Risolvere i problemi di configurazione di Single Sign-On in Office 365, Intune o Azure

Indicazioni per l'installazione

Vai al sito Web Microsoft seguente:

Prepararsi per Single Sign-On

Convalida per il passaggio 1

Usare la procedura guidata Valutazione della diagnostica di configurazione della sincronizzazione della directory per analizzare Active Directory alla ricerca di problemi che potrebbero causare problemi di sincronizzazione della directory.

Risolvere i problemi relativi alla convalida per il passaggio 1

1. Nota: La preparazione non corretta di Active Directory o l'errore di risoluzione dei problemi identificati dallo strumento possono causare problemi di sincronizzazione della directory. Seguire le istruzioni per la risoluzione dei problemi offerte dalla procedura guidata Valutazione della diagnostica per la configurazione della sincronizzazione della directory per correggere i problemi e assicurarsi che la diagnostica guidata venga eseguita senza errori. In questo modo si evita che i problemi seguenti si verifichino in un secondo momento nell'implementazione:

   • 2392130 Risolvere i problemi relativi al nome utente che si verificano per gli utenti federati quando accedono a Office 365, Azure o Intune

   • 2001616 L'indirizzo di posta elettronica Office 365 di un utente contiene in modo imprevisto un carattere di sottolineatura dopo la sincronizzazione della directory

   • 2643629 Uno o più oggetti non vengono sincronizzati quando si usa lo strumento di sincronizzazione di Azure Active Directory

2. Eseguire di nuovo la diagnostica guidata per verificare se il problema è stato risolto.

Indicazioni per l'installazione

Vai al sito Web Microsoft seguente:

Installare Windows PowerShell per Single Sign-On con AD FS

Convalida per il passaggio 3

Per convalidare il modulo di Azure Active Directory per Windows PowerShell per SSO, procedere come segue:

1. Eseguire il modulo di Azure Active Directory per Windows PowerShell come amministratore.

2. Digitare i comandi seguenti e assicurarsi di premere INVIO dopo aver digitato ogni comando:

   1. $cred=Get-Credential
      Nota Quando richiesto, digitare le credenziali di amministratore del servizio cloud.

   2. Connect-MsolService -Credential $cred 

      
      Nota Questo comando consente di connettersi ad Azure AD. È necessario creare un contesto che connetta l'utente ad Azure AD prima di eseguire uno dei cmdlet aggiuntivi installati dal modulo di Azure Active Directory per Windows PowerShell.

   3. Set-MsolAdfscontext -Computer < AD FS 2.0 primary server > 

      
      
      Note

      • Se è stato installato il modulo di Azure Active Directory per Windows PowerShell nel server Active Directory Federation Services principale (AD FS), non è necessario eseguire questo cmdlet.

      • In questo comando il segnaposto <server primario AD FS 2.0> rappresenta il nome di dominio completo interno (FQDN) del server AD FS primario. Questo comando crea un contesto che consente di connettersi ad AD FS.

   4. Get-MSOLFederationProperty -DomainName < federated domain name > 

      
      Nota In questo comando il segnaposto <nome di dominio federato> rappresenta il nome di dominio federato nei passaggi di configurazione.

3. Confrontare la prima metà (Source: AD FS Server) e l'ultima metà (Source: Microsoft Office 365) dell'output del comando Get-MSOLFederationProperty eseguito nel passaggio 2D. Tutte le voci tranne Source e FederationServiceDisplayName devono corrispondere. Se non corrispondono, usare la sezione "Risoluzione" del seguente articolo della Microsoft Knowledge Base per aggiornare i dati di attendibilità della relying party:
   
   2647020 errore "Spiacenti, ma si sono verificati problemi di accesso" e "80041317" o "80043431" quando un utente federato tenta di accedere a Office 365, Azure o Intune

Risolvere i problemi relativi alla convalida per il passaggio 3

Per risolvere i problemi, segui questi passaggi:

