AD FS では、認証中に "prompt=login" パラメーターが無視Windows Server 2016

適用先
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

概要

ID プロバイダー (IdP) サーバーでパスワード以外の認証 (PIV カードなど) を使用する場合、認証は失敗し、要求にはログインを持つプロンプト パラメーターが値として含まれています。

原因

この問題は、既定のプロンプトフェデレーション動作が、フェデレーション中に prompt=login パラメーターを wauth=password&wfresh=0 に変換するためです。

修正プログラムについて

Active Directory フェデレーション サービス (AD FS) (AD FS) では、フェデレーション中に prompt=login パラメーターを処理する方法を制御するための次のオプションがサポートされるようになりました。 これらのオプションは、 set-ADFSProperties コマンドレットを使用して、すべてのフェデレーション サーバーに対してグローバルに設定できますが、ファームが 混在モードで実行されている場合にのみ設定できます。 ファーム動作レベル (FBL) が Windows Server 2016 に上がると、グローバル設定が個々の要求プロバイダーに自動的に移行されます。 get-ADFSProperties コマンドレットを使用して表示できます。

メモ これらのオプションは、ファームが非混合モードで実行されている場合に Add-AdfsClaimsProviderTrust コマンドレットを使用して、個々の要求プロバイダーで設定することもできます。

  • なし。 代わりに 、prompt=login 要求とエラーをフェデレーションしないでください。

  • FallbackToProtocolSpecificParameters (既定値)。 フェデレーション中に prompt=login を wfresh=0 および Wauth=forms に変換します。 元の要求に "wauth" が存在する場合は、保持されます。

    PromptLoginFallbackAuthenticationType パラメーターを使用して、既定の "wauth" 値をオーバーライドできます。 たとえば、次のコマンドは、フェデレーション中に prompt=login を wfresh=0 と wauth=urn:ietf:rfc:2246 に変換します。
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation。 フェデレーション中に プロンプト パラメーターをそのまま転送します。

  • 無効。 フェデレーション中に 要求から prompt パラメーターを破棄します。

set-ADFSProperties コマンドレットの例を次に示します。

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

この更新プログラムの入手方法

新しいオプションを追加するには、2018 年 2 月の更新プログラム KB 4077525をインストール します。

前提条件

この更新プログラムをインストールするには、Windows Server 2016がインストールされている必要があります。
 

レジストリ情報

この更新プログラムを適用するために、レジストリを変更する必要はありません。
 

再起動の必要性

この更新プログラムの適用後に、コンピューターを再起動する必要があります。
 

更新プログラムの置き換えに関する情報

この更新プログラムを適用しても、以前にリリースされた更新プログラムが置き換えられることはありません。

状態

Microsoft は、これが "適用対象" セクションに記載されている Microsoft 製品の問題であることを確認しました。

参考資料

マイクロソフトでソフトウェア更新プログラムの説明に使用する用語集を参照してください。