Feilsøking: Bruker ikke opprettet i Active Directory av eADM

Denne artikkelen beskriver de vanligste årsakene til at eADM ikke klarer å opprette en brukerkonto i Active Directory (AD), og gir veiledning i hvordan man kan identifisere og løse hver enkelt årsak. Den er rettet mot eADM-administratorer og IT-partnere som administrerer lokale AD-integrasjoner.

Hvordan lese eADM AD-eksportloggen

Den lokale eADM-klienten skriver en detaljert logg for hver eksportoperasjon. Denne loggen er det viktigste diagnostiske verktøyet når en brukerkonto ikke blir opprettet i AD.

Loggfilene kan lastes ned via Synkronisering->Status->Mer->Last ned eADM Client-logg. Alternativt finnes den vanligvis i C:\eADM\ eller en undermappe som ble konfigurert under installasjonen. Hver oppføring følger dette mønsteret:

DD.MM.YYYY HH:MM:SS - [action or result message]

En vellykket «Create»-operasjon logger hvert attributt som angis, etterfulgt av en linje som angir at det ikke foreligger noen feil. En mislykket «Create»-operasjon logger attributtssekvensen og avsluttes deretter med en feilkode og en feilmelding. Eksempel på en mislykket opprettelse fra en kjent supportsak:

23.07.2025 14:20:41 - Creating with LDAP://DC-SERVER/cn=Ola Nordmann,OU=eAdm,OU=Brukere,...\n23.07.2025 14:20:41 - Setting samAccountName to value 1001on\n23.07.2025 14:20:41 - Checking if upn is unique in domain ola.nordmann@eksempel.kommune.no\n23.07.2025 14:20:41 - Setting userPrincipalName to value ola.nordmann@eksempel.kommune.no\n23.07.2025 14:20:41 - 173585349|The object already exists.

Feilmeldingene følger dette formatet ERROR_CODE|Error message text. Feilkoden og feilmeldingen sammen angir årsaken. Legg merke til den siste vellykkede attributtlinjen før feilen oppstod – dette gjør det lettere å finne ut hvor i AD operasjonen ble avvist.

Vanlige årsaker og løsninger

1. Duplikatobjekt — brukeren finnes allerede i AD

eADM forsøker å opprette et objekt med et distinkt navn (DN) eller med et sAMAccountName som allerede finnes i AD. AD avviser operasjonen med en feilmelding som for eksempel The object already exists.

Dette kan skje når:

• To ansatte deler den samme genererte sAMAccountName (f.eks. begge blir til 1001on).

• En tidligere slettet brukerkonto ble ikke fullstendig fjernet fra AD, og det finnes fortsatt en «tombstone» eller et gjenbrukt objekt.

• Brukeren ble opprettet manuelt i AD før eADM forsøkte å utføre provisjonering.

• To brukere har samme fødselsdato, noe som fører til en konflikt i en regel for generering av brukernavn basert på dato.

Beslutning:

1. Søk i AD etter sAMAccountName eller CN-koden som vises i loggen for å identifisere objektet som forårsaker konflikten.

2. I eADM åpner du den berørte brukeren og sjekker feltet «AD-brukernavn ». Hvis to brukere har samme verdi, må du korrigere verdien for én av dem via eADM-konfigurasjonen eller ved å endre regelen for generering av brukernavn.

3. Hvis det finnes et foreldet objekt i AD, må du fjerne det eller flytte det ut av målorganisasjonsenheten (OU), og deretter utløse en ny synkroniseringssyklus.

2. Utilstrekkelige rettigheter på tjenestekontoen

Tjenestekontoen som eADM bruker for å koble seg til AD, har ikke rettigheter til å opprette objekter i målorganisasjonsenheten (OU), eller mangler skrivetilgang til ett eller flere attributter som angis under opprettelsen.

Vanlige årsaker:

• Tjenestekontoen har ikke Rettighet til å opprette underordnede objekter i målorganisasjonsenheten.

