Solucionar problemas de inicio de sesión de Windows
Este artículo describe los registros y mensajes de error que Windows proporciona cuando un usuario inicia sesión utilizando certificados o tarjetas inteligentes, o ambos. Estos registros proporcionan información que puede utilizar para solucionar problemas de autenticación.
Certificados e infraestructura de clave pública
Windows Active Directory mantiene varias tiendas de certificados que gestionan los certificados para los usuarios que inician sesión.
-
Almacén de certificados NTAuth: Para autenticarse en Windows, la autoridad de certificación que emite directamente los certificados de usuario (es decir, no se admite el encadenamiento) debe colocarse en el almacén NTAuth. Para ver estos certificados, desde el programa certutil, introduzca:
certutil –viewstore –enterprise NTAuth - Almacenes de certificados raíz e intermedios: Normalmente, los sistemas de inicio de sesión con certificados solo pueden proporcionar un único certificado, por lo que si se utiliza una cadena, el almacén de certificados intermedios en todas las máquinas debe incluir estos certificados. El certificado raíz debe estar en el Almacén de raíces de confianza, y el certificado penúltimo debe estar en el almacén NTAuth.
- Extensiones de certificado de inicio de sesión y Directiva de grupo: Windows se puede configurar para aplicar la verificación de EKUs y otras políticas de certificado. Consulte la documentación de Microsoft: https://docs.microsoft.com/es-es/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10).
| Política de registro | Descripción |
|---|---|
| AllowCertificatesWithNoEKU | Cuando está deshabilitado, los certificados deben incluir el Uso de clave extendido (EKU) de inicio de sesión con tarjeta inteligente. |
| AllowSignatureOnlyKeys | De forma predeterminada, Windows filtra las claves privadas de los certificados que no permiten el descifrado RSA. Esta opción anula ese filtro. |
| AllowTimeInvalidCertificates | De forma predeterminada, Windows filtra los certificados caducados. Esta opción anula ese filtro. |
| EnumerateECCCerts | Habilita la autenticación de curva elíptica. |
| X509HintsNeeded | Si un certificado no contiene un nombre principal de usuario (UPN) único, o si es ambiguo, esta opción permite a los usuarios especificar manualmente su cuenta de inicio de sesión de Windows. |
| UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors | Deshabilita la comprobación de revocación (establecida en el controlador de dominio). |
- Certificados de controlador de dominio: Para autenticar las conexiones Kerberos, todos los servidores deben tener los certificados de “Controlador de dominio” adecuados. Estos se pueden solicitar utilizando el menú del complemento MMC “Almacén personal de certificados del equipo local”.
Asignación de nombre UPN y certificado
Se recomienda que los certificados de usuario incluyan un nombre principal de usuario (UPN) único en la extensión Nombre alternativo del sujeto.
Nombres UPN en Active Directory
De forma predeterminada, cada usuario en Active Directory tiene un UPN implícito basado en el patrón <samUsername>@<domainNetBios> y <samUsername>@<domainFQDN>. Los dominios y FQDN disponibles se incluyen en la entrada RootDSE del bosque. Un único dominio puede tener varias direcciones FQDN registradas en el RootDSE.
Además, cada usuario en Active Directory tiene un UPN explícito y altUserPrincipalNames. Estas son entradas LDAP que especifican el UPN para el usuario.
Al buscar usuarios por UPN, Windows busca primero en el dominio actual (basándose en la identidad del proceso que busca el UPN) los UPN explícitos y luego los UPN alternativos. Si no hay coincidencias, busca el UPN implícito, que puede resolverse en diferentes dominios del bosque.
Servicio de asignación de certificados
Si un certificado no incluye un UPN explícito, Active Directory tiene la opción de almacenar un certificado público exacto para cada uso en un atributo “x509certificate”. Para resolver dicho certificado a un usuario, un equipo puede consultar este atributo directamente (por defecto, en un único dominio).
Se proporciona una opción para que el usuario especifique una cuenta de usuario que acelere esta búsqueda y también permita que esta función se utilice en un entorno entre dominios.
Si hay varios dominios en el bosque y el usuario no especifica explícitamente un dominio, el rootDSE de Active Directory especifica la ubicación del Servicio de asignación de certificados. Este se encuentra en una máquina de catálogo global y tiene una vista en caché de todos los atributos x509certificate del bosque. Este equipo se puede utilizar para encontrar eficientemente una cuenta de usuario en cualquier dominio, basándose únicamente en el certificado.
Controlar la selección del controlador de dominio de inicio de sesión
Cuando un entorno contiene varios controladores de dominio, es útil ver y restringir qué controlador de dominio se utiliza para la autenticación, de modo que se puedan habilitar y recuperar los registros.
Controlar la selección del controlador de dominio
Para forzar a Windows a usar un controlador de dominio de Windows en particular para el inicio de sesión, puede establecer explícitamente la lista de controladores de dominio que utiliza una máquina Windows configurando el archivo lmhosts: \Windows\System32\drivers\etc\lmhosts.
