PROBLEM
Kada pokušate pristupiti servisu Microsoft Cloud, kao što su Office 365, Microsoft Azure ili Microsoft Intune putem web-klijenta ili bogate klijentske aplikacije pomoću vanjskog računa, provjera autentičnosti ne uspijeva s određenog klijentskog računala. Kada koristite web-preglednik za pristup portalu servisa Cloud na istom računalu pomoću vanjskog računa, možda ćete doživjeti jedan od sljedećih simptoma:
-
Kada se povežete s krajnjim točkom portala, prikazat će se jedna od sljedećih poruka o pogrešci:
Internet Explorer ne može prikazati web-stranicu.
stranica 403 nije pronađena
-
Kada se povežete s krajnjim točkom servisa Active Directory Federation Services (AD FS), prikazat će se jedna od sljedećih poruka o pogrešci:
Internet Explorer ne može prikazati web-stranicu
stranica 403 nije pronađena
-
Kada se povežete s krajnjim točkom AD FS, primit ćete upozorenje o certifikatu.
-
Kada se povežete s krajnjim točkom oglasa FS dok ste prijavljeni u domenu tvrtke, primit ćete jedan upit s vjerodajnicama. Ovaj upit za vjerodajnice ne koristi provjeru autentičnosti utemeljenu na obrascima.
-
Kada se povežete s krajnjim točkom oglasa FS-om pomoću web-preglednika drugog proizvođača, primit ćete upite za provjeru autentičnosti. Te upute ne koriste provjeru autentičnosti utemeljenu na obrascima.
-
Kada se povežete s krajnjim točkom login.microsoftonline.com, prikazat će vam se sljedeća poruka o pogrešci:
Zabranjen je pristup
JER
Taj se problem obično pojavljuje na klijentskom računalu ili u grupi klijentskih uređaja. Taj se problem može pojaviti za sve korisnike i klijentska računala ako jedinstvena prijava (SSO) nije u potpunosti funkcionalna. SSO možda nije u potpunosti funkcionalan ako postavke klijenta nisu ispravno postavljene. U sljedećim situacijama klijentskog uređaja može doći do tog problema:
-
Veza s mrežom može biti ograničena.
-
Klijentski uređaj dobiva neispravnu razlučivost naziva za servis za Federaciju AD FS od interne implementacije DNS-a u odjeljku podjela mozga.
-
Ako je na računalu konfiguriran internetski proxy poslužitelj, naziv servisa za savez programa AD FS ne smije se dodati na popis proxyja.
-
Naziv servisa za Federaciju programa AD FS ne može se dodati u sigurnosnu zonu lokalnog intraneta u postavkama internetske mogućnosti.
-
Klijentsko računalo nije autentično za servise domene servisa Active Directory.
-
Web-preglednik drugih proizvođača ne podržava proširenu zaštitu za provjeru autentičnosti na servisu za Federaciju AD FS.
-
Krajnja točka metapodataka u Federaciji možda je u registru tvrdokorna zbog starije instalacije sustava Office 365 Beta u alatu za upravljanje SSO-om.
-
Onemogućena je krajnja točka servisa AD FS koja je potrebna za određene klijentske aplikacije.
Prije nastavka provjerite jesu li ispunjeni sljedeći uvjeti:
-
Problemi s pristupom nisu ograničeni na bogate klijentske aplikacije na klijentskom računalu. Ako samo obogaćena provjera autentičnosti klijenta (za razliku od provjere autentičnosti temeljena na pregledniku) ne funkcionira, to će vjerojatno značiti da je problem u vezi s autentifikaciju bogatih klijenata. Možda se, primjerice, radi o problemu koji se odnosi na preduvjete ili na konfiguraciju programa Rich-Client. Dodatne informacije potražite u sljedećem članku iz Microsoftove baze znanja:
2637629 Otklanjanje poteškoća s aplikacijama koje nisu u pregledniku koje se ne mogu prijaviti u Office 365, Azure ili Intune
-
SSO provjera autentičnosti ne uspijeva za sve korisničke račune s omogućenim SSO-om. Ako korisnici sustava SSO imaju iste simptome, to će vjerojatnije značiti da je problem u Federaciji. Za više informacija kliknite sljedeći broj članka da biste prikazali članak u Microsoftovoj bazi znanja:
2530569 Rješavanje problema s jedinstvenim prijavom za postavljanje u sustavu Office 365, Intune ili Azure
-
SSO provjera autentičnosti za korisnički račun uspijeva na drugim klijentskim računalima. Ako se korisnički račun ne može prijaviti na bilo koji klijent servisa Cloud Services, pogledajte rezolucije u nastavku ovog članka koje obuhvaćaju klijentsko računalo. Možete i istražiti mogućnost da nešto nije u redu s korisničkim računom, a ne s klijentsko računalo. Za više informacija kliknite sljedeći broj članka da biste prikazali članak u Microsoftovoj bazi znanja:
2530590 Otklanjanje poteškoća s računom za udruženu korisnike u sustavu Office 365, Azure ili Intune
-
Tipkovnica na klijentskom računalu funkcionira pravilno, a korisničko ime i lozinka, gdje je to potrebno, ispravno su uneseni.
