Błąd przy synchronizacji katalogów organizacyjnych

Błąd przy synchronizacji katalogów organizacyjnych (Azure AD Connect) oznacza niepowodzenie replikacji obiektów między lokalnym Active Directory a chmurą — dziennik zdarzeń usługi synchronizacji wskazuje konkretny obiekt powodujący konflikt.

Czym jest błąd przy synchronizacji katalogów organizacyjnych

Błąd przy synchronizacji katalogów organizacyjnych oznacza, że mechanizm odpowiedzialny za przekazywanie informacji między lokalnym katalogiem użytkowników a usługą katalogową działającą w chmurze nie może poprawnie przetworzyć jednego lub większej liczby obiektów. Obiektem może być konto użytkownika, grupa, jednostka organizacyjna, kontakt albo przypisany atrybut. W efekcie zmiana wykonana w jednym środowisku nie pojawia się w drugim, pojawia się z opóźnieniem albo zostaje utworzona w sposób niezgodny z oczekiwaniami.

Nie jest to jeden konkretny komunikat, lecz cała grupa sytuacji, w których proces synchronizacji zatrzymuje się, pomija wybrane elementy lub zgłasza konflikt. Przyczyną może być nieprawidłowa wartość atrybutu, powielony identyfikator, problem z zakresem synchronizowanych jednostek, brak uprawnień, niedostępność usługi albo błąd konfiguracji połączenia. Znaczenie ma również to, czy problem dotyczy pojedynczego obiektu, określonej grupy, całej domeny, czy wszystkich zmian przekazywanych między środowiskami.

Wstępna interpretacja powinna opierać się na pełnym komunikacie oraz czasie wystąpienia problemu. Sam fakt, że użytkownik nie widzi aktualizacji w chmurze, nie przesądza jeszcze o awarii. Czasem synchronizacja została wykonana, lecz zmiana jest prezentowana w innym miejscu, została odrzucona z powodu reguły filtrowania albo dotyczy atrybutu, który nie jest przekazywany według bieżącej konfiguracji.

Kontekst techniczny i porównanie możliwych mechanizmów - Błąd przy synchronizacji katalogów organizacyjnych

Synchronizacja katalogów działa jak uporządkowany proces odczytu, oceny i zapisu zmian. Najpierw pobierane są obiekty z lokalnego źródła, następnie sprawdzane są ich identyfikatory oraz atrybuty, a na końcu przygotowywane są operacje do wykonania w usłudze docelowej. Jeżeli którykolwiek etap wykryje niespójność, konkretna zmiana może zostać oznaczona jako oczekująca, odrzucona lub skierowana do dalszej analizy.

Warto odróżnić błąd pojedynczego obiektu od problemu całego cyklu synchronizacji. W pierwszym przypadku konta i grupy niezwiązane z konfliktem mogą być przetwarzane prawidłowo, natomiast jeden obiekt pozostaje nieaktualny. W drugim przypadku nie są przekazywane żadne zmiany albo proces kończy się błędem przed rozpoczęciem zapisu. Inne postępowanie będzie właściwe także wtedy, gdy problem występuje wyłącznie przy tworzeniu nowych kont, a inne, gdy dotyczy modyfikacji istniejących danych.

Znaczenie ma kierunek przepływu danych. Jeżeli obiekt jest zarządzany lokalnie, jego podstawowe atrybuty powinny być poprawiane w źródle nadrzędnym. Ręczna zmiana w usłudze docelowej może zostać nadpisana przy kolejnym przebiegu albo doprowadzić do konfliktu. Przy analizie sprawdza się więc, gdzie powstała dana wartość, który system ma pierwszeństwo oraz czy zastosowane reguły transformacji nie zmieniają jej po drodze.

Nie należy utożsamiać opóźnienia z błędem synchronizacji. Przejściowe oczekiwanie może wynikać z harmonogramu cyklu, kolejki zmian albo opóźnienia po stronie usługi docelowej. Błąd jest bardziej prawdopodobny wtedy, gdy w dzienniku pojawia się powtarzalny komunikat, obiekt pozostaje nieprzetworzony po kolejnych cyklach lub proces kończy się statusem wskazującym na odrzucenie operacji.

