トラブルシューティングのヒント

ターゲットマシンがユーザーパスワードをリセットする間に接続することができなかった場合、このエラーが出ます。これは、ADSelfService Plusを実行しているマシンに関連付けられたDNSが、ユーザーアカウントが作成されているドメインコントローラーを指していない時に発生します（両方とも異なるドメインにある可能性があります）。

質問

3.ユーザーパスワードをリセット中にこのエラーが出ます：「パスワードの設定エラー。名前付けの違反が発生しました。エラーコード：80072037」。

このエラーの原因として考えられるのは、パスワードが許可されない特殊文字を含んでいるということです。

質問

4.ユーザー情報をアップデート中にこのエラーが出ます：「サーバーは要求を処理しません。エラーコード：80072035」。

このエラーの原因として考えられるのは、SAMAccountName形式が複数のユーザーのために修正される場合、1人以上のユーザーが同じSAMAccountNameを持っている、ということです。

質問

5.ユーザー情報をアップデート中にこのエラーが出ます：「ターミナルサービスプロパティィの設定エラー。指定されたユーザーは存在しません。エラーコード：525」。

考えられる理由は、製品を実行するユーザーまたはシステムアカウントがターゲットドメインでアカウントを持っていない、というものです。ターミナルサービスのプロパティは、ADSelfService Plusを実行するユーザーアカウントまたはシステムアカウント（ADSelfService Plusがサービスとして実行されている場合）が、ターゲットドメインにアカウントを持っている場合にのみ設定できます。

質問

6.ADSelfService Plusを使用してExchangeの属性を更新しましたが、Exchange Serverのプロパティが更新されていません。

ADSelfService Plusは、Active DirectoryのExchangeプロパティを変更します。変更は、Exchange Serverに直ちに反映されないかもしれませんが、それはある程度の時間の後に確かに更新されます。

質問

7.ユーザーのターミナルサービスプロパティを設定できませんが？

考えられる理由は、製品を実行するユーザーまたはシステムアカウントがそのドメインでアカウントを持っていない、というものです。

ユーザーまたはシステムアカウントを使用してADSelfService Plusを起動する方法については、このセクションを参照してください。

質問

8.ユーザーを修正すると、このエラーが出ます：「システムに接続されているデバイスが機能していません - エラーコード：8007001f」。

このエラーとして考えられる理由は、ユーザーを修正している時に、許可されない形式が名前付け属性に選ばれた、というものです。たとえば、ログオン名に選択された形式がLastName.FirstName.Initialsであり、ユーザーが指定された属性を持っていない場合、このエラーが発生します。

質問

9.ユーザーのメールアドレスが表示されないか、正しく設定されません。

可能性のある理由は以下の通りです：

電子メールが受信者ポリシーに従って設定されていない可能性があります。受信者ポリシークエリーのすべてのldap属性が特定の値に対して設定されているかチェックしてください。
2. 電子メール属性が、ユーザーに対して適切に指定されなかった可能性があります。例えば、ドメインが電子メール属性に対して値を入力する時に指定されなかった可能性があります。つまり、電子メールアドレスがxyz@company.comである場合に、「@company.com」が入力されなかったかもしれません。

質問

10.エラー - サーバーはパスワードのリセット中に送られた要求を拒否しました。入力されたパスワードがパスワードの複雑さ要件を満たしていません。

可能性のある理由は以下の通りです：提供したパスワードが、指定された「パスワードの複雑さ要件」を遵守していない可能性があります。

例：パスワードの複雑さとは、パスワードに特定の長さを指定することであったり、あるいは使用できる文字数、もしくはログインの試行回数の制限をすることなどを指します。提供された新しいパスワードが指定された複雑さの要件を満たしていない場合、このエラーが発生します。

質問

11.エラーコード：8007052e

このエラーの理由：提供された証明書が無効です。

質問

12.エラーコード：80070775

このエラーの理由：参照されたアカウントが現在ロックされログオンできません。

質問

13.エラーコード：800708c5

このエラーの理由：パスワードがパスワードポリシーの要件を満たしていません。提供されたパスワードが最小パスワード長、パスワードの複雑さおよびパスワード履歴の要件を満たしているか確認してください。

