifikat eines Drittanbieters für die Smartcard-Authentifizierung verwenden, müssen die CA und die Zwischenzertifikate im Active Directory-NTAuth-Speicher veröffentlicht werden. Sie müssen in der vertrauenswürdigen Stammzertifizierungsstelle für alle Domänencontroller, Zertifizierungsstellenserver und installiert sein. WorkSpaces
-
Sie können den folgenden Befehl verwenden, um Zertifikate im Active Directory-NTAuth-Speicher zu veröffentlichen:
certutil -dspublish -fThird_Party_CA.cerNTAuthCA
-
Weitere Informationen zum Veröffentlichen von Zertifikaten im NTAut-Speicher finden Sie unter Importieren des ausstellenden CA-Zertifikats in den Enterprise-NTAuth-Speicher im Access Amazon WorkSpaces with Common Access Cards Installationshandbuch.
Gehen Sie wie folgt vor, um zu überprüfen, ob das Benutzerzertifikat oder die CA-Kettenzertifikate von OCSP verifiziert wurden:
-
Exportieren Sie das Smartcard-Zertifikat an einen Speicherort auf dem lokalen Computer, z. B. auf Laufwerk C:.
-
Öffnen Sie eine Befehlszeile und navigieren Sie zu dem Speicherort, an dem das exportierte Smartcard-Zertifikat gespeichert ist.
-
Geben Sie den folgenden Befehl ein:
certutil -URLCertficate_name.cer -
Nach dem Befehl sollte ein Popup-Fenster erscheinen. Wählen Sie die OCSP-Option in der rechten Ecke und wählen Sie Abrufen. Der Status sollte als verifiziert zurückgegeben werden.
Weitere Informationen zum Befehl certutil finden Sie in der Dokumentation unter https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/certutil
Der Fehler „Ungültige Anmeldeinformationen” wird angezeigt, wenn das von AD Connector verwendete Servicekonto versucht, sich zu authentifizieren
Das kann passieren, wenn die Festplatte auf Ihrem Domain-Controller nicht mehr über genügend Speicherplatz verfügt. Stellen Sie sicher, dass Ihre Domain-Controller-Festplatten nicht voll sind.
Ich erhalte die Meldung „Ein Fehler ist aufgetreten“ oder „Ein unerwarteter Fehler“, wenn ich versuche, das AD Connector-Dienstkonto zu aktualisieren
Die folgenden Fehler oder Symptome treten bei der Suche nach Benutzern in AWS Unternehmensanwendungen wie dem Amazon WorkSpaces Console Launch Wizard auf:
-
Ein Fehler ist aufgetreten. Wenn du weiterhin ein Problem hast, kontaktiere das AWS Support Team in den Community-Foren und über den AWS Premium-Support. -
Ein Fehler ist aufgetreten. Ihr Verzeichnis benötigt eine Aktualisierung der Anmeldeinformationen. Bitte aktualisieren Sie die Anmeldeinformationen für das Verzeichnis.
Wenn Sie versuchen, die Anmeldeinformationen Ihres AD Connector-Dienstkontos in AD Connector zu aktualisieren, erhalten Sie möglicherweise die folgenden Fehlermeldungen:
-
Unerwarteter Fehler. Ein unerwarteter Fehler ist aufgetreten. -
Es ist ein Fehler aufgetreten. Bei der account/password Servicekombination ist ein Fehler aufgetreten. Bitte versuchen Sie es erneut.
Das Dienstkonto des AD Connector-Verzeichnisses befindet sich im vom Kunden verwalteten Active Directory. Das Konto wird als Identität verwendet, um Abfragen und Operationen in der vom Kunden verwalteten Active Directory-Domäne über den AD Connector im Auftrag von AWS Enterprise Applications durchzuführen. AD Connector verwendet Kerberos und LDAP, um diese Operationen auszuführen.
