PROBLĒMA
Mēģinot piekļūt Microsoft mākoņa pakalpojumam, piemēram, Office 365, Microsoft Azure vai Microsoft Intune, izmantojot ārēju klientu vai bagātīgu klienta lietojumprogrammu, izmantojot ārējos kontus, autentifikācija nelīdz noteiktam klienta datoram. Ja izmantojat tīmekļa pārlūkprogrammu, lai piekļūtu mākoņa pakalpojuma portālam no viena datora, izmantojot ārējo kontu, var novērot kādu no šīm pazīmēm:
-
Veidojot savienojumu ar portāla galapunktu, tiek parādīts kāds no tālāk norādītajiem kļūdas ziņojumiem.
Internet Explorer nevar parādīt tīmekļa lapu.
403 lapa nav atrasta
-
Veidojot savienojumu ar Active Directory Federācijas pakalpojumu (AD FS) galapunktu, saņemat kādu no šiem kļūdas ziņojumiem:
Internet Explorer nevar parādīt tīmekļa lapu
403 lapa nav atrasta
-
Veidojot savienojumu ar AD FS galapunktu, tiek parādīts sertifikāta brīdinājums.
-
Ja izveidojat savienojumu ar AD FS galapunktu, kamēr esat pieteicies korporatīvajā domēnā, jūs saņemat vienu akreditācijas datu uzvedni. Šī uzvedne ar jūsu akreditācijas datiem neizmanto autentifikāciju, kuras pamatā ir veidlapas.
-
Ja izveidojat savienojumu ar AD FS galapunktu, izmantojot trešās puses tīmekļa pārlūkprogrammu, jūs saņemat cilpas autentifikācijas uzvednes. Šīs uzvednes neizmanto autentifikāciju, kuras pamatā ir veidlapas.
-
Veidojot savienojumu ar login.microsoftonline.com galapunktu, tiek parādīts šāds kļūdas ziņojums:
Piekļuve liegta
IZRAISĪT
Parasti šī problēma rodas klienta datorā vai klienta ierīču grupā. Šī problēma var rasties visiem lietotājiem un klientu datoriem, ja vienotā pierakstīšanās (SSO) nav pilnībā funkcionējoša. SSO, iespējams, nav pilnībā funkcionējošs, ja klienta iestatījumi netika pareizi iestatīti. Šo problēmu var izraisīt šādas klienta ierīces situācijas:
-
Tīkla savienojamība var būt ierobežota.
-
Klienta ierīce saņem nepareizu nosaukumu risinājumu AD FS Federācijas pakalpojumam no iekšējā dalītā-Brain DNS implementēšanas.
-
Ja datorā ir konfigurēts interneta starpniekserveris, AD FS Federācijas pakalpojuma nosaukums, iespējams, netiek pievienots starpniekserveru apvedceļa sarakstam.
-
AD FS Federācijas pakalpojuma nosaukums nedrīkst tikt pievienots lokālā iekštīkla drošības zonai interneta opciju iestatījumos.
-
Klienta dators nav autentificēts Active Directory domēna pakalpojumos.
-
Trešās puses tīmekļa pārlūkprogramma neatbalsta paplašinātu aizsardzību autentifikācijai AD FS Federācijas pakalpojums.
-
Federācijas metadatu galapunkts var būt hardcoded reģistrā, jo ir vecākas Office 365 beta versija SSO pārvaldības rīkā.
-
Nepieciešamais AD FS pakalpojuma galapunkts, kas nepieciešams konkrētai klienta lietojumprogrammai, ir atspējots.
Pirms turpināt, pārliecinieties, vai ir spēkā šādi nosacījumi:
-
Piekļuves problēmas nav ierobežotas līdz bagātīgām klienta lietojumprogrammām klienta datorā. Ja nedarbojas tikai bagātinātā klienta autentifikācija (nevis pārlūkprogrammā veiktā autentifikācija), tas visticamāk norāda uz bagātīgu klienta autentifikācijas problēmu. Piemēram, tā var būt problēma, kas saistīta ar šī bagātīgā klienta lietojumprogrammas priekšnosacījumiem vai konfigurāciju. Lai iegūtu papildinformāciju, skatiet šo Microsoft zināšanu bāzes rakstu:
2637629 Kā novērst pārlūkprogrammām nepieejamās programmas, kas nevar pierakstīties pakalpojumā Office 365, Azure vai Intune
-
SSO autentifikācija nenovērš visus SSO lietotāju kontus. Ja visiem SSO lietotājiem ir viens un tas pats simptoms, tas visticamāk norāda Federācijas problēmu. Lai iegūtu papildinformāciju, noklikšķiniet uz šī raksta numura, lai skatītu Microsoft zināšanu bāzes rakstu:
2530569 Vienotās pierakstīšanās uzstādīšanas problēmu novēršana sistēmā Office 365, Intune vai Azure
-
Lietotāja konta SSO autentifikācija ir sekmīga citos klientu datoros. Ja lietotāja konts nevar pieteikties nevienam mākoņa pakalpojumu klientam, skatiet tālāk šajā rakstā norādītās problēmas, kas saistītas ar klienta datoru. Izpētiet arī iespēju, ka ar lietotāja kontu nav kaut kas kārtībā, nevis klienta datorā. Lai iegūtu papildinformāciju, noklikšķiniet uz šī raksta numura, lai skatītu Microsoft zināšanu bāzes rakstu:
2530590 Ar kontu saistītu problēmu novēršana pakalpojumā Office 365, Azure vai Intune, ko sniedz integrētās lietotāji
-
Tastatūra klienta datorā darbojas pareizi, un lietotājvārds un parole, kur tas ir nepieciešams, ir ievadīts pareizi.
