Назад | Перейти на главную страницу

Действия по устранению неполадок Windows ADFS

Вчера выложил конкретный вопрос об ошибке, которую я получаю в ADFS, что меня озадачило. Поскольку у меня очень ограниченный опыт устранения неполадок продуктов на базе Windows, я думаю, что совет о том, как решить эту проблему, был бы очень полезным.

  1. Как мне получить дополнительную информацию? я сделал этот и не получил никакой новой информации, есть ли другой журнал, который может быть полезен?
  2. Погуглите все варианты сообщения об ошибке. Есть ли другие хорошие места, где можно опубликовать сообщение об ошибке?

Какие шаги вы бы предприняли отсюда для дальнейшего устранения проблемы?

Это выглядит многообещающе:

http://social.technet.microsoft.com/wiki/contents/articles/3910.exnding-the-error-diagnostics-of-adfs.aspx

Один действительно полезный аспект ADFS заключается в том, что на страницах ASPX, поставляемых с ADFS, есть возможность на уровне кода. Они могут быть полезны для добавления кода для использования домашней области по умолчанию или для изменения поведения ADFS по индивидуальным причинам. Они также предоставляют простой способ выполнить настраиваемую проверку полученных ответов SAML. Это также можно использовать для управления ответом SAMLResponse до его использования ADFS для некоторых возможностей, которые не предоставляются ADFS.

Обычно есть несколько стандартных вещей, которые нужно проверять с входящими ответами SAML, и ADFS также будет делать это, но не всегда может выдавать удобочитаемое или понятное сообщение об ошибке. Вот некоторые из них:

  1. Проверьте подпись при настройке ADFS (правильный алгоритм, правильный сертификат)
  2. Проверьте шифрование при настройке ADFS
  3. и т.д...

Проверка этих типичных деталей в полученном SAMLResponse поможет вам определить проблему, чтобы ваш партнер мог быстро ее решить.

Один из распространенных запросов - возможность регистрировать ответ SAMLResponse в базе данных для каждого запроса, полученного ADFS. Для этого просто добавьте код в файл global.asax.cs, например следующий фрагмент: 

public void Application_BeginRequest()
{
        HttpRequest request = HttpContext.Current.Request;
        HttpResponse response = HttpContext.Current.Response;

        if (!String.IsNullOrEmpty(request["SAMLResponse"]))
        {
            SaveSamlResponseToDB(request["SAMLResponse"].ToString());
        }
}

После этого вы можете управлять ответом SAMLResponse и выполнять для него настраиваемую проверку. Это обеспечивает механизм для выполнения дополнительной проверки помимо того, что делает текущий ADFS, и очень полезен для различных сценариев тестирования.

Основываясь на предложениях администратора Windows, я сделал следующее, что устранило проблему.

  1. Гарантированная служба W32Time использует NTP (это не так)
  2. Убедитесь, что все обновления установлены (они были)
  3. Убедитесь, что все службы работают под учетной записью службы, а не под учетной записью контроллера домена (это не так)
  4. Убедившись, что ADFS работает под учетной записью службы, воссоздайте поставщика услуг.

На этом этапе ошибка возникала только у части пользователей AD. Для этих пользователей я сбросил их пароли, что затем устранило проблему.

Хотя я не совсем уверен, почему это начало происходить или как эти шаги исправили это, моя теория заключается в том, что неиспользование одной учетной записи службы для управления всем этим привело к записи файлов, которые не могли быть прочитаны процессами, запущенными под другой учетной записью. .

Надеюсь, это кому-то поможет.