Beheben von Windows-Anmeldeproblemen

Dieser Artikel beschreibt die Protokolle und Fehlermeldungen, die Windows bereitstellt, wenn sich ein Benutzer mit Zertifikaten oder Smartcards oder beidem anmeldet. Diese Protokolle enthalten Informationen, die Sie zur Behebung von Authentifizierungsfehlern verwenden können.

• Zertifikate und Public Key Infrastructure

• Windows Active Directory verwaltet mehrere Zertifikatspeicher, die Zertifikate für sich anmeldende Benutzer verwalten.

• NTAuth-Zertifikatspeicher: Um sich bei Windows zu authentifizieren, muss die Zertifizierungsstelle, die Benutzerzertifikate direkt ausstellt (d. h. keine Verkettung wird unterstützt), im NTAuth-Speicher abgelegt werden. Um diese Zertifikate anzuzeigen, geben Sie im Programm certutil Folgendes ein: certutil –viewstore –enterprise NTAuth
• Stamm- und Zwischenzertifikatspeicher: Normalerweise können Zertifikatsanmeldesysteme nur ein einziges Zertifikat bereitstellen. Wenn also eine Kette verwendet wird, muss der Zwischenzertifikatspeicher auf allen Computern diese Zertifikate enthalten. Das Stammzertifikat muss im Speicher für vertrauenswürdige Stammzertifikate und das vorletzte Zertifikat im NTAuth-Speicher vorhanden sein.
• Anmeldezertifikatserweiterungen und Gruppenrichtlinien: Windows kann so konfiguriert werden, dass die Überprüfung von EKUs und anderen Zertifikatsrichtlinien erzwungen wird. Siehe die Microsoft-Dokumentation: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)

• AllowSignatureOnlyKeys	Standardmäßig filtert Windows private Zertifikatsschlüssel heraus, die keine RSA-Entschlüsselung zulassen. Diese Option überschreibt diesen Filter.
  AllowTimeInvalidCertificates	Standardmäßig filtert Windows abgelaufene Zertifikate heraus. Diese Option überschreibt diesen Filter.
  EnumerateECCCerts	Aktiviert die elliptische Kurvenauthentifizierung.
  X509HintsNeeded	Wenn ein Zertifikat keinen eindeutigen Benutzerprinzipalnamen (UPN) enthält oder dieser mehrdeutig ist, ermöglicht diese Option Benutzern, ihr Windows-Anmeldekonto manuell anzugeben.
  UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	Deaktiviert die Überprüfung der Sperrliste (auf dem Domänencontroller festgelegt).

  • Domänencontroller-Zertifikate: Um Kerberos-Verbindungen zu authentifizieren, müssen alle Server über entsprechende „Domänencontroller“-Zertifikate verfügen. Diese können über das MMC-Snap-In-Menü „Zertifikate (Lokaler Computer) – Persönlich“ angefordert werden.

UPN-Name und Zertifikatszuordnung

Es wird empfohlen, dass Benutzerzertifikate einen eindeutigen Benutzerprinzipalnamen (UPN) in der Erweiterung „Alternativer Antragstellername“ enthalten.

UPN-Namen in Active Directory

Standardmäßig hat jeder Benutzer im Active Directory einen impliziten UPN, der auf dem Muster <samUsername>@<domainNetBios> und <samUsername>@<domainFQDN> basiert. Die verfügbaren Domänen und FQDNs sind im RootDSE-Eintrag für die Gesamtstruktur enthalten. Eine einzelne Domäne kann mehrere im RootDSE registrierte FQDN-Adressen haben.

Außerdem hat jeder Benutzer im Active Directory einen expliziten UPN und altUserPrincipalNames. Dies sind LDAP-Einträge, die den UPN für den Benutzer angeben.

Bei der Suche nach Benutzern anhand des UPN sucht Windows zuerst in der aktuellen Domäne (basierend auf der Identität des Prozesses, der den UPN nachschlägt) nach expliziten UPNs, dann nach alternativen UPNs. Wenn es keine Übereinstimmungen gibt, sucht es den impliziten UPN, der sich auf verschiedene Domänen in der Gesamtstruktur auflösen kann.

