Dépanner les problèmes de connexion Windows
Cet article décrit les journaux et les messages d’erreur que Windows fournit lorsqu’un utilisateur se connecte à l’aide de certificats ou de cartes à puce, ou des deux. Ces journaux fournissent des informations que vous pouvez utiliser pour dépanner les échecs d’authentification.
Certificats et infrastructure à clé publique
Windows Active Directory gère plusieurs magasins de certificats qui gèrent les certificats pour les utilisateurs qui se connectent.
-
Magasin de certificats NTAuth : Pour s’authentifier auprès de Windows, l’autorité de certification émettant immédiatement les certificats utilisateur (c’est-à-dire qu’aucune chaîne n’est prise en charge) doit être placée dans le magasin NTAuth. Pour afficher ces certificats, à partir du programme certutil, entrez :
certutil –viewstore –enterprise NTAuth - Magasins de certificats racine et intermédiaires : Généralement, les systèmes de connexion par certificat ne peuvent fournir qu’un seul certificat, donc si une chaîne est utilisée, le magasin de certificats intermédiaires sur toutes les machines doit inclure ces certificats. Le certificat racine doit se trouver dans le magasin de racines de confiance, et l’avant-dernier certificat doit se trouver dans le magasin NTAuth.
- Extensions de certificat de connexion et stratégie de groupe : Windows peut être configuré pour appliquer la vérification des EKU et d’autres stratégies de certificat. Consultez la documentation Microsoft : https://docs.microsoft.com/fr-fr/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10).
| Stratégie de registre | Description |
|---|---|
| AllowCertificatesWithNoEKU | Lorsqu’elle est désactivée, les certificats doivent inclure l’utilisation étendue de clé (EKU) de connexion par carte à puce. |
| AllowSignatureOnlyKeys | Par défaut, Windows filtre les clés privées de certificat qui n’autorisent pas le déchiffrement RSA. Cette option annule ce filtre. |
| AllowTimeInvalidCertificates | Par défaut, Windows filtre les certificats expirés. Cette option annule ce filtre. |
| EnumerateECCCerts | Active l’authentification par courbe elliptique. |
| X509HintsNeeded | Si un certificat ne contient pas de nom d’utilisateur principal (UPN) unique, ou s’il est ambigu, cette option permet aux utilisateurs de spécifier manuellement leur compte de connexion Windows. |
| UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors | Désactive la vérification de révocation (définie sur le contrôleur de domaine). |
- Certificats de contrôleur de domaine : Pour authentifier les connexions Kerberos, tous les serveurs doivent disposer de certificats « Contrôleur de domaine » appropriés. Ceux-ci peuvent être demandés à l’aide du menu du composant logiciel enfichable MMC « Magasin personnel de certificats de l’ordinateur local ».
Nom UPN et mappage de certificat
Il est recommandé que les certificats utilisateur incluent un nom d’utilisateur principal (UPN) unique dans l’extension Nom alternatif du sujet.
Noms UPN dans Active Directory
Par défaut, chaque utilisateur dans Active Directory possède un UPN implicite basé sur le modèle <samUsername>@<domainNetBios> et <samUsername>@<domainFQDN>. Les domaines et FQDN disponibles sont inclus dans l’entrée RootDSE de la forêt. Un seul domaine peut avoir plusieurs adresses FQDN enregistrées dans le RootDSE.
De plus, chaque utilisateur dans Active Directory possède un UPN explicite et des altUserPrincipalNames. Ce sont des entrées LDAP qui spécifient l’UPN pour l’utilisateur.
Lors de la recherche d’utilisateurs par UPN, Windows recherche d’abord dans le domaine actuel (en fonction de l’identité du processus recherchant l’UPN) les UPN explicites, puis les UPN alternatifs. S’il n’y a pas de correspondances, il recherche l’UPN implicite, qui peut se résoudre à différents domaines dans la forêt.
Service de mappage de certificats
Si un certificat n’inclut pas d’UPN explicite, Active Directory a la possibilité de stocker un certificat public exact pour chaque utilisation dans un attribut « x509certificate ». Pour résoudre un tel certificat à un utilisateur, un ordinateur peut interroger directement cet attribut (par défaut, dans un seul domaine).
Une option est fournie à l’utilisateur pour spécifier un compte d’utilisateur qui accélère cette recherche, et permet également d’utiliser cette fonctionnalité dans un environnement inter-domaines.
S’il existe plusieurs domaines dans la forêt et que l’utilisateur ne spécifie pas explicitement un domaine, le rootDSE d’Active Directory spécifie l’emplacement du service de mappage de certificats. Celui-ci se trouve sur une machine de catalogue global et dispose d’une vue en cache de tous les attributs de certificat x509 dans la forêt. Cet ordinateur peut être utilisé pour trouver efficacement un compte d’utilisateur dans n’importe quel domaine, en se basant uniquement sur le certificat.
Contrôler la sélection du contrôleur de domaine de connexion
Lorsqu’un environnement contient plusieurs contrôleurs de domaine, il est utile de voir et de restreindre quel contrôleur de domaine est utilisé pour l’authentification, afin que les journaux puissent être activés et récupérés.
