FIX: Gli utenti in insiemi di strutture remoti non possono modificare le proprie password tramite ISA Server 2006 o Forefront Threat Management Gateway 2010

Nota Questi problemi si applicano anche a Microsoft Forefront Threat Management Gateway 2010.

Problema 1:

Si consideri il seguente scenario:

• Si dispone di un server che esegue Microsoft Internet Security and Acceleration (ISA) 2006.
• È stato configurato un listener di autenticazione basato su form (FBA) selezionando Autenticazione di Form HTML nel Autenticazione scheda.
• Il listener è configurato per consentire agli utenti di modificare le proprie password.
• È stata utilizzata la funzionalità descritta nell'articolo della Microsoft Knowledge Base 952675 per attivare ISA 2006 per la ricerca dell'utente in più domini. Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
  952675

  (http://support.microsoft.com/kb/952675/ )

  Non è possibile accedere a un sito intranet locale che si pubblica per l'utilizzo di ISA Server 2006 quando esistono più account utente che hanno lo stesso nome di account in domini diversi
• L'account dell'utente che ha tentato l'accesso si trova in un dominio in un insieme di strutture trusted remoto.

In questo scenario, gli utenti non possono accedere se la password è scaduta o se l'account è impostato su Cambiamento obbligatorio password all'accesso successivo. 1907 (ERROR_PASSWORD_MUST_CHANGE) viene registrato nel registro proxy web.

Problema 2:

Si consideri il seguente scenario:

• Si dispone di un server che esegue Microsoft Internet Security and Acceleration (ISA) 2006.
• È stato configurato un listener di autenticazione basato su form (FBA) selezionando Autenticazione di Form HTML nel Autenticazione scheda.
• Il listener è configurato per consentire agli utenti di modificare le password.
• Si dispone di una regola di pubblicazione sul web che utilizza questo listener per pubblicare un sito Web.
• È stata utilizzata la funzionalità descritta nell'articolo della Microsoft Knowledge Base 952675 per attivare ISA 2006 per la ricerca dell'utente in più domini. Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
  952675

  (http://support.microsoft.com/kb/952675/ )

  Non è possibile accedere a un sito intranet locale che si pubblica per l'utilizzo di ISA Server 2006 quando esistono più account utente che hanno lo stesso nome di account in domini diversi
• Chiusura della connessione che ISA Server 2006 è aperto per il server di catalogo globale in modo imprevisto, ad esempio, da un firewall tra i due server.
• L'utente che effettua l'accesso è specificato il nome dell'utente in un formato di denominazione basata su NT4/SAM.
• La nuova password specificata dall'utente soddisfi i requisiti di complessità.

In questo scenario, gli utenti di tutti i domini non possono cambiare le password. Quando si tenta di modificare una password, ricevono il seguente messaggio di errore: Se l'utente specifica un nome utente che utilizza un formato UPN, l'utente può modificare la password. Se viene riavviato il servizio Firewall di ISA Server 2006, gli utenti potrebbero anche essere in grado di modificare una password finché non viene interrotta la connessione al server di catalogo globale nuovamente.

Problema 1:

Questo problema si verifica quando l'utente non viene reindirizzato alla pagina di modifica della password poiché ISA Server 2006 non consente di verificare lo stato dell'account per gli account in insiemi di strutture remoti. Pertanto, tenta di utilizzare le credenziali utente fornita per l'accesso dell'utente. La password non è più valida. Di conseguenza, il tentativo non riesce e viene restituito l'errore 1907 (ERROR_PASSWORD_MUST_CHANGE).

Problema 2:

Questo problema si verifica quando viene riutilizzato l'handle per l'invio di messaggi al server di catalogo globale. Quando l'handle non riesce, questo impedisce a ISA Server 2006 di verificare lo stato dell'account utente.

