Solucionar problemas de conectividade do Azure ADTroubleshoot Azure AD connectivity

Esse artigo explica como funciona a conectividade entre o Azure AD Connect e o AD do Azure e como solucionar problemas de conectividade.This article explains how connectivity between Azure AD Connect and Azure AD works and how to troubleshoot connectivity issues. Esses problemas são mais prováveis de serem vistos em um ambiente com um servidor proxy.These issues are most likely to be seen in an environment with a proxy server.

Solucionar problemas de conectividade no assistente de instalaçãoTroubleshoot connectivity issues in the installation wizard

O Azure AD Connect está usando Autenticação Moderna (usando a biblioteca ADAL) para autenticação.Azure AD Connect is using Modern Authentication (using the ADAL library) for authentication. O assistente de instalação e o mecanismo de sincronização adequado exigem machine.config para ser configurado corretamente já que são dois aplicativos .NET.The installation wizard and the sync engine proper require machine.config to be properly configured since these two are .NET applications.

Neste artigo, mostraremos como a Fabrikam se conecta ao AD do Azure por meio de seu proxy.In this article, we show how Fabrikam connects to Azure AD through its proxy. O servidor proxy é chamado fabrikamproxy e está usando a porta 8080.The proxy server is named fabrikamproxy and is using port 8080.

Primeiro, precisamos garantir que machine.config esteja configurado corretamente.First we need to make sure machine.config is correctly configured.
machineconfigmachineconfig

Observação

Em alguns blogs sem relação com a Microsoft, está documentado que as alterações devem ser feitas em miiserver.exe.config.In some non-Microsoft blogs, it is documented that changes should be made to miiserver.exe.config instead. No entanto, esse arquivo será substituído em cada atualização, portanto, mesmo que ele funcione durante a instalação inicial, o sistema deixará de funcionar na primeira atualização.However, this file is overwritten on every upgrade so even if it works during initial install, the system stops working on first upgrade. Por esse motivo, a recomendação é atualizar o machine.config.For that reason, the recommendation is to update machine.config instead.

O servidor proxy também deve ter as URLs necessárias abertas.The proxy server must also have the required URLs opened. A lista oficial é documentada em intervalos de endereços IP e URLs do Office 365 .The official list is documented in Office 365 URLs and IP address ranges.

Dessas URLs, a tabela a seguir é o mínimo absoluto para oferecer a capacidade de se conectar ao AD do Azure.Of these URLs, the following table is the absolute bare minimum to be able to connect to Azure AD at all. Essa lista não inclui quaisquer recursos opcionais, como write-back de senha ou Azure AD Connect Health.This list does not include any optional features, such as password writeback, or Azure AD Connect Health. Ela está documentado aqui para ajudar na solução de problemas da configuração inicial.It is documented here to help in troubleshooting for the initial configuration.

URLURL PortPort DESCRIÇÃODescription
mscrl.microsoft.commscrl.microsoft.com HTTP/80HTTP/80 Usada para baixar as listas CRL.Used to download CRL lists.
*.verisign.com*.verisign.com HTTP/80HTTP/80 Usada para baixar as listas CRL.Used to download CRL lists.
*.entrust.net*.entrust.net HTTP/80HTTP/80 Usada para baixar as listas CRL para o MFA.Used to download CRL lists for MFA.
*.windows.net*.windows.net HTTPS/443HTTPS/443 Usado para entrar no AD do Azure.Used to sign in to Azure AD.
Secure.aadcdn.microsoftonline p.comsecure.aadcdn.microsoftonline-p.com HTTPS/443HTTPS/443 Usado para MFA.Used for MFA.
*.microsoftonline.com*.microsoftonline.com HTTPS/443HTTPS/443 Usado para configurar o diretório do Azure AD e importar/exportar dados.Used to configure your Azure AD directory and import/export data.

