View a markdown version of this page

Risoluzione dei problemi di AD Connector - Servizio di directory AWS
Problemi di creazioneProblemi di connettivitàProblemi di autenticazioneProblemi di manutenzioneNon riesco a eliminare il mio AD ConnectorStrumenti generali per l'analisi degli emittenti di AD Connector

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi di AD Connector

Quanto segue può aiutarti a risolvere alcuni problemi comuni che potresti riscontrare durante la creazione o l'utilizzo di AD Connector.

Problemi di creazione

Di seguito sono riportati i problemi di creazione più comuni per AD Connector

Visualizzo un messaggi odi errore "AZ Constrained" (AZ vincolata) quando creo una directory

Alcuni AWS account creati prima del 2012 potrebbero avere accesso alle zone di disponibilità nelle regioni degli Stati Uniti orientali (Virginia settentrionale), Stati Uniti occidentali (California settentrionale) o Asia Pacifico (Tokyo) che non supportano Servizio di directory le directory. Se ricevi un errore come questo durante la creazione di un Active Directory, scegli una sottorete in una zona di disponibilità diversa e prova a creare nuovamente la directory.

Ricevo un messaggio di errore «Rilevati problemi di connettività» quando provo a creare AD Connector

Se ricevi l'errore «Rilevato problema di connettività» quando provi a creare un connettore AD, l'errore potrebbe essere dovuto alla disponibilità delle porte o alla complessità della password del connettore AD. Puoi testare la connessione di AD Connector per verificare se sono disponibili le seguenti porte:

  • 53 (DNS)

  • 88 (Kerberos)

  • 389 (LDAP)

Per verificare la connessione, consultaTest di un AD Connector. Il test di connessione deve essere eseguito sull'istanza unita a entrambe le sottoreti a cui sono associati gli indirizzi IP di AD Connector.

Se il test di connessione ha esito positivo e l'istanza si unisce al dominio, controlla la password del connettore AD. AD Connector deve soddisfare i requisiti di complessità delle AWS password. Per ulteriori informazioni, vedere Account di servizio inPrerequisiti di AD Connector.

Se il tuo AD Connector non soddisfa questi requisiti, ricrea il tuo AD Connector con una password conforme a questi requisiti.

Ricevo il messaggio «Si è verificato un errore interno del servizio durante la connessione alla directory. Riprova l'operazione». errore durante la creazione di un connettore AD

Questo errore si verifica in genere quando il connettore AD non riesce a creare e non riesce a connettersi a un controller di dominio valido per il dominio Active Directory autogestito.

Nota

Come procedura consigliata, se nella rete autogestita sono definiti i siti di Active Directory, è necessario verificare quanto segue:

  • Le sottoreti VPC in cui risiede il connettore AD sono definite in un sito di Active Directory.

  • Non esistono conflitti tra le sottoreti VPC e le sottoreti degli altri siti.

AD Connector utilizza il sito Active Directory i cui intervalli di indirizzi IP della sottorete sono vicini a quelli del VPC che contiene il connettore AD per individuare i controller di dominio AD. Se hai un sito le cui sottoreti hanno gli stessi intervalli di indirizzi IP di quelli del tuo VPC, AD Connector individuerà i controller di dominio presenti in quel sito. Il controller di dominio potrebbe non essere fisicamente vicino alla regione in cui risiede il connettore AD.

  • Incoerenze nei record DNS SRV (questi record utilizzano la seguente sintassi: _ldap._tcp.<DnsDomainName> e_kerberos._tcp.<DnsDomainName>) creati nel dominio Active Directory gestito dal cliente. Ciò può verificarsi quando AD Connector non riesce a trovare e connettersi a un controller di dominio valido in base a questi record SRV.

  • Problemi di rete tra AD Connector e AD gestito dal cliente, ad esempio i dispositivi firewall.

Puoi utilizzare l'acquisizione dei pacchetti di rete sui controller di dominio, sui server DNS e sui log di flusso VPC delle interfacce di rete di directory per analizzare questo problema. Contattaci per ulteriore assistenza. Supporto AWS

Problemi di connettività

Di seguito sono riportati i problemi di connettività più comuni per AD Connector

Ricevo un messaggio di errore "Connectivity issues detected" (Problemi di connettività rilevati) quando cerco di connettermi alla mia directory in locale

Quando ci si connette alla directory locale, viene visualizzato un messaggio di errore simile al seguente: Rilevati problemi di connettività: LDAP non disponibile (porta TCP 389) per IP: <IP address> Kerberos/authentication non disponibile (porta TCP 88) per IP: <IP address> assicurati che le porte elencate siano disponibili e riprova l'operazione.