質問

14.ユーザーが見つかりません。検索クエリのLDAP属性を確認してください。

このエラーの理由：提供された基準用のActive Directoryに一致するユーザーがいません。「ADのユーザーの一致条件」で提供されているクエリで確認して、正しい一致属性を選択してください。これは、[ADで更新]ボタンをクリックし、[属性の選択]を展開することで取得できます。

質問

Active Directoryのパスワード変更

エンドユーザーがセルフサービスポータルからパスワードを変更しようとすると、このエラーが出る：パスワードの変更に問題があります。トラブルシューティングするには管理者にお問い合わせください。

次の前提条件が満たされているかどうかをチェックしてください。

PowerShellバージョン
ドメインコントローラーのOS要件
ポート要件
ドメインアカウント要件

PowerShellバージョン

PowerShell 2.0以上が、ADSelfService Plusがインストールされているマシンの中にあるかどうかをチェックしてください。

PowerShellを管理者として開きます。
そのバージョン番号を$PSVersionTableのコマンドを実行して確認してください。
バージョンが2.0以下である場合、PowerShellのより高いバージョンをここからインストールしてください。

チェックリスト

メインコントローラーのOS要件

Windows Server 2008 r2以降を実行する少なくとも1つのドメインコントローラーがあることを確認して、それを最初の構成済みドメインコントローラーにしてください。

ADSelfService Plusのコンソールでドメイン設定に移動してください。
[ドメインコントローラーのリスト]のボックスで、Windows Server 2008 r2以降を実行するドメインコントローラーを選択し、隣接した「上」矢印をクリックして、それをリストで最初の構成済みドメインコントローラーにしてください。
[保存]をクリックします。

代替のソリューション (推奨されません)

Windows Server 2008 r2以降を実行するドメインコントローラーがない場合、ADSelfService Plusがインストールされているマシンから、この問題を引き起こしたWindowsのアップデートを削除する必要があります。このリンクを訪れることにより、オペレーティングシステムに基づいてアンインストールされる必要のある正確なアップデートを識別することができます。

Windowsアップデートをアンインストールするためのステップ。

[コントロールパネル] --> [プログラム]の順に進んで、[プログラムと機能]の下で[インストールされたアップデートを表示]を選択します。
特定のアップデートを検索して、次に[アンインストール]をクリックしてください。
サーバーを再起動します。

チェックリスト

ポート要件

ポート5985を通した通信が、製品で構成された最初のドメインコントローラーで有効化されているかどうかチェックしてください

ADSelfService Plusがインストールされているマシンの管理者としてコマンドプロンプトを開き、telnet <DC-Name> 5985のコマンドを入力してください。
コマンドが接続失敗のエラーメッセージを返す場合は、ドメインコントローラーのファイアウォール中のポート5985を開いてください。

チェックリスト

構成されたアカウント権限

ドメイン設定を構成するために使用されたアカウントが、非管理上のアカウントかどうかチェックしてください。

ADSelfService Plusのドメイン設定の最初のドメインコントローラーで実行されるステップ。

[services.msc]を開き、[Windowsリモート管理のサービス]を開始します。
PowerShellを管理者として開きます。
次のコマンドを入力：Set-PSSessionConfiguration Microsoft.Powershell –ShowSecurityDescriptorUI
確認するように促されたら次の2ステップに対して「Y」を入力します。
[追加]をクリックします。
ドメイン設定が構成された先のユーザーアカウントを検索し、それに対してフルコントロール (すべての操作) の許可を与えます。
以下のPowerShell cmdletsをドメインコントローラーで実行してください。できればADSelfService Plusのドメイン設定で構成されたリスト中の最初のドメインコントローラーで実行してください： Enable-PSRemoting -Force Set-Item wsman:/localhost/client/TrustedHosts "ADSelfServicePlus-Server-Name" -Force Restart-Service WinRM

ADSelfService Plusがインストールされているマシンで実行されるステップ

ADSelfService Plusがインストールされているマシンで以下のPowerShell cmdletsを実行してください：Enable-PSRemoting –Force Set-Item wsman:/localhost/client/TrustedHosts "DC-Name" –Force Restart-Service WinRM

cmdletsが正常に実行されたかどうかをチェックするには、ADSelfService Plusがインストールされているマシンで以下のコマンドを実行してください:

