Questo browser non è più supportato.
Esegui l'aggiornamento a Microsoft Edge per sfruttare i vantaggi di funzionalità più recenti, aggiornamenti della sicurezza e supporto tecnico.
Questo articolo consente di correggere l'errore del certificato ADFS 2.0 durante un tentativo di compilazione della catena di certificati.
Numero KB originale: 3044974
La maggior parte dei problemi di Active Directory Federated Services (AD FS) 2.0 appartiene a una delle categorie principali seguenti. Questo articolo contiene istruzioni dettagliate per risolvere i problemi relativi ai certificati.
Questo problema viene avviato dopo la modifica o la sostituzione di un certificato AD FS.
Il programma smette di accettare il token emesso da AD FS.
AD FS restituisce uno degli errori seguenti quando riceve una richiesta o una risposta firmata o se tenta di crittografare un token che deve essere emesso a un'applicazione rely party:
Gli ID evento correlati al certificato seguenti vengono registrati nel registro eventi di AD FS:
Per risolvere il problema, seguire questa procedura nell'ordine specificato. Questi passaggi consentono di determinare la causa del problema. Assicurarsi di verificare se il problema viene risolto dopo ogni passaggio.
Controllare se tutti i certificati AD FS (comunicazioni del servizio, decrittografia dei token e firma del token) sono validi e hanno una chiave privata associata. Assicurarsi inoltre che il certificato sia compreso nel periodo di validità.
Per i certificati di comunicazione del servizio:
Nel server AD FS fare clic su Start, fare clic su Esegui, digitare MMC.exe e quindi premere INVIO.
Nella finestra di dialogo Aggiungi/Rimuovi snap-in fare clic su OK.
Nella schermata snap-in Certificati fare clic sull'archivio certificati dell'account computer.
Per visualizzare le proprietà del certificato comunicazioni del servizio, espandere Certificato (computer locale), espandere Personalee quindi fare clic su Certificati.
Per i certificati di firma di token e decrittografia dei token:
I certificati che usano la chiave privata CNG non sono supportati per la firma del token e la decrittografia dei token. Se AD FS ha generato il certificato autofirmato, tale certificato non usa CNG. Per un certificato emesso da una CA, assicurarsi che il certificato non sia basato su CNG.
Se il modello ca usa uno dei provider di servizi di crittografia elencati, il certificato rilasciato da questa CA non è supportato dal server AD FS.
Avviare Gestione IIS. A tale scopo, fare clic su Start, fare clic su Strumenti di amministrazione e quindi su Gestione Internet Information Services (IIS).
Fare clic sul nome del server e quindi espandere la cartella Siti.
Individuare il sito Web (in genere è noto come "Sito Web predefinito") e quindi selezionarlo.
Nel menu Azioni sul lato destro fare clic su Associazioni. Assicurarsi che il tipo di offerta https sia associato alla porta 443. In caso contrario, fare clic su Modifica per modificare la porta.
Aprire Gestione ADFS 2.0.
Espandere Servizio, fare clic su Certificato, fare clic con il pulsante destro del mouse sul certificato di comunicazione del servizio e quindi scegliere Visualizza certificato.
Nel riquadro dei dettagli fare clic su Copia nel file e salvare il file come Filename.cer.
Al prompt dei comandi eseguire il comando seguente per determinare se il certificato di comunicazione del servizio è valido:
Run 'Certutil -verify -urlfetch certificate.CER > cert_cerification.txt'
Aprire il file di output creato sopra "cert_verification.txt".
Passare alla fine del file e verificare se include quanto segue per un test di revoca riuscito:
Controllo di revoca del certificato foglia superato
CertUtil: -verify comando completato correttamente.
Se il file indica che i controlli di revoca non sono riusciti o che il server di revoca è offline, controllare il log per determinare quale certificato nella catena di certificati non è stato possibile verificare.
Verificare se un percorso AIA o CDP non è riuscito. In uno scenario in cui vengono specificati più percorsi in un tipo di file, entrambi i percorsi devono essere contrassegnati come verificati.
---------------- certificato AIA ----------------
Ora "Certificato verificato (0)": 0
[0.0]http://www.contoso.com/pki/mswww(6).crtOra "AIA" non riuscita: 0
Errore durante il recupero dell'URL: impossibile risolvere il nome del server o l'indirizzo 0x80072ee7 (WIN32: 12007)
http://corppki/aia/mswww(6).crt---------------- certificato CDP ----------------
Ora "CRL di base (5a)" verificata: 0
[0.0]http://mscrl.contoso.com/pki/crl/mswww(6).crlOra "CRL di base (5a)" verificata: 0
[1.0]http://crl.contoso.com/pki/crl/mswww(6).crlOra "CDP" non riuscita: 0
Errore durante il recupero dell'URL: impossibile risolvere il nome del server o l'indirizzo 0x80072ee7 (WIN32: 12007)
http://corppki/crl/mswww(6).crl
La raccolta di una traccia di rete può essere utile se uno dei percorsi AIA o CDP o OCSP non è disponibile.
