Feilsøking: Bruker opprettes ikke i Active Directory fra eFeide

Denne artikkelen beskriver vanlige årsaker til at eFeide ikke klarer å opprette en bruker i Active Directory (AD), og gir fremgangsmåter for å identifisere og løse problemet. Artikkelen gjelder systemadministratorer og Feide-koordinatorer i kommuner som bruker eFeide med AD-integrasjon.

Slik leser du eksportloggen

Gå til den aktuelle brukeren i eFeide og åpne Brukerhistorikk. Tabellen viser alle eksportoperasjoner mot tilknyttede systemer.

Dersom kolonnen Eksportert er tom og kolonnen Feil inneholder en feilmelding for en Create-operasjon, har AD avvist opprettelsen. Les feilmeldingen og bruk seksjonene nedenfor til å identifisere årsaken.

Feilmelding: «Exception has been thrown by the target of an invocation»

Denne generiske .NET-feilmeldingen fra AD betyr at selve kallet mot AD ble utført, men at AD avviste forespørselen internt. Det finnes fire vanlige årsaker.

1. Rettighetsproblemer (Access Denied)

Tjenestekontoen som eFeide bruker mot AD, mangler nødvendige rettigheter til å opprette objekter i den aktuelle OU eller til å skrive til spesifikke attributter.

Vanlige årsaker:

• Tjenestekontoen har ikke rettigheter til å opprette objekter i den aktuelle OU (Organizational Unit).

• Tjenestekontoen mangler skrivetilgang til spesifikke attributter, f.eks. proxyAddresses eller manager.

Løsning: Kontroller at tjenestekontoen eFeide bruker mot AD, har riktige delegerte rettigheter i AD-strukturen. Ta kontakt med AD-administrator i kommunen for å justere tillatelsene.

2. Passordkrav ikke oppfylt

Dersom eFeide forsøker å opprette en bruker med et standardpassord, vil AD avvise forespørselen dersom passordet ikke tilfredsstiller domenets passordpolicy — for eksempel krav til lengde, kompleksitet eller passordhistorikk.

Løsning: Juster passordkravene i eFeide slik at de er minst like strenge som passordpolicyen i AD-domenet. Alternativt kan passordpolicyen i AD forenkles, men dette krever endring i AD-administrasjonsverktøyet.

3. Duplikat eller konflikt på unikt attributt

Active Directory avviser opprettelsen dersom et attributt som må være unikt i domenet, allerede er i bruk på en annen konto.

Vanlige årsaker:

• UserPrincipalName (UPN) er allerede i bruk på en annen AD-konto.

• sAMAccountName er allerede i bruk på en annen AD-konto.

• proxyAddresses (e-postadresse) finnes allerede på et annet objekt i AD.

Løsning:

1. Søk etter den aktuelle sAMAccountName eller UPN i AD for å identifisere konflikten.

2. Avklar om det eksisterer en gammel eller inaktiv konto med samme verdi.

3. Omdøp eller deaktiver den konflikterende kontoen i AD, eller juster navnelogikken for den aktuelle brukeren i eFeide.

4. Ugyldige data eller skjemabrudd

eFeide forsøker å skrive en verdi til et AD-attributt som ikke er tillatt i henhold til AD-skjemaet for det aktuelle domenet.

Vanlige årsaker:

• Et felt mottar feil datatype (f.eks. tekst der AD forventer tall).

• Et felt inneholder tegn som ikke støttes av attributtet (f.eks. spesialtegn i sAMAccountName).

• Et obligatorisk attributt mangler verdi og AD kan ikke opprette objektet.

Løsning: Kontroller hvilke attributter eFeide forsøker å skrive for den aktuelle brukeren under Brukerhistorikk → Detaljer. Identifiser feltet med ugyldig verdi og korriger datakilden (SAS) eller konfigurasjonsmappingen i eFeide.

5. Ambiguøs match — samme mergeattributt-verdi delt av to AD-kontoer

Dersom to AD-kontoer allerede har samme verdi i mergeattributten, kan ikke eFeide entydig avgjøre hvilken konto som tilhører brukeren som skal provisjoneres. Avhengig av situasjonen kan dette enten blokkere opprettelsen eller føre til at eFeide oppdaterer feil konto i stedet for å opprette en ny.