• Tjenestekontoen mangler skriveRettighet for bestemte attributter, for eksempel proxyAddresses, manager, eller employeeNumber.

• OU-strukturen ble endret etter at den opprinnelige delegeringen ble konfigurert, og tjenestekontoens rettigheter omfatter ikke lenger den nye mål-OU-en.

Løsning: Gjennomgå de delegerte Rettighetne i målorganisasjonsenheten (OU) i AD. Sørg for at eADM-tjenestekontoen har minst følgende:

• Opprett og slett brukerobjekter i målorganisasjonsenheten.

• Skriveadgang til alle attributter som er konfigurert i eADM-eksportmalen for den aktuelle brukertypen.

Ta kontakt med kundens AD-administrator for å justere de delegerte rettighetene. Ikke tildel eADM-tjenestekontoen rettigheter som domeneadministrator.

3. Kravene til passordets kompleksitet er ikke oppfylt

Hvis eADM er konfigurert til å kreve at det angis et passord ved opprettelse av en ny konto, vil AD avvise opprettelsen dersom passordet ikke oppfyller domenets passordretningslinjer – herunder krav til minimumslengde, kompleksitetsregler eller passordhistorikk.

Løsning: Gjennomgå standardpassordet som er konfigurert i eADM-eksportmalen, og sammenlign det med domenets detaljert passordpolicy (hvis aktuelt) eller standarddomenepolicyen. Passordet som eADM angir ved opprettelse av kontoen, må oppfylle alle kravene i policyen.

4. Ugyldige data eller brudd på skjemaet

eADM forsøker å skrive en verdi til et AD-attributt som skjemaet ikke tillater for det aktuelle domenet — for eksempel en verdi med feil datatype, en verdi som inneholder tegn som ikke støttes, eller et obligatorisk attributt som mangler.

Vanlige årsaker:

• Den sAMAccountName inneholder tegn som ikke er tillatt i AD (f.eks. mellomrom, skråstreker eller utvidede tegn).

• Et obligatorisk AD-attributt som kreves av en skjemautvidelse, er ikke tilordnet i eADM-eksportmalen.

• Den manager attributtet refererer til et DN som ikke finnes i AD, slik det fremgår av An invalid dn syntax has been specified i loggen.

• Den Overordnet sti (parentPath) som er konfigurert i eADM-eksportmalen for aktive brukere, er feil eller mangler for den berørte brukeren, noe som fører til et ugyldig mål-DN.

• Brukeren opprettes med en CN en verdi som ikke er gyldig i AD, for eksempel en verdi som inneholder tegn som AD ikke tillater i et relativt distinkt navn.

• Et numerisk felt i eksportmalen sender en strengverdi.

Løsning: Finn den siste attributtlinjen som ble skrevet til loggen før feilen oppstod. Gjennomgå verdien som er angitt for dette attributtet i eADM-eksportmalen og kildedataene fra HR. Rett enten datakartleggingen i eADM eller kildeverdien i HR-systemet, og utløs deretter en ny synkronisering.

5. Nettverks- eller tilkoblingsfeil til AD-agenten

eADM-skytjenesten får ikke kontakt med den lokale eADM-klienten på stedet, eller den lokale klienten får ikke kontakt med AD-domenekontrolleren. I dette tilfellet blir det ikke skrevet noen loggoppføringer for den berørte synkroniseringssyklusen, eller loggen viser en tidsavbrudds- eller tilkoblingsfeil i stedet for en AD-spesifikk feilkode.