Normalmente hay un archivo de ejemplo llamado “lmhosts.sam” en esa ubicación. Simplemente incluya una línea:
1.2.3.4 nombrenetbiosdc #PRE #DOM:midominio
Donde “1.2.3.4” es la dirección IP del controlador de dominio llamado dcnetbiosname en el dominio mydomain.
Después de un reinicio, la máquina Windows utiliza esa información para iniciar sesión en mydomain. Esta configuración debe revertirse cuando se complete la depuración.
Identificar el controlador de dominio en uso
Al iniciar sesión, Windows establece una variable de entorno MSDOS con el controlador de dominio que inició la sesión del usuario. Para ver esto, inicie el símbolo del sistema con el comando: echo %LOGONSERVER%.
Los registros relacionados con la autenticación se almacenan en el equipo devuelto por este comando.
Habilitar eventos de auditoría de cuenta
De forma predeterminada, los controladores de dominio de Windows no habilitan los registros completos de auditoría de cuentas. Esto se puede controlar a través de las políticas de auditoría en la configuración de seguridad del editor de directivas de grupo. Para abrir el editor de directivas de grupo, ejecute gpedit.msc en el controlador de dominio. Una vez habilitadas las políticas de auditoría, el controlador de dominio produce información adicional de registro de eventos en el registro de seguridad.
Registros de validación de certificados
Comprobar la validez del certificado
Si se exporta un certificado de tarjeta inteligente como certificado DER (no se requiere clave privada), puede validarlo con el comando: certutil –verificar user.cer
Habilitar el registro de CAPI
En el controlador de dominio y en la máquina de los usuarios, abra el visor de eventos y habilite el registro para Microsoft/Windows/CAPI2/Operational Logs.
En el controlador de dominio y en la máquina VDA, abra el visor de eventos y vaya a Registros de aplicaciones y servicios > Microsoft > Windows > CAPI2 > Operativo. Haga clic con el botón derecho en Operativo y seleccione Habilitar registro.
Además, ajuste el registro de CAPI con los valores del Registro en: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32. Los siguientes valores no existen de forma predeterminada. Debe crearlos. Elimine los valores si desea volver a la configuración predeterminada de registro de CAPI2.
| Valor | Descripción |
|---|---|
| DiagLevel (DWORD) | Nivel de verbosidad (0 a 5) |
| DiagMatchAnyMask (QUADWORD) | Filtro de eventos (use 0xffffff para todos) |
| DiagProcessName (MULTI_SZ) | Filtrar por nombre de proceso (por ejemplo, LSASS.exe) |
Registros CAPI
| Mensaje | Descripción |
|---|---|
| Crear cadena | LSA llamó a CertGetCertificateChain (incluye el resultado) |
| verificar revocación | LSA llamó a CertVerifyRevocation (incluye el resultado) |
| Objetos X509 | En modo detallado, los certificados y las listas de revocación de certificados (CRLs) se vuelcan en AppData\LocalLow\Microsoft\X509Objects |
| verificar política de cadena | LSA llamó a CertVerifyChainPolicy (incluye parámetros) |
Mensajes de error
| Código de error | Descripción |
|---|---|
| Certificado no de confianza | No se pudo generar el certificado de la tarjeta inteligente utilizando los certificados de los almacenes de certificados intermedios y de raíz de confianza del equipo. |
| Error de comprobación de revocación de certificado | No se pudo descargar la CRL de la tarjeta inteligente desde la dirección especificada por el punto de distribución de CRL del certificado. Si la comprobación de revocación es obligatoria, esto impide que el inicio de sesión se realice correctamente. Consulte la sección (/es-es/federated-authentication-service/current-release/config-manage/troubleshoot-logon.html#certificates-and-public-key-infrastructure) [Certificados e infraestructura de clave pública]. |
| Errores de uso del certificado | El certificado no es adecuado para el inicio de sesión. Por ejemplo, podría ser un certificado de servidor o un certificado de firma. |
Registros de Kerberos
Para habilitar el registro de Kerberos, en el controlador de dominio y en la máquina del usuario final, cree los siguientes valores de registro:
| Hive | Nombre del valor | Valor [DWORD] |
|---|---|---|
| CurrentControlSet\Control\Lsa\Kerberos\Parameters | LogLevel | 0x1 |
| CurrentControlSet\Control\Lsa\Kerberos\Parameters | KerbDebuglevel | 0xffffffff |
| CurrentControlSet\Services\Kdc | KdcDebugLevel | 0x1 |
| CurrentControlSet\Services\Kdc | KdcExtraLogLevel | 0x1f |
El registro de Kerberos se envía al registro de eventos del sistema.
- Mensajes como certificado no fiable deben ser fáciles de diagnosticar.
