Résoudre les problèmes liés à Microsoft AD géré

Cette page fournit des conseils et des approches pour dépanner et résoudre les problèmes courants liés au service géré pour Microsoft Active Directory.

Impossible de créer un domaine Microsoft AD géré

Si vous ne parvenez pas à créer un domaine Microsoft AD géré, la vérification des configurations suivantes peut vous aider.

API requises

Microsoft AD géré nécessite que vous activiez un groupe d'API avant de procéder à la création de domaine.

Pour vérifier que les API requises sont activées, procédez comme suit :

Si l'une de ces API est manquante, procédez comme suit pour l'activer :

  gcloud services enable API_NAME
  

Répétez ce processus jusqu'à ce que toutes les API requises soient activées.

Billing

Microsoft AD géré nécessite que vous activiez la facturation avant de pouvoir créer un domaine.

Pour vérifier que la facturation est activée, procédez comme suit :

  gcloud billing projects describe PROJECT_ID
  

Si aucun compte de facturation valide n'est lié au projet, vous devez activer la facturation.

Plage d'adresses IP

Si vous recevez une erreur IP range overlap lorsque vous essayez de créer un domaine, cela signifie que la plage d'adresses IP réservées que vous avez fournie dans la demande de création de domaine chevauche la plage d'adresses IP du réseau autorisé. Pour résoudre ce problème, vous devez choisir une autre plage d'adresses IP ou un autre réseau autorisé. Pour en savoir plus, consultez la section Sélectionner des plages d'adresses IP.

Autorisations

Si vous recevez une erreur Permission denied lorsque vous essayez de créer un domaine, vous devez vérifier que l'identité appelante est autorisée à appeler l'API Microsoft AD gérée. En savoir plus sur les rôles et les autorisations Microsoft AD gérés.

Règle d'administration

La création du domaine peut échouer en raison d'une configuration de règle d'administration. Par exemple, vous pouvez configurer une règle d'administration pour n'autoriser l'accès qu'à des services spécifiques, tels que GKE ou Compute Engine. En savoir plus sur les contraintes liées aux règles d'administration

Demandez à votre administrateur, qui dispose du rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation, de mettre à jour les règles d'administration requises.

Règle d'administration Resource Location Restriction

Cette contrainte de liste définit l'ensemble des emplacements où les ressources Google Cloud basées sur l'emplacement peuvent être créées. Le refus de l'emplacement global peut influer sur Microsoft AD géré.

Pour afficher et mettre à jour la règle d'organisation Resource Location Restriction :

Règle d'administration Restrict VPC peering usage

Cette contrainte de liste définit l'ensemble des réseaux VPC autorisés à être appairés avec les réseaux VPC appartenant à une ressource donnée. Lorsque vous spécifiez un réseau autorisé pour un domaine Microsoft AD géré, un appairage VPC est créé entre le réseau autorisé et le réseau isolé contenant les contrôleurs de domaine AD. Si la règle d'administration du projet refuse les appairages, Microsoft AD géré ne peut créer aucun appairage vers le réseau autorisé, la création de domaine échoue. Vous recevez une erreur comme celle-ci :

GCE_PRECONDITION_FAILED: Constraint constraints /compute.restrictVpcPeering
violated for project PROJECT_ID. Peering the network projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME
is not allowed.

Pour afficher et mettre à jour la règle d'administration Restrict VPC peering usage :

Impossible d'associer automatiquement une VM Windows à un domaine

Voici quelques problèmes liés aux codes d'erreur que vous pouvez rencontrer lorsque vous essayez d'associer automatiquement une VM Windows ou des nœuds GKE Windows Server à un domaine:

Impossible d'associer manuellement une VM à un domaine

Si vous ne parvenez pas à associer manuellement une machine à partir d'un environnement sur site à votre domaine Microsoft AD géré, vérifiez les conditions suivantes:

• La machine que vous essayez de rejoindre est détectable dans Microsoft AD géré. Pour vérifier cette connectivité, effectuez une résolution DNS de l'environnement sur site vers le domaine Microsoft AD géré à l'aide de la commande nslookup.

• Le réseau sur site sur lequel se trouve la machine doit être associé au réseau VPC de votre domaine Microsoft AD géré. Pour en savoir plus sur le dépannage d'une connexion d'appairage de réseaux VPC, consultez la section Dépannage.

Impossible d'utiliser le VPC partagé comme réseau autorisé

Pour accéder à un domaine Microsoft AD géré à partir d'un réseau VPC partagé, le domaine doit être créé dans le même projet qui héberge le réseau VPC partagé.

