ПРОБЛЕМА
Недавно федеративный пользователь не может войти в облачную службу Майкрософт, например Office 365, Microsoft Azure или Microsoft Intune. У пользователя возникает один из следующих симптомов:
-
Когда пользователь вводит свой идентификатор пользователя на веб-странице login.microsoftonline.com, идентификатор пользователя не может быть определен как федеративный пользователь при обнаружении домашней области, и пользователь не будет автоматически перенаправляться на вход через единый вход (SSO).
-
Проверка подлинности в службы федерации Active Directory (AD FS) (AD FS) завершается сбоем, и пользователь получает следующее сообщение об ошибке проверки подлинности на основе форм:
Неправильное имя пользователя или пароль
-
Пользователь получает следующее сообщение об ошибке на веб-странице login.microsoftonline.com:
Извините, но у нас возникли проблемы с выходом
ПРИЧИНА
Эти симптомы могут возникать из-за плохо пилотированного идентификатора пользователя с поддержкой единого входа. Ниже приведены общие требования к пилотной версии идентификатора пользователя с поддержкой единого входа.
-
Учетная запись пользователя локальная служба Active Directory должна использовать федеративное доменное имя в качестве суффикса имени участника-пользователя (UPN).
-
Идентификатор пользователя и основной адрес электронной почты для связанного Microsoft Exchange Online почтового ящика не используют один и тот же суффикс домена.
-
Средство синхронизации Azure Active Directory должно синхронизировать учетную запись пользователя локальная служба Active Directory с идентификатором пользователя в облаке.
-
Имя участника-пользователя учетной записи пользователя локальная служба Active Directory и идентификатор пользователя в облаке должны совпадать.
Прежде чем предположить, что причиной этой проблемы является плохо пилотный идентификатор пользователя с поддержкой единого входа, убедитесь, что выполняются следующие условия:
-
У пользователя не возникает распространенных проблем со вхорнами. Дополнительные сведения об устранении распространенных проблем со входом см. в следующей статье базы знаний Майкрософт:
2412085 Вы не можете войти в учетную запись организации, например Office 365, Azure или Intune
-
Федеративный домен правильно подготовлен для поддержки единого входа следующим образом:
-
Федеративный домен является общедоступным для разрешения dns. (Сюда не входит домен onmicrosoft.com по умолчанию.)
-
Федеративный домен был подготовлен для единого входа в соответствии со следующими веб-сайтами Майкрософт.
Примечание. Преобразование федерации домена может занять некоторое время для распространения. Следует подождать два часа после создания федерации домена, прежде чем предположить, что конфигурация домена неисправна.
-
РЕШЕНИЕ
Чтобы устранить эту проблему, убедитесь, что учетная запись пользователя правильно пилотирована в качестве идентификатора пользователя с поддержкой единого входа. Для этого используйте один или несколько из следующих методов:
Способ 1. См. статью базы знаний 2615736, если пользователи получают ошибку "Извините, но у нас возникли проблемы со входом".
Если пользователь получает сообщение об ошибке "К сожалению, но у нас возникли проблемы со входом", используйте следующую статью базы знаний Майкрософт, чтобы устранить эту проблему:
2615736 ошибка "К сожалению, но у нас возникают проблемы со входом", когда пользователь пытается войти в Office 365, Azure или Intune
Способ 2. Обновление имени участника-пользователя локальной учетной записи пользователя для использования федеративного домена в качестве суффикса
Предупреждение Изменение имени участника-пользователя учетной записи пользователя Active Directory может существенно влиять на функциональность локальная служба Active Directory для пользователя. Мы рекомендуем соблюдать осторожность и обдумывать изменения имени участника-пользователя.