- Dos códigos de error son informativos y pueden ignorarse sin problemas:
- KDC_ERR_PREAUTH_REQUIRED (utilizado para la compatibilidad con versiones anteriores de controladores de dominio)
- Error desconocido 0x4b
Registros del controlador de dominio y de la estación de trabajo
Esta sección describe las entradas de registro esperadas en el controlador de dominio y la estación de trabajo cuando el usuario inicia sesión con un certificado.
- Registro CAPI2 del controlador de dominio
- Registros de seguridad del controlador de dominio
- Registro de seguridad del Virtual Delivery Agent (VDA)
- Registro CAPI del VDA
- Registro del sistema del VDA
Registro CAPI2 del controlador de dominio
Durante un inicio de sesión, el controlador de dominio valida el certificado del emisor, generando una secuencia de entradas de registro con el siguiente formato.
El mensaje final del registro de eventos muestra que lsass.exe en el controlador de dominio construye una cadena basada en el certificado proporcionado por el VDA y lo verifica para comprobar su validez (incluida la revocación). El resultado se devuelve como “ERROR_SUCCESS”.
Registro de seguridad del controlador de dominio
El controlador de dominio muestra una secuencia de eventos de inicio de sesión, siendo el evento clave el 4768, donde el certificado se utiliza para emitir el Ticket de Concesión de Tickets (krbtgt) de Kerberos.
Los mensajes anteriores a este muestran la cuenta de máquina del servidor autenticándose en el controlador de dominio. Los mensajes posteriores a este muestran la cuenta de usuario perteneciente al nuevo krbtgt utilizándose para autenticarse en el controlador de dominio.
Registro de seguridad del VDA
Los registros de auditoría de seguridad de VDA correspondientes al evento de inicio de sesión son la entrada con el ID de evento 4648, originada en winlogon.exe.
Registro CAPI de VDA
Este ejemplo de registro CAPI de VDA muestra una única secuencia de creación y verificación de cadena desde lsass.exe, validando el certificado del controlador de dominio (dc.citrixtest.net).
Registro del sistema de VDA
Cuando el registro de Kerberos está habilitado, el Registro del sistema muestra el error KDC_ERR_PREAUTH_REQUIRED (que se puede ignorar) y una entrada de Inicio de sesión de Windows que indica que el inicio de sesión de Kerberos fue correcto.
Supervisión de FAS mediante el registro de eventos de Windows
Todos los eventos de FAS se escriben en el registro de eventos de aplicación de Windows. Puede utilizar productos como System Center Operations Manager (SCOM) para supervisar el estado de su servicio FAS utilizando los procesos y eventos descritos aquí.
¿Se está ejecutando el servicio FAS?
Para determinar si el servicio FAS se está ejecutando, supervise el proceso Citrix.Authentication.FederatedAuthenticationService.exe.
En esta sección se describen solo los eventos más importantes para supervisar el servicio FAS. Para obtener la lista completa de códigos de eventos de FAS, consulte Registros de eventos de FAS.
Eventos de estado de FAS
Los siguientes eventos muestran si su servicio FAS está en buen estado.
El origen del evento es Citrix.Authentication.FederatedAuthenticationService.
| Evento | Texto del evento | Explicación | Notas |
|---|---|---|---|
| [S003] | Administrador [{0}] configurando el modo de mantenimiento en [{1}] | El servicio FAS se puso o se quitó del modo de mantenimiento. | Mientras está en modo de mantenimiento, el servidor FAS no se puede usar para el inicio de sesión único. |
| [S022] | Administrador [{0}] configurando el modo de mantenimiento en Desactivado | El servicio FAS se quitó del modo de mantenimiento. | Disponible a partir de FAS 10.7 / Citrix Virtual Apps and Desktops 2109. |
| [S023] | Administrador [{0}] establece el modo de mantenimiento en Activado | El servicio FAS se puso en modo de mantenimiento. | Disponible a partir de FAS 10.7 / Citrix Virtual Apps and Desktops 2109. |
| [S123] | No se pudo emitir un certificado en ninguna CA para [upn: {0} role: {1}] [exception: {2}] | Este evento ocurre después de [S124] si ninguna de las CA con las que está configurado FAS emitió correctamente un certificado de usuario. El inicio de sesión único fallará para ese usuario. | Este evento indica que todas las CA configuradas no funcionan. Si FAS está configurado para usar un HSM, también puede indicar que el HSM no funciona. |
| [S124] | No se pudo emitir un certificado para [upn: {0} role: {1}] en [certificate authority: {2}] [exception: {3}] | Se produjo un error cuando FAS intentó solicitar un certificado de usuario a la CA dada. Si FAS está configurado con más de una CA, FAS intenta la solicitud en otra CA. | Este evento puede indicar que la CA no funciona o no es contactable. Si FAS está configurado para usar un HSM, también puede indicar que el HSM no funciona. La excepción se puede usar para ayudar a identificar la causa del problema. |
| [S413] | El certificado de autorización caduca pronto ({0} días restantes). Detalles del certificado: {1} | Este evento se genera periódicamente cuando el certificado de autorización de FAS está cerca de caducar. Por defecto, el evento se genera cada día si el certificado de autorización está dentro de los 30 días de su caducidad. | La configuración predeterminada se puede ajustar usando el cmdlet Set-FasRaCertificateMonitor; consulte cmdlets de PowerShell. |
| [S414] | El certificado de autorización ha caducado. Detalles del certificado: {0} | Este evento se genera periódicamente cuando el certificado de autorización de FAS ha caducado. De forma predeterminada, el evento se genera cada día. | Una vez caducado, FAS no puede generar nuevos certificados de usuario y el inicio de sesión único empieza a fallar. |
Eventos de FAS conectados a la nube
Si utiliza FAS con Citrix Cloud™, los siguientes eventos muestran si su servicio FAS está en buen estado.
