O AD FS ignora o parâmetro "prompt=login" durante uma autenticação no Windows Server 2016

Aplica-se A
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Resumo

A autenticação falha se utilizar uma autenticação sem palavra-passe (como cartões PIV) num servidor do Fornecedor de Identidade (IdP) e o pedido contiver o parâmetro de pedido que tem o início de sessão como valor.

Causa

Este problema ocorre porque o comportamento de federação de pedidos predefinido é converter o parâmetro prompt=login em wauth=password&wfresh=0 durante a federação.

Acerca da correção

Serviços de Federação do Active Directory (AD FS) (AD FS) suporta agora as seguintes opções para controlar a forma como o parâmetro prompt=login deve ser processado durante uma federação. Estas opções podem ser definidas globalmente para todos os servidores federados através do cmdlet set-ADFSProperties , mas apenas quando o farm está em execução no modo misto. A definição global é migrada automaticamente para os fornecedores de afirmações individuais quando o nível de comportamento do farm (FBL) é elevado para Windows Server 2016. Podem ser visualizados com o cmdlet get-ADFSProperties .

Nota Estas opções também podem ser definidas em fornecedores de afirmações individuais através do cmdlet Add-AdfsClaimsProviderTrust quando o farm está em execução num modo não misto.

  • Nenhum. Em vez disso, não federar o pedido prompt=login e o erro.

  • FallbackToProtocolSpecificParameters (Predefinição). Traduza prompt=login para wfresh=0 e Wauth=forms durante uma federação. Se "wauth" existir no pedido original, será preservado.

    O valor "wauth" predefinido pode ser substituído com o parâmetro PromptLoginFallbackAuthenticationType . Por exemplo, o seguinte comando traduz prompt=login para wfresh=0 e wauth=urn:ietf:rfc:2246 durante uma federação.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Reencaminhar o parâmetro de pedido tal como está durante uma federação.

  • Desativado. Elimine o parâmetro de pedido do pedido durante uma federação.

Seguem-se exemplos do cmdlet set-ADFSProperties :

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Como obter esta atualização

Para adicionar a nova opção, instale a atualização KB de fevereiro de 2018 4077525.

Pré-requisitos

Para instalar esta atualização, tem de ter Windows Server 2016 instalada.
 

Informações de registo

Para aplicar esta atualização, não tem de fazer qualquer alteração no registo.
 

Requisito de reinício

Terá de reiniciar o computador depois de aplicar esta atualização.
 

Informações de substituição de atualizações

Esta atualização não substitui qualquer outra disponibilizada anteriormente.

Estado

A Microsoft confirmou que se trata de um problema nos produtos Microsoft listados na secção "Aplica-se a".

Referências

Saiba mais sobre a terminologia que a Microsoft utiliza para descrever as atualizações de software.