Диагностика ошибок
Точные тексты ошибок Trialix Connector, ЛК «Каталоги» и единого входа, их причины и что делать. Тексты приведены так, как их выводит программа: коннектор в консоли начинает сообщение словом «Ошибка:», ответы сервера Trialix приходят в виде «Trialix ответил 401 invalid_code: …» (код HTTP, код ошибки и текст). Если ошибки нет в таблицах, пришлите в поддержку вывод trialix-connector doctor и последние строки журнала.
С чего начать
sudo trialix-connector doctor # каждая строка [!!] - конкретная проблема
sudo trialix-connector status # последний пульс, последнее задание, последняя ошибка
journalctl -u trialix-connector -n 100 --no-pager
На Windows: trialix-connector.exe doctor, журнал «Приложение», источник TrialixConnector, файл %ProgramData%\Trialix\Connector\connector.log. Последняя ошибка коннектора видна и в ЛК, в карточке коннектора: строка «Ошибка: …».
Проверки doctor
Строка [!!] | Причина | Что сделать |
|---|---|---|
DNS api.trialix.ru - …no such host | машина не разрешает имя | проверьте DNS или задайте прокси, который разрешает имена сам |
HTTPS до Trialix - … i/o timeout или connection refused | нет исходящего доступа к api.trialix.ru:443 | откройте исходящий HTTPS или задайте прокси (--proxy при enroll, вопрос «Прокси» в setup) |
HTTPS до Trialix - … x509: certificate signed by unknown authority | прокси с SSL-инспекцией подменяет сертификат | исключите api.trialix.ru из инспекции или добавьте корневой сертификат прокси в системное хранилище |
HTTPS до Trialix - … Proxy Authentication Required | прокси требует авторизацию | укажите прокси с учётными данными http://user:password@proxy:3128 или разрешите машине коннектора выход без авторизации |
HTTPS до Trialix - ответ без TLS | трафик перехвачен и отдан по HTTP | проверьте прокси и адрес Trialix |
Время на машине - расхождение с Trialix … - синхронизация будет отменена, настройте NTP | часы ушли больше чем на 5 минут | настройте синхронизацию времени (chrony, systemd-timesyncd, w32time) |
Регистрация - не выполнена: trialix-connector enroll <код из ЛК> | нет токена | выпустите код в ЛК и выполните enroll |
Каталог - не настроен: trialix-connector setup | не задан адрес каталога | выполните setup |
TLS каталога - … | нет доступа к порту 636 или ошибка TLS | проверьте сеть до контроллера и сертификат |
TLS каталога - сертификат … до … - меньше 30 дней (строка [ok]) | сертификат каталога скоро истечёт | перевыпустите сертификат контроллера |
Проверка сертификата - выключена (insecureSkipVerify) - допустимо только на стенде | в настройке стоит --insecure | укажите корневой сертификат --ca-file и перенастройте без --insecure |
Вход в каталог - … | см. таблицу «Подключение к каталогу» | |
Чтение сотрудников - … или Чтение групп - … | нет прав или неверный базовый DN | проверьте права сервисной учётной записи и DN |
Команды коннектора
| Текст | Причина | Что сделать |
|---|---|---|
укажите код подключения из ЛК: trialix-connector enroll <код> | команда без кода | trialix-connector enroll XXXX-XXXX-XXXX |
Trialix ответил 401 invalid_code: Код подключения неверный или истёк - выпустите новый в ЛК | код старше часа, уже использован или с опечаткой | в карточке коннектора «Новый код подключения» |
Trialix ответил 400 code_required: Нужен код подключения из ЛК | пустой код | передайте код |
Trialix ответил 429 rate_limited: Слишком много попыток, подождите минуту | больше 10 попыток регистрации в минуту с одного адреса | подождите минуту |
коннектор не зарегистрирован: выполните trialix-connector enroll <код> | служба запущена до регистрации | выполните enroll, затем перезапустите службу |
токен коннектора не расшифровывается на этой машине - выполните enroll заново: … | config.json перенесён с другой машины, пересоздан machine.key, изменился /etc/machine-id или (Windows) сменилась машина | «Новый код подключения» в ЛК и enroll на этой машине |
пароль каталога не расшифровывается на этой машине: … | то же для пароля сервисной учётной записи | выполните setup и введите пароль заново |