Dette kan skje når:

• Mergeattributt-verdien er satt manuelt på en AD-konto, utenom eFeides normale synkronisering.

• En tidligere ansatt eller elev fortsatt har en AD-konto med samme employeeNumber som en ny person har fått tildelt.

• To personer i kildesystemet har fått samme fødselsnummer, D-nummer eller ansattnummer på grunn av en registreringsfeil.

• En AD-konto ble migrert eller gjenopprettet fra sikkerhetskopi med en foreldet mergeattributt-verdi som senere er tildelt en annen person i SAS eller HR-systemet.

Løsning:

1. Søk i AD etter alle kontoer med mergeattributt-verdien fra eFeide-loggen eller brukeroppslaget, for eksempel: Get-ADUser -Filter {employeeNumber -eq "verdi"} -Properties employeeNumber.

2. Avklar hvilken konto som er riktig, gjeldende match. Korriger eller fjern mergeattributt-verdien på kontoen som feilaktig deler verdien.

3. Kjør en ny synkronisering når kun én AD-konto har mergeattributt-verdien.

6. Mergeattributt-verdi på en eksisterende konto matcher en annen person

I motsetning til årsak 5 er det her kun én AD-konto involvert — men verdien i mergeattributten på denne kontoen tilfeldigvis matcher identifikatoren til en annen person, som regel en som nå skal opprettes som ny bruker. eFeide finner denne ene eksisterende kontoen som en sikker match og oppdaterer den, i stedet for å opprette en ny konto til den nye brukeren. Det oppstår ingen tvetydighet fra eFeides ståsted, så dette gir som regel ingen feilmelding i det hele tatt: synkroniseringen fremstår som vellykket, men feil person blir koblet til kontoen.

Dette kan skje når:

• Skoleadministrativt system (SAS) eller HR-systemet gjenbruker ansattnummer etter at en person har sluttet, og en ny person senere får tildelt samme nummer som fortsatt ligger igjen på den tidligere personens AD-konto.

• Noen har lagt inn feil fødselsnummer, D-nummer eller ansattnummer manuelt på en eksisterende AD-konto, og denne verdien tilfeldigvis samsvarer med en annen persons faktiske identifikator.

• En datamigrering eller gjenoppretting har etterlatt en utdatert mergeattributt-verdi på en konto som SAS eller HR-systemet senere har tildelt til en annen person.

Løsning:

1. Gå til den nye brukeren i eFeide → Bruker → Brukeranker, og identifiser hvilken eksisterende AD-konto brukeren faktisk er blitt matchet og koblet mot.

2. Avklar hvem denne AD-kontoen egentlig tilhører, og hva riktig mergeattributt-verdi skal være for begge personene det gjelder.

3. Korriger mergeattributt-verdien på den feilaktig matchede AD-kontoen slik at den gjenspeiler sin faktiske eier, slik at verdien frigjøres for riktig person.

4. Gjenopprett brukeranker for den nye brukeren, og kjør en ny synkronisering slik at eFeide oppretter en ny AD-konto.

Andre feilmeldinger ved Create-operasjoner

Dersom feilmeldingen i eksportloggen ikke er Exception has been thrown by the target of an invocation, kan det dreie seg om:

• LDAP-feilkoder (f.eks. LDAP: error code 49) — indikerer autentiseringssvikt for tjenestekontoen.

• Nettverksfeil — eFeide når ikke AD-agenten. Kontroller at eFeide AD Agent kjører og at brannmurregler tillater trafikk.

• Tidsavbrudd — AD svarer ikke innen forventet tid. Kontroller AD-agentens logg og serverbelastning.

Ta kontakt med support@identum.no dersom feilen ikke lar seg løse med fremgangsmåtene over.

Relaterte artikler

• Koble ny Feidebruker til eksisterende AD-konto

• Hvordan kontrollere at passordsynkronisering fra eFeide til AD fungerer

• Synkronisere grupper og gruppemedlemskap i Active Directory

• Hva gjør jeg dersom synkroniseringen til eFeide har stanset?

Last updated: July 31, 2026