Active Directory ディレクトリ連携のよくあるトラブルシューティング

本記事では、OneLogin が提供するOneLogin ADCを利用してActive DirectoryからOneLoginへユーザーアカウントを同期している環境において、トラブルシューティングの具体例をご紹介します。

目次

1. Active Directoryで変更したパスワードが反映されていない
   • 疎通回復のための対処手順
2. Active Directoryで追加したユーザーがOneLoginに追加されていない
   • Active Directoryユーザー追加が反映されない時の4つの確認項目と解決策
3. Active Directoryの属性情報を変更したユーザーが、OneLogin側の属性情報に反映されない
   • Mappingルールの競合解消とカスタム属性同期の再設定
4. Active Directoryで無効化したユーザーがOneLoginで無効化されていない
   • Active Directoryのアカウント無効化状態をOneLoginへ反映させる同期設定
5. Active Directoryに登録されているユーザーがOneLoginに同期されない
   • OneLogin ADC と OneLogin が正常に通信できていない
   • OneLogin 側の必須パラメーターがADアカウントに登録されていない
   • OneLogin ADCサービスを実行するアカウントの認証情報に変更があった
6. Synchronize Usersボタンをクリックしても再同期されない
   • OneLogin側の必須フィールドが登録されていない
   • 同期対象OUにユーザーが所属していない
   • 同期対象グループ設定に誤りがある
   • 【解決しなかった場合】Active Directoryユーザー情報の取得とサポートへの送付
7. OneLogin ADC の再インストール 

A. Active Directoryで変更したパスワードが反映されていない

OneLoginはADCを通じてパスワード情報を同期していないため、パスワードがOneLoginに反映されないという事象は発生しません。

エンドユーザーがOneLoginにログインできない場合、OneLoginとActive Directoryコネクタ間の接続が確立されておらず、パスワードの検証が実行できないことが原因である可能性があります。または、Active Directoryでパスワードが変更された後、ユーザーが新しいパスワードを使用してOneLoginにログインする前にActive Directoryコネクタとの接続が切断された場合、OneLoginは一時的に以前のパスワードを使用してユーザーを認証した可能性があります。

疎通回復のための対処手順

OneLoginとOneLogin ADCの疎通を回復させる必要があります。以下の手順を実施してください。

1. ADC サービスを再起動する
2. ADC がインストールされたサーバーを再起動する
3. ADC がインストールされたサーバーがインターネットおよびOneLoginに接続できているかを確認し、ネットワーク経路上の問題を解消する

参考: 

• Active Directoryとディレクトリを統合する
• OneLoginのIPアドレス・ドメイン

B. Active Directoryで追加したユーザーがOneLoginに追加されていない

Active Directoryに登録したユーザーがOneLoginに同期されていない場合、一般的には次の4つの原因が考えられます。

1. OneLoginとOneLogin ADC が接続が切断された状態となっている
2. OneLogin ディレクトリ設定画面において定義した同期対象OUに所属しないユーザーである
3. OneLogin ユーザーアカウントの必須項目となる次の3点がActive Directoryのユーザー情報で空欄になっている（姓、名、メールアドレス）
4. OneLogin ADC の同期処理が遅延している

Active Directoryユーザー追加が反映されない時の4つの確認項目と解決策

1. OneLoginとOneLogin ADC が接続が切断された状態となっている: この場合は、OneLoginとOneLogin ADCの疎通を回復させることが必要です。
    
2. OneLogin ディレクトリ設定画面において定義した同期対象OUに所属しないユーザーである: この場合は、Active Directoryのユーザーアカウントを同期対象のOUに所属させるか、OneLoginのディレクトリ設定において同期対象OUを変更します。
    
3. OneLogin ユーザーアカウントの必須項目となる次の3点がActive Directoryのユーザー情報で空欄になっている（姓、名、メールアドレス）: この場合は、必須項目の3点を入力してください。
   *Active Directoryでは姓名が必須項目ではないため、空欄のままとなっているケースが多く見られます。
    