пульс: Trialix ответил 401 invalid_token: Токен коннектора не принят - зарегистрируйте коннектор заново | коннектор удалён в ЛК или токен недействителен | создайте коннектор или новый код в ЛК, выполните enroll |
пульс: … i/o timeout | нет связи с Trialix | doctor, проверьте сеть и прокси |
адрес прокси: … | прокси задан с ошибкой | формат http://proxy.company.local:3128 |
переменная с паролем пуста | в --password-env передано имя переменной, которой нет в окружении | задайте переменную в том же сеансе, от того же пользователя (при sudo переменные окружения сбрасываются) |
--attr ключ=атрибут (id, login, mail, …) | флаг --attr без знака = | --attr id=entryUUID |
неизвестный параметр --… | опечатка во флаге setup | список флагов - trialix-connector help |
неизвестная команда "…", см. trialix-connector help | опечатка в команде | trialix-connector help |
есть проблемы - см. [!!] выше | doctor нашёл проблемы | разберите строки [!!] |
копирование в /usr/bin (нужны права root): …, запись unit (нужны права root): … | service install без root | sudo trialix-connector service install |
диспетчер служб (запустите от администратора): … | Windows: консоль не от администратора | запустите PowerShell от имени администратора |
служба TrialixConnector уже установлена | повторная установка | service uninstall, затем service install |
подпись сборки не совпадает - обновление отменено | ответ о выпуске не подписан ключом Trialix | не обновляйтесь, напишите в поддержку |
контрольная сумма не совпадает - обновление отменено | файл повреждён при загрузке или подменён по дороге | повторите позже; если повторяется - проверьте прокси и напишите в поддержку |
обновление отменено | на вопрос «Обновить?» ответ не «да» | update --yes |
Trialix ответил 404 no_release: Сборок для этой платформы нет | для этой ОС и архитектуры нет сборки | используйте linux/amd64, linux/arm64 или windows/amd64 |
Подключение к каталогу
| Текст | Причина | Что сделать |
|---|---|---|
адрес каталога должен быть ldaps://… или ldap://… | опечатка в адресе | setup, адрес вида ldaps://dc1.company.local:636 |
незашифрованное подключение запрещено: используйте ldaps:// или включите StartTLS | ldap:// без StartTLS | ldaps://…:636 или --starttls |
неизвестный профиль каталога "…" (ad, samba, freeipa, openldap, custom) | опечатка в профиле | --profile ad и т. п. |
подключение к ldaps://…: LDAP Result Code 200 "Network Error": … connection refused | порт закрыт или сервис не слушает LDAPS | проверьте порт 636, включите LDAPS на сервере |
подключение к …: … i/o timeout | фильтрация сети | откройте 636 или 389 от машины коннектора до сервера каталога |
… x509: certificate signed by unknown authority | коннектор не доверяет сертификату каталога | укажите корневой сертификат --ca-file, на Windows - добавьте его в хранилище машины |
… x509: certificate is valid for …, not … | имя в адресе не совпадает с сертификатом | используйте в адресе имя из сертификата |
… x509: certificate has expired or is not yet valid | сертификат истёк или часы расходятся | перевыпустите сертификат, проверьте время |
StartTLS: … | сервер не поддерживает StartTLS или ошибка сертификата | проверьте TLS на сервере, либо используйте ldaps:// |
сертификат CA: …, сертификат CA: не PEM | файл из --ca-file не найден или не в формате PEM | openssl x509 -inform der -in ca.cer -out ca.pem |
не заданы учётная запись или пароль для подключения к каталогу | простой вход без --bind-dn или пароля | setup с учётной записью и паролем |
вход сервисной учётки …: LDAP Result Code 49 "Invalid Credentials": … data 52e | неверный пароль (AD, Samba) | проверьте пароль, setup |
то же с data 532, data 533, data 775 | пароль истёк, учётная запись отключена, заблокирована | исправьте учётную запись в каталоге |
вход сервисной учётки …: LDAP Result Code 8 "Strong Auth Required" | сервер требует TLS для простого входа | используйте ldaps:// или StartTLS |
поиск …: LDAP Result Code 32 "No Such Object" | неверный базовый DN или ветка | проверьте --base-dn, --user-base-dn, --group-base-dn |
