Automatyczne odświeżanie metadanych w AD FS.

Question

Automatyczne odświeżanie metadanych w AD FS.

Amelia Krystyna 0

Problem dotyczy usługi AD FS i automatycznego odświeżania metadanych federacji od zewnętrznego dostawcy SaaS. Proces kończy się niepowodzeniem, a w dzienniku zdarzeń stale rejestrowany jest błąd o identyfikatorze 317 (Event ID 317). Z analizy zrzutu ruchu sieciowego wynika, że podczas uzgadniania połączenia HTTPS dochodzi do niezgodności zestawów szyfrów TLS (cipher suite mismatch), przez co bezpieczna sesja zostaje zerwana i pobranie pliku nie dochodzi do skutku. W jaki sposób możemy w tej sytuacji zaktualizować metadane partnera za pomocą polecenia Update-AdfsRelyingPartyTrust?

Komentarze: 0

1 odpowiedź

Twoja odpowiedź

Answer 1

Cześć Amelia Krystyna,

Event ID 317 pojawia się, gdy usługa AD FS nie jest w stanie nawiązać bezpiecznego połączenia HTTPS z punktem końcowym dostawcy SaaS, ponieważ brakuje wspólnego zestawu szyfrów TLS. W takiej sytuacji próba użycia polecenia Update-AdfsRelyingPartyTrust z adresem URL również się nie powiedzie, dopóki konfiguracja Schannel w systemie nie zostanie dostosowana albo metadane nie zostaną wczytane lokalnie. Najszybsze obejście to ręczne pobranie pliku XML metadanych - np. przez przeglądarkę lub narzędzie curl; i wskazanie go w konsoli AD FS albo w ustawieniach zaufania strony ufającej.

Aby rozwiązać problem trwale, należy włączyć obsługę nowoczesnych szyfrów TLS w rejestrze pod kluczem HKLM\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\Default\00010002, a następnie zrestartować usługę adfssrv. Po tej zmianie polecenie Update-AdfsRelyingPartyTrust -TargetName <nazwa> pobierze metadane bez błędów. Dzięki temu automatyczne odświeżanie konfiguracji będzie działać poprawnie, a federacja z dostawcą SaaS pozostanie stabilna.

Tracy Le.