El origen del evento es Citrix.Fas.Cloud.
| Evento | Texto del evento | Explicación | Notas |
|---|---|---|---|
| [S012] | El servicio FAS está disponible para el inicio de sesión único desde Citrix Cloud | Este evento indica que el inicio de sesión único desde Workspace (es decir, Citrix Cloud) debería funcionar. | Antes de emitir este evento, FAS comprueba (1) que está configurado, (2) que no está en modo de mantenimiento y (3) que está conectado a Citrix Cloud. |
| [S013] | El servicio FAS no está disponible para el inicio de sesión único desde Citrix Cloud. [{0}] Puede encontrar más detalles en la consola de administración. | Este evento indica que FAS no puede proporcionar un inicio de sesión único desde Workspace (es decir, Citrix Cloud). El mensaje incluye el motivo por el que el inicio de sesión único no funciona. | FAS mantiene una conexión persistente con Citrix Cloud. De vez en cuando, esta conexión puede terminar por varias razones (como un fallo de red o una política de duración de la conexión en un servidor proxy). Cuando esto ocurre, el texto del evento contiene “Service is not connected to the cloud”. Este es un comportamiento normal, y FAS intenta inmediatamente restablecer una conexión con Citrix Cloud. |
Eventos de seguridad
Los siguientes eventos indican que una entidad no autorizada intentó usar FAS.
El origen del evento es Citrix.Authentication.FederatedAuthenticationService.
| Evento | Texto del evento | Explicación |
|---|---|---|
| [S001] | ACCESO DENEGADO: El usuario [{0}] no es miembro del grupo Administradores | Se intentó ver o cambiar la configuración de FAS, pero el autor de la llamada no era un administrador de FAS. |
| [S002] | ACCESO DENEGADO: El usuario [{0}] no es administrador del rol [{1}] | Se intentó ver o cambiar la configuración de una regla de FAS, pero el autor de la llamada no era un administrador de FAS. |
| [S101] | El servidor [{0}] no está autorizado para afirmar identidades en el rol [{1}] | Se intentó afirmar identidades de usuario, pero el autor de la llamada no tiene permiso para hacerlo. Solo los servidores StoreFront™, a los que se les ha permitido en la configuración de la regla de FAS (y Workspace, si corresponde), pueden afirmar identidades de usuario. |
| [S104] | El servidor [{0}] no pudo afirmar el UPN [{1}] (UPN no permitido por la regla [{2}]) | Se intentó afirmar una identidad de usuario, pero la cuenta del usuario no está permitida según la configuración de la regla de FAS. |
| [S205] | Acceso denegado a la parte que confía: la cuenta de llamada [{0}] no es una parte que confía permitida de la regla [{1}] | Un VDA intentó realizar un inicio de sesión único con FAS, pero el VDA no está permitido según la configuración de la regla de FAS. |
Registros de eventos de FAS
Las siguientes tablas enumeran las entradas del registro de eventos generadas por FAS.
Eventos de administración [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Estos eventos se registran en respuesta a un cambio de configuración en el servidor FAS.
