Active DirectoryおよびVAの包括エラーのトラブルシューティング

概要

このドキュメントでは、Active Directoryと仮想アプライアンスのUmbrellaエラーのトラブルシューティングについて説明します。

問題

このドキュメントでは、「サイトおよびActive Directory」ページに表示される一般的なエラー、警告、および情報メッセージの概要と、解決手順について説明します。

仮想アプライアンス、Active Directory(AD)コネクタ、またはドメインコントローラ(DC)のUmbrella Settings > Sites and ADページに、1つ以上のエラー、警告、または情報メッセージが表示されます。

環境

UmbrellaサイトおよびActive Directoryページは、Settings > Sites and ADにあります。

• 影響を受けるコンポーネントには、仮想アプライアンス(VA)、ADコネクタ、およびDCが含まれます。
• DNSCryptは、VAバージョン1.5.x以降でサポートされています。
• コネクタがWindows Server (WS) 2012以降で展開され、Umbrellaとの同期を停止している場合は、コネクタのバージョンが1.6.31以降であることを確認してください。
• WS 2008/2008 R2で.NET 4.5.2以降を実行している場合、コネクタバージョン1.6.31以降が機能しますが、サポートされているサーバでの再展開が推奨されます。
• シスコは、Transport Layer Security(TLS)1.0/1.1のサポート終了(EOL)を発表しました。サポートされていないWindowsバージョン（Windows Server 2008、2008 R2、またはWindows 7）では、デフォルトでTLS 1.2はサポートされません。サポートされているサーバーのバージョン（Windows Server 2012以降）にコネクタを再インストールしてください。
• ログインイベント情報を仮想アプライアンスに送信するには、ドメインコントローラ(DC)に同じサイトにインストールされたコネクタが必要です。
• サイトには、メッセージで示されている各コンポーネントタイプが少なくとも1つ含まれている必要があります。
• Umbrella Connectorサービスは、CPUあたり10個のアセット（ドメインコントローラと仮想アプライアンス）をサポートすることがテストされています。
• Umbrellaコネクタサービスは、Umbrellaサイトのすべてのドメインコントローラで1秒間に約850件の連続イベント（ハード制限なし）をサポートすることがテストされています。

解決方法

Settings > Sites and ADに表示されるコンポーネントタイプに一致するセクションを使用し、正確なメッセージテキストを選択します。

• 仮想アプライアンス:VA登録/同期ステータス、コネクタ関連付け、DNSCrypt、ローカルドメイン、冗長性、およびDNSクエリ失敗メッセージ。
• ADコネクタ：コネクタの登録/同期ステータス、DC/VA接続、タイムアウト、並列処理、イベントドロップメッセージ。
• ドメインコントローラ：コネクタの関連付けとWMI接続のメッセージ。

仮想アプライアンス

“このVAは登録されていますが、同期されていません"

1. 同期が完了するまで最大10分かかります。
2. ネットワーク要件が満たされていることを確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
3. 問題が解決しない場合は、ログを収集し、サポートケースをオープンします。

「このVAは1つの時点で同期していましたが、その後停止しました」

VAの同期を復元し、必要な接続を確認するには、次の手順を使用します。

1. VAが削除された場合、Umbrellaダッシュボードから削除します：削除手順 – Umbrella Insights。
2. ネットワーク要件を確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
3. 問題が解決しない場合は、サポートケースをオープンします。

 “このVAは、以前は1つ以上のコネクタに接続されていましたが、現在は接続されていません"

1. コネクタが削除された場合は、このメッセージを無視して、ダッシュボードから古いコネクタエントリを削除します。
2. ネットワーク要件を確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
3. 問題が解決しない場合は、サポートケースをオープンします。

「この仮想アプライアンスは、このサイトの一部のコネクタに接続されています」

1. コネクタが削除された場合は、このメッセージを無視して、ダッシュボードからコネクタを削除します。
2. 前提条件の確認：仮想アプライアンスユーザガイド：前提条件。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

「このVAからUmbrellaに転送されるDNSクエリは暗号化されません」

DNSCryptは、仮想アプライアンス(VA)からUmbrellaパブリックDNSリゾルバに転送されるDNSパケットを暗号化します。これはデフォルトで有効になっています。

1. VAがバージョン1.5.x以降を実行していることを確認します。DNSCryptは1.5.x以降でサポートされています。VAが1つだけ存在し、アップグレードされない場合は、仮想アプライアンスの更新を実行してVAをアップグレードします。
2. ファイアウォールと検査ポリシーを見直して、ポート53(UDP/TCP)のDNSCryptプローブがブロックまたは変更されていないことを確認します。侵入防御システム(IPS)または侵入検知システム(IDS)がディープパケットインスペクションを実行し、DNSトラフィックのみを想定している場合、プローブが失敗する可能性があります。
3. 適応型セキュリティアプライアンス(ASA)の展開については、展開ドキュメントに記載されているパケットインスペクションガイダンスを確認してください。
4. 警告が引き続き表示される場合は、ログを収集します（ADコネクタログによるサポートの提供）。その後、サポートケースをオープンします。
5. 影響を受けるVAのSettings > Sites and ADで警告がクリアされることを確認します。

