La configuración de ESR no se sincroniza con la autenticación multifactor habilitada

Versión original del producto: Windows 10 versión 1709 todas las ediciones, Windows 10 versión 1703 todas las ediciones, Windows 10 versión 1511 todas las ediciones, Windows 10 versión 1607 todas las ediciones
Número de KB original: 3193683

Síntomas

Ha habilitado Enterprise State Roaming (ESR) en el Centro de administración de Microsoft Entra y en algunos clientes de Windows 10. Cualquier configuración admitida para la sincronización, como la posición en segundo plano del escritorio o la barra de tareas, no se sincronice entre dispositivos para el mismo usuario. Los siguientes eventos 1098 y 1097 se registran en el registro de eventos Microsoft-Windows-AAD/Operational:

Log Name:      Microsoft-Windows-AAD/Operational
Source:        Microsoft-Windows-AAD
Event ID:      1098
Task Category: AadTokenBrokerPlugin Operation
Level:         Error
Keywords:      Error,
Error Computer:      Win10client.contoso.com
Description: Error: 0xCAA2000C The request requires user interaction. Code: interaction_required Description: AADSTS50076: The user is required to use multi-factor authentication to access this resource. Please retry with a new authorize request for the resource 'https://syncservice.windows.net/*'. Trace ID: <Trace ID GUID> Correlation ID: <Correlation ID GUID> Timestamp: yyyy-mmmm-dddd 01:30:38Z
TokenEndpoint: https://login.microsoftonline.com/common/oauth2/token Authority: https://login.microsoftonline.com/common
Client ID: <Client ID GUID>
Redirect URI: ms-appx-web://Microsoft.AAD.BrokerPlugin/<Client ID GUID>
Resource: https://syncservice.windows.net/*
Correlation ID (request): <Correlation ID GUID>
Log Name:      Microsoft-Windows-AAD/Operational
Source:        Microsoft-Windows-AAD
Event ID:      1097 Task Category: AadTokenBrokerPlugin
Operation Level:         Warning
Keywords:      Operational,
Operational Computer:      Win10client.contoso.com
Description: Error: 0xCAA90004 Getting token by refresh token failed.
Authority: https://login.microsoftonline.com/common
Client ID: <Client ID GUID> Redirect URI: ms-appx-web://Microsoft.AAD.BrokerPlugin/<Client ID GUID>
Resource: https://syncservice.windows.net/*
Correlation ID (request): <Correlation ID GUID>

Causa

La autenticación multifactor (MFA) está habilitada y por eso Enterprise State Roaming no solicitará al usuario autorización adicional.

Solución

Si el dispositivo está configurado para requerir autenticación multifactor en el Centro de administración de Microsoft Entra, es posible que no se sincronice la configuración mientras inicia sesión en un dispositivo Windows 10 con una contraseña. Este tipo de configuración de autenticación multifactor está diseñado para proteger una cuenta de administrador de Azure. Es posible que los usuarios administradores todavía puedan sincronizarse iniciando sesión en sus dispositivos Windows 10 con su PIN de Microsoft Passport for Work o completando la autenticación multifactor al acceder a otros servicios de Azure, como Microsoft Office 365.

Se puede producir un error en la sincronización si el administrador de Microsoft Entra configura el Servicios de federación de Active Directory (AD FS) directiva de acceso condicional de autenticación multifactor y el token de acceso en el dispositivo expira. Asegúrese de iniciar sesión y cerrar sesión con el PIN de Microsoft Passport for Work o completar la autenticación multifactor al acceder a otros servicios de Azure como Office 365.

Más información

Microsoft está investigando cómo mejorar la experiencia con la autorización de Enterprise State Roaming y MFA habilitada en el dispositivo.

Para obtener más información, consulte Configuración y preguntas más frecuentes sobre itinerancia de datos.

Ponte en contacto con nosotros para obtener ayuda

Si tiene preguntas o necesita ayuda, cree una solicitud de soporte o busque consejo en la comunidad de Azure. También puede enviar comentarios sobre el producto con los comentarios de la comunidad de Azure.