PROBLEEM
Wanneer u probeert toegang te krijgen tot een Microsoft-cloudservice, zoals Office 365, Microsoft Azure of Microsoft intune via een webclient of een rijke clienttoepassing via een Federatie account, mislukt de authenticatie van een specifieke clientcomputer. Wanneer u een webbrowser gebruikt om via een federatieve account toegang te krijgen tot de cloudservice Portal, kunt u een van de volgende problemen ondervinden:
-
Wanneer u verbinding maakt met het eindpunt van de portal, wordt een van de volgende foutberichten weergegeven:
De webpagina kan niet worden weergegeven in Internet Explorer.
pagina 403 niet gevonden
-
Wanneer u verbinding maakt met het AD FS-eindpunt (Active Directory Federation Services), wordt een van de volgende foutberichten weergegeven:
De webpagina kan niet worden weergegeven in Internet Explorer
pagina 403 niet gevonden
-
U ontvangt een waarschuwing voor het certificaat wanneer u verbinding maakt met het AD FS-eindpunt.
-
Wanneer u verbinding maakt met het AD FS-eindpunt terwijl u bent aangemeld bij het bedrijfsdomein, krijgt u één vragen voor de referenties. Voor uw referenties wordt geen gebruikmaken van formulierverificatie.
-
Wanneer u verbinding maakt met het AD FS-eindpunt met behulp van een webbrowser van derden, ontvangt u een lus om verificatie te vragen. Op formulieren gebaseerde verificatie maakt geen gebruik van deze aanwijzingen.
-
Wanneer u verbinding maakt met het login.microsoftonline.com-eindpunt, wordt het volgende foutbericht weergegeven:
Toegang geweigerd
OORZAAK
Dit probleem doet zich meestal voor op een clientcomputer of een groep clientapparaten. Dit probleem kan zich voordoen voor alle gebruikers en clientcomputers als eenmalige aanmelding (SSO) niet volledig functioneel is. Eenmalige aanmelding is mogelijk niet volledig functioneel als de clientinstellingen niet correct zijn ingesteld. Dit probleem kan de volgende oorzaken van clientapparaten veroorzaken:
-
Netwerkverbinding kan beperkt zijn.
-
Het clientapparaat ontvangt een onjuiste naamomzetting voor de AD FS-Federatie service van de interne DNS-implementatie van de gesplitste DNS.
-
Als een Internet proxyserver is geconfigureerd op de computer, mag de naam van de AD FS-Federatie service niet worden toegevoegd aan de lijst met genegeerde proxy.
-
De naam van de AD FS-Federatie service mag niet worden toegevoegd aan de beveiligingszone Lokaal intranet in de instellingen van Internet opties.
-
De clientcomputer is niet geverifieerd voor Active Directory Domain Services.
-
De webbrowser van derden biedt geen ondersteuning voor uitgebreide beveiliging voor verificatie met de AD FS-Federatie service.
-
Het eindpunt met metagegevens van de Federatie kan in het register worden vastgelegd vanwege een eerdere installatie van Office 365 bèta van het hulpprogramma voor SSO-beheer.
-
Het vereiste AD FS service-eindpunt dat vereist is voor een bepaalde clienttoepassing is uitgeschakeld.
Voordat u verder gaat, controleert u of aan de volgende voorwaarden is voldaan:
-
Toegangsproblemen zijn niet beperkt tot uitgebreide clienttoepassingen op de clientcomputer. Als uitsluitend uitgebreide clientverificatie (in plaats van verificatie via de browser) werkt, wordt dit waarschijnlijk veroorzaakt door een probleem met een uitgebreide clientverificatie. Dit kan bijvoorbeeld een probleem zijn dat is gerelateerd aan de vereisten of de configuratie van de clienttoepassing rijk. Raadpleeg het volgende Microsoft Knowledge Base-artikel voor meer informatie:
2637629 Problemen oplossen met niet-browser-apps die niet kunnen worden aangemeld bij Office 365, Azure of intune
-
Verificatie via SSO mislukt niet voor alle gebruikersaccounts met een SSO-functionaliteit. Als alle gebruikers met een SSO-functie dezelfde symptomen voordoen, wordt er waarschijnlijk een Federatie probleem aangegeven. Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:
2530569 Problemen bij het instellen van eenmalige aanmelding in Office 365, intune of Azure oplossen
-
SSO-verificatie voor het gebruikersaccount slaagt op andere clientcomputers. Als het gebruikersaccount niet kan worden aangemeld bij een client van de cloudservices, raadpleegt u de oplossingen verderop in dit artikel waarbij de clientcomputer wordt gebruikt. Bekijk ook de mogelijkheid dat er iets mis is met het gebruikersaccount en niet bij de clientcomputer. Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:
2530590 Problemen met accounts oplossen voor federatieve gebruikers in Office 365, Azure of intune
-
Het toetsenbord op de clientcomputer werkt correct en de gebruikersnaam en het wachtwoord die nodig zijn, zijn correct ingevoerd.