Typowe problemy i błędy powodujące zatrzymanie synchronizacji - Błąd przy synchronizacji katalogów organizacyjnych

Częstym źródłem problemu jest nieunikalna wartość używana do rozpoznawania obiektu. Dwa konta mogą mieć ten sam adres logowania, identyfikator, nazwę wyróżniającą albo inną wartość wymaganą przez regułę dopasowania. W takiej sytuacji mechanizm nie potrafi jednoznacznie określić, który obiekt ma zostać połączony z rekordem w chmurze. Podobny skutek może powodować wcześniejsze utworzenie konta w usłudze docelowej, gdy nie zostało ono prawidłowo powiązane z odpowiadającym mu obiektem lokalnym.

Problemy pojawiają się również przy niepoprawnych lub niedozwolonych wartościach atrybutów. Dotyczy to między innymi pustych pól wymaganych przez regułę, znaków specjalnych, błędnego formatu adresu, zbyt długiej nazwy, nieprawidłowego identyfikatora jednostki organizacyjnej albo wartości niezgodnej z ustalonym schematem. Niekiedy błąd dotyczy tylko jednej właściwości, dlatego konto może być widoczne, lecz nie można zalogować się przy jego użyciu albo nie są aktualizowane dane grupowe.

Do sprawdzenia pozostają także zakresy synchronizacji oraz członkostwo obiektów w jednostkach organizacyjnych. Przeniesienie konta do innej lokalizacji może spowodować jego wypadnięcie z zakresu, a zmiana filtra może objąć obiekty, które wcześniej nie były przetwarzane. Należy ustalić, czy problem wystąpił po zmianie struktury, reguł filtrowania, mapowania atrybutów lub sposobu dopasowania użytkowników.

Jeżeli błąd obejmuje cały proces, analizuje się dostępność usługi, stan konta używanego przez synchronizację, ważność poświadczeń, łączność sieciową, rozwiązywanie nazw oraz możliwość komunikacji z wymaganymi punktami końcowymi. Znaczenie mogą mieć również zmiany zapory, kontroli dostępu, certyfikatów i zasad inspekcji ruchu. W przypadku awarii po aktualizacji sprawdza się zgodność wersji składników, uruchomione zadania, usługi systemowe oraz wpisy w dzienniku aplikacyjnym.

Bezpieczna diagnostyka powinna zaczynać się od zebrania komunikatu, identyfikatora obiektu, czasu wystąpienia i zakresu zmian. Następnie porównuje się dane w obu katalogach, ustala źródło nadrzędne dla spornych atrybutów i dopiero wtedy wprowadza korektę. Masowe usuwanie lub ponowne tworzenie kont bez rozpoznania przyczyny może zwiększyć liczbę konfliktów i utrudnić późniejsze odtworzenie poprawnych powiązań.

Kiedy warto zgłosić się do serwisu - Błąd przy synchronizacji katalogów organizacyjnych

Do serwisu warto zgłosić problem, gdy błąd powtarza się mimo ponowienia cyklu, dotyczy większej liczby użytkowników lub grup, pojawił się po zmianie konfiguracji albo powoduje problemy z logowaniem i dostępem do zasobów. Wskazane jest przygotowanie treści komunikatu, identyfikatora problematycznego obiektu, informacji o ostatniej poprawnej synchronizacji oraz opisu zmian wykonanych bezpośrednio przed awarią. Takie dane ułatwiają odróżnienie konfliktu danych od problemu z działaniem usługi.

Pomoc techniczna może obejmować analizę dzienników, sprawdzenie mapowania atrybutów, weryfikację zakresu synchronizacji, ocenę uprawnień oraz kontrolowane przywrócenie prawidłowego przepływu zmian. Po usunięciu przyczyny warto potwierdzić, że obiekty są aktualizowane w obu kierunkach zgodnie z założeniami, a kolejne cykle nie tworzą nowych konfliktów.

W Warszawie takie zgłoszenie można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, przedstawiając możliwie dokładny opis objawów i momentu ich wystąpienia. Naprawy są tam z reguły realizowane w ciągu 3 dni roboczych, zależnie od zakresu analizy i dostępności danych potrzebnych do bezpiecznego usunięcia usterki.