Erros no assistenteErrors in the wizard

O assistente de instalação está usando dois contextos de segurança diferentes.The installation wizard is using two different security contexts. Na página Conectar-se ao Azure AD utiliza o usuário conectado no momento.On the page Connect to Azure AD, it is using the currently signed in user. Na página Configurar o assistente muda para a conta que executa o serviço no mecanismo de sincronização.On the page Configure, it is changing to the account running the service for the sync engine. Se houver um problema, provavelmente ele aparecerá já na página Conectar ao Azure AD do assistente, uma vez que a configuração do proxy é global.If there is an issue, it appears most likely already at the Connect to Azure AD page in the wizard since the proxy configuration is global.

Estes são os problemas mais comuns que você encontrará no assistente de instalação.The following issues are the most common errors you encounter in the installation wizard.

O assistente de instalação não foi configurado corretamenteThe installation wizard has not been correctly configured

Esse erro aparecerá quando o assistente não conseguir acessar o proxy.This error appears when the wizard itself cannot reach the proxy.
nomachineconfig

Uma conta da Microsoft é usadaA Microsoft account is used

Se você usar uma conta da Microsoft em vez de uma conta corporativa ou de estudante, você verá um erro genérico.If you use a Microsoft account rather than a school or organization account, you see a generic error.
Uma conta da Microsoft é usadaA Microsoft Account is used

Não é possível alcançar o ponto de extremidade da MFAThe MFA endpoint cannot be reached

Esse erro aparecerá se o ponto de extremidade https://secure.aadcdn.microsoftonline-p.com não puder ser alcançado e o administrador global tiver a MFA habilitada.This error appears if the endpoint https://secure.aadcdn.microsoftonline-p.com cannot be reached and your global admin has MFA enabled.
nomachineconfignomachineconfig

  • Se você vir esse erro, verifique se o ponto de extremidade secure.aadcdn.microsoftonline-p.com foi adicionado ao proxy.If you see this error, verify that the endpoint secure.aadcdn.microsoftonline-p.com has been added to the proxy.

A senha não pode ser verificadaThe password cannot be verified

Se o assistente de instalação for bem-sucedido ao conectar-se ao AD do Azure, mas a senha não puder ser verificada, você verá este erro:If the installation wizard is successful in connecting to Azure AD, but the password itself cannot be verified you see this error:
Senha incorreta.

  • A senha é uma senha temporária e deve ser alterada?Is the password a temporary password and must be changed? É realmente a senha correta?Is it actually the correct password? Tente entrar em https://login.microsoftonline.com (em outro computador que não seja o servidor do Azure AD Connect) e verifique se a conta é utilizável.Try to sign in to https://login.microsoftonline.com (on another computer than the Azure AD Connect server) and verify the account is usable.

Verificar a conectividade do proxyVerify proxy connectivity

Para verificar se o servidor do Azure AD Connect tem conectividade real com o Proxy e a Internet, use o PowerShell para ver se o proxy está permitindo solicitações da Web ou não.To verify if the Azure AD Connect server has actual connectivity with the Proxy and Internet, use some PowerShell to see if the proxy is allowing web requests or not. Em um prompt do PowerShell, execute Invoke-WebRequest -Uri https://adminwebservice.microsoftonline.com/ProvisioningService.svc.In a PowerShell prompt, run Invoke-WebRequest -Uri https://adminwebservice.microsoftonline.com/ProvisioningService.svc. (Tecnicamente, a primeira chamada é para https://login.microsoftonline.com e esse URI também funciona, mas o outro URI responde mais rápido.)(Technically the first call is to https://login.microsoftonline.com and this URI works as well, but the other URI is faster to respond.)

O PowerShell usa a configuração em machine.config para entrar em contato com o proxy.PowerShell uses the configuration in machine.config to contact the proxy. As configurações no winhttp/netsh não devem afetar esses cmdlets.The settings in winhttp/netsh should not impact these cmdlets.

