如何解决用户登录 Office 365、Intune 或 Azure 时的 AD FS 终结点连接问题

备注

Office 365 ProPlus 正在重命名为适用于企业的 Microsoft 365 应用。 有关此更改的详细信息, 请阅读此博客文章

问题

当用户使用联合用户帐户登录到 Microsoft 云服务(如 Office 365、Microsoft Intune 或 Microsoft Azure)时,只有当用户尝试执行以下操作时,与 Active Directory 联合身份验证服务 (AD FS) 服务的连接才会失败:

  • 从远程 Internet 位置连接
  • 使用电子邮件连接登录

此情况还会导致远程连接分析器执行失败时的 SSO 测试。

有关如何运行远程连接分析程序以测试 Office 365 中的 SSO 身份验证的详细信息,请参阅 Microsoft 知识库中的以下文章:

  • 2650717 如何使用远程连接分析器解决 Office 365、Azure 或 Intune 的单一登录问题
  • 2466333 联合用户无法连接到 Exchange Online 邮箱

原因

如果 AD FS 服务未正确公开到 Internet,则可能会发生这些故障。 通常情况下,AD FS 代理服务器用于此目的,并且 AD FS 代理服务器的问题将导致这些症状。 常见的问题包括以下几种:

  • 分配给 AD FS 代理服务器的已过期 SSL 证书

    通常,相同的 SSL 证书用于帮助保护 AD FS 联合身份验证服务和 AD FS 代理服务器 (HTTPS) 的通信。 当此证书过期并在 AD FS 联合身份验证服务场中续订或更新证书时,还必须在所有 AD FS 代理服务器上更新 SSL 证书。 如果在这种情况下未更新 AD FS 代理服务器 SSL 证书,则即使 AD FS 联合身份验证服务正常运行,与 AD FS 服务的 Internet 连接也可能会失败。

  • IIS 身份验证终结点的配置不正确

    AD FS 代理服务器的角色是接收指向 AD FS 的 Internet 通信,并将该通信中继到 AD FS 联合身份验证服务。 因此,对于 AD FS 联合身份验证服务和代理服务器的 IIS 身份验证设置是互补的,这一点非常重要。 当 AD FS 代理服务器 IIS 身份验证设置未设置为对 AD FS 联合身份验证服务 IIS 身份验证设置进行补充时,登录可能会失败或可能生成多个意外的提示。

  • AD FS 代理服务器与 AD FS 联合身份验证服务之间的信任断开

    AD FS 代理服务设计为安装在未加入域的计算机上。 因此,AD FS 代理服务器和 AD FS 联合身份验证服务之间的通信不能基于 Active Directory 信任或凭据。 相反,这两个服务器角色之间的通信通过使用 AD fs 联合身份验证服务颁发给 AD FS 代理服务器并由 AD FS 令牌签名证书签名的令牌建立。 如果此信任已过期或无效,则 AD FS 代理服务无法中继 AD FS 请求,必须重新生成信任才能还原功能。

解决方案

若要解决此问题,请在所有无法正常运行的 AD FS 代理服务器上使用以下方法之一(适合您的情况)。

方法1:在 AD FS 服务器上修复 AD FS SSL 证书问题

为此,请按照下列步骤操作:

  1. 使用以下 Microsoft 知识库文章解决 AD FS 联合身份验证服务上的 SSL 证书问题 (不是代理服务) :

    2523494 当你尝试登录 Office 365、Azure 或 Intune 时收到来自 AD FS 的证书警告

  2. 如果 AD FS 联合身份验证服务 SSL 证书正常运行,请使用证书导出和导入功能在 AD FS 代理服务器上更新 SSL 证书。 有关详细信息,请参阅以下 Microsoft 知识库文章:
    179380 如何删除、导入和导出数字证书

方法2:将 AD FS 代理服务器 IIS 身份验证设置重置为默认值

为此,请按照以下 Microsoft 知识库文章的 AD FS 代理服务器的解决方案1中所述的步骤操作:

2461628 在登录到 Office 365、Azure 或 Intune 期间,将重复提示联合用户输入凭据

方法3:重新运行 AD FS 代理配置向导

若要执行此操作,请从所有受影响的 AD FS 代理服务器的管理工具界面中重新运行 AD FS 联合服务器代理配置向导。

备注

在运行配置向导时,通常会收到一条有关 "部署浏览器登录网站" 步骤的警告。 这并不表示该向导未重新生成 AD FS 代理服务器和 AD FS 联合身份验证服务之间的信任。

更多信息

有关如何使用 AD FS 代理服务器将 AD FS 服务公开到 Internet 的详细信息,请转到以下 Microsoft 网站:

规划和部署 AD FS 2.0 以与单一登录一起使用

仍然需要帮助? 请转到 Microsoft 社区