Contrôler la sélection du contrôleur de domaine
Pour forcer Windows à utiliser un contrôleur de domaine Windows particulier pour la connexion, vous pouvez définir explicitement la liste des contrôleurs de domaine qu’une machine Windows utilise en configurant le fichier lmhosts : \Windows\System32\drivers\etc\lmhosts.
Il y a généralement un exemple de fichier nommé “lmhosts.sam” à cet emplacement. Il suffit d’inclure une ligne :
1.2.3.4 dcnetbiosname #PRÉF #DOM:mydomai
Où “1.2.3.4” est l’adresse IP du contrôleur de domaine nommé dcnetbiosname dans le domaine mydomain.
Après un redémarrage, la machine Windows utilise ces informations pour se connecter à mydomain. Cette configuration doit être annulée une fois le débogage terminé.
Identifier le contrôleur de domaine utilisé
Lors de la connexion, Windows définit une variable d’environnement MSDOS avec le contrôleur de domaine qui a connecté l’utilisateur. Pour le voir, démarrez l’invite de commande avec la commande : echo %LOGONSERVER%.
Les journaux relatifs à l’authentification sont stockés sur l’ordinateur renvoyé par cette commande.
Activer les événements d’audit de compte
Par défaut, les contrôleurs de domaine Windows n’activent pas les journaux d’audit de compte complets. Cela peut être contrôlé via les stratégies d’audit dans les paramètres de sécurité de l’éditeur de stratégie de groupe. Pour ouvrir l’éditeur de stratégie de groupe, exécutez gpedit.msc sur le contrôleur de domaine. Une fois les stratégies d’audit activées, le contrôleur de domaine produit des informations de journal d’événements supplémentaires dans le journal de sécurité.
Activer les événements d’audit de compte(/fr-fr/federated-authentication-service/current-release/media/fas-troubleshoot-logon-auditpolicy.png)
Journaux de validation de certificat
Vérifier la validité du certificat
Si un certificat de carte à puce est exporté en tant que certificat DER (aucune clé privée requise), vous pouvez le valider avec la commande : certutil –verify user.cer
Activer la journalisation CAPI
Sur le contrôleur de domaine et la machine des utilisateurs, ouvrez l’observateur d’événements et activez la journalisation pour Microsoft/Windows/CAPI2/Journaux opérationnels.
Sur le contrôleur de domaine et la machine VDA, ouvrez l’observateur d’événements et accédez à Journaux des applications et des services > Microsoft > Windows > CAPI2 > Opérationnel. Cliquez avec le bouton droit sur Opérationnel et sélectionnez Activer le journal.
De plus, affinez la journalisation CAPI avec les valeurs de registre à l’emplacement : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32. Les valeurs suivantes n’existent pas par défaut. Vous devez les créer. Supprimez les valeurs si vous souhaitez revenir aux paramètres de journalisation CAPI2 par défaut.
| Valeur | Description |
|---|---|
| DiagLevel (DWORD) | Niveau de verbosité (0 à 5) |
| DiagMatchAnyMask (QUADWORD) | Filtre d’événements (utiliser 0xffffff pour tout) |
| DiagProcessName (MULTI_SZ) | Filtrer par nom de processus (par exemple, LSASS.exe) |
Journaux CAPI
| Message | Description |
|---|---|
| Construire la chaîne | LSA a appelé CertGetCertificateChain (inclut le résultat) |
| Vérifier la révocation | LSA a appelé CertVerifyRevocation (inclut le résultat) |
| Objets X509 | En mode détaillé, les certificats et les listes de révocation de certificats (CRL) sont vidés dans AppData\LocalLow\Microsoft\X509Objects |
| Vérifier la politique de chaîne | LSA a appelé CertVerifyChainPolicy (inclut les paramètres) |
Messages d’erreur
| Code d’erreur | Description |
|---|---|
| Certificat non approuvé | Le certificat de carte à puce n’a pas pu être construit à l’aide des certificats des magasins de certificats intermédiaires et racines de confiance de l’ordinateur. |
| Erreur de vérification de la révocation du certificat | La liste de révocation de certificats (CRL) pour la carte à puce n’a pas pu être téléchargée depuis l’adresse spécifiée par le point de distribution de la CRL du certificat. Si la vérification de la révocation est obligatoire, cela empêche la connexion de réussir. Consultez la section Certificats et infrastructure à clé publique. |
| Erreurs d’utilisation du certificat | Le certificat n’est pas adapté à la connexion. Par exemple, il peut s’agir d’un certificat de serveur ou d’un certificat de signature. |
Journaux Kerberos
Pour activer la journalisation Kerberos, sur le contrôleur de domaine et la machine de l’utilisateur final, créez les valeurs de registre suivantes :
| Ruche | Nom de la valeur | Valeur [DWORD] |
|---|---|---|
| CurrentControlSet\Control\Lsa\Kerberos\Parameters | LogLevel | 0x1 |
| CurrentControlSet\Control\Lsa\Kerberos\Parameters | KerbDebuglevel | 0xffffffff |
| CurrentControlSet\Services\Kdc | KdcDebugLevel | 0x1 |
| CurrentControlSet\Services\Kdc | KdcExtraLogLevel | 0x1f |
La journalisation Kerberos est générée dans le journal d’événements système.
