ПРОБЛЕМА
Під час спроби отримати доступ до хмарної служби Microsoft, як-от Office 365, Microsoft Azure або Microsoft InTune через веб-клієнт або багату клієнтську програму за допомогою інтегрованого облікового запису, автентифікація не вдалася від певного клієнтського комп'ютера. Якщо ви використовуєте веб-браузер, щоб отримати доступ до порталу хмарного служби з того самого комп'ютера за допомогою інтегрованого облікового запису, може виникнути одна з таких симптомів:
-
Під час підключення до кінцевої точки порталу з'являється одне з таких повідомлень про помилку:
У браузері Internet Explorer не вдалося відобразити веб-сторінку.
сторінка 403 не знайдена
-
Коли ви підключаєтеся до кінцевої точки служби Федерації Active Directory (AD FS), з'являється одне з таких повідомлень про помилку:
У браузері Internet Explorer не вдалося відобразити веб-сторінку
сторінка 403 не знайдена
-
Під час підключення до кінцевої точки AD FS з'являється попередження сертифіката.
-
Коли ви підключаєтеся до кінцевої точки AD FS під час входу в корпоративний домен, ви отримаєте один рядок облікових даних. Ця підказка для облікових даних не використовує автентифікацію на основі форм.
-
Під час підключення до кінцевої точки AD FS за допомогою веб-браузера сторонніх постачальників ви отримуєте запити про автентифікацію циклів. Ці запити не використовують автентифікацію на основі форм.
-
Під час підключення до кінцевої точки login.microsoftonline.com з'являється таке повідомлення про помилку:
Відмовлено в доступі
СПРИЧИНЯЮТЬ
Зазвичай ця проблема виникає на клієнтському комп'ютері або в групі клієнтських пристроїв. Ця проблема може виникати для всіх користувачів і клієнтських комп'ютерів, якщо єдиний вхід (SSO) не повністю функціональний. Якщо настройки клієнта не було належним чином настроєно, це може бути неповністю функціональним. Ця проблема може призвести до таких ситуацій клієнтських пристроїв:
-
Підключення до мережі може бути обмежено.
-
Клієнтський пристрій отримує неправильну роздільну здатність для служби Федерації AD FS із внутрішньої реалізації DNS-мозку.
-
Якщо на комп'ютері настроєно проксі-сервер Інтернету, ім'я служби Федерації AD FS не можна додати до списку обхід проксі-сервера.
-
Ім'я служби Федерації AD FS, можливо, не буде додано до зони безпеки локальної інтрамережі в параметрах Властивості браузера.
-
Клієнтський комп'ютер не автентифіковано для служб домену Active Directory.
-
Веб-браузер сторонніх постачальників не підтримує додатковий захист автентифікації в службі Федерації AD FS.
-
Кінцева точка метаданих Федерації може бути жорстко закодована в реєстрі через попередню бета-версію програми Office 365 для керування службою єдиного входу.
-
Необхідна кінцева точка служби AD FS, необхідна для певної клієнтською програмою, вимкнута.
Перш ніж продовжити, переконайтеся, що виконуються такі умови:
-
Проблеми з доступом не обмежуються для багатих клієнтських програм на клієнтському комп'ютері. Якщо у вас не працює тільки автентифікація клієнта (на відміну від автентифікації на основі браузера), це скоріше свідчить про проблему з автентифікацією клієнта. Наприклад, це може бути проблема, пов'язана з передумовами або конфігурацією програми для багатих клієнтів. Докладні відомості наведено в статті база знань Microsoft Knowledge Base:
2637629 Виправлення неполадок із програмами, які не належать до браузера, які не можуть входити в Office 365, Azure або InTune
-
Автентифікація єдиного входу не виконується для всіх облікових записів користувачів із підтримкою єдиного входу. Якщо всі користувачі з підтримкою єдиного входу мають однакові симптоми, найімовірніше, буде вказано проблему з Федерацією. Щоб отримати докладні відомості, клацніть номер цієї статті бази знань Microsoft:
2530569 Виправлення неполадок із інсталяцією "єдиний вхід" у службі Office 365, InTune або Azure
-
Автентифікація SSO для облікового запису користувача успішна на інших клієнтських комп'ютерах. Якщо обліковий запис користувача не може ввійти в будь-який клієнт хмарних служб, у цій статті наведено наведені нижче резолюції, які передбачають використання клієнтського комп'ютера. Крім того, можна дізнатися про те, що в обліковому записі користувача немає чогось поганого, а не з клієнтського комп'ютера. Щоб отримати докладні відомості, клацніть номер цієї статті бази знань Microsoft:
2530590 Виправлення неполадок із обліковим записом для федеративних користувачів у службі Office 365, Azure або InTune
-
Клавіатура на клієнтському комп'ютері працює належним чином, а ім'я користувача та пароль, де це необхідно, введено правильно.
