AD FS игнорирует параметр "prompt=login" во время проверки подлинности в Windows Server 2016

Применяется к
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Сводка

Проверка подлинности завершается ошибкой, если на сервере поставщика удостоверений (idP) используется проверка подлинности без пароля (например, карт PIV) и запрос содержит параметр prompt , который имеет имя входа в качестве значения.

Причина

Эта проблема возникает из-за того, что по умолчанию федерация запросов преобразует параметр prompt=login в wauth=password&wfresh=0 во время федерации.

Сведения об исправлении

службы федерации Active Directory (AD FS) (AD FS) теперь поддерживает следующие параметры для управления обработкой параметра prompt=login во время федерации. Эти параметры можно задать глобально для всех федеративных серверов с помощью командлета set-ADFSProperties , но только в том случае, если ферма работает в смешанном режиме. Глобальный параметр автоматически переносится в отдельные поставщики утверждений при повышении уровня поведения фермы (FBL) до Windows Server 2016. Их можно просмотреть с помощью командлета get-ADFSProperties .

Примечание Эти параметры также можно задать для отдельных поставщиков утверждений с помощью командлета Add-AdfsClaimsProviderTrust , когда ферма работает в не смешанном режиме.

  • Нет. Вместо этого не следует федерировать запрос и ошибку prompt=login .

  • FallbackToProtocolSpecificParameters (default). Преобразование prompt=login в wfresh=0 и Wauth=forms во время федерации. Если "wauth" существует в исходном запросе, он будет сохранен.

    Значение wauth по умолчанию можно переопределить с помощью параметра PromptLoginFallbackAuthenticationType . Например, следующая команда преобразует prompt=login в wfresh=0 и wauth=urn:ietf:rfc:2246 во время федерации.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Переадресация параметра prompt во время федерации.

  • Отключено. Отмена параметра prompt из запроса во время федерации.

Ниже приведены примеры командлета set-ADFSProperties :

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Порядок получения обновления

Чтобы добавить новый параметр, установите обновление базы знаний за февраль 2018 г. 4077525.

Необходимые условия

Чтобы установить это обновление, необходимо установить Windows Server 2016.
 

Данные реестра

Для применения этого обновления не требуется вносить изменения в реестр.
 

Необходимость перезапуска

После установки обновления компьютер необходимо перезагрузить.
 

Сведения о замене обновления

Это обновление не заменяет ранее выпущенное обновление.

Состояние

Корпорация Майкрософт подтвердила, что это проблема продуктов Microsoft, перечисленных в разделе «Относится к».

Ссылки

Узнайте о терминологии, используемой корпорацией Майкрософт для описания обновлений программного обеспечения.