Zertifikatszuordnungsdienst

Wenn ein Zertifikat keinen expliziten UPN enthält, bietet Active Directory die Möglichkeit, ein exaktes öffentliches Zertifikat für jede Verwendung in einem „x509certificate“-Attribut zu speichern. Um ein solches Zertifikat einem Benutzer zuzuordnen, kann ein Computer dieses Attribut direkt abfragen (standardmäßig in einer einzelnen Domäne).

Es wird eine Option bereitgestellt, mit der der Benutzer ein Benutzerkonto angeben kann, was diese Suche beschleunigt und es ermöglicht, diese Funktion auch in einer domänenübergreifenden Umgebung zu verwenden.

Wenn es mehrere Domänen in der Gesamtstruktur gibt und der Benutzer keine Domäne explizit angibt, gibt das Active Directory rootDSE den Speicherort des Zertifikatszuordnungsdienstes an. Dieser befindet sich auf einem globalen Katalogserver und verfügt über eine zwischengespeicherte Ansicht aller x509certificate-Attribute in der Gesamtstruktur. Dieser Computer kann verwendet werden, um ein Benutzerkonto in jeder Domäne effizient zu finden, basierend nur auf dem Zertifikat.

Steuerung der Domänencontroller-Auswahl für die Anmeldung

Wenn eine Umgebung mehrere Domänencontroller enthält, ist es nützlich zu sehen und einzuschränken, welcher Domänencontroller für die Authentifizierung verwendet wird, damit Protokolle aktiviert und abgerufen werden können.

Steuerung der Domänencontroller-Auswahl

Um Windows zu zwingen, einen bestimmten Windows-Domänencontroller für die Anmeldung zu verwenden, können Sie die Liste der Domänencontroller, die ein Windows-Computer verwendet, explizit festlegen, indem Sie die Datei lmhosts konfigurieren: \Windows\System32\drivers\etc\lmhosts.

Normalerweise befindet sich an diesem Speicherort eine Beispieldatei namens “lmhosts.sam”. Fügen Sie einfach eine Zeile hinzu:

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

Wobei “1.2.3.4” die IP-Adresse des Domänencontrollers namens dcnetbiosname in der Domäne mydomain ist.

Nach einem Neustart verwendet der Windows-Computer diese Informationen, um sich bei mydomain anzumelden. Diese Konfiguration muss rückgängig gemacht werden, wenn das Debugging abgeschlossen ist.

Identifizieren des verwendeten Domänencontrollers

Bei der Anmeldung setzt Windows eine MSDOS-Umgebungsvariable mit dem Domänencontroller, der den Benutzer angemeldet hat. Um dies zu sehen, starten Sie die Eingabeaufforderung mit dem Befehl: echo %LOGONSERVER%.

Protokolle, die sich auf die Authentifizierung beziehen, werden auf dem Computer gespeichert, der von diesem Befehl zurückgegeben wird.

Aktivieren von Kontoüberwachungsereignissen

Standardmäßig aktivieren Windows-Domänencontroller keine vollständigen Kontoüberwachungsprotokolle. Dies kann über Überwachungsrichtlinien in den Sicherheitseinstellungen des Gruppenrichtlinieneditors gesteuert werden. Um den Gruppenrichtlinieneditor zu öffnen, führen Sie gpedit.msc auf dem Domänencontroller aus. Nachdem die Überwachungsrichtlinien aktiviert wurden, erzeugt der Domänencontroller zusätzliche Ereignisprotokollinformationen im Sicherheitsprotokoll.

Zertifikatsvalidierungsprotokolle

Überprüfen der Zertifikatsgültigkeit

-  Wenn ein Smartcard-Zertifikat als DER-Zertifikat exportiert wird (kein privater Schlüssel erforderlich), können Sie es mit dem Befehl `certutil –verify user.cer` validieren.

-  ### Aktivieren der CAPI-Protokollierung

Öffnen Sie auf dem Domänencontroller und dem Computer des Benutzers die Ereignisanzeige und aktivieren Sie die Protokollierung für Microsoft/Windows/CAPI2/Operational Logs.

• Öffnen Sie auf dem Domänencontroller und dem VDA-Computer die Ereignisanzeige und navigieren Sie zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > CAPI2 > Betriebsbereit. Klicken Sie mit der rechten Maustaste auf Betriebsbereit und wählen Sie Protokoll aktivieren.

