ПРОБЛЕМ
Когато се опитвате да получите достъп до услуга в облака на Microsoft, като например Office 365, Microsoft Azure или Microsoft, за да можете да го настроите чрез уеб-базиран клиент или богато клиентско приложение с помощта на външен акаунт, удостоверяването е неуспешно от конкретен клиентски компютър. Когато използвате уеб браузър, за да осъществите достъп до портала за услуги в облака от един и същ компютър, като използвате външен акаунт, е възможно да се сблъскате с един от следните симптоми:
-
Когато се свързвате към крайна точка на портала, получавате едно от следните съобщения за грешка:
Internet Explorer не може да покаже уеб страницата.
страницата на 403 не е намерена
-
Когато се свързвате към крайна точка на услугите на Active Directory (AD FS), ще получите едно от следните съобщения за грешка:
Internet Explorer не може да покаже уеб страницата
страницата на 403 не е намерена
-
Получавате предупреждение за сертификата, когато се свързвате към точка AD FS.
-
Когато се свързвате към точка AD FS, докато сте влезли в корпоративния домейн, получавате една-единствена подкана за идентификационни данни. Тази подкана за идентификационните ви данни не използва удостоверяване, базирано на формуляри.
-
Когато се свързвате към точка AD FS с помощта на уеб браузър на друг разработчик, получавате подкани за циклично удостоверяване. Тези подкани не използват удостоверяване, базирано на формуляри.
-
Когато се свързвате към крайна точка на login.microsoftonline.com, получавате следното съобщение за грешка:
Отказан достъп
ПРИЧИНЯВАТ
Обикновено този проблем възниква на клиентски компютър или на група клиентски устройства. Този проблем може да възникне за всички потребители и клиентски компютри, ако еднократната идентификация (SSO) не е напълно функционална. SSO може да не е напълно функционален, ако настройките на клиента не са настроени правилно. Следните ситуации за клиентски устройства може да причинят този проблем:
-
Мрежовата връзка може да е ограничена.
-
Устройството клиент получава неправилна резолюция за имена за услугата AD FS на Федерацията чрез вътрешно разделение-Мозъчен DNS прилагане.
-
Ако на компютъра е конфигуриран интернет прокси сървър, не може да се добави името на услугата за услуги на Федерацията към списъка за заобикаляне на прокси сървъри.
-
Може да не се добави името на услугата за администриране на локалната зона за защита в интранет в настройките за опции за интернет.
-
Клиентският компютър не е удостоверен към домейновите услуги на Active Directory.
-
Уеб браузърът на друг доставчик не поддържа разширена защита за удостоверяване за услугата AD FS на Федерацията.
-
Крайна точка за метаданни на Федерацията може да бъде вградения anonymoususername в системния регистър поради по-ранна инсталация на Office 365 Beta на инструмента за управление на SSO.
-
Изискваната крайна точка на услугата AD FS, която се изисква за конкретно клиентско приложение, е забранена.
Преди да продължите, се уверете, че са изпълнени следните условия:
-
Проблемите с достъпа не се ограничават до приложения на клиент на компютъра за богат клиент. Ако само богатото удостоверяване на клиент (вместо удостоверяване, базирано на браузър) не работи, е по-вероятно да се покаже богат проблем с удостоверяването на клиента. Например може да е проблем, който е свързан с предпоставките или конфигурацията на приложението RTF клиент. За повече информация вижте следната статия в базата знания на Microsoft:
2637629 Отстраняване на неизправности с небраузърни приложения, които не могат да влязат в Office 365, Azure или в "Настройки"
-
Удостоверяването с SSO не е неуспешно за всички потребителски акаунти с SSO. Ако всички потребители на SSO имат същите симптоми, е по-вероятно да се покаже проблем с федерацията. За допълнителна информация щракнете върху следния номер на статия, за да прегледате статията в базата знания на Microsoft:
2530569 Отстраняване на проблеми с настройката за еднократна идентификация в Office 365, "Настройка" или "Azure"
-
SSO удостоверяването за потребителския акаунт е успешно на други клиентски компютри. Ако потребителският акаунт не може да влезе в някой клиент за услуги в облака, вижте резолюциите по-нататък в тази статия, които включват компютъра клиент. Освен това можете да проучите възможността, че нещо не е наред с потребителския акаунт, а не с компютъра клиент. За допълнителна информация щракнете върху следния номер на статия, за да прегледате статията в базата знания на Microsoft:
2530590 Отстраняване на проблеми с акаунта за външни потребители в Office 365, Azure или в "Настройки"
-
Клавиатурата на компютъра клиент работи правилно, а потребителското име и паролата, където е необходимо, са въведени правилно.