詳細：新しいVA警告：仮想アプライアンスでのDNSCryptの有効化。

“このVAにはローカルドメインが設定されていません"

1. ローカルドメインが設定されていることを確認します（ローカルDNS転送）。

「このVAはサイト内で冗長ではない（サイトごとに2つ以上のVAが必要）」

1. ハイアベイラビリティを実現するために2つ目のVAをインストールします。サイトごとに2つの仮想アプライアンスを実行する方法については、Umbrella仮想アプライアンスの展開に関するドキュメントを参照してください。

「このVAに対するDNSクエリの大部分が失敗しています」

1. 関連するVAおよびコネクタのログを収集し、サポートケースをオープンします。
2. 該当するVAのSettings > Sites and ADで、DNSクエリの失敗率が正常に戻り、エラーがクリアされることを確認します。

ADコネクタ

“このコネクタは登録されていますが、同期されていません"

次のチェックを使用して、初期同期が正常に完了したことを確認します。

1. 同期が完了するまで最大10分かかります。
2. ネットワーク要件が満たされていることを確認します：Identity Integrations：前提条件。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

“このコネクタはある時点で同期していましたが、その後停止しました"

1. ネットワーク要件が満たされていることを確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
2. シスコはTLS 1.0/1.1のEOLを発表しました。サポートされていないWindowsバージョン（Windows Server 2008、2008 R2、またはWindows 7）では、デフォルトでTLS 1.2はサポートされません。サポートされているサーバーのバージョン（Windows Server 2012以降）にコネクタを再インストールしてください。
3. コネクタがWS 2012以降に配備されていて、Umbrellaとの同期が停止している場合は、コネクタがバージョン1.6.31以降を実行していることを確認します。
4. WS 2008/2008 R2で.NET 4.5.2以降を実行している場合、コネクタバージョン1.6.31以降が機能しますが、サポートされているサーバでの再展開が推奨されます。
5. ログの収集：ADコネクタログによるサポートの提供。
6. 問題が解決しない場合は、サポートケースをオープンします。

“このコネクタには、接続するVAまたはDCがありません"

1. サイトに少なくとも1つのコンポーネントタイプが含まれていることを確認してください。
2. セットアップのドキュメント「Identity Integrations: Prerequisites and Active Directory Integration > Step 2: Prepare your Active Directory Environment」を確認します。

“このコネクタには接続するDCがありません"

1. サイトに少なくとも1つのコンポーネントタイプが含まれていることを確認してください。
2. セットアップに関するドキュメント「Active Directory環境の準備」を参照してください。

「コネクタが接続できる1つ以上のDCがありますが、まだ接続されていません」

1. 同期が完了するまで最大10分かかります。
2. 前提条件が満たされていることを確認します。Identity Integrations: Prerequisites。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタは一部のDCに接続されていますが、すべてのDCには接続されていません」

1. 前提条件の確認：Identity Integrations: Prerequisites。
2. ログの収集：ADコネクタログによるサポートの提供。
3. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタは一度接続されましたが、現在使用可能なDCのいずれにも接続されていません」

1. 前提条件の確認：Identity Integrations: Prerequisites。
2. ログの収集：ADコネクタログによるサポートの提供。
3. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタが接続できる1つ以上のVAがありますが、まだ接続されていません」

1. ダッシュボードから未使用のVAを削除します。
2. 削除後の同期には最大10分かかります。
3. ネットワーク要件が満たされていることを確認します：Identity Integrations：前提条件。
4. ログの収集：ADコネクタログによるサポートの提供。
5. 問題が解決しない場合は、サポートケースをオープンします。

“コネクタが一部のVAへの接続を試行中にタイムアウトエラーを報告しています"

1. 仮想アプライアンスがコネクタと同じLANにない場合は、Umbrellaサイトを使用して導入を分離することを検討してください：複数のActive DirectoryドメインをUmbrellaに接続します。
2. ダッシュボードから未使用のVAを削除します。
3. 削除後の同期には最大10分かかります。
4. ネットワーク要件が満たされていることを確認します：Identity Integrations：前提条件。
5. ログの収集：ADコネクタログによるサポートの提供。
6. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタが一部のVAに接続されている（すべてではない）」

1. ダッシュボードから未使用のVAを削除します。
2. 削除後の同期には最大10分かかります。
3. ネットワーク要件が満たされていることを確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
4. ログの収集：ADコネクタログによるサポートの提供。
5. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタは一度接続されましたが、現在使用可能なVAのいずれにも接続されていません」

1. ダッシュボードから未使用のVAを削除します。
2. 削除後の同期には最大10分かかります。
3. ネットワーク要件が満たされていることを確認します： Active Directory通信フローのガイド：コネクタ>仮想アプライアンス> DCおよびクラウド。
4. ログの収集：ADコネクタログによるサポートの提供。
5. 問題が解決しない場合は、サポートケースをオープンします。

