No se pudo resolver el grupo PWA de Active Directory de Project

Resumen:   durante la sincronización de grupos de seguridad de Microsoft Project Web App, Microsoft Project Server 2010 no pudo resolver el objeto de Active Directory de primer nivel para el grupo de seguridad de Project Web App. La sincronización de Active Directory se ha etiquetado como error para este grupo de Project Web App.

Causa:   el servidor de aplicaciones de Project Server no puede obtener acceso a Active Directory por alguna de las siguientes razones:

• El servidor de aplicaciones de Project Server 2010 está usando una cuenta de la cuenta de servicio (SA) de SharePoint que no tiene acceso de lectura al servicio de directorio de Active Directory. Esto puede ocurrir si el SSP está configurado para usar una cuenta de equipo local.

• El servidor de aplicaciones de Project Server 2010 actualmente no tiene acceso a la red en el dominio.

• Los puertos TCP o UDP que se necesitan para que Project Server 2010 y Active Directory se comuniquen no están abiertos entre el servidor de aplicaciones de Project Server 2010 y el almacén de Active Directory. Esto puede ocurrir si un firewall se configura para bloquear los puertos descritos en la siguiente lista:

  • 389/UDP – LDAP: LDAP es el protocolo ligero de acceso de directorios que proporciona una forma estándar para el acceso a servicios de directorio. LDAP es el protocolo principal que se usa para tener acceso a un almacén de Active Directory.

  • 636/TCP – LDAP en SSL: cuando la Capa de sockets seguros (SSL) está habilitada, los datos de LDAP que se transmiten y reciben están cifrados.

  • 3268/TCP – Catálogo global de Microsoft: los catálogos globales de Active Directory escuchan en este puerto.

  • 3269/TCP – Catálogo global de Microsoft con LDAP/SSL: las conexiones SSL del catálogo global de Microsoft escuchan en este puerto.

• El grupo de Active Directory ya no existe en el almacén de Active Directory. Por ejemplo, puede que un administrador haya eliminado el grupo.

• La cuenta de la SA del servidor de aplicaciones de Project Server no tiene acceso de lectura a un objeto de usuario o grupo de Active Directory.

Entre las posibles soluciones se incluyen las siguientes:

• Compruebe que la cuenta de servicio que usa la SA utilizada por el servidor de aplicaciones de Project Server 2010 sea una cuenta de dominio con acceso de lectura a Active Directory.

• Compruebe que el servidor de aplicaciones de Project Server 2010 esté unido a un dominio de Active Directory.

• Compruebe que el servidor de aplicaciones de Project Server 2010 tenga acceso a la red.

• Compruebe que los puertos TCP y UDP enumerados en la sección anterior están abiertos entre el almacén de Active Directory y el servidor de aplicaciones de Project Server 2010.

• Compruebe que existe al menos un grupo de Active Directory en el almacén de Active Directory con el mismo GUID de Active Directory que se almacena en el servidor de aplicaciones de Office Project Server 2010.

• Use la herramienta de edición de interfaces ADSI (Active Directory Service Interfaces) para comprobar los permisos de seguridad en objetos de usuario y grupo individuales de Active Directory. La cuenta de la SA debe ser capaz de leer todos los objetos de usuario y grupo de Active Directory que participan en el proceso de sincronización.

  Nota

  La herramienta de edición de ADSI está disponible para Windows Server 2008 cuando se instala el rol de los Servicios de dominio de Active Directory (AD DS) para convertir un servidor en un controlador de dominio. También está disponible como parte del kit Herramientas de administración remota del servidor (RSAT) disponible. Vea el artículo sobre instalación o eliminación del paquete de Herramientas de administración remota del servidor (https://go.microsoft.com/fwlink/?linkid=143345&clcid=0xC0A) en la biblioteca de TechNet.