AD Connector deve essere in grado di comunicare con i controller dei domini on-premise tramite TCP e UDP attraverso le seguenti porte. Verifica che i gruppi di sicurezza e i firewall in locale permettano la comunicazione TCP e UDP su queste porte. Per ulteriori informazioni, consulta Prerequisiti di AD Connector.

  • 88 (Kerberos)

  • 389 (LDAP)

Potresti aver bisogno di TCP/UDP porte aggiuntive a seconda delle tue esigenze. Per alcune di queste porte, consulta l'elenco seguente. Per ulteriori informazioni sulle porte utilizzate da Active Directory, vedi Come configurare un firewall per i domini e i trust di Active Directory nella Microsoft documentazione.

  • 135 (RPC Endpoint Mapper)

  • 646 (LDAP SSL)

  • 3268 (LDAP GC)

  • 3269 (LDAP GC SSL)

Mostra piùMostra meno

Ricevo un messaggio di errore "DNS unavailable" (DNS non disponibile) quando cerco di connettermi alla mia directory in locale

Ricevi un messaggio di errore simile al seguente quando ti connetti alla tua directory in locale:

DNS unavailable (TCP port 53) for IP: <DNS IP address>

AD Connector deve essere in grado di comunicare con i tuoi server DNS on-premise tramite TCP e UDP attraverso la porta 53. Verifica che i gruppi di sicurezza e i firewall in locale permettano la comunicazione TCP e UDP su questa porta. Per ulteriori informazioni, consulta Prerequisiti di AD Connector.

Ricevo un messaggio di errore "SRV record" (record SRV) quando cerco di connettermi alla mia directory in locale

Ricevi un messaggio di errore simile a uno o più dei seguenti quando ti connetti alla tua directory in locale:

SRV record for LDAP does not exist for IP: <DNS IP address> SRV record for Kerberos does not exist for IP: <DNS IP address>

AD Connector deve ottenere i record SRV _ldap._tcp.<DnsDomainName> e _kerberos._tcp.<DnsDomainName> quando si connette alla tua directory. Riceverai questo messaggio di errore se il servizio non è in grado di ottenere questi record dai server DNS che hai specificato al momento della connessione alla tua directory. Per ulteriori informazioni su questi record SRV, consulta SRV record requirements.

Problemi di autenticazione

Ecco alcuni problemi di autenticazione comuni con AD Connector:

Ricevo un messaggio di errore «Certificate Validation failed» quando provo ad accedere a Amazon WorkSpaces con una smart card

Quando si tenta di accedere WorkSpaces con una smart card, viene visualizzato un messaggio di errore simile al seguente: ERRORE: convalida del certificato non riuscita. Riprova riavviando il browser o l'applicazione e assicurati di selezionare il certificato corretto. L'errore si verifica se il certificato della smart card non è archiviato correttamente nel client che utilizza i certificati. Per ulteriori informazioni sui requisiti di AD Connector e smart card, vederePrerequisiti.

Utilizza le seguenti procedure per risolvere i problemi relativi alla capacità della smart card di archiviare i certificati nell'archivio certificati dell'utente:

  1. Sul dispositivo che ha problemi di accesso ai certificati, accedi a Microsoft Management Console (MMC).

    Importante

    Prima di procedere, crea una copia del certificato della smart card.

  2. Accedere all'archivio certificati in MMC. Eliminare il certificato smart card dell'utente dall'archivio certificati. Per ulteriori informazioni sulla visualizzazione dell'archivio certificati in MMC, vedere Procedura: visualizzare i certificati con lo snap-in MMC nella documentazione. Microsoft

  3. Rimuovere la smart card.

  4. Reinserire la smart card in modo che possa ripopolare il certificato della smart card nell'archivio certificati dell'utente.

    avvertimento

    Se la smart card non ripopola il certificato nell'archivio utente, non può essere utilizzata per l'autenticazione con smart card. WorkSpaces

L'account di servizio di AD Connector deve avere quanto segue:

  • my/spnaggiunto al nome del principio del servizio

  • Delegato per il servizio LDAP

Dopo aver ripopolato il certificato sulla smart card, è necessario controllare il controller di dominio locale per determinare se è bloccato dalla mappatura UPN (User Principal Name) per Subject Alternative Name. Per ulteriori informazioni su questa modifica, vedi Come disabilitare il nome alternativo dell'oggetto per la mappatura UPN nella documentazione. Microsoft

