PROBLEMA
Quando você tenta acessar um serviço em nuvem da Microsoft como o Office 365, o Microsoft Azure ou o Microsoft Intune por meio de um cliente baseado na Web ou um aplicativo cliente avançado usando uma conta federada, a autenticação falha a partir de um computador cliente específico. Ao usar um navegador da Web para acessar o portal de serviço de nuvem no mesmo computador usando uma conta federada, você pode enfrentar um dos seguintes sintomas:
-
Quando você se conecta ao ponto de extremidade do portal, você recebe uma das seguintes mensagens de erro:
O Internet Explorer não pode exibir a página da Web.
403 página não encontrada
-
Quando você se conecta ao ponto de extremidade do AD FS (serviços de Federação do Active Directory), recebe uma das seguintes mensagens de erro:
O Internet Explorer não pode exibir a página da Web
403 página não encontrada
-
Você recebe um aviso de certificado quando se conecta ao ponto de extremidade do AD FS.
-
Quando você se conectar ao ponto de extremidade do AD FS enquanto estiver conectado ao domínio corporativo, receberá um único prompt de credenciais. Esse prompt para suas credenciais não usa a autenticação baseada em formulários.
-
Ao se conectar ao ponto de extremidade do AD FS usando um navegador da Web de terceiros, você receberá solicitações de autenticação em loop. Esses prompts não usam a autenticação baseada em formulários.
-
Ao se conectar ao ponto de extremidade login.microsoftonline.com, você recebe a seguinte mensagem de erro:
Acesso negado
MOTIVO
Geralmente, esse problema ocorre em um computador cliente ou em um grupo de dispositivos cliente. Esse problema pode ocorrer para todos os usuários e computadores cliente se o logon único (SSO) não estiver totalmente funcional. O SSO pode não ser totalmente funcional se as configurações do cliente não foram configuradas corretamente. As seguintes situações de dispositivo cliente podem causar esse problema:
-
A conectividade de rede pode ser limitada.
-
O dispositivo cliente está recebendo resolução de nome incorreta para o serviço de Federação do AD FS da implementação de DNS Split-Brain interna.
-
Se um servidor proxy da Internet estiver configurado no computador, o nome do serviço de Federação do AD FS não poderá ser adicionado à lista de proxies ignorados.
-
O nome do serviço de Federação do AD FS não pode ser adicionado à zona de segurança da intranet local nas configurações de opções da Internet.
-
O computador cliente não está autenticado para os serviços de domínio do Active Directory.
-
O navegador da Web de terceiros não dá suporte à proteção estendida para autenticação para o serviço de Federação do AD FS.
-
O ponto de extremidade de metadados de Federação pode ser codificado no registro por causa de uma instalação anterior do Office 365 Beta da ferramenta de gerenciamento de SSO.
-
O ponto de extremidade do serviço do AD FS necessário necessário para um aplicativo cliente específico está desabilitado.
Antes de continuar, certifique-se de que as seguintes condições sejam verdadeiras:
-
Os problemas de acesso não estão limitados a aplicativos cliente avançados no computador cliente. Se a autenticação de cliente avançada (em oposição à autenticação baseada em navegador) não estiver funcionando, é provável que ele indique um problema de autenticação de cliente avançado. Por exemplo, pode ser um problema relacionado a pré-requisitos ou a configuração do aplicativo de cliente avançado. Para obter mais informações, consulte o seguinte artigo da Base de Dados de Conhecimento Microsoft:
2637629 Como solucionar problemas de aplicativos que não são do navegador que não podem entrar no Office 365, Azure ou Intune
-
A autenticação SSO não falha para todas as contas de usuário habilitadas para SSO. Se todos os usuários habilitados para SSO experimentarem os mesmos sintomas, provavelmente isso indicará um problema de Federação. Para obter mais informações, clique no número abaixo para ler os artigos na Base de Dados de Conhecimento Microsoft:
2530569 Solucionar problemas de configuração de logon único no Office 365, no Intune ou no Azure
-
A autenticação de SSO para a conta de usuário é bem-sucedida em outros computadores cliente. Se a conta de usuário não puder fazer logon em nenhum cliente de serviços de nuvem, consulte as resoluções mais adiante neste artigo que envolvem o computador cliente. Além disso, explore a possibilidade de haver algo errado com a conta de usuário e não com o computador cliente. Para obter mais informações, clique no número abaixo para ler os artigos na Base de Dados de Conhecimento Microsoft:
2530590 Solucionar problemas de conta para usuários federados no Office 365, Azure ou Intune
-
O teclado no computador cliente está funcionando corretamente, e o nome de usuário e a senha, onde for necessário, foram inseridos corretamente.
