PROBLEM
Ein neu verbundener Benutzer kann sich nicht bei einem Microsoft-Clouddienst wie Office 365, Microsoft Azure oder Microsoft Intune anmelden. Beim Benutzer treten die folgenden Symptome auf:
-
Nachdem der Benutzer seine Benutzer-ID auf der login.microsoftonline.com Webseite eingegeben hat, kann die Benutzer-ID nicht durch die Startbereichsermittlung als Verbundbenutzer identifiziert werden, und der Benutzer wird nicht automatisch zur Anmeldung über einmaliges Anmelden (Single Sign-On, SSO) umgeleitet.
-
Bei der Authentifizierung bei Active Directory-Verbunddienste (AD FS) (AD FS) tritt ein Fehler auf, und der Benutzer erhält die folgende Fehlermeldung zur formularbasierten Authentifizierung:
Der Benutzername oder das Kennwort ist falsch.
-
Der Benutzer erhält die folgende Fehlermeldung auf der login.microsoftonline.com Webseite:
Leider haben wir Probleme beim Abmelden.
URSACHE
Diese Symptome können aufgrund einer schlecht pilotierten SSO-fähigen Benutzer-ID auftreten. Die allgemeinen Anforderungen für das Piloting einer SSO-fähigen Benutzer-ID sind wie folgt:
-
Das lokales Active Directory Benutzerkonto sollte den Verbunddomänennamen als UpN-Suffix (User Principal Name, Benutzerprinzipalname) verwenden.
-
Die Benutzer-ID und die primäre E-Mail-Adresse für das zugeordnete Microsoft Exchange Online Postfach verwenden nicht dasselbe Domänensuffix.
-
Das Azure Active Directory-Synchronisierungstool muss das lokales Active Directory Benutzerkonto mit einer cloudbasierten Benutzer-ID synchronisieren.
-
Der UPN des lokales Active Directory Benutzerkontos und die cloudbasierte Benutzer-ID müssen übereinstimmen.
Bevor Sie davon ausgehen, dass eine nicht ordnungsgemäß pilotierte SSO-fähige Benutzer-ID die Ursache für dieses Problem ist, stellen Sie sicher, dass die folgenden Bedingungen zutreffen:
-
Beim Benutzer tritt kein häufiges Anmeldeproblem auf. Weitere Informationen zur Behandlung allgemeiner Anmeldeprobleme finden Sie im folgenden Microsoft Knowledge Base-Artikel:
2412085 Sie können sich nicht bei Ihrem Organisationskonto anmelden, z. B. Office 365, Azure oder Intune
-
Die Verbunddomäne ist wie folgt ordnungsgemäß für die Unterstützung des einmaligen Anmeldens vorbereitet:
-
Die Verbunddomäne kann durch DNS öffentlich aufgelöst werden. (Die Standarddomäne "onmicrosoft.com" ist nicht enthalten.)
-
Die Verbunddomäne wurde gemäß den folgenden Microsoft-Websites für SSO vorbereitet.
Hinweis Die Weitergabe der Domänenverbundkonvertierung kann einige Zeit in Anspruch nehmen. Sie sollten zwei Stunden warten, nachdem Sie eine Domäne im Verbund erstellt haben, bevor Sie davon ausgehen, dass die Domänenkonfiguration fehlerhaft ist.
-
LÖSUNG
Um dieses Problem zu beheben, stellen Sie sicher, dass das Benutzerkonto ordnungsgemäß als SSO-fähige Benutzer-ID pilotiert wurde. Verwenden Sie dazu eine oder mehrere der folgenden Methoden:
Methode 1: Weitere Informationen finden Sie im Knowledge Base-Artikel 2615736, wenn Benutzer den Fehler "Leider haben wir Probleme bei der Anmeldung" erhalten.
Wenn der Benutzer die Fehlermeldung "Leider haben wir Probleme bei der Anmeldung" erhält, verwenden Sie den folgenden Microsoft Knowledge Base-Artikel, um das Problem zu beheben:
2615736 Fehler "Leider haben wir Probleme bei der Anmeldung", wenn ein Benutzer versucht, sich bei Office 365, Azure oder Intune
Methode 2: Aktualisieren des UPN des lokalen Benutzerkontos zur Verwendung der Verbunddomäne als Suffix
Warnung Das Ändern des UPN eines Active Directory-Benutzerkontos kann erhebliche Auswirkungen auf die lokales Active Directory Funktionalität für den Benutzer haben. Es wird empfohlen, vorsichtig zu sein und über UPN-Änderungen zu beraten.
