AD FS ignorerer parameteren "prompt=login" under en godkendelse i Windows Server 2016

Gælder for
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Resumé

Godkendelse mislykkes, hvis du bruger en ikke-adgangskodebaseret godkendelse (f.eks. PIV-kort) på en Id Provider (Identity Provider)-server, og anmodningen indeholder promptparameteren , der har login som værdi.

Årsag

Dette problem opstår, fordi standardfunktionsmåden for sammenslutning er at konvertere prompt=login-parameteren til wauth=password&wfresh=0 under sammenslutningen.

Om rettelsen

Active Directory Federation Services (AD FS) understøtter nu følgende indstillinger til at styre, hvordan parameteren prompt=login skal håndteres under en sammenslutning. Disse indstillinger kan angives globalt for alle sammensluttede servere ved hjælp af cmdlet'en set-ADFSProperties , men kun når farmen kører i blandet tilstand. Den globale indstilling overføres automatisk til de enkelte kravudbydere, når FBL (farm behavior level) hæves til Windows Server 2016. De kan ses ved hjælp af get-ADFSProperties-cmdlet'en .

Bemærk Disse indstillinger kan også angives for individuelle kravudbydere ved hjælp af Add-AdfsClaimsProviderTrust-cmdlet'en , når farmen kører i en ikke-blandet tilstand.

  • Ingen. Undlad at samle prompt=login-anmodningen og fejlen i stedet.

  • FallbackToProtocolSpecificParameters (standard). Oversæt prompt=login til wfresh=0 og Wauth=formularer under en sammenslutning. Hvis der findes "wauth" i den oprindelige anmodning, bevares den.

    Standardværdien "wauth" kan tilsidesættes ved hjælp af parameteren PromptLoginFallbackAuthenticationType . Følgende kommando oversætter f.eks. prompt=login til wfresh=0 og wauth=urn:ietf:rfc:2246 under en sammenslutning.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Videresend promptparameteren , som den er under en sammenslutning.

  • Deaktiveret. Slet promptparameteren fra anmodningen under en sammenslutning.

Følgende er eksempler på set-ADFSProperties-cmdlet'en :

  • Set-AdfsProperties -PromptLoginFederation Ingen
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Sådan henter du denne opdatering

Hvis du vil tilføje den nye indstilling, skal du installere KB-opdateringen fra februar 2018 4077525.

Forudsætninger

Hvis du vil installere denne opdatering, skal du have Windows Server 2016 installeret.
 

Oplysninger om registreringsdatabasen

Hvis du vil anvende denne opdatering, behøver du ikke at foretage nogen ændringer af registreringsdatabasen.
 

Krav om genstart

Du skal genstarte computeren, når du har installeret denne opdatering.
 

Oplysninger om ny opdatering

Denne opdatering erstatter ikke en tidligere udsendt opdatering.

Status

Microsoft har bekræftet, at dette er et problem i de Microsoft-produkter, der er angivet i afsnittet "Gælder for".

Referencer

Få mere at vide om den terminologi, som Microsoft bruger til at beskrive softwareopdateringer.