OPLOSSING
U kunt dit probleem oplossen door een of meer van de volgende methoden te gebruiken, afhankelijk van de oorzaak van het probleem.
Oplossing 1: kan geen verbinding maken met cloudservice portal of AD FS
Ga naar http://www.MSN.com. Als dit niet werkt, kunt u problemen met de netwerkverbinding oplossen. Ga hiervoor als volgt te werk:
-
Met een opdrachtprompt gebruikt u de hulpprogramma's ipconfig en ping om problemen met de IP-verbinding op te lossen. Raadpleeg het volgende Microsoft Knowledge Base-artikel voor meer informatie:
169790 Eenvoudige TCP/IP-problemen oplossen.
-
Typ bij de opdrachtprompt nslookup www.MSN.com om te bepalen of DNS de namen van de Internet servers oplost.
-
Zorg ervoor dat proxy-instellingen voor Internet opties de juiste proxyserver weergeven als een proxyserver wordt gebruikt in het lokale netwerk.
-
Als een firewall van Forefront Threat Management Gateway (TMG) op de grens van het netwerk is geïnstalleerd en de firewall clientverificatie vereist, moet u mogelijk een clientprogramma van Forefront TMG installeren op het clientapparaat voor Internet toegang. Neem contact op met de cloudservice beheerder voor hulp.
Oplossing 2: kan geen verbinding maken met AD FS
Ga als volgt te werk om dit probleem op te lossen:
-
Elimineer problemen met IP-verbinding met oplossing 1.
-
Typ bij de opdrachtprompt nslookup <AD FS 2,0 FQDN>en druk vervolgens op ENTER om te bepalen of DNS de naam van de AD FS-service correct oplost.Opmerking In deze opdracht wordt <naam van de FQDN van AD FS> de FQDN-naam (Fully Qualified Domain Name) van de naam van de AD FS-service aangeduid. De naam van de Windows-host van de AD FS-server wordt niet aangegeven.
-
Als de client is verbonden met het bedrijfsnetwerk, controleert u of het IP-adres dat is opgelost, een persoonlijk IP-adres is . Het IP-adres moet overeenkomen met een van de volgende patronen:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Zorg ervoor dat de client zich buiten het bedrijfsnetwerk bevindt of dat het IP-adres dat is opgelost, een openbaar IP-adres is. Zorg ervoor dat de naam van een van de volgende patronen niet overeenstemt:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Ga als volgt te werk als het IP-adres dat is opgelost, onjuist is op basis van stap 1 en 2, en andere clientcomputers geen ervaring hebben, ga dan als volgt te werk:
-
Typ bij de opdrachtprompt ipconfig/allen controleer vervolgens of de primaire DNS-server vermelding geschikt is voor het netwerk waaraan de client is gekoppeld.
-
Open het%windir%\system32\drivers\etc\hosts-bestand in Kladblok en verwijder eventuele vermeldingen voor de AD FS-FQDN. Vervolgens slaat u het bestand op.
-
Bij de opdrachtprompt typt u ipconfig/flushdns om de DNS-cache te wissen.
-
Opmerking Ga naar stap 3 als de clientapparaten alleen worden gekoppeld aan het bedrijfsnetwerk.
-
-
Voeg de FQDN voor AD FS toe aan de lijst met genegeerde proxy. Als u dit wilt doen, volgt u de stappen in het volgende artikel in Microsoft Knowledge Base:
262981 Internet Explorer maakt gebruik van een proxyserver voor een lokaal IP-adres, zelfs als de optie proxyserver voor lokale adressen negeren is ingeschakeld
Oplossing 3: certificaatwaarschuwing wanneer u verbinding maakt met het AD FS-eindpunt
Als u dit probleem wilt oplossen, kunt u problemen met Secure Sockets Layer (SSL) oplossen met behulp van het volgende artikel in de Microsoft Knowledge Base:
2523494 U ontvangt een certificaatwaarschuwing van AD FS wanneer u zich probeert aan te melden bij Office 365, Azure of intune
Oplossing 4: u ontvangt één onverwachte referentie prompt wanneer u zich aanmeldt bij een clientcomputer die is verbonden met het bedrijfsnetwerk.
