排查 Windows 登录问题

本文介绍了当用户使用证书或智能卡（或两者）登录时 Windows 提供的日志和错误消息。这些日志提供可用于排查身份验证失败的信息。

• 证书和公钥基础结构

• Windows Active Directory 维护多个证书存储，用于管理用户登录证书。

• NTAuth 证书存储：要向 Windows 进行身份验证，直接颁发用户证书的证书颁发机构（即不支持链）必须放置在 NTAuth 存储中。要查看这些证书，请从 certutil 程序中输入：certutil –viewstore –enterprise NTAuth
• 根证书和中间证书存储：通常，证书登录系统只能提供单个证书，因此如果正在使用链，所有计算机上的中间证书存储必须包含这些证书。根证书必须位于受信任的根存储中，倒数第二个证书必须位于 NTAuth 存储中。
• 登录证书扩展和组策略：Windows 可以配置为强制验证 EKU 和其他证书策略。请参阅 Microsoft 文档：https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。

• AllowSignatureOnlyKeys	默认情况下，Windows 会筛选掉不允许 RSA 解密的证书私钥。此选项会覆盖该筛选器。
  AllowTimeInvalidCertificates	默认情况下，Windows 会筛选掉已过期的证书。此选项会覆盖该筛选器。
  EnumerateECCCerts	启用椭圆曲线身份验证。
  X509HintsNeeded	如果证书不包含唯一的用户主体名称 (UPN)，或者它不明确，此选项允许用户手动指定其 Windows 登录帐户。
  UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	禁用吊销检查（在域控制器上设置）。

  • 域控制器证书：要对 Kerberos 连接进行身份验证，所有服务器都必须具有相应的“域控制器”证书。可以使用“本地计算机证书个人存储”MMC 管理单元菜单请求这些证书。

UPN 名称和证书映射

建议用户证书在主题备用名称扩展中包含唯一的用户主体名称 (UPN)。

Active Directory 中的 UPN 名称

默认情况下，Active Directory 中的每个用户都具有基于模式 \<samUsername>@\<domainNetBios> 和 \<samUsername>@\<domainFQDN> 的隐式 UPN。可用域和 FQDN 包含在林的 RootDSE 条目中。单个域可以在 RootDSE 中注册多个 FQDN 地址。

此外，Active Directory 中的每个用户都具有显式 UPN 和 altUserPrincipalNames。这些是为用户指定 UPN 的 LDAP 条目。

通过 UPN 搜索用户时，Windows 首先在当前域中（基于查找 UPN 的进程的标识）查找显式 UPN，然后是备用 UPN。如果没有匹配项，它会查找隐式 UPN，这可能会解析为林中的不同域。

证书映射服务

如果证书不包含显式 UPN，Active Directory 可以选择在“x509certificate”属性中存储每个用途的精确公共证书。要将此类证书解析为用户，计算机可以直接查询此属性（默认情况下，在单个域中）。

提供了一个选项，供用户指定用户帐户以加快此搜索速度，并且还允许在跨域环境中使用此功能。

如果林中有多个域，并且用户未显式指定域，则 Active Directory rootDSE 会指定证书映射服务的位置。它位于全局编录计算机上，并具有林中所有 x509certificate 属性的缓存视图。此计算机可用于仅基于证书在任何域中高效查找用户帐户。

控制登录域控制器选择

当环境中包含多个域控制器时，了解并限制用于身份验证的域控制器很有用，以便启用和检索日志。

控制域控制器选择

要强制 Windows 在登录时使用特定的 Windows 域控制器，可以通过配置 lmhosts 文件 (\Windows\System32\drivers\etc\lmhosts) 来显式设置 Windows 计算机使用的域控制器列表。

该位置通常有一个名为 “lmhosts.sam” 的示例文件。只需包含一行：

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

其中 “1.2.3.4” 是 mydomain 域中名为 dcnetbiosname 的域控制器的 IP 地址。

重启后，Windows 计算机将使用该信息登录到 mydomain。调试完成后，必须还原此配置。

识别正在使用的域控制器

登录时，Windows 会设置一个 MSDOS 环境变量，其中包含登录用户的域控制器信息。要查看此信息，请使用命令 echo %LOGONSERVER% 启动命令提示符。

与身份验证相关的日志存储在此命令返回的计算机上。

启用帐户审核事件

默认情况下，Windows 域控制器不启用完整的帐户审核日志。这可以通过组策略编辑器中安全设置中的审核策略进行控制。要打开组策略编辑器，请在域控制器上运行 gpedit.msc。启用审核策略后，域控制器会在安全日志中生成额外的事件日志信息。

