משתמשי כניסה יחידה של ארגון ב-Office 365 אינם יכולים להיכנס לסקייפ עבור עסקים באינטרנט מתוך הרשת הארגונית שלהם

עיה

שקול את התרחיש הבא:

• 365 של Office עבור ארגונים, Office 365 עבור השכלה, או לקוח עסקי של Office 365 מגדיר כניסה יחידה (SSO) בשירותי הפדרציה של Active Directory (AD FS) 2.0.

• משתמשים מאוחדים המתחברים מתוך הרשת הארגונית שלהם אינם יכולים להיכנס לסקייפ עבור עסקים באינטרנט (לשעבר Lync Online) מ-Lync 2013, והם מקבלים את הודעת השגיאה הבאה:

  אין אפשרות להיכנס מכיוון שהשרת אינו זמין באופן זמני.

שים לב בעיה זו חלה רק על משתמשי SSO ארגוניים הנכנסים לסקייפ לעסקים באינטרנט באמצעות Lync 2013 מתוך הרשת הארגונית שלהם. הבעיה אינה חלה על משתמשים ב-Microsoft Lync 2010, משתמשים שאינם בסקייפ עבור עסקים באינטרנט, או משתמשים המתחברים מחוץ לרשת הארגונית שלהם.

פתרון

חשוב בצע את השלבים בסעיף זה בזהירות. בעיות חמורות עלולות להתרחש אם תשנה את הרישום בצורה שגויה. לפני שתשנה אותו, גבה את הרישום לשחזור במקרה של בעיות. מכיוון שישנן סיבות אפשריות רבות, מומלץ לעבוד בכל הפתרונות הבאים ולאחר מכן לאמת את התצורה.

1. כאשר אתה פורס חוות שרת הפדרציה של AD FS 2.0, עליך לציין חשבון שירות מבוסס תחום הזקוק ל-SPN רשום כדי לאפשר לאימות Kerberos לפעול כראוי. לקבלת מידע נוסף, עיין בוויקי הבא של TechNet:

   AD FS 2.0: כיצד להגדיר את ה-SPN (שירות הפריפלשם) עבור חשבון השירותהסיבות שייתכן שיהיה עליך להגדיר את ה-SPN באופן ידני בחשבון השירות AD FS 2.0 הם כדלקמן:

   • רישום SPN נכשל במהלך התצורה הראשונית של החווה.

   • שם שירות הפדרציה השתנה.

   • חשבון השירות שונה.

2. ודא שהשירות AD FS 2.0 פועל תחת חשבון השירות המבוסס על תחום שהוזכר בשלב הקודם. לדוגמה, בתמונה הבאה, TRLABV3 הוא שם המחשב המארח הפנימי, ו-ADFSSvc הוא חשבון השירות:

3. קבע את התצורה של שרת AD FS 2.0 כדי לקבל כותרות של בקשות הגדולות מ-40 קילו-בתים (KB). ייתכן שיהיה עליך לעשות זאת כאשר המשתמש חבר בקבוצות משתמשים רבות של Active Directory תחומים (AD DS). כאשר משתמש הוא חבר בקבוצות AD DS רבות, גודל אסימון האימות Kerberos עבור המשתמש גדל. בקשת ה-HTTP שהמשתמש שולח לשרת שירותי מידע באינטרנט (IIS) מכילה את אסימון Kerberos בכותרת ' אימות WWW '. לכן, גודל הכותרת גדל ככל שמספר הקבוצות גדל. אם גודל הכותרת העליונה או המנה של HTTP גדל מעבר למגבלות שתצורתן נקבעה ב-IIS, ייתכן ש-IIS ידחה את הבקשה וישלח שגיאה כתגובה. לקבלת מידע נוסף, עיין במאמר הבא של מאגר הידע Microsoft Knowledge Base:

   2020943 "HTTP 400-בקשה שגוי (בקשת כותרת ארוכה מדי)" בשירותי מידע באינטרנט (IIS)כדי לפתור בעיה זו, השתמש באחת מהשיטות הבאות:

   1. הפחת את מספר קבוצות המשתמשים של AD DS שהמשתמש חבר בהם.