Utilizza la procedura seguente per controllare la chiave di registro del controller di dominio:

  • Nell'Editor del Registro di sistema, accedi alla seguente chiave hive

    HKEY_LOCAL_MACHINE\ SYSTEM\\ Services\ Kdc\ CurrentControlSet UseSubjectAltName

    1. Ispeziona UseSubjectAltName il valore di:

      1. Se il valore è impostato su 0, la mappatura del nome alternativo del soggetto è disabilitata ed è necessario mappare esplicitamente un determinato certificato a un solo utente. Se un certificato è mappato a più utenti e questo valore è 0, l'accesso con quel certificato avrà esito negativo.

      2. Se il valore non è impostato o è impostato su 1, è necessario mappare esplicitamente un determinato certificato a un solo utente o utilizzare il campo Nome alternativo dell'oggetto per l'accesso.

        1. Se il campo Nome alternativo dell'oggetto è presente nel certificato, verrà data priorità.

        2. Se il campo Nome alternativo del soggetto non esiste nel certificato e il certificato è mappato esplicitamente a più di un utente, l'accesso con quel certificato avrà esito negativo.

Nota

Se la chiave di registro è impostata sui controller di dominio locali, il connettore AD non sarà in grado di individuare gli utenti in Active Directory e genererà il messaggio di errore precedente.

I certificati Certificate Authority (CA) devono essere caricati nel certificato smart card AD Connector. Il certificato deve contenere informazioni OCSP. Di seguito sono elencati i requisiti aggiuntivi per la CA:

  • Il certificato deve trovarsi nella Trusted Root Authority del Domain Controller, nel Certificate Authority Server e nel WorkSpaces.

  • I certificati Offline e Root CA non conterranno le informazioni OSCP. Questi certificati contengono informazioni sulla loro revoca.

  • Se si utilizza un certificato CA di terze parti per l'autenticazione con smart card, la CA e i certificati intermedi devono essere pubblicati nell'archivio NTauth di Active Directory. Devono essere installati nell'autorità root attendibile per tutti i controller di dominio, i server delle autorità di certificazione e. WorkSpaces

    • È possibile utilizzare il comando seguente per pubblicare i certificati nell'archivio NTAuth di Active Directory:

      certutil -dspublish -f Third_Party_CA.cer NTAuthCA

Per ulteriori informazioni sulla pubblicazione dei certificati nell'archivio nTauth, consulta Importazione del certificato CA emittente nello store Enterprise NTauth nella Guida all'installazione di Access Amazon WorkSpaces with Common Access Cards.

Puoi verificare se il certificato utente o i certificati della catena CA sono verificati da OCSP seguendo questa procedura:

  1. Esporta il certificato della smart card in una posizione sul computer locale, ad esempio l'unità C:.

  2. Apri un prompt della riga di comando e vai alla posizione in cui è archiviato il certificato della smart card esportato.

  3. Immetti il comando seguente:

    certutil -URL Certficate_name.cer

  4. Dopo il comando dovrebbe apparire una finestra pop-up. Seleziona l'opzione OCSP nell'angolo destro e seleziona Recupera. Lo stato dovrebbe tornare come verificato.

Per ulteriori informazioni sul comando certutil, vedere https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/certutil certutil nella documentazione Microsoft

Mostra piùMostra meno

Ricevo un messaggio errore "Credenziali non valide" quando l'account del servizio utilizzato da AD Connector cerca di eseguire l'autenticazione

Questo può verificarsi se il disco rigido sul tuo controller dei domini esaurisce lo spazio. Verifica che i dischi rigidi del tuo controller dei domini non siano pieni.

Ricevo il messaggio «Si è verificato un errore» o «Errore imprevisto» quando tento di aggiornare l'account del servizio AD Connector

I seguenti errori o sintomi si verificano durante la ricerca degli utenti in applicazioni AWS aziendali come Amazon WorkSpaces Console Launch Wizard:

  • Si è verificato un errore. Se continui a riscontrare un problema, contatta il Supporto AWS team nei forum della community e tramite l'assistenza AWS Premium.

  • Si è verificato un errore. La tua directory necessita di un aggiornamento delle credenziali. Aggiorna le credenziali della directory.