| Códigos de registro |
|---|
| [S001] ACCESO DENEGADO: El usuario [{0}] no es miembro del grupo de administradores |
| [S002] ACCESO DENEGADO: El usuario [{0}] no es administrador del rol [{1}] |
| [S003] El administrador [{0}] está configurando el modo de mantenimiento en [{1}] |
| [S004] El administrador [{0}] solicita un certificado de autorización a la CA [{1}] utilizando las plantillas [{2} and {3}] |
| [S005] El administrador [{0}] está eliminando la autorización de FAS [RA cert id: {1}] |
| [S006] El administrador [{0}] está creando la definición de certificado [{1}] |
| [S007] El administrador [{0}] está actualizando la definición de certificado [{1}] |
| [S008] El administrador [{0}] está eliminando la definición de certificado [{1}] |
| [S009] El administrador [{0}] está creando la regla [{1}] |
| [S010] El administrador [{0}] está actualizando la regla [{1}] |
| [S011] El administrador [{0}] está eliminando la regla [{1}] |
| [S012] El administrador [{0}] está creando el certificado [upn: {1} sid: {2} rule: {3}]Definición de certificado: {4} Contexto de seguridad: {5}] |
| [S013] El administrador [{0}] está eliminando los certificados [upn: {1} role: {2} Certificate Definition: {3} Security Context: {4}] |
| [S015] El administrador [{0}] está creando la solicitud de certificado [TPM: {1}] |
| [S016] Administrador [{0}] importando certificado de autorización [Reference: {1}] |
| [S022] Administrador [{0}] estableciendo Modo de mantenimiento en Desactivado |
| [S023] Administrador [{0}] estableciendo Modo de mantenimiento en Activado |
| [S024] Administrador [{0}] estableciendo monitor de estado del sistema |
| [S025] Administrador [{0}] estableciendo monitor de estado del sistema |
| [S026] Administrador [{0}] estableciendo Monitor de certificados RA |
| [S027] Administrador [{0}] restableciendo monitor de certificados RA |
| [S028] Administrador [{0}] estableciendo configuración de clave para [{1}] certificado en [{2}] |
| [S029] Administrador [{0}] restableciendo configuración de clave para [{1}] certificado a los valores predeterminados [{2}] |
| [S030] Administrador [{0}] estableciendo Propiedades del servicio en [{1}] |
| [S031] Administrador [{0}] desautorizando CA [RA cert id: {1}] |
| [S050] Administrador [{0}] creando configuración de la nube: [{1}] |
| [S051] Administrador [{0}] actualizando configuración de la nube: [{1}] |
| [S052] Administrador [{0}] eliminando configuración de la nube |
| [S060] Administrador [{0}] Solicitando Registro en la nube. Instancia: {1} |
| [S060] Administrador [{0}] Solicitando registro de confianza directa en la nube. Instancia: {1} CloudServiceUrlFormat: {2} |
| [S061] Administrador [{0}] Completando el registro en la nube. Ubicación del recurso: {1}, Nombre de la regla: {2} |
| [S062] Administrador [{0}] Registro en la nube completado. Ubicación del recurso: {1} ({2}), Nombre de la regla: {3}, Cliente: {4} ({5}) |
| [S063] Se produjo un error de KRS durante el registro en la nube. La excepción fue {0} |
| [S064] Se produjo un error desconocido durante el registro en la nube. La excepción fue {0} |
| [S065] Administrador [{0}] Solicitando registro de confianza directa en la nube. Instancia: {1} CloudServiceUrlFormat: {2} |
| Códigos de registro |
|---|
| [S401] Realizando actualización de la configuración - [From version {0} to version {1}] |
| [S402] ERROR: El Servicio de autenticación federada de Citrix debe ejecutarse como Servicio de red [currently running as: {0}] |
| [S404] Borrando forzosamente la base de datos del Servicio de autenticación federada de Citrix |
| [S405] Se produjo un error al migrar los datos del registro a la base de datos: [{0}] |
| [S406] La migración de datos del registro a la base de datos se ha completado (nota: los certificados de usuario no se migran) |
| [S407] Los datos basados en el registro no se migraron a una base de datos porque ya existía una |
| [S408] No se puede degradar la configuración – [From version {0} to version {1}] |
| [S409] La configuración de ThreadPool se realizó correctamente - MinThreads ajustado de [workers: {0} completion: {1}] a: [workers: {2} completion: {3}] |
| [S410] Error en la configuración de ThreadPool: no se pudo ajustar MinThreads de [workers: {0} completion: {1}] a: [workers: {2} completion: {3}]; esto puede afectar la escalabilidad del servidor FAS |
| [S411] Error al iniciar el servicio FAS: [{0}] |
| [S412] Actualización de configuración completada – [From version {0} to version {1}] |
| [S413] El certificado de autorización caducará pronto (quedan {0} días). Detalles del certificado: {1} |
| [S414] El certificado de autorización ha caducado. Detalles del certificado: {0} |
| [S415] Se completaron las comprobaciones del certificado de autorización. Se registraron {0} problemas. La próxima comprobación vence en {1} |
Creación de aserciones de identidad [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Estos eventos se registran en tiempo de ejecución en el servidor FAS cuando un servidor de confianza afirma un inicio de sesión de usuario.
