Параметры ESR не синхронизируются с включенной многофакторной проверкой подлинности

Исходная версия продукта: Windows 10 версии 1709 все выпуски, Windows 10 версии 1703 все выпуски, Windows 10 версии 1511 все выпуски, Windows 10 версии 1607 все выпуски
Исходный номер базы знаний: 3193683

Симптомы

Вы включили Enterprise State Roaming (ESR) в Центре администрирования Microsoft Entra и некоторых клиентах Windows 10. Все поддерживаемые параметры синхронизации, такие как фон рабочего стола или положение панели задач, не синхронизируются между устройствами для одного пользователя. Следующие события 1098 и 1097 регистрируются в журнале событий Microsoft-Windows-AAD/Operations:

Log Name:      Microsoft-Windows-AAD/Operational
Source:        Microsoft-Windows-AAD
Event ID:      1098
Task Category: AadTokenBrokerPlugin Operation
Level:         Error
Keywords:      Error,
Error Computer:      Win10client.contoso.com
Description: Error: 0xCAA2000C The request requires user interaction. Code: interaction_required Description: AADSTS50076: The user is required to use multi-factor authentication to access this resource. Please retry with a new authorize request for the resource 'https://syncservice.windows.net/*'. Trace ID: <Trace ID GUID> Correlation ID: <Correlation ID GUID> Timestamp: yyyy-mmmm-dddd 01:30:38Z
TokenEndpoint: https://login.microsoftonline.com/common/oauth2/token Authority: https://login.microsoftonline.com/common
Client ID: <Client ID GUID>
Redirect URI: ms-appx-web://Microsoft.AAD.BrokerPlugin/<Client ID GUID>
Resource: https://syncservice.windows.net/*
Correlation ID (request): <Correlation ID GUID>
Log Name:      Microsoft-Windows-AAD/Operational
Source:        Microsoft-Windows-AAD
Event ID:      1097 Task Category: AadTokenBrokerPlugin
Operation Level:         Warning
Keywords:      Operational,
Operational Computer:      Win10client.contoso.com
Description: Error: 0xCAA90004 Getting token by refresh token failed.
Authority: https://login.microsoftonline.com/common
Client ID: <Client ID GUID> Redirect URI: ms-appx-web://Microsoft.AAD.BrokerPlugin/<Client ID GUID>
Resource: https://syncservice.windows.net/*
Correlation ID (request): <Correlation ID GUID>

Причина

Включена многофакторная проверка подлинности (MFA), поэтому enterprise State Roaming не будет запрашивать у пользователя дополнительную авторизацию.

Решение

Если для устройства настроена многофакторная проверка подлинности в Центре администрирования Microsoft Entra, при входе на устройство с Windows 10 с помощью пароля может произойть сбой синхронизации параметров. Этот тип конфигурации многофакторной проверки подлинности предназначен для защиты учетной записи администратора Azure. Пользователи администраторов по-прежнему могут синхронизироваться, выполнив вход на устройства Windows 10 с помощью ПИН-кода Microsoft Passport для работы или выполнив многофакторную проверку подлинности при доступе к другим службам Azure, таким как Microsoft Office 365.

Синхронизация может завершиться ошибкой, если администратор Microsoft Entra настраивает политику условного доступа службы федерации Active Directory (AD FS) многофакторной идентификации, а срок действия маркера доступа на устройстве истекает. Убедитесь, что вы входите и выходите с помощью ПИН-кода Microsoft Passport for Work или завершите многофакторную проверку подлинности при доступе к другим службам Azure, таким как Office 365.

Дополнительные сведения

Корпорация Майкрософт изучает, как улучшить взаимодействие с Enterprise State Roaming и авторизацией MFA, включенной на устройстве.

Дополнительные сведения см. в разделе "Параметры" и вопросы и ответы о роуминге данных.

Свяжитесь с нами для получения помощи

Если у вас есть вопросы или вам нужна помощь, создайте запрос в службу поддержки или обратитесь за поддержкой сообщества Azure. Вы также можете отправить отзыв о продукте в сообщество отзывов Azure.