4. OneLogin ADC の同期処理が遅延している: Active Directory に登録されているユーザーアカウントが1,000ユーザー以上など大規模な場合、OneLoginがActive Directoryのドメインコントローラのオブジェクト変更を検知するまでに遅延が発生する場合があります。そのためお客様のディレクトリ規模により、Active Directoryでユーザーを作成してからOneLoginに同期されるまでに数秒〜数分程度の遅延が生じることがあります。ユーザー追加後、数分間待機してください。

   ただし1時間を超えて同期されない場合は別の問題が発生している可能性があります。この場合は、ADC サービスの再起動やサーバーの再起動、インターネットの疎通確認をお試しください。

C. Active Directory の属性情報を変更したユーザーが、OneLogin側の属性情報に反映されない

基本的な原因や確認手順は、 B. Active Directoryで追加したユーザーがOneLoginに追加されていない と同様です。

ただし一部の属性情報がOneLogin側に期待どおりに反映されないケースでは、次の2つの原因が考えられます。

1. Active Directory側から同期されるはずの値ではなく、別の値または空欄がOneLoginのユーザー属性欄に強制されてしまう
2. Active Directory側から同期されるはずのカスタムユーザーフィールド属性欄が空欄のままとなっている

Mappingルールの競合解消とカスタム属性同期の再設定

次の手順をお試しください。

1. Active Directory側から同期されるはずの値ではなく、別の値または空欄がOneLoginのユーザー属性欄に強制されてしまう: ディレクトリからの属性同期設定と、Mapping ルールによる属性編集ルールが競合している可能性があります。この場合はMappingルールが優先されてしまうため、競合するMappingルールを削除するか、当該ユーザーについて競合しないようルールを編集してください。
    
2. Active Directory側から同期されるはずのカスタムユーザーフィールド属性欄が空欄のままとなっている: カスタムユーザーフィールドの同期設定を、OneLoginのディレクトリ設定画面から再度ご確認ください。

D. Active Directory で無効化したユーザーがOneLoginで無効化されていない

基本的な原因や確認手順は、 Active Directoryで追加したユーザーがOneLoginに追加されていない と同様です。

ただし、ディレクトリ連携設定においてステータスを同期しない設定が有効になっていると同期が正常に動作していても、ユーザーのステータスはActive DirectoryからOneLoginへ反映されません。

Active Directoryのアカウント無効化状態をOneLoginへ反映させる同期設定

次の手順をお試しください。

ディレクトリ連携設定のアドバンスド画面において Sync User Status from Active Directory を無効化していないか改めてご確認ください。無効化されていると、ステータスはOneLoginへ同期されません。

E. Active Directoryに登録されているユーザーがOneLoginに同期されない

OneLogin ADC を利用中のお客様で、Active Directoryに登録されているユーザーがOneLoginに正常に同期されない場合のトラブルシューティングです。
*ADCの連携セットアップ中で接続ステータスが Disconnected 、インスタンスバージョンが Unknown versionとなっているケースは対象外です。今後のヘルプ記事をご参照いただくか、サポートまでお問い合わせください。

 主な原因として、以下の3点が挙げられます。

1. OneLogin ADC と OneLogin が正常に通信できていない
2. OneLogin 側の必須パラメーターがADアカウントに登録されていない
3. OneLogin ADCサービスを実行するアカウントの認証情報に変更があった

OneLogin ADC と OneLogin が正常に通信できていない

最も一般的なケースはOneLoginとADCの間で正常な通信が確立されていないことです。OneLogin ADCがOneLoginに接続されているかどうかは、OneLogin管理コンソールから確認することができます。

各インスタンスが ● Disconnected となっている場合、通信不能のため同期が実行されません。

確認箇所

管理コンソール > Users > Directories > （対象のディレクトリ）> Connector Instances タブ

• 正常な場合（接続中）: インスタンスのStatusが ● Connected となっている
  
  
   