RJEŠENJE
Da biste riješili taj problem, upotrijebite jedan ili više sljedećih metoda, ovisno o uzroku problema.
1. rješenje: ne možete se povezati s portala servisa Cloud ili u AD FS-om
Pokušajte pregledavati na http://www.msn.com. Ako to ne uspije, otklonite poteškoće s povezivanjem s mrežom. Da biste to učinili, slijedite ove korake:
-
U naredbeni upit upotrijebite alate za ipconfig i ping da biste otklonili poteškoće s IP vezom. Dodatne informacije potražite u sljedećem članku iz Microsoftove baze znanja:
169790 Otklanjanje poteškoća s osnovnim TCP/IP problemima.
-
U naredbeni upit upišite alata www.msn.com da biste odredili rješava li DNS nazive internetskih poslužitelja.
-
Uvjerite se da postavke proxyja internetske mogućnosti odražavaju odgovarajući proxy poslužitelj ako se na lokalnoj mreži koristi proxy poslužitelj.
-
Ako je vatrozid za upravljačku pristupnik (TMG) instaliran na granici mreže, a vatrozid zahtijeva provjeru autentičnosti klijenta, možda ćete morati instalirati upravitelj TMG klijentskog programa na klijentskom uređaju za pristup internetu. Da biste mogli pomoći s ovim, obratite se administratoru usluge u oblaku.
2. rješenje: ne možete se povezati sa servisom AD FS
Da biste riješili taj problem, slijedite ove korake:
-
Eliminiranje problema s IP povezivanjem pomoću prve rezolucije.
-
U naredbeni upit upišite alata <AD FS 2,0 FQDN>, a zatim pritisnite ENTER da biste utvrdili je li DNS ispravno razrješio naziv servisa AD FS.Napomena U ovoj naredbi <AD FS FQDN> predstavlja potpuno kvalificirani naziv domene (FQDN) naziva servisa AD FS. Ne predstavlja naziv glavnog računala sustava Windows na poslužitelju AD FS.
-
Ako je klijent priključen na korporacijsku mrežu, provjerite je li IP adresa koja je riješena privatna IP adresa. IP adresa trebala bi odgovarati jednom od sljedećih uzoraka:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ako je klijent izvan korporativnih mreža, provjerite je li IP adresa koja je riješena javna IP adresa. Provjerite ne odgovara li neki od sljedećih uzoraka:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ako je IP adresa koja je riješena neispravna na temelju koraka 1 i koraka 2, a druga klijentsko računalo ne doživljavamo isto ponašanje, učinite sljedeće:
-
U naredbeni upit upišite ipconfig/sva, a zatim provjerite je li stavka primarnog DNS poslužitelja prikladna za mrežu na koju je klijent priključen.
-
Otvorite datoteku%windir%\system32\drivers\etc\hosts u bloku za pisanje, a zatim uklonite sve unose za AD FS FQDN. Zatim spremite datoteku.
-
U naredbeni upit upišite ipconfig/flushdns da biste očistili DNS Cache.
-
Napomena Ako se klijentski uređaji vežu samo za korporacijsku mrežu, prijeđite na treći korak.