Ga als volgt te werk om dit probleem op te lossen:
-
Zorg ervoor dat de clientcomputer met het domein is aangemeld.
-
Klik op Start, klik op uitvoeren, typ %logonserver%\Sysvolen klik vervolgens op OK.
-
Meld u af en meld u weer aan met behulp van bedrijfsreferenties als er een referentie prompt wordt weergegeven.
-
-
Voeg de FQDN van AD FS toe aan de lokale intranetzone.
-
Klik op het tabblad beveiliging op Lokaal intraneten klik vervolgens op sites.
-
Klik op Geavanceerden Bekijk de lijst met websites voor de volledig gekwalificeerde DNS-naam van het AD FS service-eindpunt (bijvoorbeeld STS.contoso.com). Opmerking Een jokerteken, zoals "*. consoto.com", werkt ook in deze configuratie.
-
-
Voeg de FQDN voor AD FS toe aan de lijst met genegeerde proxy. Als u dit wilt doen, volgt u de stappen in het volgende artikel in Microsoft Knowledge Base:
262981 Internet Explorer maakt gebruik van een proxyserver voor een lokaal IP-adres, zelfs als de optie proxyserver voor lokale adressen negeren is ingeschakeld
Oplossing 5: webbrowser van derden biedt geen uitgebreide beveiliging voor verificatie en u ontvangt waarschuwingen voor verificatie van de lus
Ga als volgt te werk om dit probleem op te lossen:
-
Windows Internet Explorer (Internet Explorer ondersteunt uitgebreide beveiliging voor verificatie) in plaats van een webbrowser van derden die geen uitgebreide beveiliging biedt voor verificatie.
-
Als u Internet Explorer niet kunt gebruiken, gebruikt u het volgende Microsoft Knowledge Base-artikel om AD FS te configureren zodat aanvragen van webbrowsers die geen uitgebreide beveiliging ondersteunen, worden geaccepteerd:
2461628 Een federatieve gebruiker wordt herhaaldelijk gevraagd om referenties wanneer u zich aanmeldt bij Office 365, Azure of intune
Oplossing 6: Foutbericht ' toegang geweigerd ' wordt weergegeven wanneer u verbinding probeert te maken met login.microsoftonline.com
Belangrijk Dit gedeelte bevat stappen waarmee u leert hoe u het register kunt wijzigen. Als u het register op onjuiste wijze wijzigt, kunnen er echter grote problemen optreden. Het is dan ook belangrijk dat u deze stappen zorgvuldig uitvoert. Maak een back-up van het register voordat u wijzigingen aanbrengt. Als er een probleem optreedt, kunt u het register altijd nog herstellen. Klik op het volgende artikelnummer, zodat het desbetreffende Microsoft Knowledge Base-artikel wordt weergegeven als u meer informatie wilt over het maken van een back-up van het register en het herstellen van het register:
322756 Een back-up nemen en het herstellen van het register in WindowsEr kunnen zich problemen voordoen als het eindpunt voor Azure Active Directory SSO dat wordt gebruikt door AD FS, ongeldig is. Zorg ervoor dat het Federatie punt van de Federatie niet hardcoded is in het register van elke server in de AD FS Federation service farm. U kunt dit probleem oplossen door de Register-editor te gebruiken om de volgende registersubsleutel te verwijderen:
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationAD FS keert terug naar het juiste eindpunt op basis van de vertrouwensrelatie van het SSO-vertrouwens feest.
Oplossing 7: de instelling van het service-eindpunt voor AD FS service-eindpunten terugzetten naar de standaardconfiguratie
Zie het volgende artikel in Microsoft Knowledge Base voor meer informatie over dit onderwerp:
2712957 Aanmelden bij Office 365, Azure of intune mislukt wanneer u het Federation service-eindpunt hebt gewijzigd
Meer hulp nodig? Ga naar de Microsoft-Community of de Azure Active Directory -website forums.
