PROBLEM
En nyligen federerad användare kan inte logga in på en Microsoft-molntjänst som Office 365, Microsoft Azure eller Microsoft Intune. Användaren får något av följande symptom:
-
När användaren anger sitt användar-ID på login.microsoftonline.com webbsida kan användar-ID:t inte identifieras som en federerad användare genom identifiering av hemsfär och användaren omdirigeras inte automatiskt för att logga in via enkel inloggning (SSO).
-
Autentisering till Active Directory Federation Services (AD FS) (AD FS) misslyckas och användaren får följande formulärbaserade felmeddelande om autentisering:
Användarnamnet eller lösenordet är felaktigt
-
Användaren får följande felmeddelande på login.microsoftonline.com webbsida:
Tyvärr, men vi har problem med att logga ut dig
ORSAKA
Dessa symptom kan uppstå på grund av ett felaktigt pilottestat SSO-aktiverat användar-ID. De allmänna kraven för pilottestning av ett SSO-aktiverat användar-ID är följande:
-
Det lokal Active Directory användarkontot ska använda det federerade domännamnet som UPN-suffix (User Principal Name).
-
Användar-ID:t och den primära e-postadressen för den associerade Microsoft Exchange Online postlådan delar inte samma domänsuffix.
-
Verktyget Azure Active Directory-synkronisering måste synkronisera lokal Active Directory användarkonto till ett molnbaserat användar-ID.
-
UPN för lokal Active Directory användarkonto och det molnbaserade användar-ID:et måste matcha.
Innan du antar att ett felaktigt pilotbaserat SSO-aktiverat användar-ID är orsaken till det här problemet bör du kontrollera att följande villkor uppfylls:
-
Användaren har inte något vanligt inloggningsproblem. Mer information om hur du felsöker vanliga inloggningsproblem finns i följande Microsoft Knowledge Base-artikel:
2412085 Du kan inte logga in på ditt organisationskonto, till exempel Office 365, Azure eller Intune
-
Den federerade domänen är korrekt förberedd för att stödja SSO på följande sätt:
-
Den federerade domänen kan matchas offentligt av DNS. (Detta inkluderar inte standarddomänen "onmicrosoft.com".)
-
Den federerade domänen förbereddes för SSO enligt följande Microsoft-webbplatser.
Obs! Domänfederationskonvertering kan ta lite tid att sprida. Du bör vänta två timmar efter att du federerat en domän innan du förutsätter att domänkonfigurationen är felaktig.
-
LÖSNING
Lös problemet genom att kontrollera att användarkontot piloteras korrekt som ett SSO-aktiverat användar-ID. Det gör du genom att använda en eller flera av följande metoder:
Metod 1: Se Knowledge Base-artikeln 2615736 om användarna får felmeddelandet "Tyvärr, men vi har problem med att logga in dig"
Om användaren får felmeddelandet "Tyvärr, men vi har problem med att logga in" kan du använda följande Microsoft Knowledge Base-artikel för att felsöka problemet:
2615736 felmeddelandet "Tyvärr, men vi har problem med att logga in" när en användare försöker logga in på Office 365, Azure eller Intune
Metod 2: Uppdatera UPN för det lokala användarkontot för att använda den federerade domänen som suffix
Varning Om du ändrar UPN för ett Active Directory-användarkonto kan det ha en betydande effekt på användarens lokal Active Directory funktion. Vi rekommenderar att du är försiktig och överväger UPN-ändringar.
Effekten innefattar potentiellt följande:
-
Fjärråtkomst till lokala resurser genom roaming-användare som loggar in på operativsystemet med cachelagrade autentiseringsuppgifter
-
Autentiseringstekniker för fjärråtkomst med hjälp av användarcertifikat
-
Krypteringsteknik som baseras på användarcertifikat som Secure MIME (SMIME), IRM-teknik (Information Rights Management) och funktionen Krypterande filsystem (EFS) i NTFS
-
Smartkortsfunktioner
Vi rekommenderar starkt att du pilottestar ett enskilt användarkonto för att få bättre förståelse för hur uppdatering av UPN påverkar användaråtkomst. Informationen är användbar för att planera inför eller minska återutgivningen av certifikat, dataåterställning och andra åtgärder som krävs för att upprätthålla tillgängligheten till data med hjälp av dessa tekniker.
Du måste uppdatera UPN för användarkontot så att det återspeglar det federerade domänsuffixet både i lokal Active Directory-miljön och i Azure AD. Gör så här:
-
Kontrollera att den federerade domänen läggs till som ett UPN-suffix:
-
På lokal Active Directory domänkontrollant klickar du på Start, pekar på Alla program, klickar på Administrationsverktyg och klickar sedan på Active Directory Domains and Trusts.
-
Högerklicka på rotnoden för Active Directory Domains and Trusts, välj Egenskaper och kontrollera sedan att domännamnet som används för SSO finns.
Obs! Ett icke-dirigerbart domänsuffix, till exempel domain.internal, eller den domain.microsoftonline.com domänen kan inte dra nytta av SSO-funktioner eller externa tjänster. Ett icke-dirigerbart domänsuffix får inte användas i det här steget.
-
-
Uppdatera UPN-suffixet för problemanvändarkontot manuellt:
-
På lokal Active Directory domänkontrollant klickar du på Start, pekar på Alla program, klickar på Administrationsverktyg och klickar sedan på Active Directory - användare och datorer.
-
Leta reda på problemanvändarkontot, högerklicka på kontot och klicka sedan på Egenskaper.
-
På fliken Konto använder du listrutan i det övre vänstra hörnet för att ändra UPN-suffixet till den anpassade domänen och klickar sedan på OK.
-
Metod 3: Kontrollera att användar-ID:t och den primära SMTP-adressen (Simple Mail Transfer Protocol) för den Exchange Online postlådan har samma domän
Använd lokala Exchange-hanteringsverktyg för att ange den lokala användarens primära SMTP-adress till samma domän för UPN-attributet som beskrivs i Metod 2. Mer information finns på följande Microsoft TechNet-webbplatser:
Redigera en e-postadressprincip
Konfigurera egenskaper för användar- och resurspostlåda Om Exchange inte är installerat i den lokala miljön kan du hantera SMTP-adressvärdet med hjälp av Active Directory - användare och datorer. Gör så här:
-
Högerklicka på användarobjektet i Active Directory - användare och datorer och klicka sedan på Egenskaper.
-
Uppdatera fältet E-post på fliken Allmänt och klicka sedan på OK.
Metod 4: Konfigurera Active Directory-synkronisering för användarkontot UPN
För att SSO ska fungera korrekt måste du konfigurera Active Directory-synkroniseringsklienten. Mer information om hur du konfigurerar Active Directory-synkronisering finns på följande Microsoft-webbplats:
Active Directory-synkronisering: ÖversiktMer information om hur du tvingar fram och verifierar synkronisering finns på följande Microsoft-webbplatser:
Metod 5: Felsöka UPN-uppdateringsproblem för ett visst användarkonto
Om synkroniseringen kan verifieras men UPN för ett pilotanvändar-ID fortfarande inte uppdateras kan synkroniseringsproblemet uppstå för den specifika användaren.
Mer information om hur du felsöker potentiella problem med synkronisering av ett visst Active Directory-objekt finns i följande Microsoft Knowledge Base-artikel:
2643629 Ett eller flera objekt synkroniseras inte när du använder azure Active Directory-synkroniseringsverktyget
Behöver du fortfarande hjälp? Gå till Microsoft Community eller Azure Active Directory-forumens webbplats.
