Hvordan feilsøke brukere med et ugyldig brukeranker i Active Directory

Når en bruker i eADM mangler en gyldig brukerankerendringer og gruppemedlemskap fra eADM ikke blir kommunisert til Active Directory (AD). Du kan identifisere dette problemet når brukerens ankerverdi enten mangler eller ikke er en gyldig objectGUID.

Slik identifiserer du et ugyldig brukeranker

Du kan sjekke kolonnen "Anchor" i brukerlisten.

Ugyldig anker: Verdien i "Anchor"-kolonnen mangler eller har samme verdi som brukerens interne eADM-ID.
- Id: 278540
- Anker: 278540

Gyldig anker: Verdien i "Anchor"-kolonnen er en gyldig GUID (Globally Unique Identifier).
- Id: 171381
- Anker: 9366034e-c04b-4523-8943-ef49d38ce994

Sjekkliste for feilsøking

Følg disse trinnene for å feilsøke og fikse brukere med et ugyldig brukeranker.

1. Se etter dupliserte brukere i AD.

Først må du kontrollere at det ikke finnes en duplikatkonto for brukeren i Active Directory

2. Bekreft brukerattributter.

Sørg for at brukeren har riktig ansattnummer og/eller fødselsnummer i employeeID og employeeNumber attributter i AD. Dette er de unike identifikatorene eADM bruker for å matche brukere med eksisterende AD-kontoer.

3. Kontroller for AD Object Protection

AD-brukerobjektet må ikke være beskyttet mot utilsiktet sletting. Denne innstillingen må være deaktivert for at eADM skal kunne slå sammen, oppdatere og flytte brukere, grupper og OU-er i AD.

Du finner denne innstillingen i brukerens Egenskaper -> Objekt-fanen i "Active Directory-brukere og -datamaskiner".

Merk: Hvis du vil fjerne dette beskyttelsesflagget fra flere brukere samtidig, kan du bruke følgende PowerShell-skript.

CODE

PowerShell

CODE

Get-ADObject -Filter * -SearchBase 'OU=TestOU, DC=Vision, DC=local' | `
ForEach-Object -Process {
    Set-ADObject -Identity $_ -ProtectedFromAccidentalDeletion $false
}

4. Bekreft stien til organisasjonsenheten (OU)

Kontroller at brukeren befinner seg i en OU som er dekket av MergePath i c:\eadm\eadm.client.exe.config fil.

CODE

XML

CODE

<add key="MergePath_N0961381630" value="OU=Groups|OU=Users"/>

Merk: Banen skal bare inneholde OU-er. Du trenger ikke å inkludere DC (Domain Component)-delen av banen, da denne er definert i Domain innstilling.

Løsning på problemet

Når du har kontrollert alle punktene i sjekklisten, kjører du funksjonen Restore User Anchor i eADM for den aktuelle brukeren.

Deretter kan du enten kjøre en manuell synkronisering eller vente på neste planlagte synkronisering.

Sjekk brukerens ankerverdi i eADM på nytt.

Advarsel: Hvis ankeret fortsatt ikke er riktig tildelt etter disse trinnene, kan du sende loggfilen fra c:\eadm\logfiles til Identum support for ytterligere hjelp.

Masseoperasjoner for ugyldige ankere

Du kan finne alle brukere som mangler et gyldig brukeranker ved å gå til siden Synkroniseringsstatus og klikke på knappen "Objekter med ugyldig brukeranker" (ikonet vises med en rød pil i kildedokumentet).

Fra denne visningen kan du forsøke å gjenopprette alle ugyldige ankere på én gang