SOLUÇÃO
Para solucionar esse problema, use um ou mais dos seguintes métodos, dependendo da causa do problema.
Resolução 1: não é possível se conectar ao portal de serviço na nuvem ou ao AD FS
Tente navegar até http://www.msn.com. Se isso não funcionar, solucione problemas de conectividade de rede. Para fazer isto, siga as seguintes etapas:
-
Em um prompt de comando, use as ferramentas ipconfig e ping para solucionar problemas de conectividade IP. Para obter mais informações, consulte o seguinte artigo da Base de Dados de Conhecimento Microsoft:
169790 Como solucionar problemas básicos de TCP/IP.
-
Em um prompt de comando, digite nslookup www.msn.com para determinar se o DNS está resolvendo nomes de servidor de Internet.
-
Verifique se as configurações de proxy das opções da Internet refletem o servidor proxy adequado se um servidor proxy for usado na rede local.
-
Se um firewall do Forefront Threat Management Gateway (TMG) estiver instalado no limite da rede e o firewall exigir autenticação de cliente, talvez seja necessário instalar um programa cliente Forefront TMG no dispositivo cliente para acesso à Internet. Entre em contato com o administrador do serviço de nuvem para obter ajuda.
Resolução 2: não é possível se conectar ao AD FS
Para resolver esse problema, siga estas etapas:
-
Eliminar problemas de conectividade IP usando a resolução 1.
-
No prompt de comando, digite nslookup <>FQDN do AD fs 2,0 e pressione ENTER para determinar se o DNS está resolvendo corretamente o nome do serviço de AD FS.Observação Nesse comando, <> FQDN do AD FS representa o nome de domínio totalmente qualificado (FQDN) do nome do serviço de AD FS. Ele não representa o nome do host do Windows do servidor do AD FS.
-
Se o cliente estiver conectado à rede corporativa, certifique-se de que o endereço IP resolvido é um endereço IP privado. O endereço IP deve corresponder a um dos seguintes padrões:
-
10.x.x.ActiveX
-
172.16.x.ActiveX
-
192.168.x.ActiveX
-
-
Se o cliente estiver fora da rede corporativa, certifique-se de que o endereço IP resolvido é um endereço IP público. Certifique-se de que ele não corresponda a um dos seguintes padrões:
-
10.x.x.ActiveX
-
172.16.x.ActiveX
-
192.168.x.ActiveX
-
-
Se o endereço IP que está resolvido estiver incorreto com base na etapa 1 e na etapa 2, e outros computadores cliente não tiverem o mesmo comportamento, faça o seguinte:
-
No prompt de comando, digite ipconfig/alle verifique se a entrada do servidor DNS primário é adequada para a rede à qual o cliente está conectado.
-
Abra o arquivo%WINDIR%\System32\Drivers\Etc\hosts no bloco de notas e remova todas as entradas para o FQDN do AD FS. Em seguida, salve o arquivo.
-
No prompt de comando, digite ipconfig/flushdns para limpar o cache DNS.
-
Observação Se os dispositivos cliente só estiverem conectados à rede corporativa, vá para a etapa 3.