-
-
Dodajte AD FS FQDN na popis proksiji zaobići. Da biste to učinili, slijedite upute u sljedećem članku iz Microsoftove baze znanja:
262981 Internet Explorer koristi proxy poslužitelj za lokalnu IP adresu čak i ako je uključena mogućnost "zaobilaženje proxy poslužitelja za lokalne adrese"
3. rješenje: upozorenje o certifikatu kada se povežete s krajnjim točkom oglasa FS
Da biste riješili taj problem, otklonite poteškoće s certifikatom Secure Sockets Layer (SSL) pomoću sljedećeg članka u Microsoftovoj bazi znanja:
2523494 Kada se pokušate prijaviti u Office 365, Azure ili Intune, primit ćete upozorenje o certifikatu iz programa AD FS.
4. rješenje: primate jedan neočekivani upit vjerodajnica kada se prijavite na klijentsko računalo koje je povezano s korporacijskom mrežom
Da biste riješili taj problem, slijedite ove korake:
-
Provjerite je li klijentsko računalo uspješno prijavljeno na domenu.
-
Kliknite Start, zatim Pokreni, a %logonserver%\sysvolzatim kliknite u redu.
-
Ako se prikaže upit za vjerodajnice, odjavite se, a zatim se ponovno prijavite pomoću korporativnih vjerodajnica.
-
-
Dodajte AD FS FQDN u lokalnu intranetsku zonu.
-
Na kartici Sigurnost kliknite Lokalni intranet, a zatim web-mjesta.
-
Kliknite Napredno, a zatim pregled popisa web-mjesta za potpuno kvalificirani DNS naziv krajnje točke servisa AD FS (na primjer, STS.contoso.com). Napomena Vrijednost zamjenske vrijednosti, kao što je "*. consoto.com", funkcionirat će i u ovoj konfiguraciji.
-
-
Dodajte AD FS FQDN na popis proksiji zaobići. Da biste to učinili, slijedite upute u sljedećem članku iz Microsoftove baze znanja:
262981 Internet Explorer koristi proxy poslužitelj za lokalnu IP adresu čak i ako je uključena mogućnost "zaobilaženje proxy poslužitelja za lokalne adrese"
5. rješenje: web-preglednik drugih proizvođača ne podržava proširenu zaštitu za provjeru autentičnosti, a vi primate upite za provjeru autentičnosti.
Da biste riješili taj problem, slijedite ove korake:
-
Koristite Windows Internet Explorer (Internet Explorer podržava proširenu zaštitu za provjeru autentičnosti) umjesto web-preglednika drugih proizvođača koji ne podržava proširenu zaštitu za provjeru autentičnosti.
-
Ako korištenje preglednika Internet Explorer nije mogućnost, upotrijebite sljedeći članak iz Microsoftove baze znanja da biste konfigurirali AD FS za prihvaćanje zahtjeva iz web-preglednika koji ne podržavaju proširenu zaštitu za provjeru autentičnosti:
2461628 Združeni korisnik opetovano se zatraži da bude vjerodajnica tijekom prijave u Office 365, Azure ili Intune.
Poruka o pogrešci: "Access denied" prilikom pokušaja povezivanja s login.microsoftonline.com
Važno U ovom se odjeljku nalaze koraci koji vam omogućuju izmjenu registra. A nepravilnim izmjenama registra možete prouzročiti ozbiljne probleme. Zato pažljivo slijedite ove upute. Radi dodatne zaštite prije izmjene registra stvorite njegovu sigurnosnu kopiju. Na taj ćete način moći vratiti registar ako se pojave problemi. Dodatne informacije o stvaranju sigurnosne kopije i vraćanju registra potražite u članku iz Microsoftove baze znanja pod brojem
322756 Sigurnosno kopiranje i vraćanje registra u sustavu WindowsProblem se može pojaviti ako krajnje točke za SSO servisa Azure Active Directory koje koristi AD FS nije valjano. Provjerite nije li krajnja točka Federacije u registru svakog poslužitelja u sustavu Federacije servisa AD FS neoznačena. Da biste riješili taj problem, izbrišite sljedeći subkey registra pomoću uređivača registra:
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationAD FS će se vratiti na točnu krajnju točku na temelju povjerenja servisa SSO.
7. razlučivost: ponovno postavite onemogućene postavke krajnjih točaka servisa AD FS na zadanu konfiguraciju
Dodatne informacije o tome kako to učiniti potražite u sljedećem članku iz Microsoftove baze znanja:
2712957 Prijava u Office 365, Azure ili Intune ne uspijeva nakon promjene krajnje točke servisa Federation
I dalje vam je potrebna pomoć? Idite na web-mjesto Microsoft Community ili forum za Azure Active Directory .