1. Risolvere i problemi comuni di convalida usando i seguenti articoli della Microsoft Knowledge Base, in base alle proprie esigenze:

   • 2461873 Non è possibile aprire il modulo di Azure Active Directory per Windows PowerShell

   • 2494043Non è possibile connettersi usando il modulo di Azure Active Directory per Windows PowerShell

   • 2587730 errore "Impossibile eseguire la connessione al server <ServerName> Active Directory Federation Services 2.0" quando si usa il cmdlet Set-MsolADFSContext

   • 2279117 Un amministratore non può aggiungere un dominio a un account di Office 365

   • Errore quando si esegue il cmdlet New-MsolFederatedDomain per la seconda volta perché la verifica del dominio non riesce. Per altre informazioni su questo scenario, vedere il seguente articolo della Knowledge Base:

     2515404 Risolvere i problemi di verifica del dominio in Office 365

   • 2618887 errore "Identificatore del servizio federativo specificato nel server AD FS 2.0 è già in uso". Quando si tenta di configurare un altro dominio federato in Office 365, Azure o Intune

   • Problemi di tempo causano problemi con il cmdlet New-MSOLFederatedDomain o con il cmdlet Convert-MSOLDomainToFederated.

2. Eseguire di nuovo i passaggi di convalida per verificare se il problema è stato risolto.

Indicazioni per l'installazione

Vai ai siti Web Microsoft seguenti:

• Roadmap per la sincronizzazione della directory

• Sincronizzazione della directory e origine dell'autorità

Convalida per il passaggio 4

Per convalidare, seguire questa procedura:

1. Eseguire il modulo di Azure Active Directory per Windows PowerShell come amministratore.

2. Digitare i comandi seguenti. Assicurarsi di premere INVIO dopo ciascun comando.

   1. $cred=Get-Credential
      
      Nota Quando richiesto, digitare le credenziali di amministratore del servizio cloud.

   2. Connect-MsolService -Credential $cred
      
      Nota Questo comando consente di connettersi ad Azure AD. È necessario creare un contesto che connetta l'utente ad Azure AD prima di eseguire uno dei cmdlet aggiuntivi installati dal modulo di Azure Active Directory per Windows PowerShell.

   3. Get-MSOLCompanyInformation

3. Controllare il valore LastDirSyncTime dall'output dei comandi precedenti e verificare che mostri una sincronizzazione dopo l'installazione dello strumento di sincronizzazione di Azure Active Directory.
   
   Nota L'indicatore di data e ora per questo valore viene visualizzato in formato Coordinated Universal Time (Ora di Greenwich).

4. Se LastDirSyncTime non viene aggiornato, monitorare il registro dell'applicazione del server in cui è installato lo strumento di sincronizzazione di Azure Active Directory per l'evento seguente:

   • Origine: Sincronizzazione della directory

   • ID evento: 4

   • Livello: Informazioni

   Questo evento indica che la sincronizzazione della directory è stata completata nel server. In questo caso, eseguire di nuovo questi passaggi per assicurarsi che il valore LastDirSyncTime sia stato aggiornato in modo appropriato.

Risolvere i problemi relativi alla convalida per il passaggio 4

Risolvere i problemi comuni di convalida usando i seguenti articoli della Microsoft Knowledge Base, in base alle proprie esigenze:

• 2508225 "LogonUser() Failed with error code: 1789" after you enter enterprise administrator credentials in the Azure Active Directory Sync tool Configuration Wizard

• 2502710 errore "Si è verificato un errore sconosciuto con l'Assistente per l'accesso ai Microsoft Online Services" quando si esegue la configurazione guidata dello strumento di sincronizzazione di Azure Active Directory

• 2419250 errore "Il computer deve essere aggiunto a un dominio" quando si prova a installare lo strumento di sincronizzazione di Azure Active Directory

• 2643629 Uno o più oggetti non vengono sincronizzati quando si usa lo strumento di sincronizzazione di Azure Active Directory

• 2641663 Come usare la corrispondenza SMTP per associare gli account utente locali agli account utente di Office 365 per la sincronizzazione della directory

• 2492140 Non è possibile assegnare un dominio federato a un utente nel portale di Office 365

Indicazioni per l'installazione

1. Verificare i prerequisiti client per Office 365. Per altre informazioni sui requisiti di sistema per Office 365, vedere requisiti di sistema di Office 365.

