Résumé
L’authentification échoue si vous utilisez une authentification par mot de passe non (comme les cartes PIV) sur un serveur du fournisseur d’identité (IdP), et que la demande contient le paramètre d’invite de commandes qui possède la connexion comme valeur.
Cause
Ce problème se produit car le comportement de fédération invite par défaut est à convertir le paramètre prompt = connexion à wauth = mot de passe & wfresh = 0 au cours de la fédération.
À propos de la résolution
Active Directory Federation Services (ADFS) prend désormais en charge les options suivantes pour contrôler comment le paramètre prompt = connexion doit être géré au cours d’une fédération. Ces options peuvent être définies globalement pour tous les serveurs fédérés à l’aide de l’applet de commande set-ADFSProperties , mais uniquement lorsque la batterie est en cours d’exécution en mode mixte. Le paramètre global est automatiquement migré aux fournisseurs de revendications individuelles lorsque le niveau de comportement de la batterie (FBL) est déclenché pour Windows Server 2016. Ils peuvent être affichés à l’aide de l’applet de commande get-ADFSProperties .
Remarque Ces options peuvent également être définies sur les fournisseurs de revendications individuelles à l’aide de l’applet de commande Add-AdfsClaimsProviderTrust lorsque la batterie est en cours d’exécution en mode non mixte.
-
Aucun. Pas fédérer la demande de prompt = ouverture de session et l’erreur à la place.
-
FallbackToProtocolSpecificParameters (Par défaut). Traduire prompt = connexion à wfresh = 0 et Wauth = forms au cours d’une fédération. En cas de « wauth » dans la requête d’origine, elle sera préservée.
La valeur de « wauth » par défaut peut être substituée à l’aide du paramètre PromptLoginFallbackAuthenticationType . Par exemple, la commande suivante convertit prompt = connexion à wfresh = 0 et wauth = urn : ietf:rfc:2246 au cours d’une fédération.
Set-AdfsProperties - PromptLoginFederation - PromptLoginFallbackAuthenticationType FallbackToProtocolSpecificParameters urn : ietf:rfc:2246
-
ForwardPromptAndHintsOverWsFederation. Transférer le paramètre invite que pendant une fédération.
-
Désactivé. Ignorer le paramètre de ligne de la demande pendant une fédération.
Voici quelques exemples de l’applet de commande set-ADFSProperties :
-
Set-AdfsProperties - PromptLoginFederation aucune
-
Set-AdfsProperties - PromptLoginFederation ForwardPromptAndHintsOverWsFederation
Comment obtenir cette mise à jour
Pour ajouter la nouvelle option, installez la mise à jour de février 2018 Ko 4077525.
Conditions préalables
Pour installer cette mise à jour, vous devez avoir Windows Server 2016 installé.
Informations concernant le Registre
Pour appliquer cette mise à jour, vous n’êtes pas obligé d’apporter des modifications au Registre.
Nécessite un redémarrage
Vous devez redémarrer l'ordinateur après avoir appliqué cette mise à jour.
Mettre à jour les informations sur le remplacement
Cette mise à jour ne remplace pas de mise à jour précédemment publiée.
État
Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la section « S'applique à ».
Références
Obtenir des informations sur la terminologie que Microsoft utilise pour décrire les mises à jour logicielles.