• Zusätzlich können Sie die CAPI-Protokollierung mit den Registrierungswerten unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32 feinabstimmen. Die folgenden Werte existieren standardmäßig nicht. Sie müssen diese erstellen. Löschen Sie die Werte, wenn Sie zu den Standard-CAPI2-Protokollierungseinstellungen zurückkehren möchten.

CAPI-Protokolle

Fehlermeldungen

Kerberos-Protokolle

Um die Kerberos-Protokollierung zu aktivieren, erstellen Sie auf dem Domänencontroller und dem Endbenutzercomputer die folgenden Registrierungswerte:

Die Kerberos-Protokollierung wird im Systemereignisprotokoll ausgegeben.

• Meldungen wie nicht vertrauenswürdiges Zertifikat müssen leicht zu diagnostizieren sein.
• Zwei Fehlercodes sind informativ und können bedenkenlos ignoriert werden:
  • KDC_ERR_PREAUTH_REQUIRED (wird zur Abwärtskompatibilität mit älteren Domänencontrollern verwendet)
  • Unbekannter Fehler 0x4b

Domänencontroller- und Workstation-Protokolle

Dieser Abschnitt beschreibt die erwarteten Protokolleinträge auf dem Domänencontroller und der Workstation, wenn sich der Benutzer mit einem Zertifikat anmeldet.

• CAPI2-Protokoll des Domänencontrollers
• Sicherheitsprotokolle des Domänencontrollers
• Sicherheitsprotokoll des Virtual Delivery Agent (VDA)
• VDA-CAPI-Protokoll
• VDA-Systemprotokoll

CAPI2-Protokoll des Domänencontrollers

Während einer Anmeldung validiert der Domänencontroller das Zertifikat des Anrufers und erzeugt eine Abfolge von Protokolleinträgen in der folgenden Form.

Die letzte Ereignisprotokollmeldung zeigt, wie lsass.exe auf dem Domänencontroller eine Kette basierend auf dem vom VDA bereitgestellten Zertifikat erstellt und diese auf Gültigkeit (einschließlich Sperrung) überprüft. Das Ergebnis wird als “ERROR_SUCCESS” zurückgegeben.

Sicherheitsprotokoll des Domänencontrollers

Der Domänencontroller zeigt eine Abfolge von Anmeldeereignissen, wobei das Schlüsselereignis 4768 ist, bei dem das Zertifikat zur Ausstellung des Kerberos Ticket Granting Ticket (krbtgt) verwendet wird.

Die Meldungen davor zeigen, wie das Computerkonto des Servers sich am Domänencontroller authentifiziert. Die Meldungen danach zeigen, wie das Benutzerkonto, das zum neuen krbtgt gehört, zur Authentifizierung am Domänencontroller verwendet wird.

VDA-Sicherheitsprotokoll

Die VDA-Sicherheitsüberwachungsprotokolle, die dem Anmeldeereignis entsprechen, sind der Eintrag mit der Ereignis-ID 4648, der von winlogon.exe stammt.

VDA-CAPI-Protokoll

Dieses Beispiel des VDA-CAPI-Protokolls zeigt eine einzelne Kettenaufbau- und Verifizierungssequenz von lsass.exe, die das Domänencontroller-Zertifikat (dc.citrixtest.net) validiert.

VDA-Systemprotokoll

Wenn die Kerberos-Protokollierung aktiviert ist, zeigt das Systemprotokoll den Fehler KDC_ERR_PREAUTH_REQUIRED (der ignoriert werden kann) und einen Eintrag von der Windows-Anmeldung, der anzeigt, dass die Kerberos-Anmeldung erfolgreich war.

Überwachung von FAS mithilfe des Windows-Ereignisprotokolls

Alle FAS-Ereignisse werden in das Windows-Anwendungsereignisprotokoll geschrieben. Sie können Produkte wie System Center Operations Manager (SCOM) verwenden, um den Zustand Ihres FAS-Dienstes mithilfe der hier beschriebenen Prozesse und Ereignisse zu überwachen.

Läuft der FAS-Dienst?

Um festzustellen, ob der FAS-Dienst ausgeführt wird, überwachen Sie den Prozess Citrix.Authentication.FederatedAuthenticationService.exe.