-
-
Adicione o FQDN do AD FS à lista de proxies ignorados. Para fazer isso, siga as etapas no seguinte artigo na base de dados de conhecimento da Microsoft:
262981 O Internet Explorer usa um servidor proxy para o endereço IP local mesmo se a opção "ignorar servidor proxy para endereços locais" estiver ativada
Solução 3: aviso de certificado quando você se conecta ao ponto de extremidade do AD FS
Para solucionar esse problema, solucione problemas de certificado SSL (Secure Sockets Layer) usando o seguinte artigo na base de dados de conhecimento da Microsoft:
2523494 Você recebe um aviso de certificado do AD FS quando tenta entrar no Office 365, Azure ou Intune
Resolução 4: você recebe um prompt de credenciais único e inesperado ao fazer logon a partir de um computador cliente que está conectado à rede corporativa
Para resolver esse problema, siga estas etapas:
-
Certifique-se de que o computador cliente tenha feito logon com êxito no domínio.
-
Clique em Iniciar, clique em executar, digite %logonserver%\SYSVOLe, em seguida, clique em OK.
-
Se for exibido um prompt de credenciais, faça logoff e, em seguida, conecte-se novamente usando credenciais corporativas.
-
-
Adicione o FQDN do AD FS à zona da intranet local.
-
Na guia segurança , clique em intranet locale, em seguida, clique em sites.
-
Clique em avançadoe examine a lista de sites para o nome DNS totalmente qualificado do ponto de extremidade do serviço AD FS (por exemplo, STS.contoso.com). Observação Um valor curinga, como "*. consoto.com", também funcionará nessa configuração.
-
-
Adicione o FQDN do AD FS à lista de proxies ignorados. Para fazer isso, siga as etapas no seguinte artigo na base de dados de conhecimento da Microsoft:
262981 O Internet Explorer usa um servidor proxy para o endereço IP local mesmo se a opção "ignorar servidor proxy para endereços locais" estiver ativada
Solução 5: o navegador da Web de terceiros não é compatível com proteção estendida para autenticação, e você recebe solicitações de autenticação em loop
Para resolver esse problema, siga estas etapas:
-
Use o Windows Internet Explorer (o Internet Explorer permite proteção estendida para autenticação) em vez de um navegador da Web de terceiros que não seja compatível com a proteção estendida para autenticação.
-
Se usar o Internet Explorer não for uma opção, use o seguinte artigo da base de dados de conhecimento da Microsoft para configurar o AD FS para aceitar solicitações de navegadores da Web que não sejam compatíveis com a proteção estendida para autenticação:
2461628 Um usuário federado é solicitado repetidamente por credenciais durante a entrada no Office 365, Azure ou Intune
Resolução 6: mensagem de erro "acesso negado" ao tentar se conectar ao login.microsoftonline.com
Importante Esta seção contém etapas que ensinam a modificar o registro. Entretanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Portanto, siga essas etapas cuidadosamente. Para obter mais proteção, faça backup do Registro antes de modificá-lo. Dessa forma, você poderá restaurar o Registro se ocorrer um problema. Para obter mais informações sobre como fazer backup e restaurar o Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:
322756 Como fazer o backup e a restauração do Registro no WindowsPoderão ocorrer problemas se o ponto de extremidade do SSO do Azure Active Directory usado pelo AD FS não for válido. Verifique se o ponto de extremidade de Federação não está codificado no registro de cada servidor no farm de serviços de Federação do AD FS. Para solucionar esse problema, use o editor do registro para excluir a seguinte subchave do registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationO AD FS será retornado para o ponto de extremidade correto com base na confiança da terceira parte confiável do SSO.
Resolução 7: redefinir a configuração de ponto de extremidade de serviço do AD FS desabilitada para a configuração padrão
Para obter mais informações sobre como fazer isso, confira o seguinte artigo da base de dados de conhecimento Microsoft:
2712957 Entrar no Office 365, Azure ou Intune falha após alterar o ponto de extremidade do serviço de Federação
Ainda precisa de ajuda? Vá para comunidade Microsoft ou site fóruns do Azure Active Directory .