Der Effekt umfasst möglicherweise Folgendes:
-
Remotezugriff auf lokale Ressourcen durch Roamingbenutzer, die sich mit zwischengespeicherten Anmeldeinformationen beim Betriebssystem anmelden
-
Remotezugriffs-Authentifizierungstechnologien mithilfe von Benutzerzertifikaten
-
Verschlüsselungstechnologien, die auf Benutzerzertifikaten wie Secure MIME (SMIME), IRM-Technologien (Information Rights Management) und dem EFS-Feature (Encrypting File System) von NTFS basieren
-
Smartcard-Funktionalität
Es wird dringend empfohlen, ein Pilotprojekt für ein einzelnes Benutzerkonto zu starten, um besser zu verstehen, wie sich die Aktualisierung des UPN auf den Benutzerzugriff auswirkt. Die Informationen sind nützlich, um die Neuausstellung von Zertifikaten, die Datenwiederherstellung und alle anderen Korrekturen zu planen, die erforderlich sind, um den Zugriff auf Daten mithilfe dieser Technologien zu gewährleisten.
Sie müssen den Benutzerkonto-UPN aktualisieren, um das Suffix der Verbunddomäne sowohl in der lokales Active Directory-Umgebung als auch in Azure AD widerzuspiegeln. Gehen Sie zu diesem Zweck folgendermaßen vor:
-
Stellen Sie sicher, dass die Verbunddomäne als UPN-Suffix hinzugefügt wird:
-
Klicken Sie auf dem lokales Active Directory Domänencontroller auf Start, zeigen Sie auf Alle Programme, klicken Sie auf Verwaltung, und klicken Sie dann auf Active Directory-Domänen und -Vertrauensstellungen.
-
Klicken Sie mit der rechten Maustaste auf den Stammknoten von Active Directory-Domänen und -Vertrauensstellungen, wählen Sie Eigenschaften aus, und stellen Sie dann sicher, dass der für SSO verwendete Domänenname vorhanden ist.
Hinweis Ein nicht routingfähiges Domänensuffix wie domain.internal oder die domain.microsoftonline.com Domäne kann die SSO-Funktionalität oder Verbunddienste nicht nutzen. Ein nicht routingfähiges Domänensuffix darf in diesem Schritt nicht verwendet werden.
-
-
Aktualisieren Sie das UPN-Suffix des Problembenutzerkontos manuell:
-
Klicken Sie auf dem lokales Active Directory Domänencontroller auf Start, zeigen Sie auf Alle Programme, klicken Sie auf Verwaltung, und klicken Sie dann auf Active Directory-Benutzer und -Computer.
-
Suchen Sie das Problembenutzerkonto, klicken Sie mit der rechten Maustaste auf das Konto, und klicken Sie dann auf Eigenschaften.
-
Verwenden Sie auf der Registerkarte Konto die Dropdownliste in der oberen linken Ecke, um das UPN-Suffix in die benutzerdefinierte Domäne zu ändern, und klicken Sie dann auf OK.
-
Methode 3: Stellen Sie sicher, dass die Benutzer-ID und die primäre SMTP-Adresse (Simple Mail Transfer Protocol) des Exchange Online Postfachs dieselbe Domäne haben.
Verwenden Sie lokale Exchange-Verwaltungstools, um die primäre SMTP-Adresse des lokalen Benutzers auf dieselbe Domäne des UPN-Attributs festzulegen, die in Methode 2 beschrieben wird. Weitere Informationen findest du auf den folgenden Microsoft TechNet-Websites:
Bearbeiten einer E-Mail-Adressrichtlinie
Konfigurieren von Benutzer- und Ressourcenpostfacheigenschaften Wenn Exchange nicht in der lokalen Umgebung installiert ist, können Sie den SMTP-Adresswert mithilfe von Active Directory-Benutzer und -Computer verwalten. Gehen Sie zu diesem Zweck folgendermaßen vor:
-
Klicken Sie Active Directory-Benutzer und -Computer mit der rechten Maustaste auf das Benutzerobjekt, und klicken Sie dann auf Eigenschaften.
-
Aktualisieren Sie auf der Registerkarte Allgemein das Feld E-Mail , und klicken Sie dann auf OK.
Methode 4: Einrichten der Active Directory-Synchronisierung für den Benutzerkonto-UPN
Damit einmaliges Anmelden ordnungsgemäß funktioniert, müssen Sie den Active Directory-Synchronisierungsclient einrichten. Weitere Informationen zum Einrichten der Active Directory-Synchronisierung finden Sie auf der folgenden Microsoft-Website:
Active Directory-Synchronisierung: RoadmapWeitere Informationen zum Erzwingen und Überprüfen der Synchronisierung finden Sie auf den folgenden Microsoft-Websites:
Methode 5: Behandeln von Problemen mit UPN-Updates für ein bestimmtes Benutzerkonto
Wenn die Synchronisierung überprüft werden kann, aber der UPN einer pilotierten Benutzer-ID immer noch nicht aktualisiert wird, kann das Synchronisierungsproblem für den jeweiligen Benutzer auftreten.
Weitere Informationen zur Behandlung potenzieller Probleme beim Synchronisieren eines bestimmten Active Directory-Objekts finden Sie im folgenden Microsoft Knowledge Base-Artikel:
2643629 Ein oder mehrere Objekte synchronisieren nicht, wenn Azure Active Directory Sync-Tool verwendet wird
Weitere Hilfe erforderlich? Wechseln Sie zur Microsoft Community oder zur Website azure Active Directory-Foren .