- Les messages tels que certificat non approuvé doivent être faciles à diagnostiquer.
- Deux codes d’erreur sont informatifs et peuvent être ignorés en toute sécurité :
- KDC_ERR_PREAUTH_REQUIRED (utilisé pour la compatibilité descendante avec les contrôleurs de domaine plus anciens)
- Erreur inconnue 0x4b
Journaux du contrôleur de domaine et du poste de travail
Cette section décrit les entrées de journal attendues sur le contrôleur de domaine et le poste de travail lorsque l’utilisateur se connecte avec un certificat.
- Journal CAPI2 du contrôleur de domaine
- Journaux de sécurité du contrôleur de domaine
- Journal de sécurité du Virtual Delivery Agent (VDA)
- Journal CAPI du VDA
- Journal système du VDA
Journal CAPI2 du contrôleur de domaine
Lors d’une ouverture de session, le contrôleur de domaine valide le certificat de l’appelant, produisant une séquence d’entrées de journal sous la forme suivante.
Le message final du journal d’événements montre lsass.exe sur le contrôleur de domaine construisant une chaîne basée sur le certificat fourni par le VDA, et la vérifiant pour sa validité (y compris la révocation). Le résultat est renvoyé comme “ERROR_SUCCESS”.
Journal de sécurité du contrôleur de domaine
Le contrôleur de domaine affiche une séquence d’événements d’ouverture de session, l’événement clé étant 4768, où le certificat est utilisé pour émettre le Ticket d’octroi de tickets Kerberos (krbtgt).
Les messages précédents montrent le compte machine du serveur s’authentifiant auprès du contrôleur de domaine. Les messages suivants montrent le compte utilisateur appartenant au nouveau krbtgt étant utilisé pour s’authentifier auprès du contrôleur de domaine.
Journal de sécurité du VDA
Les journaux d’audit de sécurité VDA correspondant à l’événement d’ouverture de session sont l’entrée avec l’ID d’événement 4648, provenant de winlogon.exe.
Journal CAPI VDA
Cet exemple de journal CAPI VDA montre une séquence unique de construction et de vérification de chaîne à partir de lsass.exe, validant le certificat du contrôleur de domaine (dc.citrixtest.net).
Journal système VDA
Lorsque la journalisation Kerberos est activée, le journal système affiche l’erreur KDC_ERR_PREAUTH_REQUIRED (qui peut être ignorée) et une entrée de l’ouverture de session Windows indiquant que l’ouverture de session Kerberos a réussi.
Surveillance de FAS à l’aide du journal d’événements Windows
Tous les événements FAS sont écrits dans le journal d’événements d’application Windows. Vous pouvez utiliser des produits tels que System Center Operations Manager (SCOM) pour surveiller l’état de votre service FAS à l’aide des processus et des événements décrits ici.
Le service FAS est-il en cours d’exécution ?
Pour déterminer si le service FAS est en cours d’exécution, surveillez le processus Citrix.Authentication.FederatedAuthenticationService.exe.
Seuls les événements les plus importants pour la surveillance du service FAS sont décrits dans cette section. Pour la liste complète des codes d’événements FAS, consultez Journaux d’événements FAS.
Événements d’intégrité FAS
Les événements suivants indiquent si votre service FAS est sain.
La source de l’événement est Citrix.Authentication.FederatedAuthenticationService.
| Événement | Texte de l’événement | Explication | Remarques |
|---|---|---|---|
| [S003] | L’administrateur [{0}] définit le mode de maintenance sur [{1}] | Le service FAS a été mis en mode maintenance ou en a été retiré. | En mode maintenance, le serveur FAS n’est pas utilisable pour l’authentification unique. |
| [S022] | L’administrateur [{0}] désactive le mode de maintenance | Le service FAS a été retiré du mode maintenance. | Disponible à partir de FAS 10.7 / Citrix Virtual Apps and Desktops 2109. |
| [S023] | Administrateur [{0}] activant le mode maintenance | Le service FAS a été mis en mode maintenance. | Disponible à partir de FAS 10.7 / Citrix Virtual Apps and Desktops 2109. |
| [S123] | Échec de l’émission d’un certificat pour une autorité de certification quelconque pour [upn: {0} role: {1}] [exception: {2}] | Cet événement se produit après [S124] si aucune des autorités de certification configurées avec FAS n’a émis de certificat utilisateur. L’authentification unique échouera pour cet utilisateur. | Cet événement indique que toutes les autorités de certification configurées ne fonctionnent pas. Si FAS est configuré pour utiliser un HSM, cela peut également indiquer que le HSM ne fonctionne pas. |
| [S124] | Échec de l’émission d’un certificat pour [upn: {0} role: {1}] auprès de [certificate authority: {2}] [exception: {3}] | Une défaillance s’est produite lorsque FAS a tenté de demander un certificat utilisateur à l’autorité de certification donnée. Si FAS est configuré avec plusieurs autorités de certification, FAS tente la demande auprès d’une autre autorité de certification. | Cet événement peut indiquer que l’autorité de certification ne fonctionne pas ou n’est pas joignable. Si FAS est configuré pour utiliser un HSM, cela peut également indiquer que le HSM ne fonctionne pas. L’exception peut être utilisée pour aider à identifier la cause du problème. |
| [S413] | Certificat d’autorisation expirant bientôt (reste {0} jours). Détails du certificat : {1} | Cet événement est généré périodiquement lorsque le certificat d’autorisation FAS est proche de l’expiration. Par défaut, l’événement est généré chaque jour si le certificat d’autorisation expire dans les 30 jours. | Les paramètres par défaut peuvent être ajustés à l’aide de la cmdlet Set-FasRaCertificateMonitor ; voir cmdlets PowerShell. |
| [S414] | Le certificat d’autorisation a expiré. Détails du certificat : {0} | Cet événement est généré périodiquement lorsque le certificat d’autorisation FAS a expiré. Par défaut, l’événement est généré quotidiennement. | Une fois expiré, FAS n’est plus en mesure de générer de nouveaux certificats utilisateur et l’authentification unique commence à échouer. |
Événements FAS connectés au cloud
Si vous utilisez FAS avec Citrix Cloud™, les événements suivants indiquent si votre service FAS est sain.
