AD FS ignorerar parametern "prompt=login" vid autentisering i Windows Server 2016

Gäller för
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Sammanfattning

Autentiseringen misslyckas om du använder en autentisering utan lösenord (till exempel PIV-kort) på en identitetsproviderserver (IdP) och begäran innehåller promptparametern som har inloggning som värde.

Orsak

Det här problemet beror på att standardbeteendet för federation av promptar är att konvertera parametern prompt=login till wauth=password&wfresh=0 under federationen.

Om korrigeringen

Active Directory Federation Services (ADFS) (AD FS) (AD FS) har nu stöd för följande alternativ för att styra hur parametern prompt=login ska hanteras under en federation. Dessa alternativ kan ställas in globalt för alla federerade servrar med hjälp av cmdleten set-ADFSProperties , men endast när servergruppen körs i blandat läge. Den globala inställningen migreras automatiskt till de enskilda anspråksleverantörerna när servergruppbeteendenivån (FBL) höjs till Windows Server 2016. De kan visas med hjälp av cmdleten get-ADFSProperties .

Anteckning De här alternativen kan också anges för enskilda anspråksprovidrar med hjälp av cmdleten Add-AdfsClaimsProviderTrust när servergruppen körs i ett icke-blandat läge.

  • Inga. Gör i stället inte federera prompt=login-begäran och -felet.

  • FallbackToProtocolSpecificParameters (standard). Översätt prompt=login till wfresh=0 och Wauth=forms under en federation. Om "wauth" finns i den ursprungliga begäran bevaras den.

    Standardvärdet "wauth" kan åsidosättas med hjälp av parametern PromptLoginFallbackAuthenticationType . Följande kommando översätter till exempel prompt=login till wfresh=0 och wauth=urn:ietf:rfc:2246 under en federation.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Vidarebefordra promptparametern eftersom den är under en federation.

  • Inaktiverad. Ignorera promptparametern från begäran under en federation.

Följande är exempel på cmdleten set-ADFSProperties :

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Så här hämtar du uppdateringen

Installera uppdateringen för februari 2018 KB 4077525 för att lägga till det nya alternativet.

Krav

För att kunna installera den här uppdateringen måste du ha Windows Server 2016 installerat.
 

Registerinformation

Du behöver inte göra några ändringar i registret för att installera den här uppdateringen.
 

Krav på omstart

Du måste starta om datorn när du har installerat uppdateringen.
 

Ersättningsinformation om uppdateringen

Den här uppdateringen ersätter inte någon tidigare uppdatering.

Status

Microsoft har bekräftat att detta är ett problem i de Microsoft-produkter som anges i avsnittet "Gäller".

Referenser

Läs om den terminologi som Microsoft använder för att beskriva programuppdateringar.