поиск …: LDAP Result Code 4 "Size Limit Exceeded" | сервер ограничил размер ответа и не поддерживает постраничный запрос | включите на сервере постраничные результаты (paged results) или поднимите лимит для сервисной учётной записи; неполный ответ Trialix не применяет |
поиск …: LDAP Result Code 50 "Insufficient Access Rights" | нет прав на чтение | выдайте права на чтение веток и атрибутов |
Kerberos: укажите keytab и principal (svc-trialix@COMPANY.LOCAL) | Linux, выбран Kerberos без keytab или principal | setup --kerberos --keytab … --principal … |
Kerberos: principal в виде имя@REALM | principal без области | svc-trialix@COMPANY.LOCAL |
Kerberos: … | нет keytab, неверный principal, нет области в /etc/krb5.conf, KDC недоступен | klist -kt <keytab>, kinit -kt <keytab> <principal>, проверьте krb5.conf и время |
Kerberos bind: … | каталог не принял билет | адрес каталога должен быть FQDN (SPN ldap/<имя>), проверьте SPN на сервере |
SSPI: …, Kerberos (SSPI) bind: … | Windows: учётная запись службы не может получить билет | служба должна работать от учётной записи домена (компьютер или gMSA) |
Прогоны в ЛК «Каталоги»
| Текст | Причина | Что сделать |
|---|---|---|
| «Каталог ответил не полностью (ошибка на одной из страниц) - прогон отменён без изменений» | ошибка на одной из страниц ответа | см. журнал коннектора, обычно лимиты сервера или обрыв связи |
| «Каталог вернул пустой список сотрудников - прогон отменён без изменений» | неверный базовый DN или фильтр | setup, preview |
| «Часы на машине коннектора расходятся с Trialix больше чем на 5 минут - прогон отменён, настройте NTP» | нет синхронизации времени | настройте NTP |
| «Коннектор: …» | коннектор не смог выполнить задание, дальше - текст ошибки коннектора | см. таблицу «Подключение к каталогу» |
| «Прогон собирается деактивировать N сотрудников (порог L: больше X человек или Y %) - остановлен до подтверждения администратора» | сработал тормоз | проверьте список «Отключить»; если верно - «Подтвердить и применить», если нет - исправьте привязки или каталог |
| «Первый прогон - предпросмотр. Проверьте изменения и нажмите «Применить»» | так и задумано | проверьте отчёт и нажмите «Применить» |
| «Новая привязка группы: сначала предпросмотр, применение - кнопкой «Применить»» | так и задумано | то же |
| «Требуют подтверждения: …», группа «группа пересоздана - подтвердить» | у привязанной группы новый идентификатор | убедитесь, что группа та же, и нажмите «подтвердить» |
| «пропала из каталога - снять привязку» | группа удалена | «снять привязку» или привяжите другую группу |
| «Ошибка обработки снимка: …» | внутренняя ошибка Trialix | напишите в поддержку, указав время прогона |
| статус «ждёт коннектор» долго не меняется | коннектор не в сети | systemctl status trialix-connector, doctor |
| «Предпросмотр устарел - новый прогон с применением отправлен коннектору» | с предпросмотра прошло больше 30 минут | дождитесь нового прогона |
| «Прогон снова остановлен порогом» | при применении снова превышен порог | проверьте список |
Причины в списке «Пропущено»:
| Причина | Что сделать |
|---|---|
| «нет почты в каталоге» | заполните mail (в AD подойдёт и userPrincipalName) |
| «домен почты не добавлен в «Вход в компанию»» | добавьте домен в ЛК, «Вход в компанию» |
| «учётка «Не трогать при синхронизации»» | снимите отметку, если учётную запись нужно синхронизировать |
| «ручная учётка с той же почтой - можно связать с каталогом» | «Связать с каталогом» в меню сотрудника |
| «создание учёток выключено» | включите «Создавать учётные записи для новых сотрудников» |
| «почта уже в другой компании» | почта занята учётной записью другой компании Trialix, напишите в поддержку |
| «владелец компании не деактивируется» | передайте роль владельца, если это нужно |
| «группа требует подтверждения - отключение отложено» | подтвердите привязку группы |
«Ждут места»: «ожидает места», «ожидает места (тариф без расширения)», «ожидает места (задолженность за места)» - добавьте места или погасите задолженность на странице «Лицензия и тариф».
