Project Active Directory PWA グループを解決できませんでした

概要:   Microsoft Project Web App セキュリティ グループの同期の際に、Microsoft Project Server 2010 が、Project Web App セキュリティ グループに対応する最上位レベルの Active Directory オブジェクトを解決できませんでした。この Project Web App グループについて、Active Directory 同期は失敗としてタグ付けされました。

原因:   次のいずれかの理由により、Project Server アプリケーション サーバーが Active Directory にアクセスできません。

• Project Server 2010 アプリケーション サーバーが、Active Directory ディレクトリ サービスの読み取りアクセス権がない SharePoint サービス アカウント (SA) のアカウントを使用しています。これは、ローカル コンピューター アカウントを使用するように SSP が構成されている場合に生じることがあります。

• 現在、Project Server 2010 アプリケーション サーバーがドメインにネットワーク アクセスできません。

• Project Server 2010 および Active Directory の通信に必要な TCP または UDP ポートが、Project Server 2010 アプリケーション サーバーと Active Directory ストアの間で開かれていません。これは、以下に示すポートをブロックするようにファイアウォールが構成されている場合に生じることがあります。

  • 389/UDP - LDAP: LDAP とは、ライトウェイト ディレクトリ アクセス プロトコルの略で、ディレクトリ サービスにアクセスするための標準的な方法を定めています。LDAP は、Active Directory ストアへのアクセスに使用される主要なプロトコルです。

  • 636/TCP - LDAP over SSL: Secure Sockets Layer (SSL) が有効なときには、転送および受信される LDAP データが暗号化されます。

  • 3268/TCP - Microsoft グローバル カタログ: Active Directory グローバル カタログはこのポートでリッスンします。

  • 3269/TCP - LDAP/SSL を使用する Microsoft グローバル カタログ: Microsoft グローバル カタログの SSL 接続はこのポートでリッスンします。

• Active Directory ストアに Active Directory グループが既に存在していません。たとえば、管理者によってグループが削除されました。

• Project Server アプリケーション サーバーの SA アカウントに、Active Directory グループまたはユーザー オブジェクトへの読み取りアクセス権がありません。

解決策:

• Project Server 2010 アプリケーション サーバーが使用する SA が使用するサービス アカウントが、Active Directory の読み取りアクセス権を持つドメイン アカウントであることを確認します。

• Project Server 2010 アプリケーション サーバーが Active Directory ドメインに参加していることを確認します。

• Project Server 2010 アプリケーション サーバーがネットワークにアクセスできることを確認します。

• 前のセクションで示した TCP および UDP ポートが Active Directory ストアと Project Server 2010 アプリケーション サーバーの間で開いていることを確認します。

• Office Project Server 2010 アプリケーション サーバーに格納されているのと同じ Active Directory GUID の Active Directory グループが Active Directory ストアに少なくとも 1 つ存在することを確認します。

• Active Directory サービス インターフェイス (ADSI) エディター ツールを使用して、個々の Active Directory グループおよびユーザー オブジェクトのセキュリティ権限を確認します。SA アカウントは、同期プロセスに関係するすべての Active Directory グループおよびユーザー オブジェクトを読み取ることができる必要があります。

  注意

  ADSI エディター ツールは、Active Directory ドメイン サービス (AD DS) ロールをインストールしてサーバーをドメイン コントローラーにする際に Windows Server 2008 で利用できます。また、提供されているリモート サーバー管理ツール (RSAT) キットの一部としても利用できます。詳細については、TechNet ライブラリの「リモート サーバー管理ツール パックをインストールまたは削除する」 (https://go.microsoft.com/fwlink/?linkid=143345&clcid=0x411) を参照してください。