RISINĀJUMU
Lai novērstu šo problēmu, atkarībā no problēmas cēloņa izmantojiet vienu vai vairākas no tālāk norādītajām metodēm.
1. risinājums: nevar izveidot savienojumu ar mākoņa pakalpojumu portālu vai AD FS
Mēģināt pārlūkot uz http://www.MSN.com. Ja tas nepalīdz, tīkla savienojamības problēmu novēršana. Lai to izdarītu, veiciet tālāk norādītās darbības.
-
Komandu uzvednē izmantojiet ipconfig un ping rīkus, lai novērstu IP savienojamību. Lai iegūtu papildinformāciju, skatiet šo Microsoft zināšanu bāzes rakstu:
169790 Kā novērst pamata TCP/IP problēmas.
-
Komandu uzvednē ierakstiet nslookup www.MSN.com , lai noteiktu, vai DNS atrisina interneta serveru nosaukumus.
-
Pārliecinieties, vai interneta opciju starpniekservera iestatījumi atspoguļo attiecīgo starpniekserveri, ja lokālajā tīklā tiek izmantots starpniekserveris.
-
Ja Forefront Threat Management Gateway (TMG) ugunsmūris ir instalēts tīkla robežās, un ugunsmūrim ir nepieciešama klienta autentifikācija, varat instalēt Forefront TMG klienta programmu klienta ierīcē, lai piekļūtu internetam. Lai saņemtu palīdzību, sazinieties ar mākoņa pakalpojumu administratoru.
2. risinājums: nevar izveidot savienojumu ar AD FS
Lai atrisinātu šo problēmu, veiciet tālāk norādītās darbības.
-
Novērst IP savienojamības problēmas, izmantojot 1. risinājumu.
-
Komandu uzvednē ierakstiet nslookup <ad fs 2,0 FQDN>un pēc tam nospiediet taustiņu ENTER, lai noteiktu, vai DNS ir pareizi atrisināt AD FS pakalpojuma nosaukumu.Piezīme. Šajā komandā <AD FS FQDN> attēlo AD FS pakalpojuma nosaukuma pilno domēna nosaukumu (FQDN). Tas nerāda AD FS servera Windows resursdatora nosaukumu.
-
Ja klients ir pievienots korporatīvajam tīklam, pārliecinieties, vai IP adrese, kas ir atrisināta, ir privāta IP adrese. IP adresei jāatbilst vienam no šiem rakstiem:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ja klients ir ārpus korporatīvā tīkla, pārliecinieties, vai IP adrese, kas ir atrisināta, ir publiska IP adrese. Pārliecinieties, vai tas neatbilst vienam no šiem rakstiem:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ja noteiktā IP adrese ir nepareiza, pamatojoties uz 1. darbību un 2. darbību, un citi klientu datori neveic vienādas darbības, veiciet tālāk norādītās darbības.
-
Komandu uzvednē ierakstiet ipconfig/allun pēc tam pārbaudiet, vai primārais DNS servera ieraksts ir atbilstošs tīklam, kuram šis klients ir pievienots.
-
Atveriet%windir%\system32\drivers\etc\hosts failu programmā Notepad un pēc tam noņemiet visus AD FS FQDN ierakstus. Pēc tam saglabājiet failu.
-
Komandu uzvednē ierakstiet ipconfig/flushdns , lai notīrītu DNS kešatmiņu.
-
Piezīme. Ja klienta ierīces ir pievienotas tikai korporatīvajam tīklam, pārejiet uz 3. darbību.
-
-
Pievienojiet AD FS FQDN starpniekservera apvedceļa sarakstam. Lai to izdarītu, veiciet šajā rakstā norādītās darbības Microsoft zināšanu bāzē:
262981 Internet Explorer izmanto starpniekserveri lokālajā IP adresē pat tad, ja ir ieslēgta opcija "apiet starpniekserveri lokālajām adresēm"
3. risinājums: brīdinājums par sertifikātu, izveidojot savienojumu ar AD FS galapunktu
Lai novērstu šo problēmu, izmantojiet tālāk norādītās Microsoft zināšanu bāzes rakstu, lai novērstu drošligzdu slāņa (SSL) sertifikāta problēmas:
2523494 Jūs saņemat sertifikāta brīdinājumu no AD FS, kad mēģināt pierakstīties pakalpojumā Office 365, Azure vai Intune
4. risinājums: jūs saņemat atsevišķu, neparedzētu akreditācijas datu uzvedni, kad piesakāties no klienta datora, kas savienots ar uzņēmuma tīklu.