Действия в ЛК «Каталоги»
| Текст | Причина |
|---|---|
| «Синхронизация каталога не входит в лицензию компании - запросите расширение тарифа» | в лицензии нет синхронизации каталога (входит в Бизнес и Корпорацию) |
| «Коннектор ещё не зарегистрирован на машине» | задание нельзя поставить до enroll |
| «Проверьте расписание и пороги: человек от 1, процент от 1 до 100» | неверные значения порогов |
| «Автоматические приглашения - после первого подтверждённого прогона» | режим «Автоматически при появлении» ещё недоступен |
| «В последних снимках каталога нет сотрудника с этой почтой - запустите предпросмотр и попробуйте снова» | «Связать с каталогом» не нашёл сотрудника |
| «ждёт регистрации на машине» | коннектор создан, enroll не выполнен |
| «не в сети» | пульса не было больше 3 минут |
Домены
| Текст | Что сделать |
|---|---|
| «Укажите домен, например company.ru» | введите домен без https:// и @ |
| «Общий почтовый домен подтвердить нельзя - укажите домен компании» | gmail.com, yandex.ru, mail.ru и подобные не подтверждаются |
| «Этот домен уже добавлен другой компанией. Если это ошибка, напишите в поддержку» | напишите в поддержку |
| «TXT-записей у домена пока нет - DNS обновляется до нескольких часов» | подождите и нажмите «Проверить» снова |
| «Запись trialix-verify=… не найдена. DNS обновляется до нескольких часов» | проверьте значение записи: dig +short TXT company.ru |
| «DNS не ответил, попробуйте позже» | временная ошибка DNS |
Единый вход: настройка
| Текст | Что сделать |
|---|---|
| «Единый вход не входит в лицензию компании - запросите расширение тарифа» | единый вход входит в Бизнес и Корпорацию |
| «Укажите адрес discovery или issuer», «Укажите Client ID» | заполните поля |
| «Адрес провайдера должен начинаться с https://» | используйте HTTPS |
| «Провайдер не отвечает по адресу discovery» | адрес недоступен из интернета, неверен или сертификат не доверенный |
| «Discovery вернул 404» (или другой код) | неверный адрес discovery |
| «Discovery без issuer, authorization_endpoint, token_endpoint или jwks_uri» | по адресу не документ OpenID Connect |
| «Укажите адрес входа IdP (SSO URL)» | SAML: адрес должен начинаться с http:// или https:// |
| «Вставьте сертификат подписи IdP (PEM)» | вставьте сертификат целиком |
| «Сначала настройте провайдера» | сохраните параметры |
| «Сначала пройдите проверочный вход» | «Проверить вход» |
| «Подтвердите хотя бы один домен компании» | подтвердите домен |
| ««Только SSO» можно включить, когда SSO включён» | сначала «Включить SSO для сотрудников» |
| «Не найдены отделы: … Формат строки: группа = название отдела» | название отдела справа от = должно совпадать с существующим отделом |
Единый вход: проверочный вход
Ошибки показываются в мастере в виде «Проверка не пройдена: …».