Se si tenta di aggiornare le credenziali dell'account di servizio AD Connector in AD Connector, è possibile che vengano visualizzati i seguenti messaggi di errore:

  • Errore imprevisto. Si è verificato un errore imprevisto.

  • Si è verificato un errore. Si è verificato un errore nella account/password combinazione di servizi. Per favore riprova.

L'account di servizio della directory AD Connector risiede nell'Active Directory gestito dal cliente. L'account viene utilizzato come identità per eseguire query e operazioni sul dominio Active Directory gestito dal cliente tramite AD Connector per conto di AWS Enterprise Applications. AD Connector utilizza Kerberos e LDAP per eseguire queste operazioni.

L'elenco seguente spiega il significato di questi messaggi di errore:

  • Potrebbe esserci un problema con la sincronizzazione dell'ora e Kerberos. AD Connector invia le richieste di autenticazione Kerberos ad Active Directory. Queste richieste sono sensibili al fattore tempo e, se vengono ritardate, avranno esito negativo. Assicurati che non vi siano problemi di sincronizzazione temporale tra i controller di dominio gestiti dal cliente. Per risolvere questo problema, vedi Raccomandazione: configurare il Root PDC con un'origine temporale autorevole ed evitare una distorsione temporale diffusa nella documentazione. Microsoft Per ulteriori informazioni sul servizio orario e sulla sincronizzazione, vedere quanto segue:

  • Un dispositivo di rete intermedio, con una restrizione MTU di rete, ad esempio configurazioni hardware Firewall o VPN, tra AD Connector e i controller di dominio gestiti dal cliente, può causare questo errore a causa della frammentazione della rete. https://en.wikipedia.org/wiki/IP_fragmentation

    • Per verificare la restrizione MTU, puoi eseguire un test Ping tra il controller di dominio gestito dal cliente e un'istanza Amazon EC2 avviata in una delle sottoreti di directory connessa tramite AD Connector. La dimensione del frame non deve essere superiore alla dimensione predefinita di 1500 byte

    • Il ping test ti aiuterà a capire se la dimensione del frame è superiore a 1500 byte (noti anche come frame Jumbo) e se sono in grado di raggiungere il VPC e la sottorete di AD Connector senza bisogno di frammentazione. Verifica ulteriormente con il tuo team di rete e assicurati che i frame Jumbo siano consentiti sui dispositivi di rete intermedi.

  • Potresti riscontrare questo problema se LDAPS sul lato client è abilitato su AD Connector e i certificati sono scaduti. Assicurati che sia il certificato lato server che il certificato CA siano validi, non scaduti e soddisfino i requisiti indicati nella documentazione LDAPS. Prerequisiti

  • Se il supporto per la visualizzazione dell'elenco virtuale è disabilitato nel dominio Active Directory gestito dal cliente, AWS le applicazioni non saranno in grado di effettuare ricerche negli utenti perché AD Connector utilizza la ricerca VLV nelle query LDAP. Il supporto per la visualizzazione dell'elenco virtuale è disabilitato quando DisableVLVSupport è impostato su un valore diverso da zero. Assicurati che il supporto Virtual List View (VLV) sia abilitato in Active Directory utilizzando i seguenti passaggi:

    1. Accedi al controller di dominio come proprietario del ruolo principale dello schema utilizzando un account con credenziali Schema Admin.

    2. Seleziona Start , quindi Esegui e inserisciAdsiedit.msc.

    3. Nello strumento ADSI Edit, connettiti alla partizione di configurazione ed espandi il nodo Configurazione [DomainController].

    4. Espandi il contenitore CN=Configuration, DC=. DomainName

    5. Espandi l'oggetto CN=Services.

    6. Espandere l'oggetto CN=Windows NT.

    7. Selezionare l'oggetto CN=Directory Service. Seleziona Proprietà.

    8. Nell'elenco Attributi, selezionare msds-. Other-Settings Seleziona Edit (Modifica).

    9. Nell'elenco Valori, selezionate qualsiasi istanza di DisableVLVSupport=x in cui x non è uguale a 0 e selezionate Rimuovi.

