Fehler bei der passiven Verbundanforderung beim Zugriff auf eine Anwendung mit AD FS und Formularauthentifizierung nach zuvorer Verbindung mit Microsoft Dynamics CRM mit AD FS

Problembeschreibung

Fehler bei einer passiven Verbundanforderung beim Zugriff auf eine Anwendung wie SharePoint, die AD FS und Formularauthentifizierung verwendet, nachdem zuvor eine Verbindung mit Microsoft Dynamics CRM mit anspruchsbasierter Authentifizierung herstellen wurde, tritt ein Fehler auf: Fehler bei passiver



Verbundanforderung.
Additional Data
Protocol Name:
Relying Party:
Exception details:
Microsoft.IdentityServer.RequestFailedException: MSIS7065: There are no registered protocol handlers on path /adfs/ls/to process the incoming request.
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)

Sign out scenario: 20 minutes before Token expiration below dialog is shown with options
to sign in or Cancel. Wenn Sie auf "Anmelden" klicken, wird keine Umleitung zur ADFS-Anmeldeseite mit der Eingabe von Benutzername und Kennwort angezeigt. Stattdessen wird eine AdFS-Seite "Ab signiert" angezeigt. Referece – Ablauf des anspruchsbasierten Authentifizierungs- und Sicherheitstokens.

Ursache

Das Problem wird durch ein doppeltes MSISAuth-Cookie verursacht, das von Microsoft Dynamics CRM als Domänencookie mit einem AD FS-Namespace ausgestellt wurde. Dieser Cookiename ist nicht eindeutig, und wenn auf eine andere Anwendung wie SharePoint zugegriffen wird, wird er mit einem doppelten Cookie angezeigt. Dies führt zu einem Fehler bei der Authentifizierung.

Das Abmeldeszenario wird durch das von Microsoft Dynamics CRM als Domänencookie ausgelöste Cookie verursacht (siehe unten). Dieses Cookie ist ein Domänencookie und wird, wenn es in ADFS präsentiert wird, für die gesamte Domäne betrachtet, z. B. *.contoso.com/. Dies führt dazu, dass der Ablauf der erneuten Authentifizierung fehlschlägt und ADFS die Seite "Abmelden" zeigt.

Set-Cookie: MSISSignOut=; domain=contoso.com; path=/; sicher; HttpOnly

Fehlerbehebung

Um dieses Problem zu beheben, müssen Sie Microsoft Dynamics CRM mit einem Unterdomänenwert wie z. B. crm.domain.com. Dazu ist ein anderes Platzhalterzertifikat wie *.crm.domain.com.

Nachdem Sie diese Änderungen vorgenommen haben, müssen Sie anspruchsbasierte Authentifizierung und WENND mit den richtigen Endpunkten neu konfigurieren, wie unten dargestellt:

1. auth.<subdomain>.domain.com

2. dev.<subdomain>.domain.com

3. org.<subdomain>.domain.com

Weitere Informationen

Weitere Informationen zum Konfigurieren der anspruchsbasierten Authentifizierung und von WENND für Microsoft Dynamics CRM finden Sie unter dem folgenden Link: Konfigurieren der anspruchsbasierten Authentifizierung für Microsoft Dynamics CRM

Server