La source de l’événement est Citrix.Fas.Cloud.
| Événement | Texte de l’événement | Explication | Remarques |
|---|---|---|---|
| [S012] | Le service FAS est disponible pour l’authentification unique depuis Citrix Cloud | Cet événement indique que l’authentification unique depuis Workspace (c’est-à-dire Citrix Cloud) devrait fonctionner. | Avant d’émettre cet événement, FAS vérifie (1) qu’il est configuré, (2) qu’il n’est pas en mode maintenance et (3) qu’il est connecté à Citrix Cloud. |
| [S013] | Le service FAS n’est pas disponible pour l’authentification unique depuis Citrix Cloud. [{0}] Des détails supplémentaires sont disponibles dans la console d’administration. | Cet événement indique que FAS n’est pas en mesure de fournir une authentification unique depuis Workspace (c’est-à-dire Citrix Cloud). Le message inclut la raison pour laquelle l’authentification unique ne fonctionne pas. | FAS maintient une connexion persistante à Citrix Cloud. De temps en temps, cette connexion peut être interrompue pour diverses raisons (telles qu’un problème réseau ou une politique de durée de vie de la connexion sur un serveur proxy). Lorsque cela se produit, le texte de l’événement contient « Le service n’est pas connecté au cloud ». Il s’agit d’un comportement normal, et FAS tente immédiatement de rétablir une connexion à Citrix Cloud. |
Événements de sécurité
Les événements suivants indiquent qu’une entité non autorisée a tenté d’utiliser FAS.
La source de l’événement est Citrix.Authentication.FederatedAuthenticationService.
| Événement | Texte de l’événement | Explication |
|---|---|---|
| [S001] | ACCÈS REFUSÉ : L’utilisateur [{0}] n’est pas membre du groupe Administrateurs | Une tentative a été faite pour afficher ou modifier la configuration de FAS, mais l’appelant n’était pas un administrateur FAS. |
| [S002] | ACCÈS REFUSÉ : L’utilisateur [{0}] n’est pas un administrateur du rôle [{1}] | Une tentative a été faite pour afficher ou modifier la configuration d’une règle FAS, mais l’appelant n’était pas un administrateur FAS. |
| [S101] | Le serveur [{0}] n’est pas autorisé à affirmer des identités dans le rôle [{1}] | Une tentative a été faite pour affirmer des identités d’utilisateur, mais l’appelant n’est pas autorisé à le faire. Seuls les serveurs StoreFront™, qui ont été autorisés dans la configuration de la règle FAS (et Workspace, le cas échéant), sont autorisés à affirmer des identités d’utilisateur. |
| [S104] | Le serveur [{0}] n’a pas réussi à affirmer l’UPN [{1}] (UPN non autorisé par la règle [{2}]) | Une tentative a été faite pour affirmer une identité d’utilisateur, mais le compte de l’utilisateur n’est pas autorisé selon la configuration de la règle FAS. |
| [S205] | Accès du tiers de confiance refusé - le compte appelant [{0}] n’est pas un tiers de confiance autorisé de la règle [{1}] | Un VDA a tenté d’effectuer une authentification unique avec FAS, mais le VDA n’est pas autorisé selon la configuration de la règle FAS. |
Journaux d’événements FAS
Les tableaux suivants répertorient les entrées du journal d’événements générées par FAS.
Événements d’administration [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Ces événements sont enregistrés en réponse à une modification de configuration sur le serveur FAS.