证书验证日志

检查证书有效性

-  如果智能卡证书导出为 DER 证书 (无需私钥)，您可以使用以下命令对其进行验证：`certutil –verify user.cer`

-  ### 启用 CAPI 日志记录

在域控制器和用户计算机上，打开事件查看器并启用 Microsoft/Windows/CAPI2/Operational Logs 的日志记录。

• 在域控制器和 VDA 计算机上，打开事件查看器并导航到 应用程序和服务日志 > Microsoft > Windows > CAPI2 > 操作。右键单击 操作 并选择 启用日志。

• 此外，使用以下注册表值微调 CAPI 日志记录：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32。以下值默认不存在。您必须创建它们。如果要恢复默认的 CAPI2 日志记录设置，请删除这些值。

CAPI 日志

错误消息

Kerberos 日志

若要启用 Kerberos 日志记录，请在域控制器和最终用户计算机上创建以下注册表值：

Kerberos 日志记录输出到系统事件日志。

• 诸如 不受信任的证书 之类的消息必须易于诊断。
• 两个错误代码是信息性的，可以安全地忽略：
  • KDC_ERR_PREAUTH_REQUIRED（用于与旧版域控制器向后兼容）
  • 未知错误 0x4b

域控制器和工作站日志

本节介绍用户使用证书登录时，域控制器和工作站上预期的日志条目。

• 域控制器 CAPI2 日志
• 域控制器安全日志
• Virtual Delivery Agent (VDA) 安全日志
• VDA CAPI 日志
• VDA 系统日志

域控制器 CAPI2 日志

在登录期间，域控制器会验证调用者的证书，并生成以下形式的日志条目序列。

最终事件日志消息显示域控制器上的 lsass.exe 根据 VDA 提供的证书构建链，并验证其有效性（包括吊销）。结果返回为“ERROR_SUCCESS”。

域控制器安全日志

域控制器显示了一系列登录事件，其中关键事件是 4768，在此事件中，证书用于颁发 Kerberos 票证授予票证 (krbtgt)。

此前的消息显示服务器的计算机帐户向域控制器进行身份验证。此后的消息显示属于新 krbtgt 的用户帐户用于向域控制器进行身份验证。

VDA 安全日志

与登录事件对应的 VDA 安全审核日志是事件 ID 为 4648 的条目，源自 winlogon.exe。

VDA CAPI 日志

此示例 VDA CAPI 日志显示了来自 lsass.exe 的单个链构建和验证序列，用于验证域控制器证书 (dc.citrixtest.net)。

VDA 系统日志

启用 Kerberos 日志记录后，系统日志会显示错误 KDC_ERR_PREAUTH_REQUIRED（可以忽略），以及来自 Windows 登录的条目，显示 Kerberos 登录成功。

使用 Windows 事件日志监视 FAS

所有 FAS 事件都写入 Windows 应用程序事件日志。可以使用 System Center Operations Manager (SCOM) 等产品，利用此处描述的进程和事件来监视 FAS 服务的运行状况。

FAS 服务是否正在运行

要确定 FAS 服务是否正在运行，请监视进程 Citrix.Authentication.FederatedAuthenticationService.exe。

本节仅介绍用于监视 FAS 服务的最重要事件。有关 FAS 事件代码的完整列表，请参阅 FAS 事件日志。

FAS 运行状况事件

以下事件显示您的 FAS 服务是否正常运行。

事件源为 Citrix.Authentication.FederatedAuthenticationService。

云连接的 FAS 事件

如果您将 FAS 与 Citrix Cloud™ 结合使用，以下事件显示您的 FAS 服务是否正常运行。

事件源为 Citrix.Fas.Cloud。

安全事件

以下事件表明未经授权的实体尝试使用 FAS。

事件源为 Citrix.Authentication.FederatedAuthenticationService。

FAS 事件日志

以下表格列出了 FAS 生成的事件日志条目。

管理事件 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

这些事件是为响应 FAS 服务器中的配置更改而记录的。

创建身份断言 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当受信任的服务器断言用户登录时，这些事件会在 FAS 服务器上运行时记录。

作为信赖方 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当 VDA 登录用户时，这些事件会在 FAS 服务器上运行时记录。

会话内证书服务器 [联合身份验证服务]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当用户使用会话内证书时，这些事件将记录在 FAS 服务器上。

