Fehlerbehebung bei der Omnissa Access-Verzeichnisintegration

Verwenden Sie diese Informationen, um Probleme bei der Omnissa Access-Verzeichnisintegration zu beheben.

Identifizieren der Domänencontrollerlatenz in Windows Connector-Instanzen

Wenn sich Endbenutzer nicht mit ihren Active Directory-Anmeldeinformationen anmelden können und die Fehlermeldung Access Denied erhalten oder die Anmeldung sehr langsam ist, führen Sie die folgenden Schritte aus, um festzustellen, ob die Netzwerklatenz des Domänencontrollers die Ursache des Problems ist.

21.08 und spätere Connector-Instanzen

1. Überprüfen Sie die Connector-Protokolldateien. Überprüfen Sie für den Verzeichnissynchronisierungsdienst die DirectorySyncService.out- und eds-service.log-Dateien, die im Ordner INSTALL_DIR\Workspace ONE Access\Directory Sync Service\logs verfügbar sind. Überprüfen Sie für den Benutzerauthentifizierungsdienst die UserAuthService.out- und eas-service.log-Dateien, die im Ordner INSTALL_DIR\Workspace ONE Access\User Auth Service\logs verfügbar sind.

   Häufige "Triggering forced windows DC discovery"-Meldungen in diesen Dateien weisen auf eine hohe Latenz bei den aufgelisteten Domänencontrollern hin. Wenn diese Meldung mehr als drei Mal in einer Stunde angezeigt wird, überprüfen Sie die Netzwerklatenz für Domänencontroller. Sie können Warnungen basierend auf Connector-Protokollen festlegen.

2. Überprüfen Sie auf dem Connector-Server die Dateien krb5.conf und domain_krb.json, die die Zuordnung der Domänen zu den aktuellen Domänencontrollern enthalten, die für jede Domäne verwendet werden. Für den Verzeichnissynchronisierungsdienst befinden sich die Dateien im Ordner INSTALL_DIR\Workspace ONE Access\Directory Sync Service\conf. Für den Benutzerauthentifizierungsdienst befinden sich die Dateien im Ordner INSTALL_DIR\Workspace ONE Access\User Auth Service\conf.

3. Führen Sie die folgenden Befehle vom Connector-Server aus:

   nltest /dsgetdc:domain /try_next_closest_site (Dieser Befehl ruft den nächsten Domänencontroller ab, der vom Betriebssystem zwischengespeichert wird)

   nltest /dsgetdc:domain /force (Dieser Befehl löscht den Zwischenspeicher des Betriebssystems und versucht erneut, den nächsten Domänencontroller zu identifizieren)

   Das Windows-Betriebssystem des Connectors identifiziert den nächsten Domänencontroller für jede Domäne, die vom Verzeichnis verwendet wird.

4. Führen Sie auf dem Connector-Server den Befehl ping oder psping für jeden Domänencontroller aus und überprüfen Sie, ob der Domänencontroller schnell antwortet. Weniger als 20 ms ist eine gute Antwortzeit für eine ping-Anforderung.

5. Führen Sie auf dem Connector-Server den Befehl tracert für jeden Domänencontroller-Host für eine Domäne aus und überprüfen Sie die Anzahl der Hops zwischen dem Connector-Knoten und dem Domänencontroller-Host.

6. Befolgen Sie die in Best Practices zur Vermeidung von Netzwerklatenz beschriebenen Best Practices für die Netzwerklatenz der Domäne, wenn der Domänencontroller langsam reagiert.