User Profile Sync Verbindungsinformation zum AD "verschwunden"

Andi Fandrich Als Antwort am 13 Juni 2014 12:01

Ändere doch einfach mal einen Namen im AD und schau, ob die Änderung in SharePoint ankommt (kann je nach Einstellung auch ein paar Tage dauern). Falls ja, würde ich das erstmal ignorieren und der Admin soll sich dann später darum kümmern.

Das konkrete Problem kenne ich nicht, aber ich bin auch kein UserProfile-Spezialist. Es gab rund um den Dienst schon sehr viele Probleme, die meist von CUs verursacht wurden. Seit SP2 läuft das Ganze aber ziemlich stabil.

petersen Als Antwort am 13 Juni 2014 13:30

Es gibt tatsächlich aktuell einen Fall: bei einer Kollegin wird ihr neuer Name nicht im SharePoint angezeigt (auch nicht in der ZA), nur ihr alter, obwohl ihr neuer Name im AD steht. Über den Fall bin ich erst überhaupt auf die leere Verbindungs-Info gestoßen.

Was ich weiterhin nicht begreife: In der betroffenen ZA finde ich die betroffene Kollegin weder unter ihrem alten, noch unter ihrem neuen Namen oder Konto-Namen. Sie taucht aber in der Hidden User Information List mit ihrem alten Namen auf und kann sich anmelden.
1.) Wie kommt die Diskrepanz zwischen ZA Benutzerprofil-Liste und Hidden User Information List zustande?

2) Welche der beiden genannten Listen ist dafür verantwortlich, dass sich ein User überhaupt anmelden kann, die User-Info in der ZA, oder die Hidden User Information List?

Auch der Synchronisations-Prozess ist unklar: starte ich den Full Sync manuell, schein nichts zu passieren. Der Status wechselt nicht Leerlauf in einen erkennbaren Arbeitsmodus. In der Überwachung wird zwar anschließend wohl der Prozess als ausgeführt angezeigt, aber mit absolut null Zeitverbrauch. Das mag bei der Farm mit der leeren Syn-Verbindungsinfo noch logisch sein. Aber auf einer anderen Farm, die Sync-Verbindungsinfos hat, verhält es sich genauso. Er scheint also gar nicht wirklich durchgeführt zu werden?

Viele Grüße,

Silke

Andi Fandrich Als Antwort am 13 Juni 2014 14:08

[quote user="petersen"]Wie kommt die Diskrepanz zwischen ZA Benutzerprofil-Liste und Hidden User Information List zustande?[/quote]

Vermutlich steht der Profilimport schon lange und der Account wurde noch nie nach SharePoint synchronisiert (also auch nicht mit dem alten Namen).

[quote user="petersen"]Welche der beiden genannten Listen ist dafür verantwortlich, dass sich ein User überhaupt anmelden kann, die User-Info in der ZA, oder die Hidden User Information List?[/quote]

Keins von beidem ;-)

Der Anmeldeprozeß ist wie bei SharePoint Foundation. Beim Anmelden wird Name und Passwort direkt gegen das AD geprüft. Dann wird geschaut, ob der Benutzer in dieser Websitesammlung schon bekannt ist, und falls nicht werden seine Daten direkt aus dem AD kopiert. Bei Foundation passiert jetzt nichts weiter. Beim Server werden (wenn es denn funktioniert) die Benutzerdaten aus dem AD mit dem zentralen Profil synchronisiert und von dort weiter mit allen Websitesammlungen abgeglichen.

Auf Deinem System scheint tatsächlich kein Sync mehr mit dem AD stattzufinden. Darauf deutet der fehlerfrei und sofort beendete Prozess hin. Vermutlich müssen die Sync-Verbindungen neu angelegt werden. Vielleicht muß auch noch mehr repariert werden.