| Codes de journal |
|---|
| [S001] ACCÈS REFUSÉ : L’utilisateur [{0}] n’est pas membre du groupe Administrateurs |
| [S002] ACCÈS REFUSÉ : L’utilisateur [{0}] n’est pas un administrateur du rôle [{1}] |
| [S003] L’administrateur [{0}] définit le mode de maintenance sur [{1}] |
| [S004] L’administrateur [{0}] demande un certificat d’autorisation à l’autorité de certification [{1}] en utilisant les modèles [{2} and {3}] |
| [S005] L’administrateur [{0}] supprime l’autorisation FAS [RA cert id: {1}] |
| [S006] L’administrateur [{0}] crée la définition de certificat [{1}] |
| [S007] L’administrateur [{0}] met à jour la définition de certificat [{1}] |
| [S008] L’administrateur [{0}] supprime la définition de certificat [{1}] |
| [S009] L’administrateur [{0}] crée la règle [{1}] |
| [S010] L’administrateur [{0}] met à jour la règle [{1}] |
| [S011] L’administrateur [{0}] supprime la règle [{1}] |
| [S012] L’administrateur [{0}] crée le certificat [upn: {1} sid: {2} rule: {3}]Définition de certificat : {4} Contexte de sécurité : {5}] |
| [S013] L’administrateur [{0}] supprime les certificats [upn: {1} role: {2} Certificate Definition: {3} Security Context: {4}] |
| [S015] L’administrateur [{0}] crée la demande de certificat [TPM: {1}] |
| [S016] L’administrateur [{0}] importe le certificat d’autorisation [Reference: {1}] |
| [S022] L’administrateur [{0}] définit le mode de maintenance sur Désactivé |
| [S023] L’administrateur [{0}] définit le mode de maintenance sur Activé |
| [S024] L’administrateur [{0}] définit le moniteur d’intégrité du système |
| [S025] L’administrateur [{0}] définit le moniteur d’intégrité du système |
| [S026] L’administrateur [{0}] définit le moniteur de certificat RA |
| [S027] L’administrateur [{0}] réinitialise le moniteur de certificat RA |
| [S028] L’administrateur [{0}] définit la configuration de clé pour le certificat [{1}] sur [{2}] |
| [S029] L’administrateur [{0}] réinitialise la configuration de clé pour le certificat [{1}] aux valeurs par défaut [{2}] |
| [S030] L’administrateur [{0}] définit les propriétés du service sur [{1}] |
| [S031] L’administrateur [{0}] désautorise la CA [RA cert id: {1}] |
| [S050] L’administrateur [{0}] crée la configuration cloud : [{1}] |
| [S051] L’administrateur [{0}] met à jour la configuration cloud : [{1}] |
| [S052] L’administrateur [{0}] supprime la configuration cloud |
| [S060] L’administrateur [{0}] demande l’enregistrement cloud. Instance : {1} |
| L’administrateur [S060] [{0}] demande l’enregistrement Direct Trust Cloud. Instance : {1} FormatUrlServiceCloud : {2} |
| L’administrateur [S061] [{0}] finalise l’enregistrement cloud. Emplacement de la ressource : {1}, Nom de la règle : {2} |
| L’administrateur [S062] [{0}] a terminé l’enregistrement cloud. Emplacement de la ressource : {1} ({2}), Nom de la règle : {3}, Client : {4} ({5}) |
| [S063] Une erreur KRS s’est produite lors de l’enregistrement cloud. L’exception était {0} |
| [S064] Une erreur inconnue s’est produite lors de l’enregistrement cloud. L’exception était {0} |
| L’administrateur [S065] [{0}] demande l’enregistrement Direct Trust Cloud. Instance : {1} FormatUrlServiceCloud : {2} |
| Codes de journal |
|---|
| [S401] Mise à niveau de la configuration en cours - [From version {0} to version {1}] |
| [S402] ERREUR : Le service d’authentification fédérée Citrix doit être exécuté en tant que service réseau [currently running as: {0}] |
| [S404] Effacement forcé de la base de données du service d’authentification fédérée Citrix |
| [S405] Une erreur s’est produite lors de la migration des données du registre vers la base de données : [{0}] |
| [S406] La migration des données du registre vers la base de données est terminée (remarque : les certificats utilisateur ne sont pas migrés) |
| [S407] Les données basées sur le registre n’ont pas été migrées vers une base de données car une base de données existait déjà |
| [S408] Impossible de rétrograder la configuration – [From version {0} to version {1}] |
| [S409] La configuration du pool de threads a réussi - MinThreads ajusté de [workers: {0} completion: {1}] à : [workers: {2} completion: {3}] |
| [S410] La configuration du ThreadPool a échoué - impossible d’ajuster MinThreads de [workers: {0} completion: {1}] à : [workers: {2} completion: {3}]; cela pourrait affecter l’évolutivité du serveur FAS |
| [S411] Erreur lors du démarrage du service FAS : [{0}] |
| [S412] Mise à niveau de la configuration terminée – [From version {0} to version {1}] |
| [S413] Le certificat d’autorisation expire bientôt (il reste {0} jours). Détails du certificat : {1} |
| [S414] Le certificat d’autorisation a expiré. Détails du certificat : {0} |
| [S415] Les vérifications du certificat d’autorisation sont terminées. {0} problèmes ont été enregistrés. La prochaine vérification est prévue dans {1} |
Création d’assertions d’identité [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Ces événements sont enregistrés à l’exécution sur le serveur FAS lorsqu’un serveur approuvé affirme une ouverture de session utilisateur.