| Códigos de registro |
|---|
| [S101] El servidor [{0}] no está autorizado para afirmar identidades en el rol [{1}] |
| [S102] El servidor [{0}] no pudo afirmar UPN [{1}] (Excepción: {2}{3}) |
| [S103] El servidor [{0}] solicitó UPN [{1}] SID {2}, pero la búsqueda devolvió SID {3} |
| [S104] El servidor [{0}] no pudo afirmar UPN [{1}] (UPN no permitido por la regla [{2}]) |
| [S105] El servidor [{0}] emitió una aserción de identidad [upn: {1}, rol {2}, Contexto de seguridad: [{3}]] |
| [S120] Emisión de certificado para [upn: {0} role: {1} Security Context: [{2}]] |
| [S121] Certificado emitido a [upn: {0} role: {1}] por [certificate authority: {2}] |
| [S122] Advertencia: El servidor está sobrecargado [upn: {0} role: {1}][Solicitudes por minuto {2}]. |
| [S123] No se pudo emitir un certificado en ninguna CA para [upn: {0} role: {1}] [exception: {2}] |
| [S124] No se pudo emitir un certificado para [upn: {0} role: {1}] en [certificate authority: {2}] [exception: {3}] |
| [S125] La llamada agotó el tiempo de espera después de {0} segundos esperando que se completara la solicitud de certificado pendiente [upn: {1} role: {2} Security Context: [{3}]] |
| [S126] El servidor [{0}] intentó afirmar una identidad utilizando una regla no definida [{1}] |
| [S127] FAS no pudo solicitar un certificado para [upn: {0} role: {1} definition: {2}] porque el servidor está en modo de mantenimiento; utilice el cmdlet de PowerShell Set-FasServer para cambiar el comportamiento mientras está en modo de mantenimiento |
Actuando como parte de confianza [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Estos eventos se registran en tiempo de ejecución en el servidor FAS cuando un VDA inicia sesión un usuario.
| Códigos de registro |
|---|
| [S201] La parte de confianza [{0}] no tiene acceso a una contraseña. |
| [S202] La parte de confianza [{0}] no tiene acceso a un certificado. |
| [S203] La parte de confianza [{0}] no tiene acceso al proveedor de inicio de sesión |
| [S204] Parte de confianza [{0}] accediendo al proveedor de inicio de sesión para [upn: {1}] en el rol: [{2}] [Operation: {3}] según lo autorizado por [{4}] |
| [S205] Acceso denegado a la parte de confianza: la cuenta de llamada [{0}] no es una parte de confianza permitida de la regla [{1}] |
| [S206] La cuenta de llamada [{0}] no es una parte de confianza |
| [S208] Error en la operación de clave privada [Operation: {0} upn: {1} role: {2} certificateDefinition {3} Error {4} {5}]. |
| [S209] Certificado en caché no encontrado. [Caller: {0}] [upn: {1}] [role: {2}] [cert definition: {3}] [Operation: {4}] |
Servidor de certificados en sesión [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Estos eventos se registran en el servidor FAS cuando un usuario utiliza un certificado en sesión.
| Códigos de registro |
|---|
| [S301] Acceso denegado: El usuario [{0}] no tiene acceso a una tarjeta inteligente virtual |
| [S302] El usuario [{0}] solicitó una tarjeta inteligente virtual desconocida [thumbprint: {1}] |
| [S303] Acceso denegado: El usuario [{0}] no coincide con la tarjeta inteligente virtual [upn: {1}] |
| [S304] El usuario [{0}] ejecutando el programa [{1}] en el equipo [{2}] utilizando la tarjeta inteligente virtual [upn: {3} role: {4} thumbprint: {5}] para la operación de clave privada [{6}] |
| [S305] Error en la operación de clave privada [Operation: {0}] [upn: {1} role: {2} containerName {3} Error {4} {5}]. |
Complemento de aserción de FAS [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Estos eventos son registrados por el complemento de aserción de FAS.
| Códigos de registro |
|---|
| [S500] No hay ningún complemento de aserción de FAS configurado |
| [S501] No se pudo cargar el complemento de aserción de FAS configurado [exception:{0}] |
| [S502] Complemento de aserción de FAS cargado [pluginId={0}] [assembly={1}] [location={2}] |
| [S503] El servidor [{0}] no pudo afirmar el UPN [{1}] (se proporcionó evidencia de inicio de sesión, pero el complemento [{2}] no la admite) |
| [S504] El servidor [{0}] no pudo afirmar el UPN [{1}] (se proporcionó evidencia de inicio de sesión, pero no hay ningún complemento de FAS configurado) |
| [S505] El servidor [{0}] no pudo afirmar el UPN [{1}] (el complemento [{2}] rechazó la evidencia de inicio de sesión con el estado [{3}] y el mensaje [{4}]) |
| [S506] El complemento [{0}] aceptó la evidencia de inicio de sesión del servidor [{1}] para el UPN [{2}] con el mensaje [{3}] |
| [S507] El servidor [{0}] no pudo afirmar el UPN [{1}] (el complemento [{2}] lanzó la excepción [{3}] durante el método [{4}]) |
| [S507] El servidor [{0}] no pudo afirmar el UPN [{1}] (el complemento [{2}] lanzó la excepción [{3}]) |
| [S508] El servidor [{0}] no pudo afirmar el UPN [{1}] (se proporcionó la disposición de acceso, pero el complemento [{2}] no la admite) |
| [S509] El servidor [{0}] no pudo afirmar el UPN [{1}] (se proporcionó la disposición de acceso, pero no hay ningún complemento de FAS configurado) |
| [S510] El servidor [{0}] no pudo afirmar el UPN [{1}] (la disposición de acceso fue considerada no válida por el complemento [{2}] |
FAS habilitado para Workspace [Federated Authentication Service]
[Event Source: Citrix.Fas.Cloud]
Estos eventos se registran cuando se utiliza FAS con Workspace.