    10. DisableVLVSupport=0Dopo la rimozione, inserisci. Selezionare Aggiungi.

    11. Seleziona OK. Puoi chiudere lo strumento ADSI Edit. L'immagine seguente mostra la finestra di dialogo Multi-valued String Editor nella finestra ADSI Edit:

      Finestra di dialogo ADSI Edit con Multi-valued String Editor e DisableVLVSupport=0 evidenziati.
    Nota

    In un'infrastruttura di Active Directory di grandi dimensioni con oltre 100.000 utenti, potresti essere in grado di cercare solo utenti specifici. Tuttavia, se provi a elencare tutti gli utenti (ad esempio, Mostra tutti gli utenti in WorkSpaces Launch Wizard) contemporaneamente, potrebbe verificarsi lo stesso errore anche se il supporto VLV è abilitato. AD Connector richiede che i risultati siano ordinati per l'attributo «CN» utilizzando Subtree Index. Il Subtree Index è il tipo di indice che prepara i controller di dominio per l'esecuzione di un'operazione di ricerca LDAP (Virtual List View) che consente ad AD Connector di completare una ricerca ordinata. Questo indice migliora la ricerca VLV e impedisce l'uso della tabella temporanea del database chiamata. MaxTempTableSize La dimensione di questa tabella può variare, ma per impostazione predefinita il numero massimo di voci è 10000 (l' MaxTempTableSize impostazione della Politica di interrogazione predefinita). Aumentare il MaxTempTableSize è meno efficiente rispetto all'utilizzo del Subtree Indexing. Per evitare questi errori in ambienti AD di grandi dimensioni, si consiglia di utilizzare Subtree Indexing.

È possibile abilitare l'indice Subtree modificando l'attributo searchflags nella definizione dell'attributo, nello schema di Active Directory, con un valore di 65 (0x41), utilizzando AdsEdit come segue:

  1. Accedi al controller di dominio come proprietario del ruolo principale dello schema utilizzando un account con credenziali Schema Admin.

  2. Seleziona Avvia ed esegui, inserisciAdsiedit.msc.

  3. Nello strumento ADSI Edit, connettiti a Schema Partition.

  4. Espandi il contenitore CN=Schema, CN=Configuration, DC=. DomainName

  5. Individua l'attributo "Common-Name", fai clic con il pulsante destro del mouse e seleziona Proprietà.

  6. Individua l'attributo searchFlags e modificane il valore 65 (0x41) per abilitare l' SubTree indicizzazione insieme al normale Indice.

    L'immagine seguente mostra la finestra di dialogo delle Common-Name proprietà CN= nella finestra ADSI Edit:

    La finestra di dialogo ADSI Edit è aperta con l'attributo searchFlags evidenziato.

  7. Seleziona OK. È possibile chiudere lo strumento ADSI Edit.

  8. Per la conferma, dovresti essere in grado di visualizzare un ID evento 1137 (Fonte: attivo Directory_DomainServices), che indica che l'AD ha creato con successo il nuovo indice per l'attributo specificato.

Per ulteriori informazioni, consulta la documentazione di Microsoft.

Mostra piùMostra meno

Ricevo un messaggio di errore «Impossibile autenticare» durante l'utilizzo AWS applicazioni per cercare utenti o gruppi

È possibile che si verifichino errori durante la ricerca di utenti o l'accesso ad AWS applicazioni, ad WorkSpaces esempio Quick, anche quando lo stato di AD Connector era attivo. Se la password dell'account di servizio di AD Connector è stata modificata o è scaduta, AD Connector non può più interrogare il dominio Active Directory. Contatta il tuo amministratore AD e verifica quanto segue:

  • Verifica che la password dell'account del servizio AD Connector non sia scaduta

  • Selezionato che l'account del servizio AD Connector non abbia l'opzione L'utente deve cambiare la password al successivo accesso abilitato.

  • Verifica che l'account del servizio AD Connector non sia bloccato.

  • Se non sei sicuro che la password sia scaduta o modificata, puoi reimpostare la password dell'account di servizio e aggiornare la stessa password in AD Connector.

Ricevo un errore relativo alle mie credenziali di directory quando provo ad aggiornare l'account del servizio AD Connector

Quando si tenta di aggiornare l'account del servizio AD Connector, viene visualizzato un messaggio di errore simile a uno o più dei seguenti:

Message:An Si è verificato un errore La tua directory necessita di un aggiornamento delle credenziali. Aggiorna le credenziali della directory. Si è verificato un errore La tua directory ha bisogno di un aggiornamento delle credenziali. Aggiorna le credenziali della directory dopo Aggiornamento delle credenziali dell'account del servizio AD Connector Messaggio: Si è verificato un errore La tua richiesta ha un problema. Si prega di consultare i seguenti dettagli. Si è verificato un errore nella account/password combinazione di servizi