| Codes de journal |
|---|
| [S101] Le serveur [{0}] n’est pas autorisé à affirmer des identités dans le rôle [{1}] |
| [S102] Le serveur [{0}] n’a pas réussi à affirmer l’UPN [{1}] (Exception : {2}{3}) |
| [S103] Le serveur [{0}] a demandé l’UPN [{1}] SID {2}, mais la recherche a renvoyé le SID {3} |
| [S104] Le serveur [{0}] n’a pas réussi à affirmer l’UPN [{1}] (l’UPN n’est pas autorisé par la règle [{2}]) |
| [S105] Le serveur [{0}] a émis une assertion d’identité [upn : {1}, rôle {2}, Contexte de sécurité : [{3}]] |
| [S120] Émission du certificat à [upn: {0} rôle : {1} Contexte de sécurité : [{2}]] |
| [S121] Certificat émis pour [upn: {0} role: {1}] par [certificate authority: {2}] |
| [S122] Avertissement : Le serveur est surchargé [upn: {0} rôle : {1}][Requêtes par minute {2}]. |
| [S123] Échec de l’émission d’un certificat auprès d’une CA pour [upn: {0} role: {1}] [exception: {2}] |
| [S124] Échec de l’émission d’un certificat pour [upn: {0} role: {1}] à [certificate authority: {2}] [exception: {3}] |
| [S125] L’appel a expiré après {0} secondes en attente de la finalisation de la demande de certificat en suspens [upn: {1} rôle : {2} Contexte de sécurité : [{3}]] |
| [S126] Le serveur [{0}] a tenté d’affirmer une identité en utilisant une règle non définie [{1}] |
| [S127] FAS n’a pas pu demander de certificat pour [upn: {0} role: {1} definition: {2}] car le serveur est en mode maintenance ; utilisez la cmdlet PowerShell Set-FasServer pour modifier le comportement en mode maintenance |
Agir en tant que partie de confiance [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Ces événements sont enregistrés au moment de l’exécution sur le serveur FAS lorsqu’un VDA connecte un utilisateur.
| Codes de journal |
|---|
| [S201] La partie de confiance [{0}] n’a pas accès à un mot de passe. |
| [S202] La partie de confiance [{0}] n’a pas accès à un certificat. |
| [S203] La partie de confiance [{0}] n’a pas accès au fournisseur d’ouverture de session |
| [S204] Partie de confiance [{0}] accédant au fournisseur d’ouverture de session pour [upn: {1}] dans le rôle : [{2}] [Operation: {3}] tel qu’autorisé par [{4}] |
| [S205] Accès de la partie de confiance refusé - le compte appelant [{0}] n’est pas une partie de confiance autorisée de la règle [{1}] |
| [S206] Le compte appelant [{0}] n’est pas une partie de confiance |
| [S208] Échec de l’opération de clé privée [Opération : {0} upn : {1} rôle : {2} définition de certificat {3} Erreur {4} {5}]. |
| [S209] Certificat mis en cache introuvable. [Caller: {0}] [upn: {1}] [role: {2}] [cert definition: {3}] [Operation: {4}] |
Serveur de certificats de session [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Ces événements sont enregistrés sur le serveur FAS lorsqu’un utilisateur utilise un certificat de session.
| Codes de journal |
|---|
| [S301] Accès refusé : L’utilisateur [{0}] n’a pas accès à une carte à puce virtuelle |
| [S302] L’utilisateur [{0}] a demandé une carte à puce virtuelle inconnue [thumbprint: {1}] |
| [S303] Accès refusé : L’utilisateur [{0}] ne correspond pas à la carte à puce virtuelle [upn: {1}] |
| [S304] L’utilisateur [{0}] exécutant le programme [{1}] sur l’ordinateur [{2}] utilisant la carte à puce virtuelle [upn: {3} role: {4} thumbprint: {5}] pour l’opération de clé privée [{6}] |
| [S305] Échec de l’opération de clé privée [Operation: {0}] [upn: {1} role: {2} containerName {3} Error {4} {5}]. |
Plug-in d’assertion FAS [Federated Authentication Service]
[Event Source: Citrix.Authentication.FederatedAuthenticationService]
Ces événements sont enregistrés par le plug-in d’assertion FAS.
| Codes journal |
|---|
| [S500] Aucun plug-in d’assertion FAS n’est configuré |
| [S501] Le plug-in d’assertion FAS configuré n’a pas pu être chargé [exception:{0}] |
| [S502] Plug-in d’assertion FAS chargé [pluginId={0}] [assembly={1}] [location={2}] |
| [S503] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (des preuves d’ouverture de session ont été fournies mais le plug-in [{2}] ne les prend pas en charge) |
| [S504] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (des preuves d’ouverture de session ont été fournies mais aucun plug-in FAS n’est configuré) |
| [S505] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (le plug-in [{2}] a rejeté les preuves d’ouverture de session avec le statut [{3}] et le message [{4}]) |
| [S506] Le plug-in [{0}] a accepté les preuves d’ouverture de session du serveur [{1}] pour l’UPN [{2}] avec le message [{3}] |
| [S507] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (le plug-in [{2}] a levé l’exception [{3}] pendant la méthode [{4}]) |
| [S507] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (le plug-in [{2}] a levé l’exception [{3}]) |
| [S508] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (une disposition d’accès a été fournie mais le plug-in [{2}] ne la prend pas en charge) |
| [S509] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (une disposition d’accès a été fournie mais aucun plug-in FAS n’est configuré) |
| [S510] Le serveur [{0}] n’a pas pu affirmer l’UPN [{1}] (la disposition d’accès a été considérée comme invalide par le plug-in [{2}] |
FAS compatible avec Workspace [Federated Authentication Service]
[Event Source: Citrix.Fas.Cloud]
Ces événements sont enregistrés lorsque FAS est utilisé avec Workspace.