| Códigos de registro |
|---|
| [S001] Clave de autorización de Citrix Cloud rotada [fas id: {0}] [old key id:{1}] [new key id:{2}] |
| [S002] El módulo de soporte en la nube se está iniciando. URL del servicio en la nube de FasHub: {0} |
| [S003] FAS registrado en la nube [fas id: {0}] [transaction id: {1}] |
| [S004] FAS no pudo registrarse en la nube [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S005] FAS envió su configuración actual a la nube [fas id: {0}] [transaction id: {1}] |
| [S006] FAS no pudo enviar su configuración actual a la nube [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S007] FAS se dio de baja de la nube [fas id: {0}] [transaction id: {1}] |
| [S009] FAS no pudo darse de baja de la nube [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S010] El servicio FAS está conectado a la URL de mensajería en la nube: {0} |
| [S011] El servicio FAS no está conectado a la nube |
| [S012] El servicio FAS está disponible para el inicio de sesión único desde Citrix Cloud |
| [S013] El servicio FAS no está disponible para el inicio de sesión único desde Citrix Cloud. [{0}] Se pueden encontrar más detalles en la consola de administración |
[S014] Una llamada al servicio en la nube <service name> falló [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S015] Se bloqueó un mensaje de Citrix Cloud porque el autor de la llamada no tiene permiso [message ID {0}] [transaction ID {1}] [caller {2}] |
[S016] Una llamada al servicio en la nube <service name> se realizó correctamente [fas id: {0}] [transaction id: {1}] |
| [S019] FAS descargó su configuración de la nube [fas id: {0}] [transaction id: {1}] |
| [S020] FAS no pudo descargar su configuración de la nube [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S021] El módulo de soporte en la nube no se pudo iniciar. Excepción: {0} |
| [S022] El módulo de soporte en la nube se está deteniendo |
| [S023] No se pudo rotar la clave de autorización de Citrix Cloud [fas id: {0}] [current key id:{1}] [new key id:{2}] [keys in cloud:{3}] |
| [S024] Iniciando la rotación de la clave de autorización de Citrix Cloud [fas id: {0}] [current key id:{1}] [new key id:{2}] |
| [S025] La clave de autorización de este servicio está presente en Citrix Cloud [current key: {0}] [keys in cloud: {1}] |
| [S026] La clave de autorización de este servicio no está presente en Citrix Cloud [current key: {0}] [keys in cloud: {1}] |
| [S027] Se actualizó el formato de almacenamiento de la clave de autorización de Citrix Cloud [fas id: {0}] |
| [S028] FAS envió su telemetría actual a la nube [fas id: {0}] [transaction id: {1}] |
| [S029] FAS no pudo enviar su telemetría actual a la nube [fas id: {0}] [transaction id: {1}] [exception: {2}] |
Inicio de sesión [VDA]
[Event Source: Citrix.Authentication.IdentityAssertion]
Estos eventos se registran en el VDA durante la fase de inicio de sesión.
| Códigos de registro |
|---|
| [S101] Error en el inicio de sesión de aserción de identidad. Índice de GPO del Servicio de autenticación federada no reconocido [index: {0}] [registry name: {1}] |
| [S102] Error en el inicio de sesión de aserción de identidad. Error en la búsqueda de SID para {0} [Exception: {1}{2}] |
| [S103] Error en el inicio de sesión de aserción de identidad. El usuario {0} tiene el SID {1}, pero el SID esperado es {2} |
| [S104] Error en el inicio de sesión de aserción de identidad. La llamada a {0} devolvió [Error: {1} {2}] |
| [S105] Inicio de sesión de aserción de identidad. Iniciando sesión [Username: {0} Domain: {1}] |
| [S106] Inicio de sesión de aserción de identidad.\n\nServicio de autenticación federada: {0}\n\nIniciando sesión [Certificate: {1}] |
| [S107] Error en el inicio de sesión de aserción de identidad. [Exception: {0}{1}] |
| [S108] Subsistema de aserción de identidad. ACCESS_DENIED [Caller: {0}] |
Certificados en sesión [VDA]
[Event Source: Citrix.Authentication.IdentityAssertion]
Estos eventos se registran en el VDA cuando un usuario intenta usar un certificado en sesión.
| Códigos de registro |
|---|
| [S201] Acceso a tarjeta inteligente virtual autorizado por [{0}] para [PID: {1} Program Name: {2}Certificate thumbprint: {3}] |
| [S203] Subsistema de tarjeta inteligente virtual. Acceso denegado [caller: {0}, session {1}] |
| [S204] Subsistema de tarjeta inteligente virtual. Compatibilidad con tarjeta inteligente deshabilitada |
Solicitud de certificado y generación de par de claves [Federated Authentication Service]
[Event Source: Citrix.Fas.PkiCore]
Estos eventos se registran cuando el servidor FAS realiza operaciones criptográficas de bajo nivel.
