同期中に Project で Active Directory 例外が発生しました

概要:   同期処理の際、Microsoft Project Server 2010 は、LDAP クエリ内で Active Directory グループの GUID を使用して、エンタープライズ リソース共有元または Project Server セキュリティ グループにマップされている Active Directory グループへの参照の取得を試みます。LDAP クエリが失敗すると、Windows Server イベント ログに Active Directory の同期例外が記録されます。この例外が発生した場合は、通常、Active Directory の同期処理が部分的に失敗したか、完全に失敗したことを表します。

原因:   次のいずれかの理由で、Project Server アプリケーション サーバーが Active Directory ディレクトリ サービスにアクセスできません。

• Project Server アプリケーションサーバーが、Active Directory への読み取りアクセス権を持たない SharePoint SA アカウントを使用しています。

• Project Server アプリケーション サーバーが Active Directory ドメインに参加していない可能性があります。

• Project Server アプリケーション サーバーが、現在、ネットワークを通じてドメインにアクセスできません。

• Project Server 2010 と Active Directory が通信するために必要なポートが、Project Server 2010 アプリケーション サーバーと Active Directory ストアの間で開いていません。以下に示すポートをブロックするようにファイアウォールが構成されている場合に、この状態が発生する可能性があります。

  • 389/UDP – LDAP: LDAP (ライトウェイト ディレクトリ アクセス プロトコル) は、ディレクトリ サービスにアクセスするための標準的な手段です。LDAP は、Active Directory ストアにアクセスするときに使用される主要なプロトコルです。

  • 636/TCP – LDAP over SSL: SSL (Secure Sockets Layer) が有効の場合、送受信される LDAP データは暗号化されます。

  • 3268/TCP – Microsoft グローバル カタログ: Active Directory グローバル カタログは、このポートでリッスンします。

  • 3269/TCP – Microsoft グローバル カタログと LDAP/SSL: Microsoft グローバル カタログ SSL 接続は、このポートでリッスンします。

• Active Directory グループが Active Directory ストアに存在しません。たとえば、管理者がグループを削除した可能性があります。

• Project Server アプリケーション サーバーの SA アカウントが、Active Directory グループまたはユーザー オブジェクトへの読み取りアクセス権を持っていません。

解決策:

• Project Server アプリケーション サーバーが使用する SA アカウントが、Active Directory への読み取りアクセス権を持つドメイン アカウントであることを確認します。

• Project Server アプリケーション サーバーが Active Directory ドメインに参加していることを確認します。

• Project Server アプリケーション サーバーがネットワークにアクセスできることを確認します。

• Active Directory ストアと Project Server アプリケーション サーバーの間で上記のポートが開いていることを確認します。

• Active Directory ストア内に、Project Server アプリケーション サーバーに格納されている Active Directory GUID と同じ GUID を持つ Active Directory グループが 1 つ以上存在することを確認します。

• ADSI エディター ツールを使用して、個々の Active Directory グループおよびユーザー オブジェクトのセキュリティ権限を確認します。SA アカウントは、同期処理に関係するすべての Active Directory グループおよびユーザー オブジェクトを読み取れる必要があります。

  注意

  ADSI エディター ツールは、Active Directory ドメイン サービス (AD DS) ロールをインストールしてサーバーをドメイン コントローラーにする際に Windows Server 2008 で利用できます。また、提供されているリモート サーバー管理ツール (RSAT) キットの一部としても利用できます。詳細については、TechNet ライブラリの「リモート サーバー管理ツール パックをインストールまたは削除する」(https://go.microsoft.com/fwlink/?linkid=143345&clcid=0x411) を参照してください。