Se o proxy estiver configurado corretamente, você deverá obter um status de êxito: proxy200If the proxy is correctly configured, you should get a success status: proxy200

Se você receber Não é possível se conectar ao servidor remoto é porque o PowerShell está tentando fazer uma chamada direta sem usar o proxy ou o DNS não está configurado corretamente.If you receive Unable to connect to the remote server, then PowerShell is trying to make a direct call without using the proxy or DNS is not correctly configured. Verifique se o arquivo machine.config está configurado corretamente.Make sure the machine.config file is correctly configured. unabletoconnectunabletoconnect

Se o proxy não estiver configurado corretamente, você receberá um erro: proxy200 proxy407If the proxy is not correctly configured, you get an error: proxy200 proxy407

ErroError Texto do erroError Text ComentárioComment
403403 ProibidoForbidden O proxy não foi aberto para a URL solicitada.The proxy has not been opened for the requested URL. Examine a configuração do proxy e verifique se as URLs foram abertas.Revisit the proxy configuration and make sure the URLs have been opened.
407407 Autenticação de proxy necessáriaProxy Authentication Required O servidor proxy solicitou uma entrada e nenhuma foi fornecida.The proxy server required a sign-in and none was provided. Se o servidor proxy exigir autenticação, verifique se isso está configurado em machine.config. Verifique também se você está usando contas de domínio para o usuário que executa o assistente e para a conta de serviço.If your proxy server requires authentication, make sure to have this setting configured in the machine.config. Also make sure you are using domain accounts for the user running the wizard and for the service account.

Configuração de tempo limite ocioso de proxyProxy idle timeout setting

Quando o Azure AD Connect envia uma solicitação de exportação para o Azure AD, o Azure AD pode levar até 5 minutos para processar a solicitação antes de gerar uma resposta.When Azure AD Connect sends an export request to Azure AD, Azure AD can take up to 5 minutes to process the request before generating a response. Isso poderá ocorrer especialmente se houver um número de objetos de grupo com grandes associações de grupo incluídas na mesma solicitação de exportação.This can happen especially if there are a number of group objects with large group memberships included in the same export request. Certifique-se de que o tempo limite de ociosidade de Proxy esteja configurado para ser maior que 5 minutos.Ensure the Proxy idle timeout is configured to be greater than 5 minutes. Caso contrário, o problema de conectividade intermitentes com o Azure AD pode ser observado no servidor do Azure AD Connect.Otherwise, intermittent connectivity issue with Azure AD may be observed on the Azure AD Connect server.

O padrão de comunicação entre o Azure AD Connect e o AD do AzureThe communication pattern between Azure AD Connect and Azure AD

Se você executou todas essas etapas anteriores e ainda não conseguiu se conectar, comece a examinar os logs de rede.If you have followed all these preceding steps and still cannot connect, you might at this point start looking at network logs. Esta seção está documentando um padrão de conectividade normal e bem-sucedido.This section is documenting a normal and successful connectivity pattern. Também está listando distrações comuns que podem ser ignoradas ao ler os logs de rede.It is also listing common red herrings that can be ignored when you are reading the network logs.

  • Não há chamadas para https://dc.services.visualstudio.com.There are calls to https://dc.services.visualstudio.com. Não é necessário que esta URL esteja aberta no proxy para que a instalação tenha êxito e essas chamadas podem ser ignoradas.It is not required to have this URL open in the proxy for the installation to succeed and these calls can be ignored.
  • Veja que a resolução DNS lista os hosts reais no namespace DNS nsatc.net e em outros namespaces que não estejam em microsoftonline.com.You see that dns resolution lists the actual hosts to be in the DNS name space nsatc.net and other namespaces not under microsoftonline.com. No entanto, não há solicitações de serviços Web nos nomes de servidor reais e você não precisará adicionar essas URLs ao proxy.However, there are not any web service requests on the actual server names and you do not have to add these URLs to the proxy.
  • Os pontos de extremidade adminwebservice e provisioningapi são pontos de extremidade de descoberta usados para localizar o ponto de extremidade real a ser usado.The endpoints adminwebservice and provisioningapi are discovery endpoints and used to find the actual endpoint to use. Esses pontos de extremidade são diferentes dependendo de sua região.These endpoints are different depending on your region.