РІШЕННЯ
Щоб вирішити цю проблему, скористайтеся одним або кількома з наведених нижче способів, залежно від причини цієї проблеми.
Резолюція 1: не вдається підключитися до порталу хмарних служб або до AD FS
Спробувати перейти до http://www.MSN.com. Якщо це не спрацює, виправте неполадки з підключенням до мережі. Для цього виконайте описані нижче дії.
-
У командному рядку Використовуйте засоби ipconfig і Ping , щоб усунути неполадки з підключенням до IP-адрес. Докладні відомості наведено в статті база знань Microsoft Knowledge Base:
169790 Виправлення неполадок із основними проблемами TCP/IP.
-
У командному рядку введіть nslookup www.MSN.com , щоб визначити, чи DNS-сервер розв'яже ім'я Інтернет-сервера.
-
Переконайтеся, що параметри проксі-сервера в Інтернеті відображають відповідний проксі-сервер, якщо проксі-сервер використовується в локальній мережі.
-
Якщо брандмауер (TMG) працює на межі мережі, а брандмауер потребує автентифікації клієнта, можливо, знадобиться інсталювати клієнтську програму "Forefront TMG" на клієнтському пристрої для доступу до Інтернету. Зверніться до адміністратора служби хмарних служб, щоб отримати довідку з цієї програми.
Резолюція 2: не вдається підключитися до AD FS
Щоб вирішити цю проблему, виконайте наведені нижче дії.
-
Усуньте неполадки з підключенням до IP-адрес за допомогою роздільної здатності 1.
-
У командному рядку введіть nslookup <AD FS 2,0 FQDN>, а потім натисніть клавішу ВВІД, щоб визначити, чи правильно настроєно ім'я служби AD FS.Примітка. У цій команді <FQDN AD FS> представляє повне ім'я домену (FQDN) імені служби AD FS. Це не відповідає імені хоста Windows на сервері AD FS.
-
Якщо клієнт підключено до корпоративної мережі, переконайтеся, що адресу IP-адреси, яку вирішено, є приватною IP-адресою. IP-адреса має збігатися з однією з таких шаблонів:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Якщо клієнт виходить за межі корпоративної мережі, переконайтеся, що адреса IP-адреси, яку вирішено, – це загальнодоступна IP-адреса. Переконайтеся, що він не відповідає одній із таких шаблонів:
-
10.x.x.x
-
172.16.x.x
-
192.168.x.x
-
-
Якщо неправильно вказано неправильну IP-адресу на основі кроку 1 і кроку 2, а інші клієнтські комп'ютери не мають такого ж поведінки, виконайте наведені нижче дії.
-
У командному рядку введіть ipconfig/All, а потім переконайтеся, що запис основного DNS-сервера відповідає мережі, до якої вкладено клієнт.
-
Відкрийте файл%WINDIR%\system32\drivers\etc\hosts у блокноті та видаліть усі дані для FQDN AD FS. Потім збережіть файл.
-
У командному рядку введіть ipconfig/flushdns , щоб очистити кеш DNS.
-
Примітка. Якщо пристрої клієнта підключено лише до корпоративної мережі, перейдіть до кроку 3.
-
-
Додайте FQDN AD FS до списку обхід проксі-сервера. Для цього виконайте кроки, описані в цій статті в базі знань Microsoft Knowledge Base:
262981 Браузер Internet Explorer використовує проксі-сервер для локальної IP-адреси, навіть якщо ввімкнуто параметр "обходити проксі-сервер для локальних адрес"
Резолюція 3: попередження сертифіката під час підключення до кінцевої точки AD FS
Щоб вирішити цю проблему, виправте помилки сертифіката SSL, використовуючи наведені нижче статті в базі знань Microsoft Knowledge Base:
2523494 Під час спроби ввійти в Office 365, Azure або InTune ви отримуєте попередження про сертифікат від AD FS.