In der folgenden Liste wird erklärt, was diese Fehlermeldungen bedeuten:
-
Es könnte ein Problem mit der Uhrzeitsynchronisierung und Kerberos geben. AD Connector sendet Kerberos-Authentifizierungsanfragen an Active Directory. Diese Anfragen sind zeitkritisch, und wenn die Anforderungen verzögert werden, schlagen sie fehl. Stellen Sie sicher, dass keine Probleme mit der Zeitsynchronisierung zwischen den vom Kunden verwalteten Domänencontrollern auftreten. Informationen zur Behebung dieses Problems finden Sie in der Dokumentation unter Empfehlung — Konfiguration des Root-PDC mit einer autoritativen Zeitquelle und Vermeidung weit verbreiteter
Zeitverzerrungen. Microsoft Weitere Informationen zu Time Service und Synchronisation finden Sie unter den folgenden Links: -
Ein zwischengeschaltetes Netzwerkgerät mit einer https://support.microsoft.com/en-us/topic/the-default-mtu-sizes-for-different-network-topologies-b25262c5-d90f-456d-7647-e09192eeeef4
Netzwerk-MTU-Beschränkung, wie z. B. Firewall- oder VPN-Hardwarekonfigurationen, zwischen dem AD Connector und vom Kunden verwalteten Domänencontrollern kann diesen Fehler aufgrund einer Netzwerkfragmentierung verursachen. -
Um die MTU-Beschränkung zu überprüfen, können Sie einen Ping-Test
zwischen Ihrem vom Kunden verwalteten Domänencontroller und einer Amazon EC2-Instance durchführen, die in einem Ihrer Verzeichnissubnetze gestartet wird, das über AD Connector verbunden ist. Die Framegröße sollte nicht größer als die Standardgröße von 1500 Byte sein -
Der Ping-Test hilft Ihnen zu verstehen, ob die Framegröße mehr als 1500 Byte beträgt (auch als Jumbo-Frames bezeichnet) und ob sie die AD Connector-VPC und das Subnetz ohne Fragmentierung erreichen können. Erkundigen Sie sich weiter bei Ihrem Netzwerkteam und stellen Sie sicher, dass Jumbo-Frames auf den zwischengeschalteten Netzwerkgeräten zulässig sind.
-
-
Dieses Problem kann auftreten, wenn clientseitiges LDAPS auf AD Connector aktiviert ist und die Zertifikate abgelaufen sind. Stellen Sie sicher, dass sowohl das serverseitige Zertifikat als auch das CA-Zertifikat gültig sind, nicht abgelaufen sind und die Anforderungen gemäß der LDAPS-Dokumentation erfüllen.
-
Wenn die Unterstützung für virtuelle Listenansichten in der vom Kunden verwalteten Active Directory-Domäne deaktiviert
ist, können AWS Anwendungen keine Benutzer suchen, da AD Connector die VLV-Suche in LDAP-Abfragen verwendet. Die Unterstützung für virtuelle Listenansichten ist deaktiviert, wenn der Wert für DisableVLVSupport auf einen Wert ungleich Null gesetzt ist. Stellen Sie mithilfe der folgenden Schritte sicher, dass die Unterstützung für virtuelle Listenansichten (VLV) in Active Directory aktiviert ist: -
Melden Sie sich beim Domain Controller als Besitzer der Schemamaster-Rolle mit einem Konto mit Schemaadministrator-Anmeldeinformationen an.
-
Wählen Sie Start und dann Ausführen aus, und geben Sie ein
Adsiedit.msc. -
Stellen Sie im ADSI-Edit-Tool eine Verbindung zur Konfigurationspartition her, und erweitern Sie den Knoten Configuration [DomainController].
-
Erweitern Sie den Container CN=Configuration, DC=. DomainName
-
Erweitern Sie das Objekt CN=Services.
-
Erweitern Sie das Objekt CN=Windows NT.
-
Wählen Sie das Objekt CN=Directory Service aus. Wählen Sie Properties (Eigenschaften).
-
Wählen Sie in der Attributliste msds- aus. Other-Settings Wählen Sie Bearbeiten aus.
-
Wählen Sie in der Werteliste eine beliebige Instanz von DisableVLVSupport=X aus, bei der x ungleich 0 ist, und wählen Sie Entfernen aus.
-
Geben
DisableVLVSupport=0Sie nach dem Entfernen ein. Wählen Sie Hinzufügen aus. -
Wählen Sie OK. Sie können das ADSI-Edit-Tool schließen. Die folgende Abbildung zeigt das Dialogfeld „ Multi-valuedZeichenketteneditor“ im ADSI-Editorfenster:
Anmerkung
In einer großen Active Directory-Infrastruktur mit mehr als 100.000 Benutzern können Sie möglicherweise nur nach bestimmten Benutzern suchen. Wenn Sie jedoch versuchen, alle Benutzer gleichzeitig aufzulisten (z. B. Alle Benutzer im WorkSpaces Startassistenten anzeigen), kann dies zu demselben Fehler führen, auch wenn die VLV-Unterstützung aktiviert ist. AD Connector erfordert, dass die Ergebnisse anhand des Subtree-Index nach dem Attribut „CN“ sortiert werden. Der Subtree-Index ist der Indextyp, der die Domänencontroller auf die Durchführung eines LDAP-Suchvorgangs (Virtual List View) vorbereitet, der es AD Connector ermöglicht, eine sortierte Suche abzuschließen. Dieser Index verbessert die VLV-Suche und verhindert die Verwendung der aufgerufenen temporären Datenbanktabelle. MaxTempTableSize
Die Größe dieser Tabelle kann variieren, aber standardmäßig ist die maximale Anzahl von Einträgen 10000 (die MaxTempTableSize Einstellung der Standard-Abfragerichtlinie). Eine Erhöhung der MaxTempTableSize ist weniger effizient als die Verwendung der Subtree-Indizierung. Um diese Fehler in großen AD-Umgebungen zu vermeiden, wird empfohlen, die Subtree-Indexierung zu verwenden. -
Sie können den Subtree-Index aktivieren, indem Sie das https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/mcm-active-directory-indexing-for-the-masses/ba-p/255867
-
Melden Sie sich beim Domain Controller als Besitzer der Schemamaster-Rolle mit einem Konto mit Schemaadministrator-Anmeldeinformationen an.