Beslutning:

1. Kontroller at den lokale eADM-klienttjenesten eller den planlagte oppgaven kjører på den lokale serveren.

2. Kontroller at utgående HTTPS-trafikk (port 443) er tillatt fra serveren til eADM-skyendepunktet.

3. Kontroller at serveren kan nå AD-domenekontrolleren på den nødvendige LDAP-porten (389 eller 636).

4. Sjekk Windows Hendelsesvisning på serveren for å se etter tilkoblings- eller tjenestefeil.

6. Tvetydig samsvar — samme verdi for «mergeattribute» deles av to AD-kontoer

Hvis to AD-kontoer allerede har samme verdi i det konfigurerte mergeattribute, kan ikke eADM entydig fastslå hvilken konto som tilhører brukeren som skal opprettes. Avhengig av situasjonen kan dette enten hindre opprettelsesoperasjonen eller føre til at eADM oppdaterer feil konto i stedet for å opprette en ny.

Dette kan skje når:

• Verdien for «mergeattribute» ble angitt manuelt på en AD-konto utenfor eADMs provisjoneringsprosess.

• En AD-konto som er igjen fra en tidligere ansettelsesperiode har fortsatt de samme employeeID eller employeeNumber som nyansatt.

• To HR-poster har samme employeeID eller employeeNumber på grunn av en feil ved dataregistreringen i kilde-HR-systemet.

• En AD-konto ble migrert eller gjenopprettet fra en sikkerhetskopi med en utdatert verdi for «mergeattribute», som siden har blitt tildelt en annen ansatt i HR.

Beslutning:

1. Søk i AD etter alle kontoer som har den verdien for «mergeattribute» som vises i eADM-loggen eller brukeroppføringen, for eksempel: Get-ADUser -Filter {employeeID -eq "value"} -Properties employeeID.

2. Bekreft hvilken konto som er den riktige og gjeldende tilknytningen til HR-posten. Fjern eller korriger verdien for «mergeattribute» på alle andre kontoer som feilaktig har samme verdi.

3. Gjenopprett de berørte brukerne i eADM, slik at koblingene til de tilsvarende brukerne i AD blir rettet opp.

7. Verdien av «Mergeattribute» på en eksisterende konto samsvarer med en annen bruker

I motsetning til årsak 6 er det her kun én AD-konto involvert – men verdien for «mergeattribute» tilfeldigvis samsvarer med identifikatoren til en annen person, vanligvis en som nettopp er i ferd med å bli opprettet. eADM identifiserer denne ene eksisterende kontoen som et sikkert treff og oppdaterer den, i stedet for å opprette en ny konto for den nye brukeren. Fra eADMs perspektiv er det ingen tvetydighet, så dette gir vanligvis ingen feilmelding i det hele tatt: synkroniseringen ser ut til å lykkes, men feil person blir til slutt knyttet til kontoen.

Dette kan skje når:

• HR-systemet gjenbruker ansattnumre etter at en ansatt slutter, og en nyansatt tildeles senere det samme nummeret som fremdeles finnes på den tidligere ansattes inaktive AD-konto.

• Noen har manuelt lagt inn feil employeeID eller employeeNumber en verdi på en eksisterende AD-konto, og denne verdien tilfeldigvis sammenfaller med en annen ansattes faktiske identifikator.

• En datamigrering eller gjenoppretting førte til at en foreldet verdi for «mergeattribute» ble stående på en konto som HR siden har tildelt en annen person.

Beslutning:

1. I eADM skal du identifisere hvilken eksisterende AD-konto den nye brukerens oppføring er blitt sammenstilt med og oppdatert mot, i stedet for at det opprettes en ny konto.

2. Bekreft hvem den aktuelle AD-kontoen faktisk tilhører, og hva den riktige verdien for «mergeattribute» bør være for begge de involverte personene.

3. Rett verdien for «mergeattribute» på den feilaktig tilknyttede AD-kontoen, slik at den gjenspeiler den faktiske eieren, og frigjør dermed verdien for den riktige personen.

4. Gjenopprett de berørte brukerne i eADM, slik at koblingene til de tilsvarende brukerne i AD blir rettet opp.

Diagnostisk sjekkliste

Relaterte artikler

• Feilsøking av System.ServiceModel.FaultException i eADM-lokale klientlogger

• Oppdatering av brukerdata i eADM

Sist oppdatert: 31. juli 2026