Se la voce di log indica che il certificato viene revocato, è necessario richiedere un altro certificato valido e non revocato.
Nel server AD FS fare clic su Start, fare clic su Esegui, immettere MMC.exe e quindi premere INVIO.
Nella finestra di dialogo Aggiungi/Rimuovi snap-in fare clic su OK.
Nella finestra Radice della console fare clic su Certificati (computer locale) per visualizzare gli archivi certificati del computer.
Fare clic con il pulsante destro del mouse sul servizio AD FS, scegliere Tutte le attività e quindi fare clic su Gestisci chiavi private.
Controllare se l'account AD FS dispone dell'autorizzazione Lettura.
Per altre informazioni sulla funzionalità AutoCertificateRollover di AD FS, vedere gli argomenti technet seguenti:
AD FS 2.0: Come abilitare e usare immediatamente AutoCertificateRollover
Se il certificato dispone dell'attributo SAN (Subject Alternative Name) abilitato, il nome del servizio federativo deve essere aggiunto anche nella SAN del certificato, insieme ad altri nomi. Per altre informazioni, vedere Requisiti dei certificati SSL.
In un controller di dominio aprire Adsiedit.msc.
Connettersi al contesto di denominazione predefinito.
Individuare CN=<GUID,CN>=ADFS,CN=Microsoft,CN=Program Data,DC=<Domain,DC>=<COM>.
Nota
In questo nome del contenitore i parametri tra parentesi quadre rappresentano i valori effettivi. Un esempio di GUID è "62b8a5cb-5d16-4b13-b616-06caea706ada".
Fare clic con il pulsante destro del mouse sul GUID e quindi scegliere Proprietà. Se sono presenti più GUID, seguire questa procedura:
Avviare Windows PowerShell nel server che esegue il servizio AD FS.
Esegui questo comando:
Add-PSSnapin microsoft.adfs.powershellGet-ADFSProperties
Individuare il GUID del servizio AD FS in esecuzione in CertificateShareingContainer.
Assicurarsi che l'account del servizio ADFS disponga delle autorizzazioni Lettura, Scrittura e "Crea tutti gli oggetti figlio" concesse a questo oggetto e a tutti gli oggetti discendenti.
Se i certificati di firma del token e decrittografia dei token sono stati modificati, assicurarsi che i provider di attestazioni e le relying party vengano aggiornati in modo da avere i nuovi certificati. Se i provider di attestazioni e le relying party non vengono aggiornati, non possono considerare attendibile il servizio AD FS.
La richiesta e la risposta firmate potrebbero essere ricevute dal server AD FS dal provider di attestazioni o dalla relying party. In questo scenario, il server AD FS può verificare la validità del certificato usato per la firma e l'esito negativo. AD FS controlla inoltre la validità del certificato correlato alla relying party usata per inviare un token crittografato al server AD FS.
AD FS 2.0 riceve una richiesta SAML-P firmata inviata da una relying party.
Nota
La richiesta di firma delle richieste di accesso è un'opzione configurabile. Per impostare questo requisito per un trust della relying party, usare il parametro RequireSignedSamlRequests insieme al cmdlet Set-ADFSRelyingPartyTrust.
AD FS 2.0 riceve una richiesta di disconnessione SAML firmata dalla relying party. In questo scenario, la richiesta di disconnessione deve essere firmata.
AD FS 2.0 riceve una richiesta di disconnessione da un provider di attestazioni e crittografa una richiesta di disconnessione per la relying party. In questo scenario, il provider di attestazioni avvia la disconnessità.
AD FS 2.0 rilascia un token crittografato per una relying party.
AD FS 2.0 riceve un token emesso da un provider di attestazioni.
AD FS 2.0 riceve una richiesta di disconnessione SAML firmata da un provider di attestazioni. In questo scenario, la richiesta di disconnessione deve essere firmata.
Assicurarsi che il certificato di firma del provider di attestazioni sia valido e non sia stato revocato.
Assicurarsi che AD FS 2.0 possa accedere all'elenco di revoche di certificati se l'impostazione di revoca non specifica "nessuno" o un'impostazione "solo cache".
Nota
È possibile usare i cmdlet di Windows PowerShell per AD FS 2.0 per configurare le impostazioni di revoca seguenti:
Per altre informazioni, vedere Risoluzione dei problemi relativi ai certificati con AD FS 2.0.
Formazione
Modulo
Implementare e gestire Servizi certificati Active Directory - Training
Implementare e gestire Servizi certificati Active Directory
Certificazione
Microsoft Certified: Identity and Access Administrator Associate - Certifications
Illustrare le funzionalità di Microsoft Entra ID per modernizzare le soluzioni di identità, implementare soluzioni ibride e implementare la governance delle identità.