| Codes de journal |
|---|
| [S001] Clé d’autorisation Citrix Cloud renouvelée [fas id: {0}] [old key id:{1}] [new key id:{2}] |
| [S002] Le module de support cloud démarre. URL du service cloud FasHub : {0} |
| [S003] FAS enregistré auprès du cloud [fas id: {0}] [transaction id: {1}] |
| [S004] FAS n’a pas pu s’enregistrer auprès du cloud [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S005] FAS a envoyé sa configuration actuelle au cloud [fas id: {0}] [transaction id: {1}] |
| [S006] FAS n’a pas pu envoyer sa configuration actuelle au cloud [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S007] FAS désenregistré du cloud [fas id: {0}] [transaction id: {1}] |
| [S009] FAS n’a pas pu se désenregistrer du cloud [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S010] Le service FAS est connecté à l’URL de messagerie cloud : {0} |
| [S011] Le service FAS n’est pas connecté au cloud |
| [S012] Le service FAS est disponible pour l’authentification unique depuis Citrix Cloud |
| [S013] Le service FAS n’est pas disponible pour l’authentification unique depuis Citrix Cloud. [{0}] De plus amples détails sont disponibles dans la console d’administration. |
[S014] Un appel au service cloud <service name> a échoué [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S015] Un message de Citrix Cloud a été bloqué car l’appelant n’est pas autorisé [message ID {0}] [transaction ID {1}] [caller {2}] |
[S016] Un appel au service cloud <service name> a réussi [fas id: {0}] [transaction id: {1}] |
| [S019] FAS a téléchargé sa configuration depuis le cloud [fas id: {0}] [transaction id: {1}] |
| [S020] FAS n’a pas réussi à télécharger sa configuration depuis le cloud [fas id: {0}] [transaction id: {1}] [exception: {2}] |
| [S021] Le module de support cloud n’a pas pu démarrer. Exception : {0} |
| [S022] Le module de support cloud s’arrête |
| [S023] Échec de la rotation de la clé d’autorisation Citrix Cloud [fas id: {0}] [current key id:{1}] [new key id:{2}] [keys in cloud:{3}] |
| [S024] Initialisation de la rotation de la clé d’autorisation Citrix Cloud [fas id: {0}] [current key id:{1}] [new key id:{2}] |
| [S025] La clé d’autorisation de ce service est présente dans Citrix Cloud [current key: {0}] [keys in cloud: {1}] |
| [S026] La clé d’autorisation de ce service n’est pas présente dans Citrix Cloud [current key: {0}] [keys in cloud: {1}] |
| [S027] Mise à niveau du format de stockage de la clé d’autorisation Citrix Cloud [fas id: {0}] |
| [S028] FAS a envoyé sa télémétrie actuelle au cloud [fas id: {0}] [transaction id: {1}] |
| [S029] FAS n’a pas réussi à envoyer sa télémétrie actuelle au cloud [fas id: {0}] [transaction id: {1}] [exception: {2}] |
Ouverture de session [VDA]
[Event Source: Citrix.Authentication.IdentityAssertion]
Ces événements sont enregistrés sur le VDA pendant la phase d’ouverture de session.
| Codes de journal |
|---|
| [S101] L’ouverture de session par assertion d’identité a échoué. Index GPO du service d’authentification fédérée non reconnu [index: {0}] [registry name: {1}] |
| [S102] L’ouverture de session par assertion d’identité a échoué. La recherche SID a échoué pour {0} [Exception: {1}{2}] |
| [S103] L’ouverture de session par assertion d’identité a échoué. L’utilisateur {0} a le SID {1}, mais le SID attendu est {2} |
| [S104] L’ouverture de session par assertion d’identité a échoué. L’appel à {0} a renvoyé [Error: {1} {2}] |
| [S105] Ouverture de session par assertion d’identité. Ouverture de session en cours [Username: {0} Domain: {1}] |
| [S106] Ouverture de session par assertion d’identité.\n\nService d’authentification fédérée : {0}\n\nOuverture de session en cours [Certificate: {1}] |
| [S107] L’ouverture de session par assertion d’identité a échoué. [Exception: {0}{1}] |
| [S108] Sous-système d’assertion d’identité. ACCESS_DENIED [Caller: {0}] |
Certificats en session [VDA]
[Event Source: Citrix.Authentication.IdentityAssertion]
Ces événements sont enregistrés sur le VDA lorsqu’un utilisateur tente d’utiliser un certificat en session.
| Codes de journal |
|---|
| Accès à la carte à puce virtuelle [S201] autorisé par [{0}] pour [PID: {1} Program Name: {2}Certificate thumbprint: {3}] |
| Sous-système de carte à puce virtuelle [S203]. Accès refusé [caller: {0}, session {1}] |
| Sous-système de carte à puce virtuelle [S204]. Prise en charge de la carte à puce désactivée |
Demande de certificat et génération de paire de clés [Federated Authentication Service]
[Event Source: Citrix.Fas.PkiCore]
Ces événements sont enregistrés lorsque le serveur FAS effectue des opérations cryptographiques de bas niveau.
