Resolver problemas de configuração do início de sessão único no Office 365, no Intune ou no Azure

Documentação de orientação de configuração

Aceda ao seguinte site da Microsoft:

Preparar o início de sessão único

Validação para o passo 1

Utilize o assistente avaliar diagnósticos de configuração da sincronização de diretórios para analisar o Active Directory quanto a problemas que possam causar problemas de sincronização de diretórios.

Resolver problemas com a validação do passo 1

1. Nota Preparação incorreta do Active Directory ou falha na resolução de problemas que a ferramenta identifica pode resultar em problemas de sincronização de diretórios. Siga a documentação de orientação de resolução de problemas disponibilizada pelo assistente avaliar diagnósticos de configuração da sincronização de diretórios para corrigir os problemas e certifique-se de que o assistente de diagnósticos é executado sem erros. Isto impede que os seguintes problemas ocorram mais tarde na implementação:

   • 2392130 Resolver problemas de nome de utilizador que ocorrem para utilizadores federados quando iniciam sessão no Office 365, no Azure ou no Intune

   • 2001616 O endereço de e-mail Office 365 de um utilizador contém inesperadamente um caráter de sublinhado após a sincronização de diretórios

   • 2643629 Um ou mais objetos não são sincronizados ao utilizar a ferramenta de Sincronização do Azure Active Directory

2. Execute novamente o assistente de diagnósticos para verificar se o problema foi resolvido.

Documentação de orientação de configuração

Aceda ao seguinte site da Microsoft:

Instalar Windows PowerShell para início de sessão único com o AD FS

Validação para o passo 3

Para validar o Módulo do Azure Active Directory para Windows PowerShell para SSO, siga estes passos:

1. Execute o Módulo do Azure Active Directory para Windows PowerShell como administrador.

2. Escreva os seguintes comandos e certifique-se de que prime Enter depois de escrever cada comando:

   1. $cred=Get-Credential
      Nota Quando lhe for pedido, escreva as suas credenciais de administrador do serviço cloud.

   2. Connect-MsolService -Credential $cred 

      
      Nota Este comando liga-o a Azure AD. Tem de criar um contexto que o ligue a Azure AD antes de executar qualquer um dos cmdlets adicionais que são instalados pelo Módulo do Azure Active Directory para Windows PowerShell.

   3. Set-MsolAdfscontext -Computer < AD FS 2.0 primary server > 

      
      
      Notas

      • Se instalou o Módulo do Azure Active Directory para Windows PowerShell no servidor de Serviços de Federação do Active Directory (AD FS) primário (AD FS), não tem de executar este cmdlet.

      • Neste comando, o marcador de posição <servidor primário do AD FS 2.0> representa o nome de domínio completamente qualificado interno (FQDN) do servidor primário do AD FS. Este comando cria um contexto que o liga ao AD FS.

   4. Get-MSOLFederationProperty -DomainName < federated domain name > 

      
      Nota Neste comando, o marcador de posição <nome de domínio federado> representa o nome de domínio federado nos passos de configuração.

3. Compare a primeira metade (Origem: Servidor AD FS) e a última metade (Origem: Microsoft Office 365) da saída do comando Get-MSOLFederationProperty que executou no passo 2D. Todas as entradas, exceto Origem e FederationServiceDisplayName, devem corresponder. Se não corresponderem, utilize a secção "Resolução" do seguinte artigo da Base de Dados de Conhecimento Microsoft para atualizar os dados de confiança da entidade confiadora:
   
   2647020 "Pedimos desculpa, mas estamos a ter problemas ao iniciar sessão" e erro "80041317" ou "80043431" quando um utilizador federado tenta iniciar sessão no Office 365, no Azure ou no Intune

Resolver problemas com a validação do passo 3

Para resolver problemas, siga estes passos:

1. Resolva problemas comuns de validação com os seguintes artigos da Base de Dados de Conhecimento Microsoft, conforme adequado para a sua situação:

   • 2461873 Não pode abrir o Módulo do Azure Active Directory para Windows PowerShell

   • 2494043Não é possível ligar através do Módulo do Azure Active Directory para Windows PowerShell

   • 2587730 erro "Falha na ligação ao servidor <ServerName> Serviços de Federação do Active Directory (AD FS) 2.0" ao utilizar o cmdlet Set-MsolADFSContext

   • 2279117 Um administrador não pode adicionar um domínio a uma conta Office 365

   • Erro ao executar o cmdlet New-MsolFederatedDomain pela segunda vez porque a verificação do domínio falha. Para obter mais informações sobre este cenário, veja o seguinte artigo da Base de Dados de Conhecimento:

     2515404 Resolver problemas de verificação de domínio no Office 365

   • 2618887 erro "O identificador do serviço de federação especificado no servidor do AD FS 2.0 já está a ser utilizado" quando tenta configurar outro domínio federado no Office 365, no Azure ou no Intune

   • Os problemas de tempo causam problemas com o cmdlet New-MSOLFederatedDomain ou o cmdlet Convert-MSOLDomainToFederated.

2. Execute novamente os passos de validação para verificar se o problema foi resolvido.

Documentação de orientação de configuração

Aceda aos seguintes sites da Microsoft:

• Mapa de sincronização de diretórios

• Sincronização de diretórios e origem da autoridade

Validação para o passo 4

Para validar, siga estes passos:

1. Execute o Módulo do Azure Active Directory para Windows PowerShell como administrador.

2. Escreva os seguintes comandos. Certifique-se de que prime Enter depois de escrever cada comando.

   1. $cred=Get-Credential
      
      Nota Quando lhe for pedido, escreva as suas credenciais de administrador do serviço cloud.