Microsoft Internet Security and Acceleration (ISA) 2006

Per risolvere questo problema, installare il pacchetto cumulativo di hotfix di ISA Server 2006 è descritto nell'articolo della Microsoft Knowledge Base riportato di seguito:

Microsoft Forefront Threat Management Gateway 2010

Per risolvere questo problema, installare il service pack che è descritto nell'articolo della Microsoft Knowledge Base riportato di seguito:

Come attivare questa correzione rapida

Microsoft fornisce esempi di programmazione illustrativo, senza alcuna garanzia espressa o implicita. Ciò include, ma non è limitato a, le garanzie implicite di commerciabilità o idoneità per uno scopo particolare. In questo articolo si presuppone che si ha familiarità con il linguaggio di programmazione in questione e gli strumenti utilizzati per creare ed eseguire il debug di procedure. I tecnici del supporto Microsoft possono spiegare la funzionalità di una particolare procedura. Tuttavia, nessun caso a modificare questi esempi per fornire funzionalità aggiuntive o creare procedure atte a soddisfare specifiche esigenze.

Per attivare questa correzione per ISA Server 2006 o per Forefront Threat Management Gateway 2010, eseguire lo script EnableMultipleFlatUserName.vbs per attivare la funzionalità fornita da questa correzione. A tale scopo, attenersi alla seguente procedura:

1. Fare clic su Avviare, fare clic su Eseguire, tipo blocco note, quindi fare clic su OK.
2. Copiare lo script seguente in un file di blocco note e quindi salvare il file di testo come un file di Microsoft Visual Basic utilizzando l'estensione del nome di file vbs.

   Const SE_VPS_GUID = "{143F5698-103B-12D4-FF34-1F34767DEabc}"
   Const SE_VPS_NAME = "EnableMultipleFlatUserName"
   Const SE_VPS_VALUE = true
   
   Sub SetValue()
   
       ' Create the root obect.
       Dim root  ' The FPCLib.FPC root object
       Set root = CreateObject("FPC.Root")
   
       'Declare the other objects needed.
       Dim array       ' An FPCArray object
       Dim VendorSets  ' An FPCVendorParametersSets collection
       Dim VendorSet   ' An FPCVendorParametersSet object
   
       ' Get references to the array object
       ' and the network rules collection.
       Set array = root.GetContainingArray
       Set VendorSets = array.VendorParametersSets
   
       On Error Resume Next
       Set VendorSet = VendorSets.Item( SE_VPS_GUID )
   
       If Err.Number <> 0 Then
           Err.Clear
   
           ' Add the item
           Set VendorSet = VendorSets.Add( SE_VPS_GUID )
           CheckError
           WScript.Echo "New VendorSet added... " & VendorSet.Name
   
       Else
           WScript.Echo "Existing VendorSet found... value- " &  VendorSet.Value(SE_VPS_NAME)
       End If
   
       if VendorSet.Value(SE_VPS_NAME) <> SE_VPS_VALUE Then
   
           Err.Clear
           VendorSet.Value(SE_VPS_NAME) = SE_VPS_VALUE
   
           If Err.Number <> 0 Then
               CheckError
           Else
               VendorSets.Save false, true
               CheckError
   
               If Err.Number = 0 Then
                   WScript.Echo "Done with " & SE_VPS_NAME & ", saved!"
               End If
           End If
       Else
           WScript.Echo "Done with " & SE_VPS_NAME & ", no change!"
       End If
   
   End Sub
   
   Sub CheckError()
   
       If Err.Number <> 0 Then
           WScript.Echo "An error occurred: 0x" & Hex(Err.Number) & " " & Err.Description
           Err.Clear
       End If
   
   End Sub
   
   SetValue
   

3. Salvare il file in una cartella temporanea. Ad esempio, salvare il file come EnableMultipleFlatUserName.vbs per il C:\EnableMultipleFlatUserName cartella.
4. Al prompt dei comandi, andare alla posizione in cui è stato salvato il file vbs nel passaggio 3 e quindi eseguire il file vbs. Ad esempio, eseguire i seguenti comandi:
   CD C:\EnableMultipleFlatUserName
   cscript EnableMultipleFlatUserName.vbs

Microsoft ha confermato che si tratta di un problema con i prodotti elencati nella sezione "Si applica a".

Per ulteriori informazioni sulla terminologia degli aggiornamenti software, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito: