Ich habe ADFS in meiner Umgebung und die Authentifizierung über Active Directory funktioniert derzeit einwandfrei. Ich versuche, die Zertifikatauthentifizierung zu aktivieren, damit sie sich mit ihren Smartcards authentifizieren können. Derzeit werden die Smartcards in ihre AD-Konten importiert und sie werden erfolgreich aufgefordert, das richtige Zertifikat auszuwählen und sich anzumelden (nur nicht von ADFS). Ich habe auch überprüft, dass sich die Stammzertifizierungsstellen der Clients alle im Zertifikatspeicher der vertrauenswürdigen Stammzertifizierungsstellen befinden und alle vorhanden sind.
Innerhalb von ADFS habe ich die Zertifikatsauthentifizierung aktiviert, eingehender Port 49443 (eingehend vom Client zum ADFS-Server) und die Auswahl für die Zertifikatanmeldung wird auf der ADFS-Anmeldeseite angezeigt. Wenn ich auf die Zertifikatanmeldung klicke, erhalte ich die folgende Fehlermeldung:
" Ein Fehler ist aufgetreten. In der Anfrage wurde kein gültiges Client-Zertifikat gefunden. Im Zertifikatsspeicher des Benutzers wurden keine gültigen Zertifikate gefunden. Bitte versuchen Sie es nach dem Schließen und erneuten Öffnen des Browsers erneut und wählen Sie eine andere Authentifizierungsmethode.
Aktivitäts-ID: 25ef4526-fcb4-4f64-0c00
Fehlerdetails: MSIS7121: Die Anforderung enthielt kein gültiges Client-Zertifikat, das zur Authentifizierung verwendet werden kann. Dies tritt auf, wenn auf dem Client-Computer keine gültigen Zertifikate vorhanden sind, beispielsweise wenn alle Zertifikate abgelaufen oder widerrufen wurden. Fehlercode: 0x490
Knotenname: a22ee49a-fa2d
Fehlerzeit: Di., 20. Dez. 2022 14:55:31 GMT
Cookie: aktiviert
Benutzeragent-Zeichenfolge: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, wie Gecko) Chrome/108.0.0.0 Safari/537.36"
Dies tritt bei mir auf, egal ob ich mich an einem Client-Computer befinde oder direkt auf dem ADFS-Server selbst in einem Webbrowser. Ist das schon mal jemandem passiert?
Antwort1
Ich denke, in diesem Fall müssen Sie das Zertifikat dem Benutzer zuordnen. Versuchen Sie Folgendes auf Ihrem AD-Server:
Um das x509-Zertifikat einem einzelnen Benutzer zuzuordnen, gehen Sie zu: dsa.msc (AD-Benutzer und -Computer) -> Erweiterte Funktionen aktivieren -> Rechtsklick auf Benutzer -> Namenszuordnungen.
Dort können Sie das Zertifikat dem Benutzer zuordnen, der versucht, sich per Cert Authentizität zu authentifizieren.
Hoffentlich hilft das.