• 異常な場合（切断中）: インスタンスのStatusが ● Disconnected となっている
  

解消方法

ADCの接続ステータスが ● Disconnected となっている理由のうち、主な原因として以下の4点が挙げられます。該当する項目がないか確認してください。

1. ADCサービスが停止している
2. ADCサービスを実行しているサーバーの電源が入っていない
3. ADCサービスがネットワーク経路上の問題により通信できていない
4. ADCサービスを実行しているサーバーが高負荷状態にありOneLoginが要求する時間内にpingへの応答または認証レスポンスが応答できていない

• ADCサービスが停止している: ADCのサービス名は「OneLogin ADC」です。Windowsサーバーの サービス を立ち上げ、サービスの状態が 実行中 になっているかを確認してください。
  
  
   
• サービスの状態が空欄になっている場合は、サービスをダブルクリックして、サービスの状態が 停止 であることを確認します。サービスを開始するためには［開始］をクリックします。
  

• ADCサービスを実行しているサーバーの電源が入っていない: サーバーの電源を入れてください

• ADCサービスがネットワーク経路上の問題により通信できていない: ネットワーク経路（社内・データセンター・インターネット）上の障害や設定ミスなどによりADCからOneLoginサーバーへの通信が遮断されている可能性があります。主な要因として以下の5点が挙げられます。ネットワーク担当者に設定変更の有無や通信障害箇所のトレース確認を依頼してください。

1. サーバーの通信設定やプロキシ設定の変更
2. 社内のネットワーク設定・通信経路設定の変更
3. 社内へのFWやi-filterのような通信フィルタリングサービスの導入
4. ISPや回線事業者のメンテナンスや通信障害等によるアクセス遮断

5. OneLoginサーバーのメンテナンスや障害

   OneLogin側のメンテナンスや障害である可能性については、OneLoginが提供する OneLogin ステータスページ および OneLogin Status 通知の購読設定 をご参照ください。

• ADCサービスを実行しているサーバーが高負荷状態にありOneLoginが要求する時間内にpingへの応答または認証レスポンスが応答できていない: ADCサービスを実行しているサーバーがWindows Updateやその他のアプリケーションの利用により負荷が上昇し、結果としてOneLoginが要求する認証にかかる時間基準を満たせなくなったインスタンスは接続されていても自動的に非アクティブ化され、基準を満たすようになり次第自動的に復帰します。

OneLogin 側の必須パラメーターがADアカウントに登録されていない

次に多いケースはOneLoginが必須としているユーザー情報がActive Directory側のアカウントに登録されていないケースです。具体的には、OneLoginは下記3つのユーザー情報を必須としています。

• First name
• Last name
• Email または Username

Active Directory側ではOneLogin側で必須とされている上記3項目について必須の登録項目としていません。姓名や電子メールは任意に登録すべき項目とされており、お客様のActive Directory環境によってはこれらの情報が登録されていないためにOneLoginへの同期ができないユーザーが存在します。

Active Directory側の下記項目に値が入っていることを確認してください。

• 姓
• 名
• 電子メール

*OneLogin側のディレクトリ設定によっては電子メール項目が空欄でも同期可能です。ただし、デフォルト設定では電子メール項目も必須になります。詳細はこちらをご覧ください。

確認箇所

Windowsサーバー > Active Directory ユーザーとコンピュータ > （同期されないアカウント） > 全般タブ

• OneLogin 必須項目が登録されている正しい状態: 姓・名・電子メールに値が登録されている
  
  
   