Impossible d'accéder au domaine Microsoft AD géré

Si votre domaine Microsoft AD géré semble indisponible, vous pouvez obtenir plus d'informations sur son état en procédant comme suit :

gcloud active-directory domains list

Si l'état de votre domaine est DOWN, cela indique que votre compte a peut-être été suspendu. Contactez l'assistance Google Cloud pour résoudre ce problème.

Si l'état de votre domaine est PERFORMING_MAINTENANCE, Microsoft AD géré doit toujours être disponible pour utilisation, mais peut ne pas autoriser des opérations telles que l'extension du schéma, l'ajout ou la suppression de régions. Cet état est rare et se produit uniquement lorsque le système d'exploitation est corrigé.

Impossible de créer une approbation

Si vous suivez les étapes de création d'une approbation, mais que vous ne pouvez pas terminer le processus, la vérification des configurations suivantes peut vous aider.

Le domaine sur site est accessible

Pour vérifier que le domaine sur site est accessible à partir du domaine Microsoft AD géré, vous pouvez utiliser ping ou Test-NetConnection. Exécutez ces commandes à partir d'une VM hébergée sur Google Cloud et sur un réseau autorisé. Vérifiez que la VM peut atteindre un contrôleur de domaine sur site. En savoir plus sur Test-NetConnection.

Adresse IP

Pour vérifier que l'adresse IP qui a été fournie lors de l'installation de l'approbation est capable de résoudre le domaine sur site, exécutez la commande suivante :

nslookup ON_PREMISES_DOMAIN_NAME CONDITIONAL_FORWARDER_ADDRESS

Remplacez les éléments suivants :

• ON_PREMISES_DOMAIN_NAME: nom de votre domaine sur site.
• CONDITIONAL_FORWARDER_ADDRESS: adresse IP de votre redirecteur conditionnel DNS.

S'il existe plusieurs adresses de redirecteur conditionnel, vous pouvez tester l'une d'entre elles.

Apprenez-en plus sur nslookup.

Relation d'approbation sur site

Pour vérifier que la relation d'approbation sur site est établie, vous devez vérifier que les informations suivantes correspondent.

• Le type et la direction de l'approbation sur le domaine Microsoft AD géré complètent l'approbation créée sur le domaine sur site.
• Le secret d'approbation fourni lors de la création de l'approbation sur le domaine Microsoft AD géré correspond à celui saisi sur le domaine sur site.

La direction d'approbation sur site complète la direction d'approbation configurée sur Microsoft AD géré. Autrement dit, si le domaine sur site attend une approbation entrante, la direction d'approbation pour le domaine Microsoft AD géré est sortante. En savoir plus sur les directions de confiance

Dysfonctionnement de l'approbation

Si vous avez précédemment créé une approbation, mais qu'elle ne fonctionne plus, vous devez vérifier les mêmes configurations que pour le dépannage de la création d'une approbation.

En outre, si une approbation n'est pas utilisée pendant 60 jours ou plus, le mot de passe d'approbation expire. Pour actualiser le mot de passe, modifiez le mot de passe de l'approbation sur le domaine sur site, puis mettez à jour le mot de passe sur le domaine Microsoft AD géré.

Échec de l'authentification Active Directory (comptes hébergés par Microsoft AD géré)

En cas d'échec de l'authentification Active Directory lors de l'utilisation de comptes hébergés gérés par Microsoft AD géré, la vérification des configurations suivantes peut être utile.

Présence de VM sur un réseau autorisé

Pour vérifier que la VM utilisée pour accéder au domaine se trouve sur un réseau autorisé, procédez comme suit.

1. Accédez à la page Service géré pour Microsoft Active Directory dans la console Google Cloud.
   Accéder à Service géré pour Microsoft Active Directory

2. Sélectionnez le nom de votre domaine.

3. Sur la page Domaine, sous Réseaux, vérifiez que le réseau autorisé est répertorié.*

Nom d'utilisateur et mot de passe corrects

Vérifiez que le nom d'utilisateur et le mot de passe fournis pour vous connecter sont corrects.

Règles de pare-feu

Une règle de pare-feu deny pour la sortie vers la plage d'adresses IP des contrôleurs de domaine peut entraîner l'échec de l'authentification.

Pour vérifier vos règles de pare-feu, procédez comme suit :

En savoir plus sur les règles de pare-feu.