Auch hier nochmal die ultimative Anleitung zum User Profile: http://www.harbar.net/articles/sp2010ups.aspx

petersen Als Antwort am 13 Juni 2014 14:41

Danke Dir für die ausführliche und schnelle Antwort und den Link. Das ist zwar ein wenig unverschämt, aber es bleiben für mich drei Fragen übrig:

• Verstehe ich es richtig: wenn am kommenden Montag ein neuer Mitarbeiter anfängt, der im SharePoint per AD-Gruppe berechtigt ist, kann er sich auf jeden Fall in SharePoint anmelden, egal ob sein Profil synchronisiert wurde oder nicht? Dann wäre meine größte Sorge unbegründet, dass sich die Leute nicht (mehr) anmelden können.

• Mit Deinem Satz: "Dann wird geschaut, ob der Benutzer in dieser Websitesammlung schon bekannt ist, und falls nicht werden seine Daten direkt aus dem AD kopiert" meinst Du, dass der User - wenn noch unbekannt - in dem Fall in die Hidden User Information List kopiert wird, direkt aus dem AD? Wenn ja, und wenn man SP Server hat, dann werden die Infos der Hidden User Information List durch die Benutzerprofildaten der Sync in der ZA aktualisiert, richtig? Das hieße dann auch: wenn ich einen User in der Hidden User Information List lösche, dann wäre er ja unbekannt und würde dann (im Fall der neu benannten Kollegin) korrekt aus dem AD in die Hidden User Information List übernommen werden, sobald er sich in SharePoint anmdeldet?

• Wenn ich jetzt erst mal nur die reine Verbindungsinformationen in der ZA neu anlege (also nicht den ganzen Service, sondern nur die AD-Verbindungsinformationen), kann das irgendwelche unangenehmen Nebenwirkungen und Folgen haben? Oder ist es einfach so: entweder es klappt dann und es wird richtig synchronisiert, oder es passiert nichts und hat letztlich auch keinen anderen Stand als den jetzigen?

Viele Grüße, Silke

Andi Fandrich Als Antwort am 13 Juni 2014 15:25

[quote user="petersen"]wenn am kommenden Montag ein neuer Mitarbeiter anfängt, der im SharePoint per AD-Gruppe berechtigt ist, kann er sich auf jeden Fall in SharePoint anmelden, egal ob sein Profil synchronisiert wurde oder nicht?[/quote]

Ja das ist richtig. Die Anmeldung an sich hat mit dem Proilsync gar nichts zu tun.

[quote user="petersen"]Wenn ja, und wenn man SP Server hat, dann werden die Infos der Hidden User Information List durch die Benutzerprofildaten der Sync in der ZA aktualisiert, richtig? Das hieße dann auch: wenn ich einen User in der Hidden User Information List lösche, dann wäre er ja unbekannt und würde dann (im Fall der neu benannten Kollegin) korrekt aus dem AD in die Hidden User Information List übernommen werden, sobald er sich in SharePoint anmdeldet?[/quote]

Alles richtig verstanden. Eine glatte eins mit Sternchen ;-)

[quote user="petersen"]Wenn ich jetzt erst mal nur die reine Verbindungsinformationen in der ZA neu anlege (also nicht den ganzen Service, sondern nur die AD-Verbindungsinformationen), kann das irgendwelche unangenehmen Nebenwirkungen und Folgen haben? Oder ist es einfach so: entweder es klappt dann und es wird richtig synchronisiert, oder es passiert nichts und hat letztlich auch keinen anderen Stand als den jetzigen?[/quote]

Auf keinen Fall den ganzen Service neu anlegen. Du würdest sonst alle eventuell von den Benutzern gepflegten Profilinfos verlieren (und einiges mehr).

Du hast das schon richtig erkannt: die Verbindung einfach neu anlegen und schauen was passiert. Das Schlimmste können ein paar Fehlermeldungen in den Logs sein. Wenn Du Glück hast, hast Du aktuelle Benutzerdaten in SharePoint.

petersen Als Antwort am 13 Juni 2014 15:42

Noch einmal ein großes Dankeschön für die schnellen und hilfreichen Antworten! Dann sehe ich mal weiter, was das Neuanlegen bringt.

petersen Als Antwort am 21 Juli 2014 10:03

Ursache war, dass der Forefront Identity Manager Service aus welchen Gründen auch immer gestoppt war. Mit dem Starten des Services waren die Verbindungsinformationen auch wieder da.