В моей среде есть ADFS, и в настоящее время он отлично проходит аутентификацию через Active Directory. Я пытаюсь включить аутентификацию сертификатов, чтобы они могли аутентифицироваться с помощью своих смарт-карт. В настоящее время смарт-карты импортируются в их учетные записи AD, и они могут успешно получить запрос на выбор правильного сертификата и входа (только не из ADFS). Я также проверил, что все корневые центры сертификации клиентов находятся в хранилище сертификатов доверенных корневых центров сертификации, и все они присутствуют.
В ADFS у меня включена проверка подлинности сертификата, входящий порт 49443 (входящий от клиента к серверу ADFS), а выбор входа с сертификатом отображается на странице входа в ADFS. Когда я нажимаю вход с сертификатом, я получаю следующую ошибку:
" Произошла ошибка. В запросе не найден действительный клиентский сертификат. В хранилище сертификатов пользователя не найдены действительные сертификаты. Повторите попытку, закрыв и снова открыв браузер, и выберите другой метод аутентификации.
Идентификатор активности: 25ef4526-fcb4-4f64-0c00
Подробности ошибки: MSIS7121: Запрос не содержал действительный клиентский сертификат, который может быть использован для аутентификации. Это происходит, когда на клиентском компьютере нет действительных сертификатов, например, если все сертификаты просрочены или отозваны. Код ошибки: 0x490
Имя узла: a22ee49a-fa2d
Время ошибки: Вт, 20 дек 2022 14:55:31 GMT
Файл cookie: включен
Строка агента пользователя: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, как Gecko) Chrome/108.0.0.0 Safari/537.36"
Я получаю это, будь то на клиентском компьютере или непосредственно на самом сервере ADFS в веб-браузере. Кто-нибудь сталкивался с этим?
решение1
Я думаю, что это тот случай, когда вам нужно сопоставить сертификат с пользователем. Попробуйте это на вашем сервере AD:
Чтобы сопоставить сертификат x509 с отдельным пользователем, перейдите по адресу: dsa.msc (AD Users and Computers) -> Включить дополнительные функции -> щелкните правой кнопкой мыши по пользователю -> Сопоставления имен.
Там вы можете сопоставить сертификат с пользователем, который пытается пройти аутентификацию с помощью cert auth.
Надеюсь, это поможет.