Project: Active Directory-Objekt für PWA-Gruppe konnte nicht aufgelöst werden

Zusammenfassung:   Bei der Synchronisierung von Microsoft Project Web App-Sicherheitsgruppen wurde das Active Directory-Objekt der obersten Ebene für die Project Web App-Sicherheitsgruppe von Microsoft Project Server 2010 nicht gefunden. Die Active Directory-Synchronisierung wurde für diese Project Web App-Gruppe als fehlerhaft markiert.

Ursache:   Der Project Server-Anwendungsserver hat aus einem der folgenden Gründe keinen Zugriff auf Active Directory:

• Der Project Server 2010-Anwendungsserver verwendet ein SA-Konto (Service Account, Dienstkonto) von SharePoint, das nicht über Lesezugriff auf den Active Directory-Verzeichnisdienst verfügt. Dies kann vorkommen, wenn SSP für die Verwendung eines lokalen Computerkontos konfiguriert ist.

• Der Project Server 2010-Anwendungsserver hat derzeit keinen Netzwerkzugriff auf die Domäne.

• TCP- oder UDP-Ports, die für die Kommunikation zwischen Project Server 2010 und Active Directory erforderlich sind, sind zwischen dem Project Server 2010-Anwendungsserver und dem Active Directory-Speicher nicht geöffnet. Dies kann daran liegen, dass eine Firewall die Ports in der folgenden Liste blockiert:

  • 389/UDP – LDAP: LDAP ist das Lightweight Directory Access-Protokoll, das eine Standardmöglichkeit zum Zugriff auf Verzeichnisdienste bietet. LDAP ist das Protokoll, das in der Regel zum Zugriff auf einen Active Directory-Speicher verwendet wird.

  • 636/TCP – LDAP-über-SSL: Wenn SSL (Secure Sockets Layer) aktiviert ist, werden die übertragenen und empfangenen LDAP-Daten verschlüsselt.

  • 3268/TCP – Globaler Katalog von Microsoft: Globale Kataloge von Active Directory lauschen an diesem Port.

  • 3269/TCP – Globaler Katalog von Microsoft mit LDAP/SSL: SSL-Verbindungen des globalen Katalogs von Microsoft lauschen an diesem Port.

• Die Active Directory-Gruppe ist nicht mehr im Active Directory-Speicher vorhanden. Die Gruppe wurde beispielsweise von einem Administrator gelöscht.

• Das SA-Konto des Project Server-Anwendungsservers verfügt nicht über Lesezugriff auf ein Active Directory-Gruppen- oder -Benutzerobjekt.

Mögliche Lösungen:

• Überprüfen Sie, ob das Dienstkonto, das von dem SA verwendet wird, das vom Project Server 2010-Anwendungsserver verwendet wird, ein Domänenkonto mit Lesezugriff auf Active Directory ist.

• Überprüfen Sie, ob der Project Server 2010-Anwendungsserver einer Active Directory-Domäne angeschlossen ist.

• Überprüfen Sie, ob der Project Server 2010-Anwendungsserver über Netzwerkzugriff verfügt.

• Überprüfen Sie, ob die im vorherigen Abschnitt aufgeführten TCP- und UDP-Ports zwischen dem Active Directory-Speicher und dem Project Server 2010-Anwendungsserver geöffnet sind.

• Überprüfen Sie, ob mindestens eine Active Directory-Gruppe im Active Directory-Speicher mit derselben Active Directory-GUID vorhanden ist, die auf dem Office Project Server 2010-Anwendungsserver gespeichert ist.

• Überprüfen Sie mit dem ADSI-Editor (Active Directory Service Interfaces) die Sicherheitsberechtigungen für einzelne Active Directory-Gruppen- und -Benutzerobjekte. Das SA-Konto muss in der Lage sein, alle Active Directory-Gruppen- und -Benutzerobjekte zu lesen, die am Synchronisierungsvorgang beteiligt sind.

  Hinweis

  Der ADSI-Editor ist für Windows Server 2008 verfügbar, wenn Sie die AD DS-Rolle (Active Directory-Domänendienste) installieren, um einen Server zum Domänencontroller zu erklären. Zudem ist er in den Remoteserver-Verwaltungstools (Remote Server Administration Tools, RSAT) verfügbar. Weitere Informationen finden Sie unter Installieren oder Entfernen der Remoteserver-Verwaltungstools (https://go.microsoft.com/fwlink/?linkid=143345&clcid=0x407) in der TechNet Library.