ÖNEMLİ: Bu makale, Microsoft Makine Çevirisi Düzenleme yazılımı tarafından tercüme edilmiş olup, yüksek olasılıkla profesyonel bir çevirmen yerine CTF teknolojisi kullanılarak, Microsoft Topluluğu tarafından düzenlenmiştir. Microsoft, Bilgi Bankamız içindeki tüm makaleleri kendi dilinizde okuyabilmeniz için size hem profesyonel çevirmenler tarafından tercüme edilen hem de makine tarafından tercüme edildikten sonra Topluluk tarafından kontrol edilen makaleler sunar. Bununla birlikte, makine tarafından tercüme edilen, hatta Topluluk tarafından kontrol edilen bir makale bile her zaman mükemmel dil kalitesinde olmayabilir. Makalede dilinizi konuşan yabancı birisinin yapabileceği türden sözcük, söz dizimi veya dilbilgisi hataları bulunabilir. Microsoft, içeriğin hatalı tercümesinin veya müşterilerimiz tarafından kullanımının doğurabileceği olası yanlış anlamalar, hatalar veya zararlardan sorumlu değildir. Öte yandan Microsoft, Makine Çevirisi Düzenleme işlemini geliştirmek amacıyla Makine Çevirisi Düzenleme yazılımını ve araçlarını sık sık güncelleştirmektedir.
Önemli: Bu makale, güvenlik ayarlarını azaltma veya bir bilgisayardaki güvenlik özelliklerini devre dışı bırakma hakkında bilgi içerir. Belirli bir sorunu gidermek için bu değişiklikleri yapabilirsiniz. Bu değişiklikleri yapmadan önce bu geçici çözümün çalışma ortamınızda uygulanmasıyla ilişkili riskleri değerlendirmeniz önerilir. Bu geçici çözümü uygularsanız, bilgisayarınızın korunmasına yardımcı olabilecek ek adımları gerçekleştirin.
SORUN
Sign-in Office 365, Microsoft Azure veya Microsoft Intune gibi Microsoft bulut hizmetine sırasında Active Directory Federasyon Hizmetleri (AD FS) hizmet bitiş noktası için kimlik doğrulaması kullanıcı çalıştığında, federe bir kullanıcı için kimlik bilgileri sürekli olarak istenir. Kullanıcı iptal ettiğinde, kullanıcı aşağıdaki hata iletisini alır:
Erişim engellendi
NEDEN
Belirti, AD FS ile tümleşik Windows kimlik doğrulaması ile ilgili bir sorunu gösterir. Veya daha aşağıdaki koşullardan biri doğru olduğunda bu sorun oluşabilir:
Bir hatalı kullanıcı adı veya parola kullanıldı.
Internet Information Services (IIS) kimlik doğrulama ayarları yanlış AD FS'de ayarlanır.
AD FS federasyon sunucu grubundaki çalıştırmak için kullanılan hizmet hesabı ile ilişkili hizmet asıl adı (SPN) kaybolmuş veya bozulmuş.
Not Bu AD FS federasyon sunucu grubundaki uygulandığında gerçekleşir ve tek başına bir yapılandırmada uygulanmadı.
Aşağıdakilerden birini veya birkaçını kimlik doğrulaması için genişletilmiş koruma man-in--middle saldırısı kaynağı olarak tanımlanır:
Bazı üçüncü taraf Internet tarayıcıları
Şirket ağında güvenlik duvarı, Ağ Yük Dengeleyici veya diğer ağ aygıtı AD FS Federasyon Hizmeti Internet IP yükü veri potansiyel olarak yazılması şekilde yayımlıyor. Bu büyük olasılıkla aşağıdaki veri türlerini içerir:
Güvenli Yuva Katmanı (SSL) köprüleme
SSL boşaltma
Durum bilgisi olan paket filtresi uygulama
Daha fazla bilgi için aşağıdaki Microsoft Bilgi Bankası makalesine bakın:
2510193Çoklu oturum açma Office 365, Azure veya Intune ayarlamak için AD FS kullanmak için desteklenen senaryolar
Bir izleme veya SSL şifre çözme uygulama yüklü değil veya istemci bilgisayarda etkin
Etki alanı adı sistemi (DNS) AD FS hizmet bitiş noktası çözünürlüğünün bir A kaydı arama yoluyla yerine CNAME kaydı araması üzerinden gerçekleştirildi.