Резолюція 4: під час входу з клієнтського комп'ютера, підключеного до корпоративної мережі, з'являється єдиний неочікувані облікові дані.
Щоб вирішити цю проблему, виконайте наведені нижче дії.
-
Переконайтеся, що клієнтський комп'ютер успішно увійшов до домену.
-
Натисніть кнопку Пуск, виберіть команду виконати, введіть %logonserv\sysvol, а потім натисніть кнопку OK.
-
Якщо з'явиться Підказка облікових даних, увійдіть у систему, а потім знову ввійдіть у систему, використовуючи корпоративні облікові дані.
-
-
Додайте FQDN AD FS до зони локальної інтрамережі.
-
На вкладці Безпека натисніть кнопку Локальна інтрамережа, а потім виберіть пункт сайти.
-
Натисніть кнопку Додатково, а потім перегляньте список веб-сайтів для повністю кваліфіковане DNS-ім'я КІНЦЕВОЇ точки служби AD FS (наприклад, STS.contoso.com). Примітка. У цій конфігурації також працюватиме значення підстановки, як-от "*. consoto.com".
-
-
Додайте FQDN AD FS до списку обхід проксі-сервера. Для цього виконайте кроки, описані в цій статті в базі знань Microsoft Knowledge Base:
262981 Браузер Internet Explorer використовує проксі-сервер для локальної IP-адреси, навіть якщо ввімкнуто параметр "обходити проксі-сервер для локальних адрес"
Роздільна здатність 5: веб-браузер сторонніх постачальників не підтримує додатковий захист автентифікації, і ви отримуєте запити автентифікації на цикліці
Щоб вирішити цю проблему, виконайте наведені нижче дії.
-
Використання програми Windows Internet Explorer (браузер Internet Explorer підтримує додатковий захист автентифікації) замість стороннього веб-браузера, який не підтримує додатковий захист автентифікації.
-
Якщо за допомогою браузера Internet Explorer немає параметра, скористайтеся наведеною нижче статтею бази знань Microsoft, щоб настроїти AD FS, щоб приймати запити від веб-браузерів, які не підтримують додатковий захист для автентифікації:
2461628 Федеративний користувач неодноразово пропонуватиметься для облікових даних під час входу в Office 365, Azure або InTune
Резолюція 6: повідомлення про помилку "відмовлено в доступі" під час спроби підключитися до login.microsoftonline.com
Важливо! У цьому розділі містяться кроки, які вказують, як змінити реєстр. Проте неправильне внесення змін до реєстру може призвести до виникнення серйозних проблем. Тому будьте уважні, виконуючи ці кроки. Для додаткового захисту, перш ніж вносити зміни, обов’язково створіть резервну копію реєстру. Якщо виникне проблема, реєстр можна буде відновити. Для отримання додаткових відомостей про створення резервної копії та відновлення реєстру клацніть цей номер статті, щоб переглянути її в базі знань Microsoft:
322756 Створення резервної копії та відновлення реєстру у WindowsПроблема може виникнути, якщо кінцева точка для єдиного входу в "Лазурний", що використовується в службі AD FS, недійсний. Переконайтеся, що кінцеву точку Федерації не жорстко закодовано в реєстрі кожного сервера в фермі служби AD FS Федерації. Щоб вирішити цю проблему, скористайтеся редактором реєстру, щоб видалити наведений нижче підрозділ реєстру.
HKEY_LOCAL_MACHINE\Software\Microsoft\MOCHA\IdentityFederationAD FS повернеться до правильної кінцевої точки на основі єдиного входу, що покладається на довіру.
Резолюція 7: скидання параметрів кінцевої точки служби AD FS до конфігурації за замовчуванням
Додаткові відомості про те, як це зробити, наведено в статті база знань Microsoft Knowledge Base:
2712957 Вхід у службу Office 365, Azure або InTune не вдасться після змінення кінцевої точки служби Федерації
Усе ще потрібна допомога? Перейдіть на сайт спільноти Microsoft або на веб-сайті форума Active Directory .
