Passieve federation request fails when accessing an application using AD FS and Forms Authentication after previously connecting to Microsoft Dynamics CRM also using AD FS

Symptomen

Passieve federatie aanvraag mislukt bij het openen van een toepassing, zoals SharePoint, die AD FS- en Forms-verificatie gebruikt nadat er eerder verbinding is gemaakt met Microsoft Dynamics CRM met op claims gebaseerde verificatie. De fout mislukt met de volgende fout: Tijdens passieve federatieaanvragen is een fout



opgetreden.
Additional Data
Protocol
Name: Relying Party:
Exception details:
Microsoft.IdentityServer.RequestFailedException: MSIS7065: There are no registered protocol handlers on path /adfs/ls/ to process the incoming request.
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)

Sign out scenario:
20 minutes before Token expiration below dialog is shown with options to Sign In or Cancel. Als u op Aanmelden klikt, wordt de aanmeldingspagina van ADFS niet omgeleid met de vraag naar de gebruikersnaam en het wachtwoord. In plaats daarvan wordt een ADFS-pagina weergegeven die is ondertekend. Referece: op claims gebaseerde verificatie- en beveiligings tokenverloop.

Oorzaak

Het probleem wordt veroorzaakt door een dubbele MSISAuth-cookie uitgegeven door Microsoft Dynamics CRM als een domeincookie met een AD FS-naamruimte. De naam van deze cookie is niet uniek en wanneer een andere toepassing wordt gebruikt, zoals SharePoint, wordt deze toepassing met dubbele cookie weergegeven. Hierdoor mislukt de verificatie.

Het scenario Buitenloggen wordt veroorzaakt door een cookie bij het wegloggen die als domeincookie door Microsoft Dynamics CRM wordt uitgegeven. Zie hieronder. Deze cookie is een domeincookie en als deze wordt gepresenteerd aan ADFS, wordt dit beschouwd voor het hele domein, zoals *.contoso.com/. Hierdoor mislukt de herverificatiestroom en wordt de aanmeldingspagina van ADFS weergegeven.

Set-Cookie: MSISSignOut=; domain=contoso.com; path=/; beveiligd; HttpOnly

Oplossing

U kunt dit probleem oplossen door Microsoft Dynamics CRM te configureren met een subdomeinwaarde zoals crm.domain.com. Hiervoor is een ander wildcard-certificaat vereist, zoals *.crm.domain.com.

Nadat u deze wijzigingen hebt doorgevoerd, moet u Op claims gebaseerde verificatie en ALSD opnieuw configureren met de juiste eindpunten, zoals hieronder wordt weergegeven:

1. auth.<subdomain>.domain.com

2. dev.<subdomain>.domain.com

3. org.<subdomain>.domain.com

Meer informatie

Zie de volgende koppeling voor meer informatie over het configureren van op claims gebaseerde verificatie en IFD voor Microsoft Dynamics CRM: Op claims gebaseerde verificatie configureren voor

Microsoft Dynamics CRM Server