| Codes de journal |
|---|
| [S001] TrustArea::TrustArea : Certificat installé [TrustArea: {0} Certificate {1}TrustAreaJoinParameters {2}] |
| [S014] Pkcs10Request::Create : Demande PKCS10 créée [Distinguished Name: {0}] [Reason: {1}] |
| [S016] PrivateKey::Create [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}] |
| [S017] PrivateKey::Delete [Provider: {0}] [Identifier {1}] [Twin: {2}] |
| [S018] PrivateKey::Create a échoué [Identifier: {0}] [MachineWide: {1}] [Provider: {2}] [ProviderType: {3}] [EllipticCurve: {4}] [KeyLength: {5}] [isExportable: {6}] [CreateReason: {7}] [Exception: {8}] |
| Codes de journal |
|---|
| [S104] FAS a reçu un certificat d’autorisation de l’AC {0} |
| [S105] MicrosoftCertificateAuthority::SubmitCertificateRequest Erreur lors de la soumission de la réponse [{0}] |
| [S106] MicrosoftCertificateAuthority::SubmitCertificateRequest Certificat émis [{0}] |
| [S112] MicrosoftCertificateAuthority::SubmitCertificateRequest - En attente d’approbation [CR_DISP_UNDER_SUBMISSION] [Reference: {0}] |
Messages d’erreur de l’utilisateur final
Cette section répertorie les messages d’erreur courants affichés à un utilisateur sur la page de connexion Windows.
| Message d’erreur affiché | Description et référence |
|---|---|
| Nom d’utilisateur ou mot de passe invalide | L’ordinateur estime que vous disposez d’un certificat et d’une clé privée valides, mais le contrôleur de domaine Kerberos a rejeté la connexion. Consultez la section Journaux Kerberos de cet article. |
| Le système n’a pas pu vous connecter. Vos informations d’identification n’ont pas pu être vérifiées. / La demande n’est pas prise en charge | Le contrôleur de domaine ne peut pas être contacté, ou le contrôleur de domaine n’a pas été configuré avec un certificat pour prendre en charge l’authentification par carte à puce. Enregistrez le contrôleur de domaine pour un certificat “Authentification Kerberos”, “Authentification du contrôleur de domaine” ou “Contrôleur de domaine”. Cela vaut la peine d’être essayé, même lorsque le certificat existant semble valide. |
| Le système n’a pas pu vous connecter. Le certificat de carte à puce utilisé pour l’authentification n’était pas approuvé. | Les certificats intermédiaires et racine ne sont pas installés sur l’ordinateur local. Voir Certificats et infrastructure à clé publique. |
| Mauvaise requête | Cela indique généralement que les extensions du certificat ne sont pas correctement définies, ou que la clé RSA est trop courte (<2048 bits). |
Traçage permanent FAS
Avec le traçage permanent, FAS enregistre son activité dans le système de fichiers. Cela peut aider au dépannage, éliminant potentiellement le besoin de reproduire un incident survenu.
Le traçage permanent est activé lorsque vous installez ou mettez à niveau FAS à l’aide de l’une des méthodes suivantes :
- Le programme d’installation de Citrix Virtual Apps and Desktops™ : à partir du bouton Federated Authentication Service sur l’écran de démarrage automatique lorsque l’ISO est inséré
-
XenDesktopFasSetup.exe: Situé sur l’ISO de Citrix Virtual Apps and Desktops à l’emplacementx64\XenDesktop Setup\XenDesktopFasSetup.exe -
FasSetup_xxxx.exe: le fichier d’installation FAS autonome, disponible sur Citrix Downloads.
Remarque :
Le traçage permanent n’est pas disponible si vous installez ou mettez à niveau à l’aide du fichier MSI d’installation FAS,
FederatedAuthenticationService_x64.msi.
Collecte du traçage permanent
Utilisez Citrix Scout pour collecter le traçage permanent et d’autres données de diagnostic à partir de votre serveur FAS. Citrix Scout est installé lorsque vous installez FAS à l’aide de l’une des méthodes précédentes.
Désactivation du traçage permanent
Si, pour une raison quelconque, vous souhaitez désactiver le traçage permanent, arrêtez et désactivez le service de télémétrie Citrix sur votre serveur FAS.
Envoi du traçage permanent vers un serveur de journalisation centralisé
Pour plus d’informations et les étapes de configuration, consultez l’article sur le traçage permanent (AOT).
Informations connexes
- Exécuter la commande PowerShell suivante sur le serveur FAS pour configurer FAS pour un domaine pour la connexion par carte à puce
- Stratégies de connexion par carte à puce
- Activation de la journalisation CAPI
- Activation de la journalisation Kerberos
- Directives pour l’activation de la connexion par carte à puce avec des autorités de certification tierces
Dans cet article
- Certificats et infrastructure à clé publique
- Nom UPN et mappage de certificat
- Contrôler la sélection du contrôleur de domaine de connexion
- Activer les événements d’audit de compte
- Journaux de validation de certificat
- Journaux Kerberos
- Journaux du contrôleur de domaine et du poste de travail
- Surveillance de FAS à l’aide du journal d’événements Windows
- Journaux d’événements FAS
- Messages d’erreur de l’utilisateur final
- Traçage permanent FAS
- Informations connexes