Microsoft Edge反复提示输入代理凭据

Summary

本文可帮助你排查Microsoft Edge重复请求代理凭据的问题。 输入有效凭据后，凭据对话框会重新出现，或者请求失败并出现“HTTP 407 代理身份验证必需”响应。 这些问题通常表明，Microsoft Edge将流量路由到意外的代理，代理自动配置 （PAC） 文件返回错误的路由，或者通过 Kerberos 或 NTLM 的单一登录未完成。 按照本文中给出的方法确定并解决问题，并在每次纠正更改后重新测试失败的请求。

症状

遇到以下一个或多个问题：

  • Microsoft Edge重复请求代理凭据，即使在输入有效凭据后，提示也会重新出现。
  • 请求失败并显示“需要 HTTP 407 代理身份验证”响应。
  • 页面部分加载，某些子资源（如图像、脚本或样式表）无法加载。
  • 代理单一登录适用于某些用户、设备或站点，但不适用于其他用户。
  • 提示间歇性出现，或仅在某些网络上出现。

原因

每当Microsoft Edge代理未完成身份验证交换时，代理将返回“HTTP 407 代理身份验证必需”响应。 然后Microsoft Edge提示输入凭据。 由于以下原因之一，交换通常失败：

  • Microsoft Edge将请求路由到单一登录配置未涵盖的意外代理。
  • 代理不提供 AuthSchemes 策略启用的身份验证方案。
  • Microsoft Edge无法自动获取凭据。 例如，代理的服务主体名称（SPN）没有对应的 Kerberos 票证。
  • 多步骤的 Negotiate 或 NTLM 交互过程在完成前即被中断。
  • 代理拒绝凭据，或授权规则拒绝帐户。

经过多个请求和响应回合，使用 Negotiate 和 NTLM 进行身份验证。 在这些轮次中，代理将 HTTP 407 与另一个身份验证令牌一起返回，这是预期行为。 仅当交换停止进行或重复相同的挑战时，才将 407 视为失败。

检查有效的代理配置

  1. 查看Windows中的“设置>网络和 Internet>代理”，并注意是否配置了“自动检测设置”、“设置脚本”或“手动代理”。
  2. 打开 edge://policy 并查看 ProxySettings。 此策略是包含代理模式、服务器、PAC URL 和绕过规则的字典。 检查有效 ProxySettings 值中的 ProxyBypassList 字段，以确认发生故障的主机没有无意中绕过代理或使用代理。
  3. 检查是否也已设置已弃用的 ProxyMode、ProxyServer、ProxyPacUrl 和 ProxyBypassList 策略。 这些策略已弃用，仅当它们已存在于较旧的部署中时，才应考虑这些策略。
  4. 如果配置了 PAC 文件，请验证是否可以检索该文件，并 FindProxyForURL 返回主 URL 和失败子资源的预期路由。

检查身份验证方案

  1. 在 edge://net-export 处进行复现。
  2. 请让代理管理员确认代理宣告的身份验证方案，以及 Edge 发送凭据后是否再次返回 407 响应。
  3. 对于 Kerberos 或 NTLM，请与身份管理员一起审查 AuthServerAllowlist、AuthSchemes 以及任何委派要求。

对于 Kerberos，请在受影响的用户的会话中运行 klist ，并检查票证和错误。 请勿作为例程修复程序运行 klist purge ，因为它删除了不相关的 Kerberos 票证;仅在管理员指导下使用它。

避免不安全的身份验证解决方法

对 HTTP 代理进行基本身份验证会使凭据暴露在未受保护的连接中。 保护代理通道，而不是启用 BasicAuthOverHttpEnabled 作为生产解决方法。

确定问题是特定于用户、设备还是网络

缩小范围可以帮助你判断应调查用户配置文件、设备还是网络路径。

  1. 比较同一设备上的受影响用户和未受影响用户。 如果未受影响的用户能够成功完成操作，则问题仅限于原用户或其用户配置文件。
  2. 当组织策略允许时，在不使用代理的网络路径上测试受影响的用户。 如果请求成功，问题特定于代理或网络路径。
  3. 确认代理的服务主体名称、DNS 名称和允许列表中的条目对应的是同一主机标识。

在联系Microsoft 支持部门之前收集数据

如果必须联系Microsoft 支持部门以获取更多帮助，请收集以下信息并将其包含在支持请求中：

  • Microsoft Edge 版本：转到 edge://settings/help并记下完整版本号。
  • 活动策略：转到 edge://policy并导出策略列表。
  • 代理配置：经过修订的 PAC 文件和受影响的 URL 的预期代理结果。
  • 网络日志：转到 edge://net-export，开始日志记录，重现一个失败的请求，然后保存日志文件。
  • Kerberos 票证：受影响用户会话中已隐去敏感信息的 klist 输出。
  • 代理日志：向代理管理员询问对应于失败请求的 407 和身份验证日志条目。

网络日志和导出的策略数据可以包含内部 URL、主机名和其他组织详细信息。 仅捕获复制窗口，并在共享数据之前从数据中删除任何敏感信息或个人信息。

相关内容

  • 上次更新时间为