Solucionando problemas de login federado para serviços de federação do Active Directory (AD FS) : Loupen
Solucionando problemas de login federado para serviços de federação do Active Directory (AD FS) Imprimir
Modificado em: Ter, 13 Abr, 2021 at 3:42 PM
Se tiver problemas após configurar o ambiente LastPass Enterprise ou LastPass Identity para usar os Serviços de Federação do Active Directory (AD FS), você pode seguir as etapas abaixo para verificar suas configurações e solucionar problemas básicos. Certifique-se de realizar essas verificações em ordem.
Etapa 1: Verifique as atualizações do Windows e as versões dos componentes LastPass
Verifique se há atualizações e instale as versões mais recentes do seguinte:
Atualizações do Windows Server (incluindo a versão mais recente do .Net Framework)
O conector LastPass Active Directory deve estar executando a versão 1.2.652 ou posterior - Atualize agora ou abra o conector LastPass AD e vá para Página inicial> Verificar atualizações .
A extensão do navegador da web LastPass deve estar executando a versão mais recente disponível - Atualizar agora
Etapa 2: Verifique as configurações do firewall
O armazenamento de atributos personalizados deve ser capaz de se comunicar com as APIs LastPass, o que significa que os servidores AD FS devem ser capazes de acessar * .lastpass.com .
Abra um navegador da web em seu (s) servidor (es) AD FS e navegue até https://lastpass.com . Se não estiver acessível, você deve permitir a lista do domínio * .lastpass.com em seu firewall.
Observação: se o seu ambiente for um farm de servidores AD FS com nós primários e secundários, certifique-se de que o domínio * .lastpass.com esteja na lista de permissões em todas as máquinas.
Etapa 3: Verifique as permissões de usuários do AD
Existem dois usuários em seu ambiente do Active Directory que devem ter acesso de leitura e gravação para o atributo personalizado:
O usuário AD que executa o conector LastPass AD (que preenche o atributo personalizado no momento do provisionamento)
O usuário AD que executa o serviço AD FS (chamadas do AD FS para o armazenamento de atributos personalizados, que lê o atributo personalizado no momento do logon)
Ambos os usuários devem ter permissão de ACESSO DE CONTROLE para acessar o atributo personalizado marcado como CONFIDENCIAL. Se os usuários não tiverem essa permissão, ela deve ser definida. Você pode verificar as permissões de seus usuários de uma das seguintes maneiras:
Usando a ferramenta LDP
Os sistemas operacionais Windows Server têm uma ferramenta interna que permite que você verifique as permissões de seus usuários AD com base em sua associação ao grupo.
Em seu servidor Active Directory, execute ldp.exe e confirme se o grupo designado do usuário AD tem ACESSO DE CONTROLE habilitado.
Usando o comando dsacls
Você pode executar o distinguishedName do comando "atributo personalizado para verificar as permissões de seus usuários AD:
No servidor Active Directory, execute o Prompt de Comando como administrador .
Digite o seguinte comando: dsacls
Confirme se a permissão CONTROL ACCESS foi atribuída.
Etapa 4: verifique se o plug-in AD FS está instalado e registrado com o valor de atributo personalizado correto
Se o plug-in do AD FS foi instalado corretamente, você pode encontrar o LastPassAttributeStore listado.
No servidor AD FS, abra a ferramenta AD FS Server Manager.
Vá para AD FS > Serviço > Armazenamentos de atributos .
Verifique se LastPassAttributeStore está listado.
AVISO! Se você não conseguir encontrar o Attribute Store, significa que a instalação falhou. Reinstale o plug-in AD FS e confirme se o nome do valor do atributo personalizado e a versão estão corretos.
Desinstale o LastPassAttributeStore.msi.
Confirme se o nome do valor do atributo personalizado está correto.
Na seção "Armazenamento de atributos personalizados LastPass" na parte inferior da página, clique em Baixar para ADFS Server 3.0 (para Windows Server 2012 R2) ou Baixar para ADFS Server 4.0 (para Windows Server 2016) e salve o arquivo LastPass CustomAttributeStore.msi .
Faça logon no servidor AD FS (Serviços de Federação do Active Directory) primário e, em seguida, transfira o arquivo CustomAttributeStore.msi para a área de trabalho do servidor AD FS e clique duas vezes nele para executá-lo.
Insira o URL do seu provedor de serviços LastPass Enterprise, a seguir insira o valor do atributo personalizado e clique em Avançar .
Clique em Concluir quando o registro for concluído.
Reinicie o serviço AD FS do Windows. Isso é obrigatório .
Etapa 5: verifique a configuração do atributo personalizado
Você pode usar a ferramenta ADSI Edit para verificar as propriedades de seu atributo personalizado para confirmar se ele foi configurado corretamente.
Insira o seguinte comando: adsiedit.msc
Nota: Se a ferramenta ADSI Edit não estiver disponível, você pode registrá-la abrindo o Prompt de Comando como administrador e executando os seguintes comandos: regsvr32 adsiedit.dll then adsiedit.msc
Conecte-se ao "conhecido contexto de nomenclatura": Esquema .
Localize o atributo personalizado e abra Propriedades .