| Текст | Причина и что сделать |
|---|---|
| «Провайдер вернул ошибку: …» | провайдер отказал до выдачи кода, текст провайдера после двоеточия (например, неверный Redirect URI или пользователь не назначен приложению) |
| «Провайдер не отвечает при обмене кода» | token endpoint недоступен из интернета |
| «Провайдер отказал при обмене кода: invalid_client» | неверный Client ID или секрет, либо провайдер не принимает секрет в теле запроса (client_secret_post) |
| «Провайдер отказал при обмене кода: invalid_grant» | Redirect URI не совпадает или код уже использован |
| «Подпись токена провайдера не прошла проверку» | ключи провайдера (JWKS) не совпадают с подписью |
| «Токен провайдера истёк - войдите ещё раз» | часы провайдера или долгий вход, повторите |
| «Токен провайдера не принят: …» | неверный issuer или audience: адрес discovery другого realm или приложения |
| «Токен провайдера не от этого входа (nonce)» | повторите вход в одной вкладке |
| «Не заданы адрес входа IdP или сертификат подписи» | SAML: заполните параметры |
| «Подпись ответа SAML не прошла проверку» | не тот сертификат или IdP не подписывает ответ и утверждение |
| «Ответ SAML устарел - войдите ещё раз» | расхождение часов IdP больше минуты или долгий вход |
| «Ответ SAML не от этого входа» | ответ не соответствует запросу Trialix (InResponseTo): повторная отправка старого ответа или вход в двух вкладках; начните вход заново |
| «Ответ SAML не принят: …» | ответ не прошёл проверку, текст после двоеточия |
| «Ответ SAML без профиля» | IdP не вернул данные пользователя |
| «Провайдер вернул …: домен не подтверждён для компании» | почта пользователя не на подтверждённом домене |
Единый вход: страница ошибки при входе сотрудника
Заголовок «Не удалось войти через SSO» и текст:
| Текст | Причина |
|---|---|
| «Почта не на подтверждённом домене компании. Войдите рабочей почтой или обратитесь к администратору.» | провайдер вернул почту на чужом или неподтверждённом домене |
| «Учётной записи с этой почтой нет. Попросите приглашение у администратора компании.» | нет учётной записи, приглашения и выключено автосоздание |
| «Учётная запись отключена администратором вашей компании.» | сотрудник деактивирован |
| «Эта почта уже состоит в другой компании Trialix.» | почта занята другой компанией |
| «Подпись ответа провайдера не прошла проверку. Сообщите администратору компании.» | сертификат или ключи провайдера сменились |
| «Ответ провайдера устарел. Попробуйте войти ещё раз.» | долгий вход или расхождение часов |
| «Сеанс входа устарел или открыт в другой вкладке. Начните вход заново.» | вход начат больше 10 минут назад, в другой вкладке или со страницы приложений провайдера: вход по инициативе IdP не поддерживается, начинайте вход со страницы входа Trialix |
| «Провайдер не передал почту. Сообщите администратору компании.» | в токене нет email, preferred_username или upn (SAML - атрибута почты или NameID) |
| «Вход через SSO для компании выключен.» | SSO выключен или не настроен |
| «Провайдер входа не подтвердил вход. Попробуйте ещё раз или войдите кодом на почту.» | другие ошибки провайдера; подробности - в журнале ЛК, событие неудачного входа через SSO |
«Ждём свободного места» после входа означает, что учётная запись создана, но места по лицензии закончились.
SCIM
Ответы сервера SCIM Trialix видны в журнале провайдера (Entra: «Provisioning logs», Okta: «System Log»). Тексты на английском, как принято в SCIM:
| Ответ | Причина и что сделать |
|---|---|
401 Invalid or missing bearer token | токен неверный, отозван или перевыпущен больше суток назад; выпустите новый в карточке «SCIM 2.0» |
403 SCIM is not included in the company license | SCIM входит в тарифы Бизнес и Корпорация |
400 Unsupported filter: … | провайдер прислал фильтр, который Trialix не поддерживает; поддерживаются eq по userName, externalId, emails, displayName |
400 userName must be an email address | в userName не почта |
400 Domain of … is not verified for this company in Trialix | подтвердите домен в «Вход в компанию» |
409 userName is used by another organization | почта занята в другой компании Trialix |
409 User with this userName already exists | учётная запись уже есть в компании; провайдер должен сначала найти её фильтром userName eq |
409 Group with this displayName already exists | отдел с таким названием уже есть |
400 The company owner cannot be deactivated | владельца отключить нельзя |
429 Too many deactivations within an hour (more than N); allow them in Trialix admin console | защита от массового отключения; администраторы получили письмо «SCIM: массовое отключение остановлено». Если отключения ожидаемые - «Разрешить массовые отключения на час», провайдер повторит запросы |
Яндекс 360
См. раздел «Яндекс 360».
Коннектор «не в сети»
- Служба запущена?
systemctl status --no-pager trialix-connectorилиGet-Service TrialixConnector. doctor: DNS, прокси, HTTPS до Trialix.- Коннектор удалён или токен недействителен: в журнале
Токен коннектора не принят. Нужен новый код иenroll. - Если коннектор не в сети больше суток, администраторы компании получают письмо «Коннектор Trialix не в сети больше суток» один раз, до следующего выхода на связь.
Обновлено 29.09.2026