• 日志代码

• [S301] 访问被拒绝: 用户 [{0}] 无权访问虚拟智能卡

  [S302] 用户 [{0}] 请求了未知虚拟智能卡 [指纹: {1}]

  [S303] 访问被拒绝: 用户 [{0}] 与虚拟智能卡不匹配 [upn: {1}]

  [S304] 用户 [{0}] 在计算机 [{2}] 上运行程序 [{1}]，使用虚拟智能卡 [upn: {3} 角色: {4} 指纹: {5}] 进行私钥操作 [{6}]

  [S305] 私钥操作失败 [操作: {0}] [upn: {1} 角色: {2} 容器名称 {3} 错误 {4} {5}]。

FAS 断言插件 [联合身份验证服务]

• [事件源: Citrix.Authentication.FederatedAuthenticationService]

• 这些事件由 FAS 断言插件记录。

• 日志代码
  [S500] 未配置 FAS 断言插件
  [S501] 配置的 FAS 断言插件无法加载 [异常:{0}]
  [S502] FAS 断言插件已加载 [插件ID={0}] [程序集={1}] [位置={2}]
  [S503] 服务器 [{0}] 未能断言 UPN [{1}] (提供了登录凭据，但插件 [{2}] 不支持)
  [S504] 服务器 [{0}] 未能断言 UPN [{1}] (提供了登录凭据，但未配置 FAS 插件)
  [S505] 服务器 [{0}] 未能断言 UPN [{1}] (插件 [{2}] 拒绝了登录凭据，状态为 [{3}]，消息为 [{4}])
  [S506] 插件 [{0}] 接受了来自服务器 [{1}] 的 UPN [{2}] 的登录凭据，消息为 [{3}]
  [S507] 服务器 [{0}] 未能断言 UPN [{1}] (插件 [{2}] 在方法 [{4}] 期间抛出异常 [{3}])
  [S507] 服务器 [{0}] 未能断言 UPN [{1}] (插件 [{2}] 抛出异常 [{3}])
  [S508] 服务器 [{0}] 未能断言 UPN [{1}] (提供了访问处置，但插件 [{2}] 不支持)
  [S509] 服务器 [{0}] 未能断言 UPN [{1}] (提供了访问处置，但未配置 FAS 插件)
  [S510] 服务器 [{0}] 未能断言 UPN [{1}] (访问处置被插件 [{2}] 视为无效)

启用 Workspace 的 FAS [联合身份验证服务]

[事件源: Citrix.Fas.Cloud]

这些事件在 FAS 与 Workspace 结合使用时记录。

登录 [VDA]

[事件源: Citrix.Authentication.IdentityAssertion]

这些事件在 VDA 上的登录阶段记录。

会话内证书 [VDA]

[事件源: Citrix.Authentication.IdentityAssertion]

当用户尝试使用会话内证书时，这些事件在 VDA 上记录。

证书请求和密钥对生成 [联合身份验证服务]

[事件源: Citrix.Fas.PkiCore]

这些事件在 FAS 服务器执行低级别加密操作时记录。

最终用户错误消息

本节列出了 Windows 登录页面上向用户显示的常见错误消息。

FAS 始终在线跟踪

通过始终在线跟踪，FAS 会将其活动记录到文件系统。这有助于故障排除，并可能消除重现已发生事件的需要。

当您使用以下任一方法安装或升级 FAS 时，将启用始终在线跟踪：

• Citrix Virtual Apps and Desktops™ 安装程序：从插入 ISO 时自动运行启动屏幕上的“联合身份验证服务”按钮
• XenDesktopFasSetup.exe：位于 Citrix Virtual Apps and Desktops ISO 的 x64\XenDesktop Setup\XenDesktopFasSetup.exe
• FasSetup_xxxx.exe：独立的 FAS 安装程序文件，可从 Citrix 下载获取。

注意：

如果您使用 FAS 安装程序 MSI 文件 FederatedAuthenticationService_x64.msi 进行安装或升级，则始终在线跟踪不可用。

收集始终在线跟踪

使用 Citrix Scout 从 FAS 服务器收集始终在线跟踪和其他诊断数据。通过上述任何方法安装 FAS 时，都会安装 Citrix Scout。

禁用始终在线跟踪

如果出于任何原因希望禁用始终在线跟踪，请停止并禁用 FAS 服务器上的 Citrix Telemetry Service。

相关信息

• 为智能卡登录配置域
• 智能卡登录策略
• 启用 CAPI 日志记录
• 启用 Kerberos 日志记录
• 使用第三方证书颁发机构启用智能卡登录的指南