Résoudre les problèmes de configuration de l’authentification unique dans Office 365, Intune ou Azure

Conseils d’installation

Accédez au site web Microsoft suivant :

Préparer l’authentification unique

Validation de l’étape 1

Utilisez l’Assistant Évaluation des diagnostics de configuration de la synchronisation d’annuaires pour analyser Active Directory à la recherche de problèmes susceptibles d’entraîner des problèmes de synchronisation d’annuaires.

Résoudre les problèmes liés à la validation pour l’étape 1

1. Remarque Une préparation incorrecte d’Active Directory ou un échec de résolution des problèmes identifiés par l’outil peut entraîner des problèmes de synchronisation d’annuaires. Suivez les conseils de résolution des problèmes proposés par l’Assistant Évaluation des diagnostics de configuration de la synchronisation d’annuaires pour corriger les problèmes et assurez-vous que l’Assistant Diagnostics s’exécute sans erreur. Cela empêche les problèmes suivants de se produire ultérieurement dans l’implémentation :

   • 2392130 Résoudre les problèmes de nom d’utilisateur qui se produisent pour les utilisateurs fédérés lorsqu’ils se connectent à Office 365, Azure ou Intune

   • 2001616 L’adresse e-mail Office 365 d’un utilisateur contient de façon inattendue un trait de soulignement après la synchronisation d’annuaires

   • 2643629 Un ou plusieurs objets ne se synchronisent pas lors de l’utilisation de l’outil de synchronisation Microsoft Azure Active Directory

2. Réexécutez l’Assistant Diagnostics pour vérifier si le problème est résolu.

Conseils d’installation

Accédez au site web Microsoft suivant :

Installer Windows PowerShell pour l’authentification unique avec AD FS

Validation de l’étape 3

Pour valider le module Azure Active Directory pour Windows PowerShell pour l’authentification unique, procédez comme suit :

1. Exécutez le module Azure Active Directory pour Windows PowerShell en tant qu’administrateur.

2. Tapez les commandes suivantes et veillez à appuyer sur Entrée après avoir tapé chaque commande :

   1. $cred=Get-Credential
      Remarque Lorsque vous y êtes invité, tapez vos informations d’identification d’administrateur de service cloud.

   2. Connect-MsolService -Credential $cred 

      
      Remarque Cette commande vous connecte à Azure AD. Vous devez créer un contexte qui vous connecte à Azure AD avant d’exécuter les applets de commande supplémentaires installées par le module Azure Active Directory pour Windows PowerShell.

   3. Set-MsolAdfscontext -Computer < AD FS 2.0 primary server > 

      
      
      Notes

      • Si vous avez installé le module Azure Active Directory pour Windows PowerShell sur le serveur Services ADFS principal (AD FS), vous n’avez pas besoin d’exécuter cette applet de commande.

      • Dans cette commande, l’espace réservé <serveur principal AD FS 2.0> représente le nom de domaine complet interne du serveur AD FS principal. Cette commande crée un contexte qui vous connecte à AD FS.

   4. Get-MSOLFederationProperty -DomainName < federated domain name > 

      
      Remarque Dans cette commande, l’espace réservé <nom de domaine fédéré> représente le nom de domaine qui a été fédéré dans les étapes de configuration.

3. Comparez la première moitié (Source : serveur AD FS) et la dernière moitié (Source : Microsoft Office 365) de la sortie de la commande Get-MSOLFederationProperty que vous avez exécutée à l’étape 2D. Toutes les entrées à l’exception de Source et FederationServiceDisplayName doivent correspondre. S’ils ne correspondent pas, utilisez la section « Résolution » de l’article suivant de la Base de connaissances Microsoft pour mettre à jour les données d’approbation de la partie de confiance :
   
   2647020 « Désolé, mais nous rencontrons des problèmes de connexion » et « 80041317 » ou « 80043431 » lorsqu’un utilisateur fédéré tente de se connecter à Office 365, Azure ou Intune