Invoke-Command -ComputerName DC-Name -ScriptBlock { ipconfig } -credential $Cred

cmdletsが正常に実行されている場合には、このコマンドは、ドメインコントローラーのIP詳細を印刷します。

チェックリスト

Active Directoryのレポート

詳細を指定してレポートを生成すると、「利用可能な結果はありません」または「不完全なデータです」と表示されます。
詳細を指定してサービスアカウントレポートを生成すると「読み取る許可がありません」が表示されます。
ADレポートに、Active Directoryに存在しないオブジェクトが表示されます。

1.詳細を指定してレポートを生成すると、「利用可能な結果はありません」または「不完全なデータです」と表示されます。

可能性のある理由は以下の通りです：

1. ADSelfService Plusは、動作していないか、ネットワークに問題があるため、ドメインコントローラーに接続できなかった。
2. 複数のドメインコントローラーが存在する環境において、すべてのドメインコントローラーでデータが複製されなかった。
3. 非アクティブなユーザーとコンピューターを決定するために使用される最終ログオン時刻が、すべてのドメインコントローラーで複製されていない。そのため、ADSelfService Plusのドメイン設定ですべてのドメインコントローラーを指定して、ADSelfService Plusがすべてのドメインコントローラーからデータを取得できるようにする必要があります。
4. パスワードポリシーが設定されていない場合（つまり、Max Password Ageがゼロに設定されている場合）、「パスワード期限切れユーザー」のレポートと「パスワード期限切れ間近のユーザー」のレポートはデータを持っていません。

質問

2.詳細を指定してサービスアカウントレポートを生成すると「読み取る許可がありません」が表示されます。

選択されたコンピューターのLSAポリシーオブジェクトを読むためにADSelfService Plusのドメイン設定で提供されるユーザーアカウントに許可がない場合、これが生じます。

質問

3.ADレポートに、Active Directoryに存在しないオブジェクトが表示されます。

この不一致は、ADSelfService PlusのデータがActive Directoryのデータと同期されていない場合に発生する可能性があります。データ同期は毎日午前1時に行われます。その時点でADSelfService Plusが実行されていない場合、「ドメイン設定」からそのドメインの「アクション」列にある refresh コンをクリックして、手動でデータ同期を開始できます。

質問

トラブルシューティングGINA

次のエラーメッセージを受け取りました：「リモートサービスへの初期接続。失敗」。どうしてですか？
次のエラーメッセージを受け取りました：「ネットワークのパスは見つかりません/無効な証明書です」。どうしてですか？
次のエラーメッセージを受け取りました：「ネットワークパスが見つかりませんでした」。どうしてですか？
クライアントマシンにMSIファイル「ADSelfServicePlusClientSoftware.msi」をコピーすることができませんでした。どうしてですか？
クライアントマシン、ADMIN$に接続することができませんでした。アクセスが拒否されました。
ログオン失敗：ターゲットアカウント名が間違っています。
ログオン失敗：未知のユーザー名、あるいはパスワードが不正です。
もう一つのインストールがすでに進行中です。
リモートサービスを起動できませんでした。オーバーラップしたI/O動作が進行中です。

1.次のエラーメッセージを受け取りました：「リモートサービスへの初期接続。失敗」。なぜでしょうか？

ターゲットコンピューターに接続できなかった場合、このエラーが生じることがあります。

そのようなコンピューターが本当に存在するか確認してください。もし存在するのであれば、ネットワークに接続されていることを確認してください。
接続を確認するには、ADSelfService PlusがインストールされているサーバーからそのコンピューターをPingしてください。

2.次のエラーメッセージを受け取りました：「ネットワークのパスは見つかりません/無効な証明書です」。なぜでしょうか？

ターゲットコンピューターに接続できなかった場合、このエラーが生じることがあります。

そのようなコンピューターが本当に存在するか確認してください。もし存在するのであれば、ネットワークに接続されていることを確認してください。
接続を確認するには、ADSelfService PlusがインストールされているサーバーからそのコンピューターをPingしてください。

3.次のエラーメッセージを受け取りました：「ネットワークパスが見つかりませんでした」。なぜでしょうか？

ターゲットコンピューターに接続できなかった場合、このエラーが生じることがあります。

そのようなコンピューターが本当に存在するか確認してください。もし存在するのであれば、ネットワークに接続されていることを確認してください。
接続を確認するには、ADSelfService PlusがインストールされているサーバーからそのコンピューターをPingしてください。

