AD FS игнорира параметъра "prompt=login" по време на удостоверяване в Windows Server 2016

Отнася се за
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Резюме

Удостоверяването е неуспешно, ако използвате удостоверяване без парола (като PIV карти) на сървър на доставчик на самоличност (IdP) и искането съдържа параметъра prompt , който има login като стойност.

Причина

Този проблем възниква, защото поведението по подразбиране на федериране на подкана е параметърът prompt=login да се преобразува в wauth=password&wfresh=0 по време на федерирането.

За корекцията

услуги на Active Directory за улесняване на достъпа (AD FS) вече поддържат следните опции за управление на начина, по който трябва да се обработва параметърът prompt=login по време на федериране. Тези опции могат да бъдат зададени глобално за всички федерирани сървъри с помощта на кратката команда set-ADFSProperties , но само когато сървърната група се изпълнява в смесен режим. Глобалната настройка се мигрира автоматично към отделните доставчици на искове, когато нивото на поведение на сървърна група (FBL) се повиши до Windows Server 2016. Те могат да бъдат прегледани с помощта на кратката команда get-ADFSProperties .

Забележка Тези опции могат да бъдат зададени и за отделни доставчици на искове с помощта на кратката команда Add-AdfsClaimsProviderTrust , когато сървърната група се изпълнява в несмесен режим.

  • Няма. Не федерирайте заявката prompt=login и грешката вместо това.

  • FallbackToProtocolSpecificParameters (по подразбиране). Translate prompt=login to wfresh=0 and Wauth=forms during a federation. Ако в първоначалната заявка съществува "wauth", то ще бъде запазено.

    Стойността по подразбиране "wauth" може да бъде заместена с помощта на параметъра PromptLoginFallbackAuthenticationType . Например следната команда превежда prompt=login в wfresh=0 и wauth=urn:ietf:rfc:2246 по време на федериране.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Препращане на параметъра на подканване , както е по време на федериране.

  • Забранено. Отхвърляне на параметъра на подкана от искането по време на федериране.

Следват примери за кратката команда set-ADFSProperties :

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Как да изтеглите тази актуализация

За да добавите новата опция, инсталирайте актуализацията KB 4077525 от февруари 2018 г.

Предварителни изисквания

За да инсталирате тази актуализация, трябва да имате инсталиран Windows Server 2016.
 

Информация за системния регистър

За да приложите тази актуализация, не е нужно да правите промени в системния регистър.
 

Изискване за рестартиране

Трябва да рестартирате компютъра, след като приложите тази актуализация.
 

Информация за заместване на актуализация

Тази актуализация не замества последно издадената актуализация.

Състояние

Microsoft потвърждава, че това е проблем в продуктите на Microsoft, които са изброени в раздела „Важи за“.

Справки

Научете повече относно терминологията, която Microsoft използва за описване на актуализациите на софтуера.