Windows Internet Explorer için AD FS sunucu tümleşik Windows kimlik doğrulaması geçirmek için yapılandırılmamış.
Sorun giderme başlamadan önce
Kullanıcı adı ve parola sorunun olmadığını denetleyin.
Doğru kullanıcı adı kullanılır ve kullanıcı asıl adı (UPN) biçiminde olduğundan emin olun. email@example.com gibi.
Doğru parolayı kullanıldığından emin olun. Doğru parolayı kullanıldığını denetleyin için kullanıcı parolasını sıfırlama gerekebilir. Daha fazla bilgi için aşağıdaki Microsoft TechNet makalesine bakın:
Kerberos sorunlarını soruna neden olduğunu denetlemek için geçici olarak AD FS federasyon sunucu grubundaki form tabanlı kimlik doğrulamasını etkinleştirerek Kerberos kimlik doğrulamasını atlayabilir. Bunu yapmak için şu adımları izleyin:
Adım 1: AD FS federasyon sunucu grubundaki her bir sunucuda web.config dosyasını düzenleyin.
Windows Gezgini'nde, C:\inetpub\adfs\ls\ klasörünü bulun ve ardından web.config dosyasının yedek bir kopyasını alın.
Başlat' ı tıklatın, Tüm Programlar' ı, Donatılar' ı tıklatın, Not Defteri'nisağ tıklatın ve sonra yönetici olarak çalıştır' ı tıklatın.
Üzerinde Dosya menüsünden Aç' ı tıklatın. İçinde dosyasının adı yazınC:\inetpub\adfs\ls\web.config, sonra da Aç' ı tıklatın.
Web.config dosyasında, aşağıdaki adımları izleyin:
Yükseltilmiş bir komut isteminde iisreset komutunu kullanarak IIS'yi yeniden başlatın.
Adım 2: Test AD FS işlevi
Bağlı ve şirket içi için kimliği doğrulanmış bir istemci bilgisayarda AD DS ortamında, bulut hizmet portalına oturum açma.
Bir form tabanlı oturum aç sorunsuz kimlik doğrulama deneyimi yerine, deneyimli. Sign-in form tabanlı kimlik doğrulaması kullanarak başarılı olursa AD FS federasyon hizmeti Kerberos ile ilgili bir sorun var olduğunu onaylar.
"Çözüm" bölümündeki adımları izlemeden önce önceki kimlik doğrulama ayarlarına AD FS federasyon sunucu grubundaki her sunucu yapılandırmasını döndürün. AD FS federasyon sunucu grubundaki her sunucu yapılandırmasına döndürmek için şu adımları izleyin:
Windows Gezgini'nde, C:\inetpub\adfs\ls\ klasörünü bulun ve sonra web.config dosyasını silin.
İçinde oluşturulan web.config dosyasının yedek taşımak "Adım 1: AD FS federasyon sunucu grubundaki her bir sunucuda web.config dosyasını düzenleme" bölümüne C:\inetpub\adfs\ls\ klasörü.
Yükseltilmiş bir komut isteminde iisreset komutunu kullanarak IIS'yi yeniden başlatın.
AD FS kimlik doğrulama davranışı için özgün sorun döner denetleyin.
ÇÖZÜM
Sınırlar AD FS kimlik doğrulaması Kerberos sorunu gidermek için durumunuza uygun olarak bir veya daha aşağıdaki yöntemlerden birini kullanın.
Çözüm 1: Reset AD FS kimlik doğrulama ayarları varsayılan değerlerine
AD FS IIS kimlik doğrulama ayarları hatalı olabilir veya AD FS Federasyon Hizmetleri ve Proxy Hizmetleri için IIS kimlik doğrulama ayarlarıyla eşleşmeyen, tüm IIS kimlik doğrulama ayarları varsayılan AD FS ayarlarına sıfırlamak için bir çözüm olur.
Varsayılan kimlik doğrulama ayarlarını aşağıdaki tabloda listelenir.
