解决 Windows 登录问题

本文介绍了当用户使用证书或智能卡（或两者）登录时 Windows 提供的日志和错误消息。这些日志提供了可用于排查身份验证失败的信息。

• 证书和公钥基础结构

• Windows Active Directory 维护多个证书存储，用于管理登录用户的证书。

• NTAuth 证书存储：要向 Windows 进行身份验证，直接颁发用户证书（即不支持链式颁发）的证书颁发机构必须放置在 NTAuth 存储中。要查看这些证书，请在 certutil 程序中输入：certutil –viewstore –enterprise NTAuth
• 根证书和中间证书存储：通常，证书登录系统只能提供单个证书，因此如果使用证书链，则所有计算机上的中间证书存储都必须包含这些证书。根证书必须位于受信任的根存储中，倒数第二个证书必须位于 NTAuth 存储中。
• 登录证书扩展和组策略：Windows 可以配置为强制验证 EKU 和其他证书策略。请参阅 Microsoft 文档：https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ff404287(v=ws.10)。

• AllowSignatureOnlyKeys	默认情况下，Windows 会筛选掉不允许 RSA 解密的证书私钥。此选项会覆盖该筛选器。
  AllowTimeInvalidCertificates	默认情况下，Windows 会筛选掉已过期的证书。此选项会覆盖该筛选器。
  EnumerateECCCerts	启用椭圆曲线身份验证。
  X509HintsNeeded	如果证书不包含唯一的用户主体名称 (UPN)，或者不明确，此选项允许用户手动指定其 Windows 登录帐户。
  UseCachedCRLOnlyAnd, IgnoreRevocationUnknownErrors	禁用吊销检查（在域控制器上设置）。

  • 域控制器证书：要对 Kerberos 连接进行身份验证，所有服务器都必须具有相应的“域控制器”证书。可以使用“本地计算机证书个人存储”MMC 管理单元菜单请求这些证书。

UPN 名称和证书映射

建议用户证书在主题备用名称扩展中包含唯一的用户主体名称 (UPN)。

Active Directory 中的 UPN 名称

默认情况下，Active Directory 中的每个用户都具有基于模式 <samUsername>@<domainNetBios> 和 <samUsername>@<domainFQDN> 的隐式 UPN。可用域和 FQDN 包含在林的 RootDSE 条目中。单个域可以在 RootDSE 中注册多个 FQDN 地址。

此外，Active Directory 中的每个用户都具有显式 UPN 和 altUserPrincipalNames。这些是指定用户 UPN 的 LDAP 条目。

当通过 UPN 搜索用户时，Windows 首先在当前域（基于查找 UPN 的进程的标识）中查找显式 UPN，然后查找备用 UPN。如果没有匹配项，它会查找隐式 UPN，这可能会解析到林中的不同域。

证书映射服务

如果证书不包含显式 UPN，Active Directory 可以选择在“x509certificate”属性中为每个用途存储一个精确的公共证书。要将此类证书解析为用户，计算机可以直接查询此属性（默认情况下，在单个域中）。

提供了一个选项，允许用户指定一个用户帐户，以加快此搜索速度，并允许在跨域环境中使用此功能。

如果林中有多个域，并且用户未显式指定域，则 Active Directory rootDSE 会指定证书映射服务的位置。该服务位于全局编录计算机上，并具有林中所有 x509certificate 属性的缓存视图。此计算机可用于仅基于证书高效地查找任何域中的用户帐户。

控制域控制器选择上的日志

当环境中包含多个域控制器时，查看和限制用于身份验证的域控制器，以便启用和检索日志，这会很有用。

控制域控制器选择

要强制 Windows 使用特定的 Windows 域控制器进行登录，您可以通过配置 lmhosts 文件（位于 \Windows\System32\drivers\etc\lmhosts）来显式设置 Windows 计算机使用的域控制器列表。

该位置通常有一个名为 “lmhosts.sam” 的示例文件。只需包含一行：

1.2.3.4 dcnetbiosname #PRE #DOM:mydomai

其中 “1.2.3.4” 是 mydomain 域中名为 dcnetbiosname 的域控制器的 IP 地址。

重新启动后，Windows 计算机将使用该信息登录到 mydomain。调试完成后，必须还原此配置。

识别正在使用的域控制器

登录时，Windows 会设置一个 MSDOS 环境变量，其中包含登录用户的域控制器。要查看此信息，请使用命令 echo %LOGONSERVER% 启动命令提示符。

与身份验证相关的日志存储在此命令返回的计算机上。

启用帐户审核事件

默认情况下，Windows 域控制器不会启用完整的帐户审核日志。这可以通过组策略编辑器中安全设置中的审核策略进行控制。要打开组策略编辑器，请在域控制器上运行 gpedit.msc。启用审核策略后，域控制器会在安全日志中生成额外的事件日志信息。

证书验证日志

检查证书有效性

-  如果智能卡证书导出为 DER 证书（无需私钥），您可以使用命令 certutil –verify user.cer 对其进行验证。

-  ### 启用 CAPI 日志记录

在域控制器和用户计算机上，打开事件查看器并为 Microsoft/Windows/CAPI2/Operational Logs 启用日志记录。

• 在域控制器和 VDA 计算机上，打开事件查看器并导航到 应用程序和服务日志 > Microsoft > Windows > CAPI2 > 操作。右键单击 操作 并选择 启用日志。

• 此外，可以通过以下注册表值微调 CAPI 日志记录：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\crypt32。以下值默认不存在。您必须创建它们。如果要恢复为默认 CAPI2 日志记录设置，请删除这些值。