4.クライアントマシンにMSIファイル「ADSelfServicePlusClientSoftware.msi」をコピーすることができませんでした。なぜでしょうか？

考えられる理由：クライアントマシンへのアクセスに十分な権限を所有していません。

ソリューション: それがアプリケーションとして実行されている場合、ADSelfService Plusの「ドメイン設定」で提供される証明書をアップデートしてください。それがサービスとして実行されている場合は、「Services.msc」を編集して[ログオン]タブからサービスアカウントの証明書をアップデートしてください。

5.クライアントマシン、ADMIN$に接続することができませんでした。アクセスが拒否されました。

原因：管理者共用機能が有効化されていない可能性があります。

ソリューション: クライアントコンピューターで管理者共用を有効化して、管理者共用にアクセスするのに必要な許可を持っているユーザー証明書を使用し、ADSelfService Plusのドメイン設定を構成してください。

手順1：管理者共用を有効にする

クライアントコンピューターで、[開始] --> [実行]の順に進んで、「gpedit.msc」を入力し、[Enter]キーを押してください。
[管理テンプレート] --> [ネットワーク] --> [ネットワーク接続] --> [Windowsファイアウォール]の順に進みます
[ドメインプロファイル]をクリックし、次をクリックします。[Windowsファイアウォール：着信リモート管理例外を許可]
[有効化]を選択し、[OK]をクリックします

手順2：管理者共用にアクセスする許可を持っているユーザーアカウントで、ADSelfService Plusのドメイン設定をアップデートします。

ADSelfService Plusがコンソールモードで実行されている場合、ADSelfService Plusの[ドメイン設定]下で提供されている証明書をアップデートしてください。
ADSelfService Plusがサービスとして実行されている場合は、「Services.msc」のプロパティを編集して[ログオン]タブからサービスアカウントの証明書をアップデートしてください。

ログオン失敗：入力されたアカウント名が間違っています。

このエラーは、2つのコンピューターが同じコンピューター名を保有している場合に発生します。1つのコンピューターは子ドメインにあります。もう片方が親ドメインにあります。

ログオン失敗：未知のユーザー名、あるいはパスワードが不正です。

理由：管理者共用機能が有効化されていない可能性があります。

ソリューション：適切な管理証明書を使用してドメイン設定（コンソールとして実行するとき）/ログオンタブ（サービスとして実行するとき）を構成します

もう一つのインストールがすでに進行中です。

ソリューション: 数分後に再インストールをしてみてください。

リモートサービスを起動できませんでした。オーバーラップしたI/O動作が進行中です。

ソリューション: クライアントマシン上の「リモート登録」および「サーバー」サービスを有効化してみてください。

接続がタイムアウトしました。

IPソリューションへのコンピューター名は問題ありませんが、コンピューターが応答していません。
ターゲットコンピューターがオンになっていて、ADSelfService PlusがインストールされているサーバーからPingできるかどうかをチェックしてください。

接続が拒否されました。

Macクライアントを開いてください。[システム設定] --> [共有]の順に進んで、[リモートログイン]が有効化されているかチェックしてください。
[ドメイン設定]で提供されているユーザーアカウントが、[リモートログイン]アクセスを有効化しているかチェックしてください。

ログオン失敗：未知のユーザーネーム、あるいはパスワードが不正です

(または)

4.許可が拒否されました。

「ドメイン設定」で提供した証明書が、Macクライアントに対して管理上の権限を持っているかチェックしてください。
Macクライアントを開いてください。[システム設定] --> [ユーザー&グループ] --> [ログインオプション] --> [編集] --> [ディレクトリユーティリティを開く]の順に進みます。
MacクライアントがActive Directoryに加わるのに使った「サービス」をダブルクリックしてください。ユーザーが「管理を許可された者のリスト」に入っているかどうかチェックしてください。
また、[ディレクトリユーティリティ]の[ディレクトリエディタ]に進み、Active Directoryのノードが、「ドメイン設定」で提供されているユーザー証明書で接続できるかどうかチェックしてください。

