Почему ADFS бесконечно запрашивает логин и пароль?

Question

[walrus911]

Всем привет. Никто не сталкивался с тем что ADFS бесконечно запрашивает логин и пароль? Даже на сайте проверки входа. При этом это происходит только на некоторых пк, на других машинах тот же самый юзер спокойно логинется... Грешил на гпошки. убрал нафиг все с компа с которого не входит, но ничего не изменилось. хз куда копать.
Если выгнать комп из домена то вход сразу же начинает работать.

Comments

[mayton2019]

Посмотри какие события пишет eventviwer.

[Максим Гришин]

Проверьте, не расходится ли время на ПК с доменом. Вероятно ADFS вместо ожидаемого NTLMv2 или что там навернули поверх браузера использует Керберос, который валится из-за расхождений по времени. И если ПК выгнать из домена, Керберос становится недоступен и "всё начинает работать", потому что у WWW-Authenticate:Negotiate приоритет в обработке.

[walrus911]

Максим Гришин, время отличается на 1 секунду. на сколько помню для карбероса допустимо менее 5 минут.

[walrus911]

mayton2019, все проблема в том что как раз в момент логина никакие события не прилетают. может быть как то уровень логирования нужно поднять?

Answer 1

[MVV]

Никто не сталкивался с тем что ADFS бесконечно запрашивает логин и пароль?

Ну, я сталкивался - когда свой самописный модуль 2FA отлаживал. Только вряд ли вам это знание поможет: сомневаюсь, что вы занимаетесь именно этим, так что причина другая.
А какая именно - это вам нужно в журнал событий смотреть: прежде всего - в журнал Applications and Serices Log/AD FS/Admin: ошибки пишутся туда. Если вы пользуетесб браузером, но ошибка, скорее всего будет иметь код 364 ("Encountered error during federation passive request.") Но это ошибка общего характера, причину ее надо смотреть в дополнительных данных.
Ну, а ещё может помочь журнал событий Security- на Сервере AD FS и, возможно, на КД: смотрите, нет ли там ошибок в момент неудачной попытки (возможно, потребуется предварительно включить аудит этих ошибок, смотрите групповые политики, как там у вас настроен аудит).