Potrebbe esserci un problema con la sincronizzazione dell'ora e Kerberos. AD Connector invia le richieste di autenticazione Kerberos ad Active Directory. Queste richieste sono sensibili al fattore tempo e, se vengono ritardate, avranno esito negativo. Per risolvere questo problema, vedi Raccomandazione: configurare il Root PDC con un'origine temporale autorevole ed evitare una distorsione temporale diffusa nella documentazione. Microsoft Per ulteriori informazioni sul servizio orario e sulla sincronizzazione, vedi sotto:

Mostra piùMostra meno

Alcuni dei miei utenti non possono eseguire l'autenticazione con la mia directory

I tuoi account utente devono avere la preautenticazione Kerberos abilitata. Questa è l'impostazione predefinita per i nuovi account utente e non deve essere modificata. Per ulteriori informazioni su questa impostazione, vai a Preautenticazione attiva Microsoft TechNet.

Problemi di manutenzione

Di seguito sono riportati i problemi di manutenzione comuni di AD Connector

  • La mia directory è bloccata nello stato "Requested" (Richiesta)

  • L'aggiunta perfetta al dominio per le istanze Amazon EC2 ha smesso di funzionare

La mia directory è bloccata nello stato "Requested" (Richiesta)

Se disponi di una directory che è stata nello stato "Richiesta" per più di cinque minuti, prova a eliminare la directory e a ricrearla. Se il problema persiste, contatta Supporto AWS.

L'aggiunta perfetta al dominio per le istanze Amazon EC2 ha smesso di funzionare

Se l'aggiunta del dominio uniforme per istanze EC2 funzionava e poi si è arrestata mentre AD Connector era attivo, le credenziali per l'account del servizio di AD Connector potrebbero essere scadute. Le credenziali scadute possono impedire a AD Connector di creare oggetti computer in Active Directory.

Per risolvere questo problema, aggiorna le password dell'account del servizio nell'ordine seguente, in modo che corrispondano:

  1. Aggiorna la password per l'account di servizio in Active Directory.

  2. Aggiorna la password per l'account di servizio nel tuo AD Connector in Servizio di directory. Per ulteriori informazioni, consulta Aggiornamento delle credenziali dell'account del servizio AD Connector in Console di gestione AWS.

Importante

L'aggiornamento della password solo in Servizio di directory non comporta l'invio della modifica della password all'Active Directory locale esistente, pertanto è importante farlo nell'ordine indicato nella procedura precedente.

Non riesco a eliminare il mio AD Connector

Se il tuo AD Connector passa a uno stato non funzionante, non hai più accesso ai controller di dominio. Blocchiamo l'eliminazione di un AD Connector quando ci sono ancora applicazioni ad esso collegate perché una di queste applicazioni potrebbe ancora utilizzare la directory. Per un elenco delle applicazioni da disattivare per eliminare il connettore AD, consultaEliminazione del connettore AD. Se ancora non riesci a eliminare il connettore AD, puoi richiedere assistenza tramite Supporto AWS.

Strumenti generali per l'analisi degli emittenti di AD Connector

I seguenti strumenti possono essere utilizzati per risolvere vari problemi di AD Connector relativi alla creazione, all'autenticazione e alla connettività:

DirectoryServicePortTest strumento

Lo strumento DirectoryServicePortTest di test può essere utile per risolvere i problemi di connettività tra AD Connector e server Active Directory o DNS gestiti dal cliente. Per ulteriori informazioni su come utilizzare lo strumento, vedereTest di un AD Connector.

Strumento di acquisizione dei pacchetti

È possibile utilizzare l'utilità di acquisizione dei Windows pacchetti integrata (netsh) per analizzare e risolvere potenziali problemi di comunicazione di rete o di Active Directory (ldap e kerberos). Per ulteriori informazioni, consulta Acquisizione di una traccia di rete senza installare nulla.

Log di flusso VPC

Per comprendere meglio quali richieste vengono ricevute e inviate da AD Connector, è possibile configurare i log di flusso VPC per le interfacce di rete delle directory. È possibile identificare tutte le interfacce di rete riservate all'uso con la Servizio di directory descrizione:. AWS created network interface for directory your-directory-id

Un semplice caso d'uso è durante la creazione di AD Connector con un dominio Active Directory gestito dal cliente con un numero elevato di controller di dominio. È possibile utilizzare i log di flusso VPC e filtrare in base alla porta Kerberos (88) per scoprire quali controller di dominio nell'Active Directory gestito dal cliente vengono contattati per l'autenticazione.