Возможны следующие последствия:
-
Удаленный доступ к локальным ресурсам путем перемещения пользователей, которые входят в операционную систему с помощью кэшированных учетных данных
-
Технологии проверки подлинности удаленного доступа с использованием сертификатов пользователей
-
Технологии шифрования, основанные на сертификатах пользователей, таких как Secure MIME (SMIME), технологии управления правами на доступ к данным (IRM) и функция шифруемой файловой системы (EFS) NTFS
-
Функциональные возможности смарт-карт
Настоятельно рекомендуется использовать одну учетную запись пользователя в пилотном режиме, чтобы лучше понять, как обновление имени участника-пользователя влияет на доступ пользователей. Эта информация полезна для планирования или уменьшения повторного выдачи сертификата, восстановления данных и любых других исправлений, необходимых для обеспечения доступности данных с помощью этих технологий.
Необходимо обновить имя участника-пользователя учетной записи пользователя, чтобы отразить суффикс федеративного домена как в среде локальная служба Active Directory, так и в Azure AD. Для этого выполните следующие действия:
-
Убедитесь, что федеративный домен добавлен в качестве суффикса имени участника-пользователя:
-
На контроллере домена локальная служба Active Directory нажмите кнопку Пуск, наведите указатель мыши на пункт Все программы, выберите Администрирование, а затем — Домены и отношения доверия Active Directory.
-
Щелкните правой кнопкой мыши корневой узел доменов и доверия Active Directory, выберите Свойства, а затем убедитесь, что доменное имя, используемое для единого входа, присутствует.
Примечание. Не маршрутизируемый суффикс домена, например domain.internal или домен domain.microsoftonline.com, не может воспользоваться функциями единого входа или федеративными службами. На этом шаге не следует использовать суффикс домена, не предназначенный для маршрутизируемых запросов.
-
-
Вручную обновите суффикс имени участника-пользователя проблемной учетной записи пользователя:
-
На контроллере домена локальная служба Active Directory нажмите кнопку Пуск, выберите Пункт Все программы, Администрирование, а затем Пользователи и компьютеры Active Directory.
-
Найдите проблемную учетную запись пользователя, щелкните ее правой кнопкой мыши и выберите пункт Свойства.
-
На вкладке Учетная запись в раскрывающемся списке в левом верхнем углу измените суффикс имени участника-пользователя на личный домен, а затем нажмите кнопку ОК.
-
Способ 3. Убедитесь, что идентификатор пользователя и основной SMTP-адрес почтового ящика Exchange Online имеют один и тот же домен.
Используйте локальные средства управления Exchange, чтобы задать основной SMTP-адрес локального пользователя в том же домене атрибута имени участника-пользователя, который описан в методе 2. Дополнительные сведения см. на следующих веб-сайтах Microsoft TechNet:
Изменение политики
адресов электронной почтыНастройка свойств почтового ящика пользователей и ресурсов Если Exchange не установлен в локальной среде, вы можете управлять значением SMTP-адреса с помощью Пользователи и компьютеры Active Directory. Для этого выполните следующие действия:
-
В Пользователи и компьютеры Active Directory щелкните правой кнопкой мыши объект пользователя и выберите пункт Свойства.
-
На вкладке Общие обновите поле Электронная почта и нажмите кнопку ОК.
Способ 4. Настройка синхронизации Active Directory для имени участника-пользователя учетной записи пользователя
Чтобы обеспечить правильную работу единого входа, необходимо настроить клиент синхронизации Active Directory. Дополнительные сведения о настройке синхронизации Active Directory см. на следующем веб-сайте Майкрософт:
Синхронизация Active Directory: дорожная картаДополнительные сведения о принудительном выполнении и проверке синхронизации см. на следующих веб-сайтах Майкрософт:
Способ 5. Устранение неполадок с обновлением имени участника-пользователя для определенной учетной записи пользователя
Если синхронизацию можно проверить, но имя участника-пользователя для пилотного идентификатора пользователя по-прежнему не обновляется, проблема синхронизации может возникнуть для конкретного пользователя.
Дополнительные сведения об устранении потенциальных проблем с синхронизацией определенного объекта Active Directory см. в следующей статье базы знаний Майкрософт:
2643629 Один или несколько объектов не синхронизируются при использовании средства синхронизации Azure Active Directory
Требуется дополнительная помощь? Перейдите на веб-сайт Сообщества Майкрософт или форумы Azure Active Directory .
