Hallo,
ich hatte letztens bei einem Kunden folgendes Problem:
Er hat mittels RSAT ein paar Änderungen an GPOs gemacht. (neu verlinkt o.ä.) Danach erschien plötzlich ein S4-Reject im Monitoring:
[code]root@firmas02:~# univention-s4connector-list-rejected
UCS rejected
S4 rejected
1: S4 DN: OU=UsersWin7,OU=Accounts,DC=firma,DC=local
UCS DN: ou=userswin7,ou=accounts,dc=firma,dc=local
last synced USN: 270962
[/code]
Dieses LDAP-Objekt ist höchst simpel:
root@firmas02:~# univention-ldapsearch -LLL -b "ou=userswin7,ou=accounts,dc=firma,dc=local"
dn: ou=UsersWin7,ou=Accounts,dc=firma,dc=local
objectClass: top
objectClass: organizationalUnit
objectClass: univentionObject
ou: UsersWin7
univentionObjectType: container/ou
Was man im Logfile sieht ist folgendes:
06.10.2016 16:29:28,994 LDAP (PROCESS): sync to ucs: Resync rejected dn: OU=UsersWin7,OU=Accounts,DC=firma,DC=local
06.10.2016 16:29:28,998 LDAP (PROCESS): sync to ucs: [ ou] [ add] ou=userswin7,ou=accounts,dc=firma,dc=local
06.10.2016 16:29:29,34 LDAP (ERROR ): Unknown Exception during sync_to_ucs
06.10.2016 16:29:29,35 LDAP (ERROR ): Traceback (most recent call last):
File "/usr/lib/pymodules/python2.7/univention/s4connector/__init__.py", line 1441, in sync_to_ucs
result = self.add_in_ucs(property_type, object, module, position)
File "/usr/lib/pymodules/python2.7/univention/s4connector/__init__.py", line 1223, in add_in_ucs
return ucs_object.create() and self.__modify_custom_attributes(property_type, object, ucs_object, module, position)
File "/usr/lib/pymodules/python2.7/univention/admin/handlers/__init__.py", line 352, in create
return self._create()
File "/usr/lib/pymodules/python2.7/univention/admin/handlers/__init__.py", line 784, in _create
self.lo.add(self.dn, al)
File "/usr/lib/pymodules/python2.7/univention/admin/uldap.py", line 396, in add
raise univention.admin.uexceptions.objectExists, dn
objectExists: ou=UsersWin7,ou=accounts,dc=firma,dc=local
Meine Frage ist nun, warum wird hier versucht diese OU neu zu erstellen? Sie existiert schon, das ist auch gut so und sie muss nicht erstellt werden. Hier ist auch keine Modifikation dieses Objekts vonnöten.
Um dem Problem auf die Spur zu kommen, haben wir dann die Gruppe in UsersWin71 im Samba umbenannt. (mit RSAT)
Diese Änderung wurde im Samba sofort übernommen (Gruppe erstellt & User in die neue Gruppe verschoben) - und im LDAP wurde die Gruppe auch gesynct.
Der Reject war dann weg.
Jedoch wurden die Benutzer im LDAP nicht in die neue Gruppe verschoben.
Warum passiert das nicht? bzw. ist das normal?
Wir haben die Benutzer dann manuell in die neue Gruppe verschoben und die alte Gruppe gelöscht.
Rejects waren weiterhin keine vorhanden.
Damit war das Problem vorerst aus der Welt, jedoch hat mich diese Woche der Kunde wieder angerufen: Er hat wieder einen Reject, weil es etwas in den GPOs geändert hat.
Ich würde das gerne nachhaltig auflösen und bin für jeden Ratschlag dankbar …