• OneLogin 必須項目が登録されていない間違っている状態: 姓・名・電子メールが空欄になっている
  

解消方法

Active Directory側のユーザー情報に姓・名・電子メールを登録してください。
*電子メールが必須ではない設定の場合は姓・名のみ登録してください。

補足（電子メールが空欄のユーザーも同期したい場合）

Active Directoryには原則的に電子メールを登録せず、OneLoginおよびOneLoginとシングルサインオン連携するクラウドサービス側でもメールアドレスが必要ない場合は下記のように設定することで、Active Directory側のユーザー情報に電子メールが登録されていなくてもOneLoginへユーザーを同期できます。

設定手順

管理コンソール > Users > Directories > （対象のディレクトリ）> Advanced タブ

ディレクトリ設定のAdvancedタブには、Login username attribute という項目があります。これはOneLoginにログインする際、ユーザーが自分のアカウントを示すために利用できるパラメーターを定義する選択肢です。

デフォルトでは Email が選択されていますので、電子メール以外の値をユーザーIDとして利用することはできません。ただし下記選択肢の Email 以外を選択すると、Email に加えて選択したパラメーターの両方をユーザーIDとしてログイン時に利用できるようになります。（Emailが空欄の場合は選択したパラメーターのみ利用可）

Login username attribute

• sAMAccountName
• UserPrincipalName
• Email

*ここで「Email」が選択されている場合、ユーザーIDはEmailのみとなるため、Active Directory側に電子メールが登録されていないユーザーはOneLoginへ同期されません。

そのため電子メールをActive Directoryに登録をしない、または登録が困難な環境では必ずEmail以外の2つの選択肢のいずれかを選択する必要があります。Windows PCにログインする際に利用するユーザーIDは sAMAccountName であるため、通常は sAMAccountName への設定を推奨します。

OneLogin ADCサービスを実行するアカウントの認証情報に変更があった

次に多いケースはOneLogin ADCサービスを実行するためのサービスアカウントのユーザーIDまたはパスワードに変更があった場合です。OneLoginを管理していない他のActive Directory管理者が誤ってサービスアカウントの認証情報を変更した場合や、2台目のADCインスタンスを追加するとき際に、以前設定したサービスアカウントのパスワードが不明で、リセットを実施した場合などに、本事象が頻繁に発生します。

確認箇所

サービスアカウント（例： OneLoginADC@*****.local ）のユーザーID・パスワード

解消方法

サービスアカウントでWindowsサーバーにログオンできるかなど、ユーザーIDとパスワードを検証してください。現在の正しいユーザーID・パスワードが確認できたら、サービスを開いてサービスアカウントを変更します。

1. サービス一覧からサービス「OneLogin ADC」を探して、右クリック > プロパティ(R) を開きます
   
   
    

2. プロパティのログオンタブを開き、アカウントで正しい ユーザーID と パスワード を設定します
   

   
    

3. プロパティを保存したら 再起動(E) をクリックし、サービスを再起動します
   

F. Synchronize Usersボタンをクリックしても再同期されない

OneLogin ADCはリアルタイム同期を実施しており、Active Directory側の設定を変更したりOneLogin側の同期設定を変更した場合でも通常は手動の再同期は必要ありません。ただし、ADCインスタンスのサーバーやドメインコントローラのメンテナンス等を実行して再同期する必要がある場合に手動で再実行するための機能が Synchronize Users ボタンです。

通常、この Synchronize Users ボタンを実行した場合、同期対象となるActive Directory側のユーザーアカウントの全アカウント情報を再同期します。そのため、ボタンを実行後しばらくは管理コンソール > Activity > Events を確認すると、ユーザー情報がアップデートされたログやOneLoginのMappingルールが再適用されたログ、プロビジョニングが再実行されたログなどが表示されます。
*今回のトラブルシューティングは、ボタンをクリックしても再同期が実行されずActivityを確認しても、ユーザー情報が更新されていない場合に実施してください。

OneLogin側の必須フィールドが登録されていない

OneLoginへ同期・作成する際の必須項目は以下の3つです。

• Last name
• First name
• Email または Username

Active Directory側ではOneLogin側で必須とされている上記3項目について必須の登録項目としていません。そのため姓名や電子メールなど、お客様のActive Directory環境によってはこれらの情報が登録されていないためにOneLoginへの同期ができないユーザーが存在する可能性があります。