2. Eseguire Office 365 Configurazione desktop in tutti i computer client che usano applicazioni client complete. Le applicazioni client complesse includono Microsoft Outlook, Microsoft Lync 2010, Microsoft Office Professional Plus 2010, Modulo di Azure Active Directory per Windows PowerShell. Applicazioni desktop di Office e applicazioni di integrazione di Microsoft SharePoint.

3. Se è prevista un'esperienza automatica e senza richiesta di conferma per i computer client aggiunti a un dominio e connessi al dominio, aggiungere l'URL del servizio federativo AD FS all'area Intranet locale in Windows Internet Explorer. Ad esempio, eseguire le operazioni seguenti:

   1. In Internet Explorer scegliere Opzioni Internet dal menu Strumenti.

   2. Fare clic sulla scheda Sicurezza, su Intranet locale, siti e quindi su Avanzate.

   3. Digitare https://sts.contoso.com nella casella Aggiungi il sito Web all'area e quindi fare clic su Aggiungi.
      
      Nota "sts.contoso.com" rappresenta il nome di dominio completo del servizio federativo AD FS.

   Per altre informazioni su questa configurazione, vedere il seguente articolo della Microsoft Knowledge Base:

   2535227 A un utente federato viene richiesto in modo imprevisto di immettere le credenziali dell'account aziendale o dell'istituto di istruzione

4. Se i computer client aggiunti a un dominio e connessi a un dominio accedono alle risorse Internet usando un server proxy che risolve gli indirizzi Internet usando query DNS pubbliche (e non dns interno, split brain), aggiungere l'URL del servizio federativo AD FS all'elenco per cui Internet Explorer ignora il filtro proxy. Di seguito è riportato un esempio di come aggiungere l'URL all'elenco di eccezioni di Internet Explorer:

   1. In Internet Explorer scegliere Opzioni Internet dal menu Strumenti.

   2. Nella scheda Connessioni fare clic su Impostazioni LAN e quindi su Avanzate.

   3. Nella casella Eccezioni immettere il valore usando il nome DNS completo del nome dell'endpoint del servizio AD FS. Ad esempio, immettere sts.contoso.com.

Convalida per il passaggio 5

Per convalidare, seguire questa procedura:

1. Verificare che il servizio Assistente per l'accesso ai Microsoft Online Services sia installato e in esecuzione. A tal fine, attenersi alla seguente procedura:

   1. Fare clic sul pulsante Start, scegliere Esegui, digitare Services.msc e quindi fare clic su OK.

   2. Individuare la voce Assistente per l'accesso ai Microsoft Online Services e verificare che il servizio sia in esecuzione.

   3. Se il servizio non è in esecuzione, fare clic con il pulsante destro del mouse sulla voce e quindi scegliere Avvia.

2. Passare al sito Web AD FS MEX per verificare che l'endpoint fa parte dell'area di sicurezza Intranet di Internet Explorer. A tal fine, attenersi alla seguente procedura:

   1. Avviare Internet Explorer e quindi passare al sito Web dell'endpoint del servizio AD FS. Di seguito è riportato un esempio di sito Web dell'endpoint del servizio:

      https://sts.contoso.com/federationmetadata/2007-06/federationmetadata.xml

   2. Controllare la barra di stato nella parte inferiore della finestra per verificare che l'area di sicurezza indicata per l'URL sia Intranet locale.