   2. Connect-MsolService -Credential $cred
      
      Nota Este comando liga-o a Azure AD. Tem de criar um contexto que o ligue a Azure AD antes de executar qualquer um dos cmdlets adicionais que são instalados pelo Módulo do Azure Active Directory para Windows PowerShell.

   3. Get-MSOLCompanyInformation

3. Verifique o valor LastDirSyncTime da saída dos comandos anteriores e certifique-se de que mostra uma sincronização após a instalação da Ferramenta de Sincronização do Azure Active Directory.
   
   Nota O carimbo de data e hora para este valor é apresentado na Hora Universal Coordenada (Hora Média de Greenwich).

4. Se LastDirSyncTime não for atualizado, monitorize o Registo de aplicações do servidor no qual a Ferramenta de Sincronização do Azure Active Directory está instalada para o seguinte evento:

   • Origem: Sincronização de Diretórios

   • ID do Evento: 4

   • Nível: Informações

   Este evento indica que a sincronização de diretórios foi concluída no servidor. Quando isto acontecer, execute novamente estes passos para se certificar de que o valor LastDirSyncTime foi atualizado adequadamente.

Resolver problemas com a validação do passo 4

Resolva problemas comuns de validação com os seguintes artigos da Base de Dados de Conhecimento Microsoft, conforme adequado para a sua situação:

• 2508225 "LogonUser() Falhou com o código de erro: 1789" depois de introduzir as credenciais de administrador da empresa no Assistente de Configuração da ferramenta de Sincronização do Azure Active Directory

• 2502710 erro "Ocorreu um erro desconhecido com o Assistente de Início de Sessão do Microsoft Online Services" ao executar o Assistente de Configuração da Ferramenta de Sincronização do Azure Active Directory

• 2419250 erro "O computador tem de estar associado a um domínio" quando tenta instalar a Ferramenta de Sincronização do Azure Active Directory

• 2643629 Um ou mais objetos não são sincronizados ao utilizar a ferramenta de Sincronização do Azure Active Directory

• 2641663 Como utilizar a correspondência SMTP para corresponder contas de utilizador no local a contas de utilizador Office 365 para Sincronização de Diretórios

• 2492140 Não pode atribuir um domínio federado a um utilizador no portal do Office 365

Documentação de orientação de configuração

1. Verifique os pré-requisitos do cliente para Office 365. Para obter mais informações sobre os requisitos de sistema para Office 365, aceda a Office 365 requisitos de sistema.

2. Execute Office 365 Configuração do Ambiente de Trabalho em todos os computadores cliente que utilizam aplicações cliente avançadas. As aplicações cliente avançadas incluem o Microsoft Outlook, Microsoft Lync 2010, Microsoft Office Professional Plus 2010, Módulo do Azure Active Directory para Windows PowerShell. Aplicações de ambiente de trabalho do Office e aplicações de integração do Microsoft SharePoint.

3. Se for esperada uma experiência totalmente integrada e sem avisos para computadores cliente associados a um domínio e ligados a um domínio, adicione o URL do Serviço de Federação do AD FS à zona de intranet local no Windows Internet Explorer. Por exemplo, faça o seguinte:

   1. No Internet Explorer, no menu Ferramentas , clique em Opções da Internet.

   2. Clique no separador Segurança , clique em Intranet local, clique em Sites e, em seguida, clique em Avançadas.

   3. Escreva https://sts.contoso.com na caixa Adicionar este site à zona e, em seguida, clique em Adicionar.
      
      Nota "sts.contoso.com" representa o FQDN do Serviço de Federação do AD FS.

   Para obter mais informações sobre esta configuração, consulte o seguinte artigo da Base de Dados de Conhecimento Microsoft:

   2535227 É pedido inesperadamente a um utilizador federado que introduza as credenciais da conta escolar ou profissional

4. Se os computadores cliente associados a um domínio e ligados a um domínio acederem a recursos da Internet através de um servidor proxy que resolve os endereços da Internet através de consultas DNS públicas (e não DNS internos e divididos), adicione o URL do Serviço de Federação do AD FS à lista para a qual o Internet Explorer irá ignorar a filtragem de proxy. Segue-se um exemplo de como adicionar o URL à lista de exceções do Internet Explorer:

   1. No Internet Explorer, no menu Ferramentas , clique em Opções da Internet.

   2. No separador Ligações , clique em Definições de LAN e, em seguida, clique em Avançadas.

   3. Na caixa Exceções , introduza o valor com o nome DNS completamente qualificado do nome do ponto final de serviço do AD FS. Por exemplo, introduza sts.contoso.com.

Validação para o passo 5

Para validar, siga estes passos:

1. Certifique-se de que o serviço Assistente de Início de Sessão do Microsoft Online Services está instalado e em execução. Para tal, siga estes passos:

   1. Clique em Iniciar, clique em Executar, escreva Services.msc e, em seguida, clique em OK.

   2. Localize a entrada Assistente de Início de Sessão do Microsoft Online Services e, em seguida, certifique-se de que o serviço está em execução.

   3. Se o serviço não estiver em execução, clique com o botão direito do rato na entrada e, em seguida, selecione Iniciar.

2. Aceda ao site do MEX do AD FS para se certificar de que o ponto final faz parte da zona de segurança da intranet do Internet Explorer. Para tal, siga estes passos:

   1. Inicie o Internet Explorer e, em seguida, aceda ao site do ponto final de serviço do AD FS. Segue-se um exemplo de um site de ponto final de serviço:

      https://sts.contoso.com/federationmetadata/2007-06/federationmetadata.xml

   2. Verifique a barra de estado na parte inferior da janela para se certificar de que a zona de segurança indicada para este URL é a intranet Local.