-
Wählen Sie Start und Ausführen und geben Sie ein
Adsiedit.msc. -
Stellen Sie im ADSI-Edit-Tool eine Verbindung zur Schemapartition her.
-
Erweitern Sie den Container CN=Schema, CN=Configuration, DC=. DomainName
-
Suchen Sie das Attribut "Common-Name", klicken Sie mit der rechten Maustaste und wählen Sie Eigenschaften.
-
Suchen Sie das searchFlags-Attribut und ändern Sie seinen Wert in,
65 (0x41)um die SubTree Indizierung zusammen mit dem normalen Index zu aktivieren.Die folgende Abbildung zeigt das Common-Name Eigenschaftendialogfeld CN= im ADSI-Bearbeitungsfenster:
-
Wählen Sie OK. Sie können das ADSI-Bearbeitungswerkzeug schließen.
-
Zur Bestätigung sollten Sie die Event-ID 1137 (Quelle: Active Directory_DomainServices) sehen können, die darauf hinweist, dass das AD den neuen Index für das angegebene Attribut erfolgreich erstellt hat.
Weitere Informationen finden Sie in der Microsoft-Dokumentation
Bei der Verwendung erhalte ich die Fehlermeldung „Authentifizierung nicht möglich“ AWS Anwendungen zur Suche nach Benutzern oder Gruppen
Bei der Suche nach Benutzern oder bei der Anmeldung bei AWS Anwendungen wie WorkSpaces oder Quick können Fehler auftreten, auch wenn der AD Connector-Status aktiv war. Wenn das Passwort des AD Connector-Dienstkontos geändert wurde oder abgelaufen ist, kann AD Connector die Active Directory-Domäne nicht mehr abfragen. Wenden Sie sich an Ihren AD-Administrator und überprüfen Sie Folgendes:
-
Stellen Sie sicher, dass das Passwort für das AD Connector-Dienstkonto nicht abgelaufen ist
-
Ist aktiviert, für das AD Connector-Dienstkonto ist die Option Benutzer muss das Passwort bei der nächsten Anmeldung ändern nicht aktiviert.
-
Stellen Sie sicher, dass das AD Connector-Dienstkonto nicht gesperrt ist.
-
Wenn Sie sich nicht sicher sind, ob das Passwort abgelaufen ist oder geändert wurde, können Sie das Passwort für das Dienstkonto zurücksetzen und dasselbe Passwort auch in AD Connector aktualisieren.
Ich erhalte eine Fehlermeldung bezüglich meiner Verzeichnisanmeldeinformationen, wenn ich versuche, das AD Connector-Dienstkonto zu aktualisieren
Sie erhalten eine Fehlermeldung ähnlich einer oder mehreren der folgenden, wenn Sie versuchen, das AD Connector-Dienstkonto zu aktualisieren:
Message:An Ein Fehler ist aufgetreten Ihr Verzeichnis benötigt eine Aktualisierung der Anmeldeinformationen. Bitte aktualisieren Sie die Anmeldeinformationen für das Verzeichnis. Ein Fehler ist aufgetreten Ihr Verzeichnis benötigt eine Aktualisierung der Anmeldeinformationen. Bitte aktualisieren Sie die Verzeichnisanmeldeinformationen nach der Meldung Aktualisieren Sie Ihre AD Connector-Dienstkontoanmeldeinformationen: Ein Fehler ist aufgetreten Ihre Anfrage hat ein Problem. Bitte beachten Sie die folgenden Details. Bei der account/password Servicekombination ist ein Fehler aufgetreten
Es könnte ein Problem mit der Uhrzeitsynchronisierung und Kerberos geben. AD Connector sendet Kerberos-Authentifizierungsanfragen an Active Directory. Diese Anfragen sind zeitkritisch, und wenn die Anforderungen verzögert werden, schlagen sie fehl. Informationen zur Behebung dieses Problems finden Sie in der Dokumentation unter Empfehlung — Konfiguration des Root-PDC mit einer autoritativen Zeitquelle und Vermeidung weit verbreiteter
Einige meiner Benutzer können sich in meinem Verzeichnis nicht authentifizieren.
