AD FS bỏ qua thông số "prompt=login" trong quá trình xác thực Windows Server 2016

Áp dụng cho
Windows Server 2016, all editions Windows Server 2016 Standard Windows Server 2016

Tóm tắt

Xác thực không thành công nếu bạn sử dụng xác thực không phải mật khẩu (chẳng hạn như thẻ PIV) trên máy chủ Nhà cung cấp Danh tính (IdP) và yêu cầu chứa tham số nhắc đã đăng nhập làm giá trị.

Nguyên nhân

Sự cố này xảy ra vì hành vi liên kết lời nhắc mặc định là chuyển đổi tham số prompt=loginthành wauth=password&wfresh=0 trong liên kết.

Giới thiệu về cách khắc phục

Active Directory Federation Services (AD FS) hiện hỗ trợ các tùy chọn sau đây để kiểm soát cách xử lý thông số prompt=login trong một liên kết. Các tùy chọn này có thể được đặt trên toàn cầu cho tất cả các máy chủ được liên kết bằng cách sử dụng lệnh ghép ngắn set-ADFSProperties , nhưng chỉ khi cụm máy chủ đang chạy trong chế độ hỗn hợp. Thiết đặt toàn cầu được tự động di chuyển đến các nhà cung cấp tuyên bố cá nhân khi mức độ hành vi cụm máy chủ (FBL) được nâng lên Windows Server 2016. Bạn có thể xem các lệnh ghép ngắn này bằng cách sử dụng lệnh ghép ngắn get-ADFSProperties .

Lưu ý Các tùy chọn này cũng có thể được đặt trên các nhà cung cấp tuyên bố cá nhân bằng cách sử dụng lệnh ghép ngắn Add-AdfsClaimsProviderTrust khi cụm máy chủ đang chạy ở chế độ không hỗn hợp.

  • Không có. Không liên kết lời nhắc =yêu cầu đăng nhập và lỗi thay vào đó.

  • FallbackToProtocolSpecificParameters (Mặc định). Dịch prompt=login thành wfresh=0 và Wauth=forms trong một liên kết. Nếu "wauth" tồn tại trong yêu cầu ban đầu, nó sẽ được bảo toàn.

    Giá trị "wauth" mặc định có thể bị ghi đè bằng cách sử dụng tham số PromptLoginFallbackAuthenticationType . Ví dụ, lệnh sau đây diễn giải prompt=login thành wfresh=0 và wauth=urn:ietf:rfc:2246 trong một liên kết.
    Set-AdfsProperties -PromptLoginFederation FallbackToProtocolSpecificParameters -PromptLoginFallbackAuthenticationType urn:ietf:rfc:2246

  • ForwardPromptAndHintsOverWsFederation. Chuyển tiếp tham số lời nhắc trong suốt quá trình liên kết.

  • Đã tắt. Bỏ tham số lời nhắc khỏi yêu cầu trong khi liên kết.

Sau đây là các ví dụ về lệnh ghép ngắn set-ADFSProperties :

  • Set-AdfsProperties -PromptLoginFederation None
  • Set-AdfsProperties -PromptLoginFederation ForwardPromptAndHintsOverWsFederation

Cách tải bản cập nhật này

Để thêm tùy chọn mới, hãy cài đặt bản cập nhật KB tháng 2 năm 2018 4077525.

Điều kiện tiên quyết

Để cài đặt bản cập nhật này, bạn phải cài Windows Server 2016.
 

Thông tin sổ đăng ký

Để áp dụng bản cập nhật này, bạn không phải thực hiện bất kỳ thay đổi nào đối với sổ đăng ký.
 

Yêu cầu khởi động lại

Bạn phải khởi động lại máy tính sau khi áp dụng bản cập nhật này.
 

Thông tin về việc thay thế bản cập nhật

Bản cập nhật này không thay thế bản cập nhật đã phát hành trước đó.

Trạng thái

Microsoft đã xác nhận rằng đây là sự cố trong các sản phẩm của Microsoft được liệt kê trong mục "áp dụng cho".

Tham khảo

Tìm hiểu về thuật ngữ mà Microsoft dùng để mô tả các bản cập nhật phần mềm.