Lai atrisinātu šo problēmu, veiciet tālāk norādītās darbības.
-
Pārliecinieties, vai klienta dators ir sekmīgi pieteicies domēnā.
-
Noklikšķiniet uz Sākt, noklikšķiniet uz palaist, ierakstiet %LogonServer%\sysvolun pēc tam noklikšķiniet uz Labi.
-
Ja tiek parādīta akreditācijas datu uzvedne, atsakieties un pēc tam atkal piesakieties, izmantojot uzņēmuma akreditācijas datus.
-
-
Pievienojiet AD FS FQDN lokālā iekštīkla zonai.
-
Cilnē Drošība noklikšķiniet uz Lokālais iekštīklsun pēc tam noklikšķiniet uz vietnes.
-
Noklikšķiniet uz papilduun pēc tam Izpētiet tīmekļa vietnes , kurā ir norādīts pilnais AD FS pakalpojuma galapunkta DNS nosaukums (piemēram, STS.contoso.com). Piezīme. Šajā konfigurācijā darbosies arī aizstājējzīmju vērtība, piemēram, "*. consoto.com".
-
-
Pievienojiet AD FS FQDN starpniekservera apvedceļa sarakstam. Lai to izdarītu, veiciet šajā rakstā norādītās darbības Microsoft zināšanu bāzē:
262981 Internet Explorer izmanto starpniekserveri lokālajā IP adresē pat tad, ja ir ieslēgta opcija "apiet starpniekserveri lokālajām adresēm"
5. risinājums: trešās puses tīmekļa pārlūkprogramma neatbalsta paplašināto autentifikāciju autentifikācijai un saņemat cilpas autentifikācijas uzvednes
Lai atrisinātu šo problēmu, veiciet tālāk norādītās darbības.
-
Izmantojiet pārlūkprogrammu Windows Internet Explorer (Internet Explorer nodrošina paplašināto aizsardzību autentifikācijai), nevis trešo personu tīmekļa pārlūkprogrammu, kas neatbalsta paplašināto autentifikāciju autentifikācijai.
-
Ja programma Internet Explorer nav pieejama, izmantojiet šo Microsoft zināšanu bāzes rakstu, lai konfigurētu AD FS un pieņemtu pieprasījumus no tīmekļa pārlūkprogrammām, kas neatbalsta paplašināto autentifikāciju autentifikācijai.
2461628 Ārējam lietotājam atkārtoti tiek lūgts ievadīt akreditācijas datus pierakstīšanās pakalpojumā Office 365, Azure vai Intune
6. risinājums "piekļuve liegta" kļūdas ziņojums, kad mēģināt izveidot savienojumu ar login.microsoftonline.com
Svarīgi Šajā sadaļā ir aprakstītas darbības, kas norāda, kā modificēt reģistru. Tomēr, ja reģistru modificēsit nepareizi, var rasties nopietnas problēmas. Tāpēc veiciet šīs darbības tieši tā, kā aprakstīts. Papildu drošībai pirms reģistra modificēšanas izveidojiet tā dublējumu. Tādējādi, ja radīsies kāda problēma, varēsit reģistru atjaunot. Lai iegūtu papildinformāciju par reģistra dublēšanu un atjaunošanu, noklikšķiniet uz tālāk norādītā raksta numura un lasiet rakstu Microsoft zināšanu bāzē.
322756 Reģistra dublēšana un atjaunošana operētājsistēmā WindowsProblēmas var rasties, ja Azure Active Directory SSO, ko izmanto AD FS, galapunkts nav derīgs. Pārliecinieties, ka Federācijas galapunkts nav stingri kodēts katra servera (AD FS Federācijas pakalpojumu fermas) reģistrā. Lai novērstu šo problēmu, izmantojiet reģistra redaktoru, lai izdzēstu šo reģistra apakšatslēgu:
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationAD FS atkritīs uz pareizo galapunktu, pamatojoties uz SSO paļaujoties uz pušu uzticamību.
7. risinājums: atspējotā AD FS pakalpojuma galapunkta iestatījuma iestatīšana uz noklusējuma konfigurāciju
Papildinformāciju par to, kā to paveikt, skatiet šajā Microsoft zināšanu bāzes rakstā:
2712957 Pierakstīšanās pakalpojumā Office 365, Azure vai Intune nesekmīga pēc Federācijas pakalpojuma galapunkta maiņas
Vai tomēr ir nepieciešamas palīdzības? Dodieties uz Microsoft Community vai Azure Active Directory forumi tīmekļa vietni.