Решение
За да отстраните този проблем, използвайте един или няколко от методите по-долу в зависимост от причината за проблема.
Разделителна способност 1: не може да се свърже с портала за услуги в облака или с AD FS
Опитайте да отидете в http://www.MSN.com. Ако това не свърши работа, отстранете проблемите с мрежовата връзка. За да направите това, изпълнете следните стъпки:
-
В командна подкана Използвайте инструменти за ipconfig и Ping , за да отстраните връзката чрез IP. За повече информация вижте следната статия в базата знания на Microsoft:
169790 Отстраняване на проблеми с основния TCP/IP.
-
В командна подкана въведете nslookup www.MSN.com , за да определите дали DNS разрешава разрешаването на имена на интернет сървъри.
-
Уверете се, че настройките на прокси сървъра за интернет отразяват подходящия прокси сървър, ако в локалната мрежа се използва прокси сървър.
-
Ако защитната стена на шлюза за управление на заплахи за TMG е инсталирана на границата на мрежата и защитната стена изисква удостоверяване на клиента, може да се наложи да инсталирате Forefront TMG клиент програма на клиентското устройство за достъп до интернет. Свържете се с вашия администратор на услуга в облака за помощ с това.
Разделителна способност 2: не може да се свърже с AD FS
За да отстраните този проблем, изпълнете следните стъпки:
-
Отстраняване на проблеми при свързването с IP чрез резолюция 1.
-
В командния ред въведете nslookup <ad fs 2,0 FQDN>и след това натиснете клавиша ENTER, за да определите дали DNS ще реши правилно името на услугата AD FS.Забележка В тази команда <AD FS FQDN> представлява напълно квалифицирано име на домейн (FQDN) на името на услугата AD FS. Той не представлява името на хоста на Windows на AD FS сървъра.
-
Ако клиентът е свързан към корпоративната мрежа, се уверете, че IP адресът, който е разрешен, е личен IP адрес. IP адресът трябва да съответства на един от следните модели:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ако клиентът е извън корпоративната мрежа, се уверете, че IP адресът, който е разрешен, е публичен IP адрес. Уверете се, че не съответства на един от следните модели:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ако IP адресът, който е разрешен, е неправилен, базиран на стъпка 1 и стъпка 2, и други клиентски компютри не се сблъскват със същото поведение, направете следното:
-
В командния ред въведете ipconfig//и след това проверете дали записът за първичен DNS сървър е подходящ за мрежата, към която е прикачен клиентът.
-
Отворете%WINDIR%\system32\drivers\etc\hosts файла в Notepad и след това премахнете всички записи за AD FS FQDN. След това запишете файла.
-
В командната подкана въведете ipconfig бликвам за изчистете DNS кеша.
-
Забележка Ако клиентските устройства са прикачени само към корпоративната мрежа, преминете към стъпка 3.