Für Ihre Benutzerkonten muss die Kerberos-Vorabauthentifizierung aktiviert sein. Dies ist die Standardeinstellung für neue Benutzerkonten und sie sollte nicht geändert werden. Weitere Informationen zu dieser Einstellung finden Sie unter Vorauthentifizierung
Probleme bei der Wartung
Im Folgenden sind häufig auftretende Wartungsprobleme für AD Connector aufgeführt
-
Mein Verzeichnis bleibt dauerhaft im Status „Angefragt”.
-
Der nahtlose Domänenbeitritt für Amazon EC2-Instances funktioniert nicht mehr
Mein Verzeichnis bleibt dauerhaft im Status „Angefragt”.
Wenn sich Ihr Verzeichnis länger als fünf Minuten im „Angefragt”-Status befindet, löschen Sie das Verzeichnis und erstellen es neu. Wenn dieses Problem weiterhin besteht, wenden Sie sich an den AWS Support
Der nahtlose Domänenbeitritt für Amazon EC2-Instances funktionierte nicht mehr
Wenn eine zuvor funktionierende nahtlose Domainverbindung für EC2-Instances bei aktivem AD Connector nicht mehr funktioniert, sind die Anmeldeinformationen für Ihr AD-Connector-Servicekonto möglicherweise abgelaufen. Abgelaufene Anmeldeinformationen können AD Connector daran hindern, Computerobjekte in Ihrem Active Directory zu erstellen.
Um dieses Problem zu beheben, aktualisieren Sie die Passwörter des Service-Kontos in der folgenden Reihenfolge, damit die Passwörter übereinstimmen:
-
Aktualisieren Sie das Passwort für das Dienstkonto in Ihrem Active Directory.
-
Aktualisieren Sie das Passwort für das Dienstkonto in Ihrem AD Connector in Directory Service. Weitere Informationen finden Sie unter Aktualisierung der Anmeldeinformationen Ihres AD Connector Connector-Dienstkontos in AWS-Managementkonsole.
Wichtig
Wenn Sie das Passwort nur in aktualisieren, wird die Kennwortänderung Directory Service nicht auf Ihr vorhandenes lokales Active Directory übertragen. Daher ist es wichtig, dass Sie dies in der im vorherigen Verfahren angegebenen Reihenfolge tun.
Ich kann meinen AD Connector nicht löschen
Wenn Ihr AD Connector in einen funktionsunfähigen Zustand wechselt, haben Sie keinen Zugriff mehr auf Ihre Domain-Controller. Wir blockieren das Löschen eines AD Connector, wenn noch Anwendungen damit verknüpft sind, da eine dieser Anwendungen das Verzeichnis möglicherweise immer noch verwendet. Eine Liste der Anwendungen, die Sie deaktivieren müssen, um Ihren AD Connector zu löschen, finden Sie unterAD Connector löschen. Wenn Sie Ihren AD Connector immer noch nicht löschen können, können Sie über Folgendes Hilfe anfordern AWS Support
Allgemeine Tools zur Untersuchung von AD Connector-Emittenten
Die folgenden Tools können zur Behebung verschiedener AD Connector-Probleme im Zusammenhang mit der Erstellung, Authentifizierung und Konnektivität verwendet werden:
- DirectoryServicePortTest Werkzeug
-
Das DirectoryServicePortTest Testtool kann bei der Behebung von Verbindungsproblemen zwischen AD Connector und vom Kunden verwalteten Active Directory- oder DNS-Servern hilfreich sein. Weitere Informationen zur Verwendung des Tools finden Sie unterTesten Sie Ihren AD Connector.
- Tool zur Paketerfassung
-
Sie können das integrierte Windows Paketerfassungsprogramm (netsh
) verwenden, um potenzielle Netzwerk- oder Active Directory-Kommunikationsprobleme (LDAP und Kerberos) zu untersuchen und zu beheben. Weitere Informationen finden Sie unter Eine Netzwerkverfolgung erfassen, ohne etwas zu installieren . - VPC Flow-Protokolle
-
Um besser zu verstehen, welche Anfragen von AD Connector empfangen und gesendet werden, können Sie VPC-Flow-Protokolle für die Verzeichnisnetzwerkschnittstellen konfigurieren. Sie können alle Netzwerkschnittstellen, die für die Verwendung mit reserviert sind, Directory Service anhand der Beschreibung identifizieren:
AWS created network interface for directory.your-directory-idEin einfacher Anwendungsfall ist die Erstellung von AD Connector mit einer vom Kunden verwalteten Active Directory-Domäne mit einer großen Anzahl von Domänencontrollern. Sie können VPC-Flow-Protokolle verwenden und nach dem Kerberos-Port (88) filtern, um herauszufinden, welche Domänencontroller im vom Kunden verwalteten Active Directory zur Authentifizierung kontaktiert werden.