Logs de proxy de referênciaReference proxy logs

Veja um despejo de um log de proxy real e a página do assistente de instalação de onde ele foi tirado (entradas duplicadas para o mesmo ponto de extremidade foram removidas).Here is a dump from an actual proxy log and the installation wizard page from where it was taken (duplicate entries to the same endpoint have been removed). Esta seção pode ser usada como referência para seus próprios logs de proxy e de rede.This section can be used as a reference for your own proxy and network logs. Os pontos de extremidade reais podem ser diferentes em seu ambiente (especialmente as URLs em itálico).The actual endpoints might be different in your environment (in particular those URLs in italic).

Conecte-se ao Azure ADConnect to Azure AD

HoraTime URLURL
11/01/2016 08:311/11/2016 8:31 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:311/11/2016 8:31 connect://adminwebservice.microsoftonline.com:443connect://adminwebservice.microsoftonline.com:443
11/01/2016 08:321/11/2016 8:32 connect://bba800-anchor.microsoftonline.com:443connect://bba800-anchor.microsoftonline.com:443
11/01/2016 08:321/11/2016 8:32 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:331/11/2016 8:33 connect://provisioningapi.microsoftonline.com:443connect://provisioningapi.microsoftonline.com:443
11/01/2016 08:331/11/2016 8:33 connect://bwsc02-relay.microsoftonline.com:443connect://bwsc02-relay.microsoftonline.com:443

ConfigurarConfigure

HoraTime URLURL
11/01/2016 08:431/11/2016 8:43 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:431/11/2016 8:43 connect://bba800-anchor.microsoftonline.com:443connect://bba800-anchor.microsoftonline.com:443
11/01/2016 08:431/11/2016 8:43 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://adminwebservice.microsoftonline.com:443connect://adminwebservice.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://bba900-anchor.microsoftonline.com:443connect://bba900-anchor.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://adminwebservice.microsoftonline.com:443connect://adminwebservice.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://bba800-anchor.microsoftonline.com:443connect://bba800-anchor.microsoftonline.com:443
11/01/2016 08:441/11/2016 8:44 connect://login.microsoftonline.com:443connect://login.microsoftonline.com:443
11/01/2016 08:461/11/2016 8:46 connect://provisioningapi.microsoftonline.com:443connect://provisioningapi.microsoftonline.com:443
11/01/2016 08:461/11/2016 8:46 connect://bwsc02-relay.microsoftonline.com:443connect://bwsc02-relay.microsoftonline.com:443

Sincronização inicialInitial Sync

HoraTime URLURL
11/01/2016 08:481/11/2016 8:48 connect://login.windows.net:443connect://login.windows.net:443
11/01/2016 08:491/11/2016 8:49 connect://adminwebservice.microsoftonline.com:443connect://adminwebservice.microsoftonline.com:443
11/01/2016 08:491/11/2016 8:49 connect://bba900-anchor.microsoftonline.com:443connect://bba900-anchor.microsoftonline.com:443
11/01/2016 08:491/11/2016 8:49 connect://bba800-anchor.microsoftonline.com:443connect://bba800-anchor.microsoftonline.com:443

Erros de autenticaçãoAuthentication errors

Esta seção aborda os erros que podem ser retornados do ADAL (a biblioteca de autenticação usada pelo Azure AD Connect) e do PowerShell.This section covers errors that can be returned from ADAL (the authentication library used by Azure AD Connect) and PowerShell. O erro explicado deve ajudá-lo a entender as próximas etapas.The error explained should help you in understand your next steps.

Concessão InválidaInvalid Grant

Senha ou nome de usuário inválido.Invalid username or password. Para saber mais, confira A senha não pode ser verificada.For more information, see The password cannot be verified.

Tipo de usuário desconhecidoUnknown User Type

O seu diretório do Azure AD não pode ser encontrado ou resolvido.Your Azure AD directory cannot be found or resolved. Talvez você esteja tentando fazer logon com um nome de usuário em um domínio não verificado?Maybe you try to login with a username in an unverified domain?