Localize os seguintes atributos, seus valores devem corresponder ao seguinte (conforme mostrado abaixo):
attributeSyntax: 2.5.5.4 = (NOCASE_STRING)
searchFlags: 0X80 = (CONFIDENCIAL)
Corretamente configurado
AVISO! Se o atributo searchFlags não estiver configurado como CONFIDENCIAL (por exemplo, exibido como INDEX), você deverá configurá-lo como CONFIDENCIAL .
Configurado Incorretamente
Etapa 6: verifique se o atributo personalizado está preenchido
Confirme se o Conector LastPass AD preencheu o atributo personalizado corretamente.
Clique na guia Editor de Atributos .
Localize o atributo personalizado que você criou (por exemplo, LastPassK1) e confirme se um valor está definido (conforme mostrado abaixo).
AVISO! Se o valor do atributo personalizado for <não definido> (conforme mostrado abaixo), você deve verificar o seguinte:
O nome do atributo personalizado que você criou também deve corresponder ao nome listado no Console de administração LastPass.
O usuário AD que está executando o Conector LastPass AD deve ter permissões de ACESSO DE CONTROLE
Etapa 7: verificar a configuração do farm de servidores AD FS (se aplicável)
Confirme se as DLLs estão presentes nos nós secundários e subsequentes, da seguinte maneira:
No servidor AD FS, navegue até C: \ Windows \ ADFS onde você instalou o arquivo LastPass CustomAttributeStore.msi.
Copie os seguintes arquivos para a pasta C: \ Windows \ ADFS de todos os servidores AD FS secundários e subsequentes:
Reinicie o serviço do Windows AD FS nos nós AD FS secundários e subsequentes.
Problemas conhecidos e solução de problemas adicionais
Se você tiver confirmado que suas configurações LastPass Enterprise e AD FS estão definidas corretamente, há etapas adicionais que você pode executar para solucionar o problema com base no problema que está enfrentando.
Tela em branco após fazer login como um usuário federado
Possíveis causas e como corrigi-las:
O usuário do serviço AD FS não tem permissões de ACESSO DE CONTROLE - aprenda como corrigir isso na Etapa 3 .
Em um ambiente de farm do AD FS, as DLLs do plug-in do AD FS não foram copiadas para os nós AD FS secundários e subsequentes - aprenda a corrigir isso na Etapa 6 .
O endereço de e-mail não está definido como um atributo AD.
O atributo personalizado não está configurado ou presente - aprenda a configurar a partir da Etapa 5 e preencher a partir da Etapa 6 .
O atributo personalizado está vazio
O login federado não estava habilitado no Admin Console LastPass no momento em que o provisionamento ocorreu por meio do Conector LastPass AD.
Vá para Configurações > Login federado na navegação à esquerda.
Marque a caixa da opção "Ativar".
Reinicie o serviço LastPass AD Connector para provisionar usuários federados.
O LastPass AD Connector não foi reiniciado depois que o login federado foi habilitado no LastPass Admin Console. Reinicie o serviço LastPass AD Connector para provisionar usuários federados.
Há uma incompatibilidade de nome de atributo personalizado entre o Console de administração LastPass e o plug-in AD FS -
Erro de log de eventos do Windows: Microsoft.IdentityServer.ClaimsPolicy.Language.PolicyEvaluationException: POLICY0017: Armazenamento de atributos 'LastPassAttributeStore' não está configurado.
Como consertar isto:
Reinicie o serviço AD FS do Windows no servidor AD FS para carregar o plug-in LastPass AD FS corretamente.
Para um ambiente de farm de servidores AD FS, verifique a configuração de farm de servidores AD FS da Etapa # 7 .
Erro de log de eventos do Windows: Microsoft.IdentityServer.Web.InvalidScopeException: MSIS7007: A relação de confiança da parte confiável solicitada 'https://accounts.lastpass.com/' não foi especificada ou não é compatível. Se uma terceira parte confiável foi especificada, é possível que você não tenha permissão para acessar a terceira parte confiável. Entre em contato com seu administrador para obter detalhes.
Verifique se o plug-in AD FS foi instalado a partir da Etapa 4 e configurado corretamente a partir da Etapa 5 .
Erro no log de eventos do Windows: Microsoft.IdentityServer.Web.InvalidScopeException: Microsoft.IdentityServer.Service.IssuancePipeline.CallerAuthorizationException: MSIS5007: A autorização do chamador falhou para a identidade do chamador DOMAIN \ NOME DE USUÁRIO para confiar na parte confiável 'https://accounts.lastpass.com/ '
Verifique as Regras de Autorização de Emissão e Confiança de Terceira Parte do usuário (Windows Server 2012) ou a Política de Controle de Acesso (Windows Server 2016) no servidor AD FS.
Faça login em seu servidor primário de Serviços de Federação do Active Directory (AD FS)
Navegue até as configurações de gerenciamento do AD FS.
Vá para Relações de confiança > Confiança de parte confiável no painel de navegação esquerdo e siga as próximas etapas com base na versão do servidor AD FS:
AD FS Server 3.0 - Windows Server 2012 R2
Na seção "LastPass Trust" na navegação à direita, clique em Editar regras de declaração ... .
Selecione a guia Regras de autorização de emissão e defina a regra desejada.
Servidor AD FS - 4.0 Windows Server 2016
Na seção "LastPass Trust" na navegação à direita, clique em Editar política de controle de acesso ... .
Defina a política desejada.
"Contate o administrador do LastPass em sua organização para obter ajuda" depois de fazer login como um usuário federado