“コネクタはVAと並行してイベントを同期していません。イベント処理が予想より遅くなる可能性がある」

1. Umbrella Connectorサービスは、CPUあたり10個のアセット（ドメインコントローラと仮想アプライアンス）をサポートすることがテストされています。
2. Umbrellaサイトのドメインコントローラと仮想アプライアンスの数に基づいて、必要な数のCPUでサーバをアップグレードします。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

「コネクタが、一部のVAにイベントを送信しようとしているときにドロップを報告しています」

イベントドロップを減らし、安定したイベント配信を復元するには、次の手順を使用します。

1. Umbrellaサイト内のすべてのドメインコントローラの合計イベントレートが、1秒あたり約850イベントのテスト済み連続容量を超えているかどうかを確認します。
2. イベントレートがこのテスト済み容量を超える場合は、コネクタホストのCPUコアを増やして処理スループットを向上させます。
3. ドロップが続く場合は、ドメインコントローラの負荷を共有する2つ以上のコネクタでロードバランシングを有効にします。この高度な機能は、Umbrellaサポートでサポートケースをオープンすることによって有効にする必要があります。

ドメインコントローラ

「1つのポイントで1つ以上のコネクタに接続されていましたが、現在は接続されていません」

1. コネクタが削除された場合は、コネクタを再展開するか、ドメインコントローラーを削除してください。
2. ネットワーク要件を確認します。「Active Directory通信フローのガイド」（コネクタ>仮想アプライアンス> DCs and the Cloud）を参照してください。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

“このドメインコントローラはコネクタに接続されていません"

1. ログオンイベントに関する情報を仮想アプライアンスに送信するには、ドメインコントローラ(DC)に同じサイトにインストールされたコネクタが必要です。
2. コネクタの取り付け方法については、コネクタを取り付けてください。
3. ログの収集：ADコネクタログによるサポートの提供。
4. 問題が解決しない場合は、サポートケースをオープンします。

“このドメインコントローラには接続するコネクタがありません"

1. ログオンイベントに関する情報を仮想アプライアンスに送信するには、ドメインコントローラ(DC)に同じサイトにインストールされたコネクタが必要です。
2. コネクタの取り付け方法については、コネクタを取り付けてください。
3. コネクタを再インストールしたり、あるマシンから別のマシンに移動したりする場合は、このメッセージを無視してください。

“このドメインコントローラは一部のコネクタに接続されています。

1. 権限の確認：Cisco_Connectorユーザに必要な権限。
2. ログの収集：ADコネクタログによるサポートの提供。
3. 問題が解決しない場合は、サポートケースをオープンします。

“このドメインコントローラのWMI状態はダウンしています。ドメインコントローラがコネクタからのWMI接続に応答していません。

1. これは、ドメインコントローラの負荷による一時的な問題である可能性があります。
2. WBEMTestツールを使用してWindows Management Instrumentation (WMI)接続を確立できるかどうかを確認してください。
3. セキュリティイベントを監視している他の未使用アプリケーションを停止することで、DCの負荷を軽減します。
4. DCの負荷を軽減した後、コネクタサービスを再起動して、新しいWMI接続を開始します。
5. ログの収集：ADコネクタログによるサポートの提供。
6. 問題が解決しない場合は、サポートケースをオープンします。

原因

• DNSCrypt警告メッセージ(VA)：仮想アプライアンス(VA)からUmbrellaパブリックDNSリゾルバに転送されるDNSパケットを暗号化する場合、DNSCryptはデフォルトで有効になっています。ファイアウォールまたは検査ポリシーがポート53(UDP/TCP)でDNSCryptプローブをブロックまたは変更すると、プローブは失敗します。侵入防御システム(IPS)または侵入検知システム(IDS)がディープパケットインスペクションを実行し、DNSトラフィックのみを想定している場合、プローブは失敗します。
• コネクタの同期停止メッセージ（ADコネクタ）：シスコは、Transport Layer Security(TLS)1.0/1.1のサポート終了(EOL)を発表しました。サポートされていないWindowsバージョン（Windows Server 2008、2008 R2、またはWindows 7）では、デフォルトでTLS 1.2がサポートされていないため、コネクタの同期が停止します。
• コネクタのパフォーマンスメッセージ（ADコネクタ）:Umbrellaコネクタサービスは、CPUあたり10個のアセット（ドメインコントローラと仮想アプライアンス）をサポートすることがテストされています。このサイズを超えると、イベント処理が予想より遅くなります。
• イベントドロップ警告メッセージ（ADコネクタ）:Umbrellaコネクタサービスは、Umbrellaサイトのすべてのドメインコントローラで1秒間に約850件の連続イベント（ハード制限なし）をサポートすることがテストされています。全体のレートがこのテスト対象の容量を超えると、コネクタはイベントをドロップします。
• WMIダウンエラーメッセージ（ドメインコントローラ）：ドメインコントローラのロード中にWMI状態がダウンし、コネクタからのWMI接続に応答しません。

関連コンテンツ

• 包括Active Directory統合フローの確認
• Active DirectoryコネクタのログをUmbrellaサポートに送信する

更新履歴

改定	発行日	コメント
2.0	24-Sep-2026	再認定
1.0	03-Sep-2025	初版