Falha na descoberta do realm de usuárioUser Realm Discovery Failed

Problemas de configuração de rede ou proxy.Network or proxy configuration issues. Não é possível acessar a rede.The network cannot be reached. Confira Solucionar problemas de conectividade no assistente de instalação.See Troubleshoot connectivity issues in the installation wizard.

A senha do usuário expirouUser Password Expired

Suas credenciais expiraram.Your credentials have expired. Altere a sua senha.Change your password.

Falha de autorizaçãoAuthorization Failure

Falha ao autorizar o usuário para executar a ação no Azure AD.Failed to authorize user to perform action in Azure AD.

Autenticação canceladaAuthentication Canceled

O desafio de autenticação multifator (MFA) foi cancelado.The multi-factor authentication (MFA) challenge was canceled.

Conectar-se ao MS Online falhouConnect To MS Online Failed

A autenticação foi bem-sucedida, mas o PowerShell do Azure AD tem um problema de autenticação.Authentication was successful, but Azure AD PowerShell has an authentication problem.

Função de Administrador Global do Azure AD necessáriaAzure AD Global Admin Role Needed

O usuário foi autenticado com êxito.User was authenticated successfully. No entanto o usuário não está atribuído a função de administrador global.However user is not assigned global admin role. Isso é como você pode atribuir a função de administrador global ao usuário.This is how you can assign global admin role to the user.

Privileged Identity Management habilitadoPrivileged Identity Management Enabled

A autenticação foi bem-sucedida.Authentication was successful. O gerenciamento de identidades com privilégios foi habilitado e atualmente você não é um administrador global.Privileged identity management has been enabled and you are currently not a global administrator. Para saber mais, confira Privileged Identity Management.For more information, see Privileged Identity Management.

Informações da empresa não está disponíveisCompany Information Unavailable

A autenticação foi bem-sucedida.Authentication was successful. Não foi possível recuperar as informações da empresa do Azure AD.Could not retrieve company information from Azure AD.

Informações de domínio não está disponíveisDomain Information Unavailable

A autenticação foi bem-sucedida.Authentication was successful. Não foi possível recuperar informações de domínio do Azure AD.Could not retrieve domain information from Azure AD.

Falha de autenticação não especificadoUnspecified Authentication Failure

Mostrada como um erro inesperado no assistente de instalação.Shown as Unexpected error in the installation wizard. Poderá ocorrer se você usar uma conta da Microsoft em vez de uma conta corporativa ou de estudante.Can happen if you try to use a Microsoft Account rather than a school or organization account.

Etapas para solucionar problemas de versões anteriores.Troubleshooting steps for previous releases.

O assistente de conexão foi desativado a partir das versões com número de compilação 1.1.105.0 (lançada em fevereiro de 2016).With releases starting with build number 1.1.105.0 (released February 2016), the sign-in assistant was retired. Esta seção e a configuração não são mais necessárias, mas são mantidas como referência.This section and the configuration should no longer be required, but is kept as reference.

Para que o assistente de conexão funcione, o winhttp deve ser configurado.For the single-sign in assistant to work, winhttp must be configured. Essa configuração pode ser feita com netsh.This configuration can be done with netsh.
netshnetsh

O assistente de conexão não foi configurado corretamenteThe Sign-in assistant has not been correctly configured

Esse erro ocorre quando o Assistente de conexão não consegue acessar o proxy ou o proxy não está permitindo a solicitação.This error appears when the Sign-in assistant cannot reach the proxy or the proxy is not allowing the request. nonetshnonetsh

  • Se você vir esse erro, examine a configuração do proxy no netsh e verifique se ela está correta.If you see this error, look at the proxy configuration in netsh and verify it is correct. netshshownetshshow
  • Se parecer correto, siga as etapas em Verificar a conectividade do proxy para ver se o problema também ocorre fora do assistente.If that looks correct, follow the steps in Verify proxy connectivity to see if the issue is present outside the wizard as well.

Próximas etapasNext steps

Saiba mais sobre Como integrar suas identidades locais ao Active Directory do Azure.Learn more about Integrating your on-premises identities with Azure Active Directory.