プッシュ通知のトラブルシューティング

エラーコード：70050A、エラーコード：70060AA、エラーコード：70060AI、エラーコード：70050CF、エラーコード：70050ACF、エラーコード：70050ICF
エラーコード：70050PF、エラーコード：70050APF、エラーコード：70050IPF

エラーコード：70060AA、エラーコード：70060AI、エラーコード：70050CF、エラーコード：70050ACF、エラーコード：70050ICF。

これらのエラーは、無効なプッシュ通知証明書あるいはプッシュサーバー側の問題により生じます。問題を解決するにはADSelfService Plusのサポートチームにお問い合わせください (support@adselfserviceplus.com)。

エラーコード：70050A、エラーコード：70050PF、エラーコード：70050APF、エラーコード：70050IPF

ファイアウォールのセットアップ中に必要なポートおよびIP/ホストアドレスが開かれない場合に、このエラーが現われます。

ADSelfService PlusウェブサーバーがAppleとGoogleのプッシュサーバーと通信することができるように、ファイアウォールのセットアップ中に以下のポートを開いてください：
- Appleのサーバーの場合：5223、2195、2196、443
- Googleのサーバーの場合：5228、5229、および5230、80/443
また、以下のIP/ホストアドレスへのアクセスを与える必要があります。
- Appleのサーバーの場合：gateway.push.apple.comおよびfeedback.push.apple.com
- Googleのサーバーの場合：ポート80/443によるすべての発信IP、あるいは単にGoogle ASN IPを開きます。

注記：組織のポリシーで上記のIPのブロック解除が許可されていない場合、組織のポリシーに従ってプロキシサーバー経由でこれらのIPへリクエストを送ってください。プロキシサーバーを使用する場合、製品でプロキシ設定を構成することを忘れないでください。

SMSサーバー設定とSSLHandshakeExceptionのトラブルシューティング

説明：この例外は、ADSelfService PlusのSSLでSMTPメールサーバーまたはウェブサーバーを構成し、そのサーバーが自己署名証明書を使用した場合に発生します。ADSelfService Plusで使用されるJava Runtime Environmentは、明示的にインポートされない限り、自己署名証明書を信頼しません。

ソリューション: サーバーで使用される自己署名証明書を、ADSelfService Plusで使用されるJREパッケージにインポートする必要があります。以下の手順に従います：

手順1：証明書をダウンロードする

SMTPサーバーの場合：
注記：SMTPサーバーが使用する証明書をダウンロードするには、OpenSSLがインストールされている必要があります。OpenSSLはここからダウンロードできます。
- コマンドプロンプトを開き、OpenSSLがインストールされている場所のbinフォルダに移動します。
- 次のコマンドを実行します。
- openssl.exe s_client -connect SMTPServer:Portno -starttls smtp > certificatename.cer
- 例：openssl.exe s_client -connect smtp.gmail.com:587 -starttls smtp > gmailcert.cer
ウェブサーバーの場合：
- ブラウザでウェブURLを開きます。
- アドレスバーの南京錠アイコンをクリックします。
- [詳細情報]をクリックします。これにより、そのウェブサーバーで使用されている証明書を示す証明書ビューアのウィンドウが開きます。
- [証明書を表示する]をクリックします。
- 証明書情報機関を表示する証明書情報ウィンドウが表示されたら、[詳細]タブをクリックします。
- [ファイルにコピーする]をクリックします。
- 証明書のエクスポートウィザードが表示されたら、[次へ]をクリックします。
- DREでエンコードされたバイナリX.509（.CER）の形式を選択し、[次へ]をクリックします。
- ファイルを保存するパスを入力し、[完了]をクリックします。

手順2：ADSelfService PlusのJREパッケージで証明書をインポートします

コマンドプロンプトを開き、\jre\binフォルダに変更します。例：C:\ManageEngine\ADSelfService Plus\jre\bin
次のコマンドを実行します
Keytool -importcert -alias myprivateroot -keystore ..\lib\security\cacerts -file
例：Keytool -importcert -alias myprivateroot -keystore ..\lib\security\cacerts -file C:\smtpcert.cer
パスワードの入力を求められたら「changeit」を入力します
「はい」または「いいえ」とプロンプトが表示されたら「y」を入力します
コマンドプロンプトを閉じて、ADSelfService Plusを再起動します。