Sanal uygulama
Kimlik doğrulama düzeylerini
Varsayılan Web sitesi/adfs
Anonim kimlik doğrulaması
Varsayılan Web sitesi/adfs/ls
Anonim kimlik doğrulaması Windows kimlik doğrulaması
Her AD FS federasyon sunucusu ve her AD FS federasyon sunucusu proxy'si, AD FS IIS sanal uygulamaları için varsayılan kimlik doğrulama ayarlarını sıfırlamak için aşağıdaki Microsoft TechNet makalesinde bilgileri kullanın:
871179 Aldığınız bir "HTTP Hatası 401.1 - yetkisiz: erişim geçersiz kimlik bilgileri nedeniyle engellendi" IIS 6.0 uygulama havuzunun bir parçası olan bir Web sitesine erişmeye çalıştığınızda hata iletisi
Çözüm 2: AD FS federasyon sunucu grubundaki SPN düzeltin.
Not: AD FS federasyon sunucu grubundaki uygulandığında bu çözümü deneyin. AD FS tek başına yapılandırmada bu çözümü deneyin.
AD FS hizmeti SPN'sini kayıp veya bozuk AD FS hizmet hesabı varsa, sorunu gidermek için AD FS federasyon sunucu grubundaki bir sunucuda aşağıdaki adımları izleyin:
Hizmetleri Yönetimi ek bileşenini açın. Bunu yapmak için Başlat' ı tıklatın, Tüm Programlar' ı tıklatın, Yönetimsel Araçlar' ı ve sonra Hizmetler'itıklatın.
AD FS (2.0) Windows hizmetiniçift tıklatın.
Üzerinde oturum açma sekmesinde, Bu hesapgörüntülenen hizmet hesabını not alın.
Başlat' ı tıklatın, Tüm Programlar' ı, Donatılar' ı tıklatın, komut isteminisağ tıklatın ve sonra yönetici olarak çalıştır' ı tıklatın.
Türü SetSPN – f – q host /<AD fs="" service="" name=""></AD>, ve sonra Enter tuşuna basın.
Not: Bu komutta, <AD fs="" service="" name=""></AD> AD FS hizmet bitiş noktası tam etki alanı adını (FQDN) hizmet adını temsil eder. Windows ana bilgisayar adını AD FS sunucu göstermez.
Birden fazla giriş için komut verilir ve sonucu 3. adımda not ettiğiniz farklı bir kullanıcı hesabı ile ilişkili ise, bu ilişkiyi kaldırın. Bunu yapmak için aşağıdaki komutu çalıştırın:
SetSPN – d ana /<AD fs="" service="" name=""></AD><bad_username></bad_username>
Birden fazla giriş için komut verilir ve SPN Windows AD FS sunucusunun bilgisayar adıyla aynı adı kullanan, AD FS federasyon bitiş noktası adı doğru değil. AD FS yeniden uygulanması gerekir. AD FS federasyon sunucu grubundaki FQDN'sini varolan bir sunucunun Windows ana bilgisayar adıyla aynı olmamalıdır.
SPN zaten mevcut değilse, aşağıdaki komutu çalıştırın:
SetSPN – bir ana /<AD fs="" service="" name=""></AD><username of="" service="" account=""></username>
Not: Bu komutta, <username of="" service="" account=""></username> 3. adımda not ettiğiniz kullanıcı adını temsil eder.
AD FS federasyon sunucu grubundaki tüm sunucularda aşağıdaki adımları tamamlandıktan sonra AD FS (2.0) Windows hizmeti Hizmetleri Yönetimi ek bileşeninde sağ tıklatın ve sonra Yeniden Başlat' ı tıklatın.
Çözüm 3: Resolve kimlik doğrulaması için genişletilmiş koruma ile ilgilidir.
Önerilen yöntemlerden başarılı kimlik doğrulama kimlik doğrulaması için genişletilmiş koruma engelliyorsa, bu sorunu çözmek için aşağıdakilerden birini kullanın:
Yöntem 1: oturum açmak için kullanmak Windows Internet Explorer 8 (veya program sonraki bir sürümü).
