Tengo ADFS en mi entorno y actualmente se está autenticando perfectamente a través del directorio activo. Estoy intentando habilitar la autenticación de certificados para que puedan autenticarse con sus tarjetas inteligentes. Actualmente, las tarjetas inteligentes se importan a sus cuentas de AD y se les puede pedir que seleccionen el certificado correcto e inicien sesión (pero no desde ADFS). También verifiqué que las CA raíz de los clientes estén ubicadas dentro del almacén de certificados de las autoridades de certificación raíz de confianza y que estén todas presentes.
Dentro de ADFS, tengo habilitada la autenticación de certificado, el puerto entrante 49443 (entrante del cliente al servidor ADFS) y la selección de inicio de sesión del certificado se muestra en la página de inicio de sesión de ADFS. Cuando presiono el inicio de sesión con certificado, recibo el siguiente error:
"Se produjo un error. No se encontró ningún certificado de cliente válido en la solicitud. No se encontraron certificados válidos en el almacén de certificados del usuario. Inténtelo nuevamente después de cerrar y volver a abrir el navegador y elija un método de autenticación diferente.
ID de actividad: 25ef4526-fcb4-4f64-0c00
Detalles del error: MSIS7121: la solicitud no contenía un certificado de cliente válido que pueda usarse para la autenticación. Esto ocurre cuando no hay certificados válidos en la computadora cliente, por ejemplo, si todos los certificados han caducado o han sido revocados. Código de error: 0x490
Nombre de nodo: a22ee49a-fa2d
Hora de error: martes, 20 de diciembre de 2022 14:55:31 GMT
Cookie: habilitada
Cadena de agente de usuario: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, como Gecko) Chrome/108.0.0.0 Safari/537.36"
Obtengo esto ya sea que esté en una computadora cliente o directamente en el servidor ADFS en un navegador web. ¿Alguien se ha encontrado con esto?
Respuesta1
Creo que este es un caso en el que es necesario asignar el certificado al usuario. Pruebe esto en su servidor AD:
Para asignar el certificado x509 a un usuario individual, vaya a: dsa.msc (Usuarios y computadoras de AD) -> Habilitar funciones avanzadas -> haga clic derecho en el usuario -> Asignaciones de nombres.
Allí puede asignar el certificado al usuario que intenta autenticarse mediante la autenticación de certificado.
Espero que ayude.