ADFS與M365同步錯誤處理參考
強制更新ADFS與O365驗證憑證
使用者反映無法透過ADFS登入M365
確認一：ADFS網站可連入 但導向至M365會失敗
2021/7/8
Fender
問題一
Error after certificate change on secondary
ADFS 3.0 Server
System.IdentityModel.Tokens.X509SecurityToken..ctor(X509Certificate2
certificate, String id, Boolean clone, Boolean disposable)
給予憑證ADFS服務帳號存取權限
問題二
AD FS 憑證的緊急輪替
判斷您的權杖簽署憑證指紋
若要撤銷 AD FS 目前正在使用的舊權杖簽署憑證，您需要判斷權杖 sigining 憑證的指紋。 若要這樣做，請使用下列步驟：
1. 連接到 Microsoft Online Service PS
C:\>Connect-MsolService
2. 記錄您的內部部署和雲端權杖簽署憑證指紋和到期日。 PS
C:\>Get-MsolFederationProperty -DomainName <domain>
3. 複製指紋。 稍後將會用它來移除現有的憑證。
您也可以使用 AD FS 管理來取得指紋、流覽至服務/憑證、以滑鼠右鍵按一下憑證、選取 [View
certificate]，然後選取 [詳細資料]。
判斷 AD FS 是否自動更新憑證
依預設，會將 AD FS 設定為在初始設定時和當憑證接近其到期日時自動產生權杖簽署和權杖解密憑證。
您可以執行下列 Windows
PowerShell 命令： PS
C:\>Get-AdfsProperties | FL AutoCert*, Certificate* 。
AutoCertificateRollover 屬性描述 AD FS 是否設定為自動更新權杖簽署和權杖解密憑證。 如果
[AutoCertificateRollover] 設定為 [TRUE]，請依照下列的指示進行： [如果 AutoCertificateRollover
設定為 TRUE，則產生新的自我簽署憑證] 中所述的指示。 如果
AutoCertificateRollover 設定為 FALSE，請依照以下所述的指示進行： [如果
AutoCertificateRollover 設定為 FALSE，就會手動產生新憑證]。
使用新的權杖簽署憑證更新 Azure AD
開啟適用於 Windows
PowerShell 的 Microsoft
Azure Active Directory 模組。 或者，開啟 Windows PowerShell 然後執行命令 Import-Module
msonline
藉由執行下列命令來連接到 Azure AD： Connect-MsolService ，然後輸入您的全域管理員認證。
注意
如果您在非主要同盟伺服器的電腦上執行這些命令，請先輸入下列命令： Set-MsolADFSContext
–Computer <servername> 。 取代 為 AD FS 伺服器的名稱。 然後，在出現提示時，輸入 AD FS 伺服器的系統管理員認證。
（選擇性）在 Azure AD 中檢查目前的憑證資訊，確認是否需要更新。 若要這樣做，請執行以下命令：Get-MsolFederationProperty。 在出現提示時輸入同盟網域的名稱。
若要更新 Azure AD 中的憑證資訊，請執行下列命令： Update-MsolFederatedDomain 然後在出現提示時輸入功能變數名稱。
footer See also :
留言