Yöntem 2: AD FS Hizmetleri SSL köprüleme, SSL boşaltma veya durum bilgisi olan paket filtresi IP yükü verileri yeniden olmayan şekilde Internet'e yayımlayın. En iyi uygulama önerileri bu amaç için bir AD FS Proxy sunucusu kullanmaktır.
Yöntem 3: kapatma veya izleme devre dışı bırakma veya SSL şifresi uygulamaları.
Bu soruna geçici bir çözüm için aşağıdaki yöntemlerden herhangi birini kullanamazsınız, kimlik doğrulaması için genişletilmiş koruma pasif ve etkin istemciler için devre dışı bırakılabilir.
Çözüm: Kimlik doğrulaması için genişletilmiş koruma devre dışı bırakma
Uyarı Uzun vadeli bir çözüm, bu yordamı kullanmanızı önermeyiz. Kimlik doğrulaması için genişletilmiş koruma devre dışı bırakılması, AD FS güvenlik hizmetle tümleşik Windows kimlik doğrulaması bitiş noktaları belirli man-in--middle saldırıları algılayarak değil düzeyini düşürür.
Not: Üçüncü taraf uygulama işlevselliği için bu geçici çözüm uygulandığında, kimlik doğrulaması için genişletilmiş koruma için ayrıca istemci işletim sistemi düzeltmeleri kaldırmanız gerekir. Düzeltmeler hakkında daha fazla bilgi için aşağıdaki Microsoft Bilgi Bankası makalesine bakın:
Edilgen istemcileri için kimlik doğrulaması için genişletilmiş koruma devre dışı bırakmak için aşağıdaki IIS sanal uygulamalar AD FS federasyon sunucu grubundaki tüm sunucular üzerinde aşağıdaki yordamı gerçekleştirin:
Varsayılan Web sitesi/adfs
Varsayılan Web sitesi/adfs/ls
Bunu yapmak için şu adımları izleyin:
IIS Yöneticisi'ni açın ve yönetmek istediğiniz düzeye gidin. IIS Yöneticisi'ni açma hakkında daha fazla bilgi için bkz. IIS Yöneticisi'ni (IIS 7) açın.
Özellikler Görünümü'nde, kimlik doğrulaması' nı çift tıklatın.
Kimlik doğrulama sayfasında, Windows kimlik doğrulamasıseçin.
Eylemler bölmesinde Gelişmiş ayarlar' ı tıklatın.
Gelişmiş ayarlar iletişim kutusu görüntülendiğinde, kapatmakgelen seçeneğinigenişletilmiş koruma aþaðý açýlan menü.
Etkin istemciler için
Etkin istemcilerin kimlik doğrulaması için genişletilmiş koruma devre dışı bırakmak için birincil AD FS sunucu üzerinde aşağıdaki yordamı gerçekleştirin:
Windows PowerShell açın.
Windows PowerShell için ADFS ek bileşenini yüklemek için aşağıdaki komutu çalıştırın:
Add-PsSnapIn Microsoft.Adfs.Powershell
Kimlik doğrulaması için genişletilmiş koruma devre dışı bırakmak için aşağıdaki komutu çalıştırın:
Kimlik doğrulaması için genişletilmiş koruma yeniden etkinleştirme
Edilgen istemcileri için
Edilgen istemcileri için kimlik doğrulaması için genişletilmiş koruma yeniden etkinleştirmek için AD FS federasyon sunucu grubundaki tüm sunucularda aşağıdaki IIS sanal uygulamalar için aşağıdaki yordamı uygulayın:
Varsayılan Web sitesi/adfs
Varsayılan Web sitesi/adfs/ls
Bunu yapmak için şu adımları izleyin:
IIS Yöneticisi'ni açın ve yönetmek istediğiniz düzeye gidin. IIS Yöneticisi'ni açma hakkında daha fazla bilgi için bkz. IIS Yöneticisi'ni (IIS 7) açın.
Özellikler Görünümü'nde, kimlik doğrulaması' nı çift tıklatın.
Kimlik doğrulama sayfasında, Windows kimlik doğrulamasıseçin.
Eylemler bölmesinde Gelişmiş ayarlar' ı tıklatın.
Gelişmiş ayarlar iletişim kutusu göründüğünde, kabul etGenişletilmiş koruma aþaðý açýlan menüsünden seçin.