Active Directory側の下記項目に値が入っていることを確認したうえで、次の手順を実施します。

• 姓
• 名
• 電子メール

検証手順 - Active Directoryユーザーのテスト更新

1. OneLoginに同期されるべきユーザーについて、Active Directory ユーザーとコンピューターからプロパティを開き、姓の末尾に .（ドット）を追記します
   
   
    
2. 追記が完了したら、ファイルパス C:\ProgramData\OneLogin, Inc\logs\adc.log にあるOneLogin ADCのログを確認します
   *ProgramDataフォルダは隠しフォルダです
   
   
    

3. ログファイルの中から先ほど変更した日時前後で、.（ドット）を追加したユーザーに関するメッセージを探します。CN（=表示名）をもとに検索することを推奨します。
   下記2パターンのログのどちらかが記録されます。
   *ログメッセージ内に「Ignoring found user」「Ignoring change notification for user」と含まれるこれらのメッセージの末尾には「because the user is missing required attributes.」と記録されており、OneLoginの必須項目がActive Directoryユーザーに登録されていないことを示しています。

   2020-03-28 19:08:53,484|INFO |19|DirectoryChangeNotificationWorker - Ignoring change notification for user [CN=金井 瑞希,OU=DEMO,DC=apsm,DC=local] because the user is missing required attributes.

   2020-03-28 18:55:49,549|INFO |ForestSyncPoll|DirectorySyncPollWorker - Ignoring found user 'SyncUserAccount (ExternalId: [qKI89182QkCpDEbbLfn3dA==] | Digest: []) => Email: [mizuki.kanai@onelogin.jp] | SamAccountName: [mizuki.kanai] | UserPrincipalName: [mizuki.kanai@apsm.local] | FirstName: [] | LastName: [] | MemberOf: [0] | Resolved Groups: [0] | InternalOrigin [sync2] | InternalCreatedAt [2020/03/28 18:55:49] | Correlation Id: [ac09cac6-1a6b-4c6d-9c6c-276b6563f977]' because the user is missing required attributes.

   
   
    

4. 不足しているパラメーター（多くのケースではEmailです）をユーザー情報に追記し、先ほど姓に入力した .（ドット） を削除してユーザーを更新します
   
   
    

5. ユーザーが同期されたことをOneLoginまたはログ（adc.log）から確認します
   ▼ユーザーアップデートの場合

   2020-03-28 19:28:27,344|INFO |ForestSyncUserQueueMonitor|SyncQueueEntryProcessor - ### API User Upsert in 00:00:01.9431308 => SyncUserAccount (ExternalId: [qKI89182QkCpDEbbLfn3dA==] | Digest: [5f310e01ff4dc74eb8a7dccc2e31991bba9206e1]) => Email: [mizuki.kanai@onelogin.jp] | SamAccountName: [mizuki.kanai] | UserPrincipalName: [mizuki.kanai@apsm.local] | FirstName: [瑞希] | LastName: [金井] | MemberOf: [0] | Resolved Groups: [0] | InternalOrigin [OnObjectChanged] | InternalCreatedAt [2020/03/28 19:28:25] | Correlation Id: [344461e1-2485-43ab-a884-1fd144a4e2e4]

   ▼ユーザー作成の場合

   2020-03-28 19:22:21,395|INFO |ForestSyncUserQueueMonitor|SyncQueueEntryProcessor - ### API User Create in 00:00:03.3600047 => SyncUserAccount (ExternalId: [qKI89182QkCpDEbbLfn3dA==] | Digest: [e979e31d406d68ef1ac22ebc28efbec4f009a3a8]) => Email: [mizuki.kanai@onelogin.jp] | SamAccountName: [mizuki.kanai] | UserPrincipalName: [mizuki.kanai@apsm.local] | FirstName: [瑞希] | LastName: [金井.] | MemberOf: [0] | Resolved Groups: [0] | InternalOrigin [OnObjectChanged] | InternalCreatedAt [2020/03/28 19:22:18] | Correlation Id: [5ae98965-d74e-4efd-9c3f-6ed6e894992b]