Adresse IP

L'authentification peut échouer si l'adresse IP ne se trouve pas dans la plage CIDR réservée.

Pour vérifier l'adresse IP, exécutez la commande suivante.

nslookup DOMAIN_NAME

Si nslookup échoue ou renvoie une adresse IP qui ne se trouve pas dans la plage CIDR, vous devez vérifier que la zone DNS existe.

Pour valider l'existence de la zone DNS, procédez comme suit :

Si aucune des zones répertoriées n'est utilisée par le réseau autorisé, vous devez supprimer et rajouter le réseau autorisé.

Appairage de réseaux

L'authentification peut échouer si l'appairage du réseau VPC n'est pas correctement configuré.

Pour vérifier que l'appairage est configuré, procédez comme suit :

Si peering-VPC_NETWORK_NAME ne figure pas dans la liste, vous devez supprimer et rajouter le réseau autorisé.

Échec de l'authentification Active Directory (via l'approbation)

En cas d'échec de l'authentification Active Directory lors de l'utilisation de comptes hébergés sur site gérés via une approbation, vous devez vérifier les mêmes configurations que pour le dépannage de la création d'une approbation.

En outre, vérifiez que le compte se trouve dans le groupe délégué Cloud Service Computer Remote Desktop Users. En savoir plus sur les groupes délégués

Impossible d'accéder au domaine à partir d'une VM de gestion

Si vous ne parvenez pas à accéder au domaine Microsoft AD géré à partir de la VM utilisée pour gérer les objets AD, vous devez vérifier les mêmes configurations que pour le dépannage de l'authentification Active Directory pour les comptes hébergés par Microsoft AD géré.

Erreur Org policy lors de la création, de la mise à jour ou de la suppression

Si vous rencontrez une erreur org policy lors de la création, de la mise à jour ou de la suppression de ressources, vous devrez peut-être modifier une règle d'administration. En savoir plus sur les contraintes liées aux règles d'administration.

Demandez à votre administrateur, qui dispose du rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) dans l'organisation, de mettre à jour les règles d'administration requises.

Règle d'administration Define allowed APIs and services

Cette contrainte de liste définit l'ensemble des services et des API pouvant être activés sur une ressource donnée. Ses descendants dans la hiérarchie de la ressource héritent également de la contrainte. Si cette contrainte n'autorise pas les API requises pour Microsoft AD géré, vous recevez une erreur lorsque vous essayez de créer, mettre à jour ou supprimer des ressources.

Pour afficher et mettre à jour la règle d'organisation Define allowed APIs and services :

Règle d'administration Restrict VPC peering usage

Cette contrainte de liste définit l'ensemble des réseaux VPC autorisés à être appairés avec les réseaux VPC appartenant à une ressource donnée. Si les appairages sont refusés, vous recevez une erreur lorsque vous essayez de créer, mettre à jour ou supprimer des ressources. Découvrez comment afficher et mettre à jour la règle d'administration Restrict VPC peering usage.

Impossible de résoudre les ressources sur site à partir de Google Cloud

Si vous ne parvenez pas à résoudre les ressources sur site à partir de Google Cloud, vous devrez peut-être modifier votre configuration DNS. Découvrez comment configurer le transfert DNS pour résoudre les requêtes d'objets Microsoft AD non gérés dans les réseaux VPC.

Échecs de recherche DNS intermittents

Si vous rencontrez des échecs de recherche DNS intermittents lors de l'utilisation d'un schéma hautement disponible pour Cloud Interconnect ou plusieurs VPN, vous devez vérifier les configurations suivantes :

• Il existe une route pour 35.199.192.0/19.
• Le réseau sur site autorise le trafic à partir de 35.199.192.0/19 pour toutes les connexions Cloud Interconnect ou tunnels VPN.

Expiration du mot de passe du compte administrateur délégué

Si le mot de passe du compte administrateur délégué est arrivé à expiration, vous pouvez le réinitialiser. Assurez-vous de disposer des autorisations requises pour réinitialiser le mot de passe du compte administrateur délégué. Si vous le souhaitez, vous pouvez également désactiver l'expiration du mot de passe pour le compte.

Impossible d'afficher les journaux d'audit du service Microsoft AD géré

Si vous ne parvenez pas à afficher les journaux d'audit du service Microsoft AD géré dans la visionneuse de journaux ou l'explorateur de journaux, vous devez vérifier les configurations suivantes.

• La journalisation est activée pour le domaine.
• Vous disposez du rôle IAM roles/logging.viewer sur le projet où se trouve le domaine.