Résoudre les problèmes liés à la validation pour l’étape 3

Pour résoudre les problèmes, procédez comme suit :

1. Résolvez les problèmes de validation courants à l’aide des articles suivants de la Base de connaissances Microsoft, en fonction de votre situation :

   • 2461873 Vous ne pouvez pas ouvrir le module Azure Active Directory pour Windows PowerShell

   • 2494043Vous ne pouvez pas vous connecter à l’aide du module Azure Active Directory pour Windows PowerShell

   • 2587730 erreur « Échec de la connexion à <ServerName> Services ADFS 2.0 » lorsque vous utilisez l’applet de commande Set-MsolADFSContext

   • 2279117 Un administrateur ne peut pas ajouter un domaine à un compte Office 365

   • Erreur lorsque vous exécutez l’applet de commande New-MsolFederatedDomain pour la deuxième fois, car la vérification du domaine échoue. Pour plus d’informations sur ce scénario, consultez l’article suivant de la Base de connaissances :

     2515404 Résoudre les problèmes de vérification de domaine dans Office 365

   • 2618887 erreur « L’identificateur de service de fédération spécifié dans le serveur AD FS 2.0 est déjà utilisé » lorsque vous essayez de configurer un autre domaine fédéré dans Office 365, Azure ou Intune

   • Les problèmes de temps entraînent des problèmes avec l’applet de commande New-MSOLFederatedDomain ou l’applet de commande Convert-MSOLDomainToFederated.

2. Réexécutez les étapes de validation pour vérifier si le problème est résolu.

Conseils d’installation

Accédez aux sites web Microsoft suivants :

• Feuille de route de synchronisation d’annuaires

• Synchronisation d’annuaires et source d’autorité

Validation de l’étape 4

Pour valider, procédez comme suit :

1. Exécutez le module Azure Active Directory pour Windows PowerShell en tant qu’administrateur.

2. Tapez les commandes suivantes. Veillez à appuyer sur Entrée après chaque commande.

   1. $cred=Get-Credential
      
      Remarque Lorsque vous y êtes invité, tapez vos informations d’identification d’administrateur de service cloud.

   2. Connect-MsolService -$cred
      
      d’informations d’identification Remarque Cette commande vous connecte à Azure AD. Vous devez créer un contexte qui vous connecte à Azure AD avant d’exécuter les applets de commande supplémentaires installées par le module Azure Active Directory pour Windows PowerShell.

   3. Get-MSOLCompanyInformation

3. Vérifiez la valeur LastDirSyncTime de la sortie des commandes précédentes et assurez-vous qu’elle affiche une synchronisation après l’installation de l’outil de synchronisation Azure Active Directory.
   
   Remarque L’horodatage de cette valeur s’affiche en temps universel coordonné (heure de Greenwich).

4. Si LastDirSyncTime n’est pas mis à jour, surveillez le journal des applications du serveur sur lequel l’outil de synchronisation Azure Active Directory est installé pour l’événement suivant :

   • Source : Synchronisation d’annuaires

   • ID d’événement : 4

   • Niveau : Informations

   Cet événement indique que la synchronisation d’annuaires s’est terminée sur le serveur. Dans ce cas, réexécutez ces étapes pour vous assurer que la valeur LastDirSyncTime a été mise à jour de manière appropriée.

Résoudre les problèmes liés à la validation pour l’étape 4

Résolvez les problèmes de validation courants à l’aide des articles suivants de la Base de connaissances Microsoft, en fonction de votre situation :

• 2508225 « Échec de l’ouverture de session () avec le code d’erreur : 1789 » après avoir entré les informations d’identification de l’administrateur d’entreprise dans l’Assistant Configuration de l’outil de synchronisation Azure Active Directory

• 2502710 erreur « Une erreur inconnue s’est produite avec l’Assistant Connexion microsoft Online Services » lorsque vous exécutez l’Assistant Configuration de l’outil de synchronisation Azure Active Directory

• 2419250 erreur « L’ordinateur doit être joint à un domaine » lorsque vous essayez d’installer l’outil de synchronisation Azure Active Directory