   2. שנה את אורך MaxFieldLength ואת ערכי הרישום Maxrequest בתים בשרת שבו פועל IIS, כך שכותרות הבקשה של המשתמש לא ייחשבו לזמן רב מדי. שני ערכי רישום אלה ממוקמים תחת מפתח המשנה הבא של הרישום:

      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters

4. אם פרסת שרתים רבים של AD FS 2.0 בחווה ושהם מאוזנים, ייתכן שלקוח Lync 2013 לא יוכל להפנות את הבקשה לשרת AD FS 2.0. הוספת ערך לשרת AD FS 2.0 לקובץ Hosts בלקוח המצביע ישירות על שרת AD FS 2.0 תעקוף את ה-IP הווירטואלי של מאזן העומס.

5. אם הפתרונות הקודמים לא פתרו את הבעיה והפחתת הדירוג ל-Lync 2010 אינה אפשרות, בצע את הפעולות הבאות כדי לעקוף את הבעיה. שים לב אם חשבון מנהל מערכת מקומי אינו קיים כבר במחשב, יהיה עליך ליצור אחד כדי שפתרון זה יפעל.

   1. דפדף אל קובץ ההפעלה Lync 2013 בסייר Windows:

       C:\Program Files\Microsoft Office 15\root\office15 

   2. החזק את מקש Shift למטה ולאחר מכן לחץ לחיצה ימנית על Lync. exe.

   3. לחץ על הפעל כמשתמש אחר.

   4. הזן את האישורים עבור חשבון מנהל מקומי במחשב ולאחר מכן הקש Enter.

מידע נוסף

בעיה זו מתרחשת בדרך כלל בשל תצורה שגויה ב-AD FS 2.0. שירותים אחרים כגון Microsoft Exchange Online עשויים לפעול כראוי למרות תצורה זו. הסיבות הרגילות מפורטות כאן:

• תצורת שירות הפרימופלשם (SPN) אינה מוגדרת כראוי. להלן הסיבות לכך:

  • רישום SPN נכשל במהלך התצורה הראשונית של החווה.

  • שם שירות הפדרציה השתנה.

  • חשבון השירות שונה.

• שירות AD FS 2.0 אינו פועל תחת חשבון השירות הנכון.

• כותרת הבקשה מ-Lync 2013 נדחית על-ידי IIS והשרת של AD FS 2.0 מאחר שהכותרת גדולה מדי. בעיה זו עלולה להתרחש מאחר שחשבון המשתמש הוא חבר בקבוצות משתמשים רבות מדי של AD DS.

• חוות השרתים של AD FS 2.0 מאוזנת בעומס, והבקשה אינה מגיעה לשרת AD FS 2.0.

לקבלת עזרה נוספת עם פריסת AD FS 2.0 לשימוש עם SSO ב-Office 365, עיין באתר האינטרנט הבא של TechNet:

תכנון ופריסה של AD FS לשימוש עם כניסה יחידהבמקרה בו המשתמש משתייך לקבוצות AD DS רבות מדי, הערך הבא מוזן ביומני המעקב של מסייע הכניסה לשירותים מקוונים של Microsoft (יומני רישום אלה ממוקמים בדרך כלל ב-C:\ MSOSSPTrace):

##TestHook: URL-https://<ADFSServer>/adfs/services/trust/2005/windowstransport@transport.cpp_245..........<HTML><HEAD><TITLE>Bad Request</TITLE><META HTTP-EQUIV="Content-Type" Content="text/html; charset=us-ascii"></HEAD><BODY><h2>Bad Request - Request Too Long</h2><hr><p>HTTP Error 400. The size of the request headers is too long.</p></BODY></HTML> 

? עדיין צריך עזרה עבור אל קהילת Microsoft.