In diesem Abschnitt werden nur die wichtigsten Ereignisse zur Überwachung des FAS-Dienstes beschrieben. Eine vollständige Liste der FAS-Ereigniscodes finden Sie unter FAS-Ereignisprotokolle.

FAS-Zustandsereignisse

Die folgenden Ereignisse zeigen an, ob Ihr FAS-Dienst fehlerfrei ist.

Die Ereignisquelle ist Citrix.Authentication.FederatedAuthenticationService.

Cloud-verbundene FAS-Ereignisse

Wenn Sie FAS mit Citrix Cloud™ verwenden, zeigen die folgenden Ereignisse an, ob Ihr FAS-Dienst fehlerfrei ist.

Die Ereignisquelle ist Citrix.Fas.Cloud.

Sicherheitsereignisse

Die folgenden Ereignisse zeigen an, dass eine nicht autorisierte Entität versucht hat, FAS zu verwenden.

Die Ereignisquelle ist Citrix.Authentication.FederatedAuthenticationService.

FAS-Ereignisprotokolle

Die folgenden Tabellen listen die von FAS generierten Ereignisprotokolleinträge auf.

Verwaltungsereignisse [Federated Authentication Service]

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

Diese Ereignisse werden als Reaktion auf eine Konfigurationsänderung auf dem FAS-Server protokolliert.

Erstellen von Identitätsansprüchen [Federated Authentication Service]

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn ein vertrauenswürdiger Server eine Benutzeranmeldung bestätigt.

Als vertrauende Seite agieren [Federated Authentication Service]

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn ein VDA einen Benutzer anmeldet.

In-Session-Zertifikatsserver [Federated Authentication Service]

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

Diese Ereignisse werden auf dem FAS-Server protokolliert, wenn ein Benutzer ein In-Session-Zertifikat verwendet.

• Protokollcodes

• [S301] Zugriff verweigert: Benutzer [{0}] hat keinen Zugriff auf eine virtuelle Smartcard.

  [S302] Benutzer [{0}] hat eine unbekannte virtuelle Smartcard angefordert [Fingerabdruck: {1}].

  [S303] Zugriff verweigert: Benutzer [{0}] stimmt nicht mit der virtuellen Smartcard überein [upn: {1}].

  [S304] Benutzer [{0}] führt Programm [{1}] auf Computer [{2}] aus, wobei eine virtuelle Smartcard [upn: {3} Rolle: {4} Fingerabdruck: {5}] für den Private-Key-Vorgang [{6}] verwendet wird.

  [S305] Private-Key-Vorgang fehlgeschlagen [Vorgang: {0}] [upn: {1} Rolle: {2} containerName {3} Fehler {4} {5}].

FAS-Bestätigungs-Plug-In [Federated Authentication Service]

[Ereignisquelle: Citrix.Authentication.FederatedAuthenticationService]

Diese Ereignisse werden vom FAS-Bestätigungs-Plug-In protokolliert.

• [S503] Server [{0}] konnte UPN [{1}] nicht bestätigen (Anmeldeinformationen wurden bereitgestellt, aber das Plug-In [{2}] unterstützt diese nicht).

• [S504] Server [{0}] konnte UPN [{1}] nicht bestätigen (Anmeldeinformationen wurden bereitgestellt, aber es ist kein FAS-Plug-In konfiguriert).

• [S505] Server [{0}] konnte UPN [{1}] nicht bestätigen (das Plug-In [{2}] hat die Anmeldeinformationen mit Status [{3}] und Meldung [{4}] abgelehnt).

• [S506] Das Plug-In [{0}] hat Anmeldeinformationen von Server [{1}] für UPN [{2}] mit Meldung [{3}] akzeptiert.

• [S507] Server [{0}] konnte UPN [{1}] nicht bestätigen (das Plug-In [{2}] hat während der Methode [{4}] eine Ausnahme [{3}] ausgelöst).

  [S507] Server [{0}] konnte UPN [{1}] nicht bestätigen (das Plug-In [{2}] hat eine Ausnahme [{3}] ausgelöst).

  [S508] Server [{0}] konnte UPN [{1}] nicht bestätigen (Zugriffsdisposition wurde bereitgestellt, aber das Plug-In [{2}] unterstützt diese nicht).