| Códigos de registro |
|---|
| [S001] TrustArea::TrustArea: Certificado instalado [TrustArea: {0} Certificate {1}TrustAreaJoinParameters {2}] |
| [S014] Pkcs10Request::Create: Solicitud PKCS10 creada [Distinguished Name: {0}] [Reason: {1}] |
| [S016] PrivateKey::Create [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}] |
| [S017] PrivateKey::Delete [Provider: {0}] [Identifier {1}] [Twin: {2}] |
| [S018] PrivateKey::Create falló [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}] [Exception: {8}] |
| Códigos de registro |
|---|
| [S104] FAS recibió un certificado de autorización de la CA {0} |
| [S105] MicrosoftCertificateAuthority::SubmitCertificateRequest Error al enviar respuesta [{0}] |
| [S106] MicrosoftCertificateAuthority::SubmitCertificateRequest Certificado emitido [{0}] |
| [S112] MicrosoftCertificateAuthority::SubmitCertificateRequest - Esperando aprobación [CR_DISP_UNDER_SUBMISSION] [Reference: {0}] |
Mensajes de error del usuario final
Esta sección enumera los mensajes de error comunes que se muestran a un usuario en la página de inicio de sesión de Windows.
| Mensaje de error mostrado | Descripción y referencia |
|---|---|
| Nombre de usuario o contraseña no válidos | El equipo cree que tiene un certificado y una clave privada válidos, pero el controlador de dominio de Kerberos ha rechazado la conexión. Consulte la sección Registros de Kerberos de este artículo. |
| El sistema no pudo iniciar su sesión. Sus credenciales no pudieron verificarse. / La solicitud no es compatible | No se puede contactar con el controlador de dominio, o el controlador de dominio no se ha configurado con un certificado para admitir la autenticación con tarjeta inteligente. Inscriba el controlador de dominio para un certificado de “Autenticación Kerberos”, “Autenticación de controlador de dominio” o “Controlador de dominio”. Vale la pena intentarlo, incluso cuando el certificado existente parece ser válido. |
| El sistema no pudo iniciar su sesión. El certificado de tarjeta inteligente utilizado para la autenticación no era de confianza. | Los certificados intermedios y raíz no están instalados en el equipo local. Consulte Certificados e infraestructura de clave pública. |
| Solicitud incorrecta | Esto suele indicar que las extensiones del certificado no están configuradas correctamente, o que la clave RSA es demasiado corta (<2048 bits). |
Rastreo siempre activo de FAS
Con el rastreo siempre activo, FAS registra su actividad en el sistema de archivos. Esto puede ayudar a solucionar problemas, eliminando potencialmente la necesidad de reproducir un incidente que haya ocurrido.
El rastreo siempre activo se habilita al instalar o actualizar FAS mediante cualquiera de estos métodos:
- El instalador de Citrix Virtual Apps and Desktops™: desde el botón Federated Authentication Service en la pantalla de inicio automático cuando se inserta el ISO
-
XenDesktopFasSetup.exe: Se encuentra en el ISO de Citrix Virtual Apps and Desktops enx64\XenDesktop Setup\XenDesktopFasSetup.exe -
FasSetup_xxxx.exe: el archivo de instalación independiente de FAS, disponible en Citrix Downloads.
Nota:
El rastreo siempre activo no está disponible si instala o actualiza mediante el archivo MSI del instalador de FAS,
FederatedAuthenticationService_x64.msi.
Recopilación del rastreo siempre activo
Utilice Citrix Scout para recopilar el rastreo siempre activo y otros datos de diagnóstico de su servidor FAS. Citrix Scout se instala al instalar FAS mediante cualquiera de los métodos anteriores.
Inhabilitar el rastreo siempre activo
Si por alguna razón desea inhabilitar el rastreo siempre activo, detenga e inhabilite el Citrix Telemetry Service en su servidor FAS.
Envío del rastreo siempre activo a un servidor de registro central
Para obtener más información y pasos de configuración, consulte el artículo sobre el rastreo siempre activo (AOT).
Información relacionada
- ConfigurEjecutar el siguiente comando de PowerShell en el servidor FAS para configurar FAS para un dominio para el inicio de sesión con tarjeta inteligente
- Directivas de inicio de sesión con tarjeta inteligente
- Habilitación del registro CAPI
- Habilitación del registro Kerberos
- Directrices para habilitar el inicio de sesión con tarjeta inteligente con autoridades de certificación de terceros
En este artículo
- Certificados e infraestructura de clave pública
- Asignación de nombre UPN y certificado
- Controlar la selección del controlador de dominio de inicio de sesión
- Habilitar eventos de auditoría de cuenta
- Registros de validación de certificados
- Registros de Kerberos
- Registros del controlador de dominio y de la estación de trabajo
- Supervisión de FAS mediante el registro de eventos de Windows
- Registros de eventos de FAS
- Mensajes de error del usuario final
- Rastreo siempre activo de FAS
- Información relacionada