   ▼OneLoginのログ
   

同期対象OUにユーザーが所属していない

1. OneLogin側の必須フィールドが登録されていない で確認した以外にも、OneLoginへ正しくユーザーが同期できないケースがあります。OneLoginに同期すべきOUについて、OneLoginのディレクトリ設定を見直し、同期したいユーザーアカウントが必ず選択済みOUに所属しているかを確認します。

確認箇所

管理コンソール > Users > Directories > （対象のディレクトリ）> OU Selections タブ

同期対象となる OneLogin利用予定ユーザーが所属しているOU はすべて選択してください

*特定セキュリティグループに所属するユーザーだけを同期する設定をしている場合でも、OUの選択は必須です。OU選択が不十分な場合、セキュリティグループに所属していても同期されませんので注意してください。

設定の変更後、ユーザーが同期されたかどうか確認します

同期対象グループ設定に誤りがある

1. OneLogin側の必須フィールドが登録されていない および 2. 同期対象OUにユーザーが所属していない で確認した以外にも、同期対象グループを指定している場合、グループ選択が適切に設定されているかを確認します。

1. ADCインスタンスのWindowsサーバーにログオンし、下記アプリケーションを立ち上げて設定を確認します

   C:\Program Files (x86)\OneLogin, Inc\OneLogin ADC\ADConfigWizard.exe

   ビルトインのAdministrator以外で操作している場合は 管理者として実行 から起動します
   
   
    

2. Security Groups タブを開き、同期対象としたいグループがすべて選択されているかを確認します
   不足しているグループがあればグループ名を検索し、結果に該当グループが表示されたら［Add］をクリックして追加します。グループ自体は同期対象OUにある必要はありません。
   
   
    
3. 設定を変更したら［OK］をクリックして、ガイドに従いサービスを再起動します
   
   
    
4. サービスの再起動後、ユーザーが同期されたかどうか確認します

【解決しなかった場合】Active Directoryユーザー情報の取得とサポートへの送付

OneLogin側の必須フィールドが登録されていない から 同期対象グループ設定に誤りがある までの手順を試しても自動同期されない、Synchronize Users ボタンを押しても同期されない場合は、米国サポート部門にて追加調査を行います。下記手順に沿って、同期されないユーザーの情報を取得して2ユーザー分ご送付ください。

1. ADCインスタンスまたはドメインコントローラのWindows Serverにログオンし、PowerShellを起動して Get-ADUser -Identity {sAMAccountName} -Properties * | Format-List を実行します
   *Identityオプションでは、sAMAccountName以外にも下記ユーザー識別子が利用できます。いずれの識別子でも検索可能です。

   1. DN（識別名）
   2. GUID
   3. SID（セキュリティ識別子）
   4. sAMAccountName
      

    

2. ユーザー情報が正常に表示できることを確認したら、次に Get-ADUser -Identity {sAMAccountName} -Properties * | Format-List > C:\Users\{current_user}\Desktop\ADUser-{sAMAccountName}.txt を実行してユーザー情報をテキストファイルとして保存します
   
   
   デスクトップにファイル ADUser-{sAMAccountName}.txt が保存されます
   

    

3. 同じ操作を別の1ユーザーに対しても実施します

    

4. この2つのファイルをペンティオのサポート担当者へ送付します（送付いただいた情報は、サポート担当者にて確認の上、必要に応じて米国サポート部門へ調査を依頼します。）
   送付はOneLoginヘルプセンターのチケット画面でアップロードするか、サポートメールへの返信に添付してお送りください。
   

G. OneLogin ADC の再インストール