  [S509] Server [{0}] konnte UPN [{1}] nicht bestätigen (Zugriffsdisposition wurde bereitgestellt, aber es ist kein FAS-Plug-In konfiguriert).

  [S510] Server [{0}] konnte UPN [{1}] nicht bestätigen (die Zugriffsdisposition wurde vom Plug-In [{2}] als ungültig erachtet).

Workspace-fähiges FAS [Federated Authentication Service]

[Ereignisquelle: Citrix.Fas.Cloud]

Diese Ereignisse werden protokolliert, wenn FAS mit Workspace verwendet wird.

Anmeldung [VDA]

[Ereignisquelle: Citrix.Authentication.IdentityAssertion]

Diese Ereignisse werden auf dem VDA während der Anmeldephase protokolliert.

Federated Authentication Service: {0}

In-Session-Zertifikate [VDA]

[Ereignisquelle: Citrix.Authentication.IdentityAssertion]

Diese Ereignisse werden auf dem VDA protokolliert, wenn ein Benutzer versucht, ein In-Session-Zertifikat zu verwenden.

Zertifikatsanforderung und Schlüsselpaar-Generierung [Federated Authentication Service]

[Ereignisquelle: Citrix.Fas.PkiCore]

Diese Ereignisse werden protokolliert, wenn der FAS-Server kryptografische Operationen auf niedriger Ebene durchführt.

Fehlermeldungen für Endbenutzer

Dieser Abschnitt listet häufige Fehlermeldungen auf, die einem Benutzer auf der Windows-Anmeldeseite angezeigt werden.

FAS Always-on-Tracing

Mit Always-on-Tracing protokolliert FAS seine Aktivitäten im Dateisystem. Dies kann bei der Fehlerbehebung helfen und möglicherweise die Notwendigkeit eliminieren, einen aufgetretenen Vorfall zu reproduzieren.

Always-on-Tracing wird aktiviert, wenn Sie FAS mit einer der folgenden Methoden installieren oder aktualisieren:

• Der Citrix Virtual Apps and Desktops™-Installer: über die Schaltfläche Federated Authentication Service auf dem Autorun-Begrüßungsbildschirm, wenn die ISO eingelegt wird
• XenDesktopFasSetup.exe: Befindet sich auf der Citrix Virtual Apps and Desktops-ISO unter x64\XenDesktop Setup\XenDesktopFasSetup.exe
• FasSetup_xxxx.exe: die eigenständige FAS-Installationsdatei, verfügbar unter Citrix Downloads.

Hinweis:

Always-on Tracing ist nicht verfügbar, wenn Sie die Installation oder das Upgrade mit der FAS-Installer-MSI-Datei FederatedAuthenticationService_x64.msi durchführen.

Always-on Tracing erfassen

Verwenden Sie Citrix Scout, um Always-on Tracing und andere Diagnosedaten von Ihrem FAS-Server zu erfassen. Citrix Scout wird installiert, wenn Sie FAS mit einer der oben genannten Methoden installieren.

Always-on Tracing deaktivieren

Wenn Sie Always-on Tracing aus irgendeinem Grund deaktivieren möchten, beenden und deaktivieren Sie den Citrix Telemetry Service auf Ihrem FAS-Server.

Always-on Tracing an einen zentralen Protokollierungsserver senden

Führen Sie den folgenden PowerShell-Befehl auf dem FAS-Server aus, um FAS so zu konfigurieren, dass Always-on Tracing an einen zentralen Protokollierungsserver gesendet wird:

Enable-CitrixAOTUpload -AotDataStoreEndpoint <server address>:<server port> -Role FAS
<!--NeedCopy-->

Führen Sie den folgenden PowerShell-Befehl auf dem FAS-Server aus, um die Verwendung eines zentralen Protokollierungsservers zu deaktivieren:

Disable-CitrixAOTUpload
<!--NeedCopy-->

Verwandte Informationen

• Konfigurieren einer Domäne für die Smartcard-Anmeldung
• Smartcard-Anmelderichtlinien
• CAPI-Protokollierung aktivieren
• Kerberos-Protokollierung aktivieren
• Richtlinien zum Aktivieren der Smartcard-Anmeldung mit Zertifizierungsstellen von Drittanbietern