-
-
Добавете към списъка за заобикаляне на прокси сървър. За да направите това, следвайте стъпките в следващата статия в базата знания на Microsoft:
262981 Internet Explorer използва прокси сървър за локален IP адрес дори ако опцията "заобикаляне на прокси сървъра за локални адреси" е включена
Решение 3: предупреждение относно сертификат, когато се свързвате към крайната точка на AD FS
За да отстраните този проблем, отстранете проблемите със слоя със защитени сокети (SSL), като използвате следната статия в базата знания на Microsoft:
2523494 Получавате предупреждение за сертификат от AD FS, когато се опитвате да влезете в Office 365, Azure или в "Настройки"
Разделителна способност 4: получавате една неочаквана подкана за идентификационни данни, когато влезете от компютър клиент, който е свързан към корпоративната мрежа
За да отстраните този проблем, изпълнете следните стъпки:
-
Уверете се, че компютърът клиент е влязъл успешно в домейна.
-
Щракнете върху Старт, щракнете върху изпълнение, въведете %logonserver%\sysvolи след това щракнете върху OK.
-
Ако се появи подкана за идентификационни данни, излезте и след това влезте отново, като използвате корпоративни идентификационни данни.
-
-
Добавете на AD FS FQDN към локалната интранет зона.
-
В раздела защита щракнете върху локален интранети след това щракнете върху сайтове.
-
Щракнете върху Разширении след това прегледайте списъка с уеб сайтове за пълното квалифицирано DNS име на КРАЙНАТА точка на услугата AD FS (например STS.contoso.com). Забележка Със заместващ символ, като например "*. consoto.com", също ще работят в тази конфигурация.
-
-
Добавете към списъка за заобикаляне на прокси сървър. За да направите това, следвайте стъпките в следващата статия в базата знания на Microsoft:
262981 Internet Explorer използва прокси сървър за локален IP адрес дори ако опцията "заобикаляне на прокси сървъра за локални адреси" е включена
Разделителна способност 5: уеб браузърът на друг доставчик не поддържа разширена защита за удостоверяване и получавате подкани за циклично удостоверяване
За да отстраните този проблем, изпълнете следните стъпки:
-
Използвайте Windows Internet Explorer (Internet Explorer поддържа разширена защита за удостоверяване) вместо уеб браузър, който не поддържа разширена защита за удостоверяване.
-
Ако използването на Internet Explorer не е опция, използвайте следната статия от базата знания на Microsoft, за да конфигурирате AD FS да приема искания от уеб браузъри, които не поддържат разширена защита за удостоверяване:
2461628 Федерален потребител многократно е подканен за идентификационни данни по време на влизане в Office 365, Azure или в "Настройки"
Решение 6: съобщение за грешка "отказан достъп", когато се опитате да се свържете към login.microsoftonline.com
Важно Тази секция съдържа стъпки, които ви обясняват как да модифицирате системния регистър. Ако не промените правилно системния регистър обаче, е възможно да възникнат сериозни проблеми. Затова се уверете, че следвате тези стъпки внимателно. За допълнителна защита архивирайте регистъра, преди да го промените. След това, ако възникне проблем, можете да възстановите регистъра. За повече информация относно това как да направите резервно копие на системния регистър и да го възстановите, щракнете върху следния номер на статия, за да прегледате статия от базата знания на Microsoft:
322756 Създаване на архивно копие и възстановяване на системния регистър в WindowsПроблемите могат да възникнат, ако крайна точка за Azure Active Directory, използван от AD FS, не е валидна. Уверете се, че крайната точка на Федерацията не е в системния регистър на всеки сървър във вашата сервизна група на Федерацията. За да решите този проблем, използвайте редактора на системния регистър, за да изтриете следния подключ от системния регистър:
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationAD FS ще се върне към правилната крайна точка на базата на доверието на страната, в която се използва SSO.
Разделителна способност 7: нулиране на настройката за крайна точка на услугата
За повече информация как да направите това, вижте следната статия в базата знания на Microsoft:
2712957 Влизане в Office 365, Azure или неуспешна работа, след като промените крайната точка на услугата на Федерацията
Все още имате нужда от помощ? Отидете в Общността на Microsoft или в уеб сайта на форумите на Azure Active Directory .
