Назад | Перейти на главную страницу

Использование SSL в ADFS

Я работаю над переходом с Exchange 2007 на обмен онлайн. Я дошел до того, что мне нужно, чтобы ADFS работала вне моего домена. У меня есть доверенный сторонний сертификат от GD, я внес соответствующие изменения в настройки брандмауэра и могу проверить трафик, попадающий на сервер ADFS.

Проблема, с которой я столкнулся, заключается в том, что ADFS требует устаревшей конфигурации при создании сертификата, что, по-видимому, ограничивает шифрование. Коды ошибок, которые я вижу в средстве просмотра событий:

«Ошибка: запрос подключения TLS 1.0 был получен от удаленного клиентского приложения, но ни один из наборов шифров, поддерживаемых клиентским приложением, не поддерживается сервером. Запрос подключения SSL не выполнен.

Сгенерировано фатальное предупреждение и отправлено на удаленную конечную точку. Это может привести к разрыву соединения. Код фатальной ошибки протокола TLS - 40. Состояние ошибки Windows SChannel - 1204 "

Я попытался использовать openssl для импорта, а затем экспорта сертификата, чтобы «разблокировать» все шифры, но я не могу заставить его работать. Спасибо всем за чтение, любые предложения будут очень благодарны.

Вы уже знаете основную причину здесь:

  • Основная причина: Эта проблема возникает из-за того, что используемый сертификат использует новую криптографическую технологию, известную как Cryptographic Next Generation (CNG). CNG позволяет использовать набор новых поставщиков открытых ключей, несовместимых с ADFS.

Итак, решение здесь:

  • Решение:

    1. Если вы используете центр сертификации Microsoft для выдачи сертификата, вы можете гарантировать использование устаревшего API с помощью шаблона сертификата, в котором указан устаревший поставщик службы криптографии.
    2. Если вы получили сертификат от общедоступного центра сертификации, вам нужно будет связаться с ним (GD), чтобы повторно выпустить сертификат с помощью устаревшего CSP, чтобы мастер ADFS мог принять сертификат.
    3. Или используйте certutil.exe для импорта сертификата, как показано ниже:

      certutil.exe -csp «Microsoft Enhanced RSA and AES Cryptographic Provider» -importpfx C: \ Cert \ YourCNGCertFile.pfx