• 2643629 Un ou plusieurs objets ne se synchronisent pas lors de l’utilisation de l’outil de synchronisation Microsoft Azure Active Directory

• 2641663 Comment utiliser la correspondance SMTP pour faire correspondre des comptes d’utilisateur locaux à Office 365 comptes d’utilisateur pour la synchronisation d’annuaires

• 2492140 Vous ne pouvez pas attribuer un domaine fédéré à un utilisateur dans le portail Office 365

Conseils d’installation

1. Vérifiez les prérequis du client pour Office 365. Pour plus d’informations sur la configuration système requise pour Office 365, consultez Office 365 configuration requise.

2. Exécutez Office 365 installation du bureau sur tous les ordinateurs clients qui utilisent des applications clientes enrichies. Les applications clientes enrichies incluent Microsoft Outlook, Microsoft Lync 2010, Microsoft Office Professionnel Plus 2010, le module Azure Active Directory pour Windows PowerShell. Applications de bureau Office et applications d’intégration Microsoft SharePoint.

3. Si une expérience transparente et sans invite est attendue pour les ordinateurs clients joints à un domaine et connectés à un domaine, ajoutez l’URL du service de fédération AD FS à la zone intranet locale dans Windows Internet Explorer. Par exemple, procédez comme suit :

   1. Dans Internet Explorer, dans le menu Outils , cliquez sur Options Internet.

   2. Cliquez sur l’onglet Sécurité , sur Intranet local, sur Sites, puis sur Avancé.

   3. Tapez https://sts.contoso.com dans la zone Ajouter ce site web à la zone , puis cliquez sur Ajouter.
      
      Remarque « sts.contoso.com » représente le nom de domaine complet du service de fédération AD FS.

   Pour plus d’informations sur cette configuration, consultez l’article suivant de la Base de connaissances Microsoft :

   2535227 Un utilisateur fédéré est invité de manière inattendue à entrer ses informations d’identification de compte professionnel ou scolaire

4. Si les ordinateurs clients joints à un domaine et connectés à un domaine accèdent à des ressources Internet à l’aide d’un serveur proxy qui résout les adresses Internet à l’aide de requêtes DNS publiques (et non de DNS à cerveau fractionné interne), ajoutez l’URL du service de fédération AD FS à la liste pour laquelle Internet Explorer contourne le filtrage proxy. Voici un exemple d’ajout de l’URL à la liste d’exceptions Internet Explorer :

   1. Dans Internet Explorer, dans le menu Outils , cliquez sur Options Internet.

   2. Sous l’onglet Connexions , cliquez sur Paramètres LAN, puis sur Avancé.

   3. Dans la zone Exceptions , entrez la valeur en utilisant le nom DNS complet du nom du point de terminaison de service AD FS. Par exemple, entrez sts.contoso.com.

Validation de l’étape 5

Pour valider, procédez comme suit :

1. Assurez-vous que le service Assistant De connexion microsoft Online Services est installé et en cours d’exécution. Pour cela, procédez comme suit :

   1. Cliquez sur Démarrer, sur Exécuter, tapez Services.msc, puis cliquez sur OK.

   2. Recherchez l’entrée Assistant De connexion Microsoft Online Services, puis vérifiez que le service est en cours d’exécution.

   3. Si le service n’est pas en cours d’exécution, cliquez avec le bouton droit sur l’entrée, puis sélectionnez Démarrer.

2. Accédez au site web AD FS MEX pour vous assurer que le point de terminaison fait partie de la zone de sécurité intranet d’Internet Explorer. Pour cela, procédez comme suit :

   1. Démarrez Internet Explorer, puis accédez au site web du point de terminaison de service AD FS. Voici un exemple de site web de point de terminaison de service :

      https://sts.contoso.com/federationmetadata/2007-06/federationmetadata.xml

   2. Vérifiez la barre d’état en bas de la fenêtre pour vous assurer que la zone de sécurité indiquée pour cette URL est Intranet local.