Сбой запроса на пассивную федерацию при доступе к приложению с помощью проверки подлинности AD FS и Forms после подключения к Microsoft Dynamics CRM с помощью AD FS

Проблемы

При доступе к приложению, такому как SharePoint, которое использует проверку подлинности AD FS и Forms после подключения к Microsoft Dynamics CRM с помощью проверки подлинности на основе утверждений, происходит сбой со следующей ошибкой: ошибка во время пассивных запросов



федерации.
Additional Data
Protocol Name:
Relying
Party: Exception details:
Microsoft.IdentityServer.RequestFailedException: MSIS7065: There are no registered protocol handlers on path /adfs/ls/to process the incoming request.
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)

Sign out:
20 minutes before Token expiration below dialog is shown with options to Sign In or Cancel. При нажатии кнопки "Войти" не перенаправляется запрос на имя пользователя и пароль на странице "Вход в ADFS". Вместо этого она представляет страницу Signed Out ADFS. Referece — проверка подлинности на основе утверждений и срок действия маркера безопасности.

Причина

Проблема вызвана дубликатом файла cookie MSISAuth, выданным Microsoft Dynamics CRM как файл cookie домена с пространством имен AD FS. Это имя файла cookie не уникально, и при доступе к другому приложению, такому как SharePoint, оно выведется с дубликатом файла cookie. Это приводит к сбой проверки подлинности.

Сценарий "Выйти" вызван выходом из файла cookie, выданным Microsoft Dynamics CRM как файл cookie домена, см. пример ниже. Этот файл cookie является файлом cookie домена и при его от представляемой в ADFS считается для всего домена, например *.contoso.com/. Это приводит к сбойу потока повторной проверки подлинности, и ADFS выведет страницу "Выход".

Set-Cookie: MSISSignOut=; domain=contoso.com; path=/; безопасный; HttpOnly

Решение

Чтобы устранить эту проблему, необходимо настроить для Microsoft Dynamics CRM значение поддомена, например crm.domain.com. Для этого потребуется другой сертификат, например *.crm.domain.com.

После внесения этих изменений потребуется перенастроить проверку подлинности на основе утверждений и ifD, используя правильные конечные точки, как показано ниже:

1. auth.<-домен>.domain.com

2. dev.<поддомен>.domain.com

3. org.<-домен>.domain.com

Дополнительная информация

Дополнительные сведения о настройке проверки подлинности на основе утверждений и функции IFD для Microsoft Dynamics CRM см. в следующей ссылке: настройка проверки подлинности на основе утверждений для Microsoft Dynamics CRM

Server