Etkin istemciler için
Etkin istemcilerin kimlik doğrulaması için genişletilmiş koruma yeniden etkinleştirmek için birincil AD FS sunucu üzerinde aşağıdaki yordamı gerçekleştirin:
Windows PowerShell açın.
Windows PowerShell için ADFS ek bileşenini yüklemek için aşağıdaki komutu çalıştırın:
Add-PsSnapIn Microsoft.Adfs.Powershell
Kimlik doğrulaması için Genişletilmiş Koruma'yı etkinleştirmek için aşağıdaki komutu çalıştırın:
Çözüm 4: Değiştirmek için AD FS kayıtlarla CNAME kayıtları
DNS Yönetim Araçları, Federasyon Hizmeti için bir DNS adresi (A) kaydı kullandığı her DNS diğer ad (CNAME) kaydı değiştirmek için kullanın. Ayrıca, kontrol veya şirket DNS ayarlarını split-brain DNS yapılandırma uygulandığında düşünün. DNS kayıtlarını yönetme hakkında daha fazla bilgi için aşağıdaki Microsoft TechNet Web sitesine gidin:
Çözünürlük 5: Internet Explorer'ı çoklu oturum açma (SSO) için bir AD FS istemcisi olarak ayarlayın.
AD FS erişim için Internet Explorer'ı ayarlama hakkında daha fazla bilgi için aşağıdaki Microsoft Bilgi Bankası makalesine bakın:
2535227Federasyon kullanıcısından beklenmedik bir şekilde çalışmalarını girin veya Okul hesabı kimlik bilgileri istenir
DAHA FAZLA BİLGİ
Bir ağ korumak için AD FS kimlik doğrulaması için genişletilmiş koruma kullanır. Kimlik doğrulaması için genişletilmiş koruma, saldırgan istemcinin kimlik bilgilerini yakalar ve bunları sunucuya iletir man-in--middle saldırıları önlemeye yardımcı olabilir. Bu tür saldırılara karşı koruma kanal bağlama Works (CBT) kullanılarak gerçekleştirilebilir. CBT gerekli, izin veya istemcilerle iletişim oluşturulduğunda sunucu tarafından gerekli değildir.
Bu ayar ExtendedProtectionTokenCheck AD FS federasyon sunucusu tarafından desteklenen kimlik doğrulaması için genişletilmiş koruma düzeyini belirtir. Bunlar, bu ayar için kullanılabilir değerler şunlardır:
Gerektirir: tam olarak sıkı bir sunucudur. Genişletilmiş Koruma uygulanır.
İzin ver: Bu varsayılan ayardır. Kısmen sıkı sunucusudur. Bu özelliği desteklemek için değiştirilen ilgili sistemler için genişletilmiş koruma uygulanır.
Hiçbiri: server bu güvenlik açığından etkilenir. Genişletilmiş Koruma zorlanamaz.
Aşağıdaki tablolar için üç işletim sistemleri ve tarayıcılar, AD FS IIS ile kullanılabilen farklı genişletilmiş koruma seçeneklere bağlı olarak kimlik doğrulaması nasıl çalıştığını açıklar.
Not: Windows istemci işletim sistemleri, genişletilmiş koruma özelliği etkin biçimde kullanmak için yüklü belirli güncelleştirmeleri yüklü olmalıdır. Varsayılan olarak, AD FS'de özellikleri etkinleştirilir. Bu güncelleştirme aşağıdaki Microsoft Knowledge Base makalesinden kullanılabilir:
Bu makalede açıklanan üçüncü taraf ürünler Microsoft'tan bağımsız şirketler tarafından üretilmektedir. Microsoft, örtük veya başka türlü performansı veya güvenilirliği bu ürünleri hakkında hiçbir garanti vermez
Uyarı: Bu makalenin çevirisi otomatik olarak yapılmıştır
Microsoft Azure Cloud Services, Microsoft Azure Active Directory, Microsoft Office 365, Microsoft Intune, CRM Online via Office 365 E Plans, Microsoft Azure Recovery Services, Microsoft Windows XP Professional Edition, Microsoft Windows XP Home Edition, Office 365 Identity Management