CAPI 日志

错误消息

Kerberos 日志

要在域控制器和最终用户计算机上启用 Kerberos 日志记录，请创建以下注册表值：

Kerberos 日志记录输出到系统事件日志。

• 不受信任的证书等消息必须易于诊断。
• 两个错误代码是信息性的，可以安全地忽略：
  • KDC_ERR_PREAUTH_REQUIRED（用于与旧版域控制器向后兼容）
  • 未知错误 0x4b

域控制器和工作站日志

本节介绍用户使用证书登录时域控制器和工作站上预期的日志条目。

• 域控制器 CAPI2 日志
• 域控制器安全日志
• Virtual Delivery Agent (VDA) 安全日志
• VDA CAPI 日志
• VDA 系统日志

域控制器 CAPI2 日志

在登录期间，域控制器验证调用者的证书，并生成以下形式的日志条目序列。

最终的事件日志消息显示域控制器上的 lsass.exe 根据 VDA 提供的证书构建了一个链，并验证其有效性（包括吊销）。结果返回为“ERROR_SUCCESS”。

域控制器安全日志

域控制器显示一系列登录事件，其中关键事件是 4768，在该事件中，证书用于颁发 Kerberos 票证授予票证 (krbtgt)。

此前的消息显示服务器的计算机帐户正在向域控制器进行身份验证。此后的消息显示属于新 krbtgt 的用户帐户正在用于向域控制器进行身份验证。

VDA 安全日志

与登录事件对应的 VDA 安全审核日志是事件 ID 为 4648 的条目，源自 winlogon.exe。

VDA CAPI 日志

此示例 VDA CAPI 日志显示了来自 lsass.exe 的单个链构建和验证序列，用于验证域控制器证书 (dc.citrixtest.net)。

VDA 系统日志

启用 Kerberos 日志记录后，系统日志会显示错误 KDC_ERR_PREAUTH_REQUIRED（可以忽略），以及来自 Windows 登录的条目，显示 Kerberos 登录成功。

使用 Windows 事件日志监视 FAS

所有 FAS 事件都写入 Windows 应用程序事件日志。您可以使用 System Center Operations Manager (SCOM) 等产品，利用此处描述的进程和事件来监视 FAS 服务的运行状况。

FAS 服务是否正在运行

要确定 FAS 服务是否正在运行，请监视进程 Citrix.Authentication.FederatedAuthenticationService.exe。

本节仅介绍用于监视 FAS 服务的事件。有关 FAS 事件代码的完整列表，请参阅FAS 事件日志。

FAS 运行状况事件

以下事件显示 FAS 服务的运行状况。

事件源为 Citrix.Authentication.FederatedAuthenticationService。

云连接的 FAS 事件

如果您将 FAS 与 Citrix Cloud™ 结合使用，以下事件显示 FAS 服务的运行状况。

事件源为 Citrix.Fas.Cloud。

安全事件

以下事件表示未经授权的实体尝试使用 FAS。

事件源为 Citrix.Authentication.FederatedAuthenticationService。

FAS 事件日志

以下表格列出了 FAS 生成的事件日志条目。

管理事件 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

这些事件是为响应 FAS 服务器中的配置更改而记录的。

创建身份断言 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当受信任的服务器断言用户登录时，这些事件会在 FAS 服务器上运行时记录。

作为信赖方 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当 VDA 登录用户时，这些事件会在 FAS 服务器上运行时记录。

会话内证书服务器 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

当用户使用会话内证书时，这些事件会在 FAS 服务器上记录。

• 日志代码

• [S301] 访问被拒绝: 用户 [{0}] 无权访问虚拟智能卡

  [S302] 用户 [{0}] 请求了未知的虚拟智能卡 [指纹: {1}]

  [S303] 访问被拒绝: 用户 [{0}] 与虚拟智能卡不匹配 [upn: {1}]

  [S304] 用户 [{0}] 正在计算机 [{2}] 上运行程序 [{1}]，使用虚拟智能卡 [upn: {3} 角色: {4} 指纹: {5}] 进行私钥操作 [{6}]

  [S305] 私钥操作失败 [操作: {0}] [upn: {1} 角色: {2} containerName {3} 错误 {4} {5}]。

FAS 断言插件 [Federated Authentication Service]

[事件源: Citrix.Authentication.FederatedAuthenticationService]

这些事件由 FAS 断言插件记录。

• [S503] 服务器 [{0}] 未能断言 UPN [{1}]（提供了登录凭据，但插件 [{2}] 不支持）

• [S504] 服务器 [{0}] 未能断言 UPN [{1}]（提供了登录凭据，但没有配置 FAS 插件）

• [S505] 服务器 [{0}] 未能断言 UPN [{1}]（插件 [{2}] 拒绝了登录凭据，状态为 [{3}]，消息为 [{4}]）

• [S506] 插件 [{0}] 接受了来自服务器 [{1}] 的 UPN [{2}] 的登录凭据，消息为 [{3}]

• [S507] 服务器 [{0}] 未能断言 UPN [{1}]（插件 [{2}] 在方法 [{4}] 期间抛出异常 [{3}]）

  [S507] 服务器 [{0}] 未能断言 UPN [{1}]（插件 [{2}] 抛出异常 [{3}]）

  [S508] 服务器 [{0}] 未能断言 UPN [{1}]（提供了访问处置，但插件 [{2}] 不支持）

  [S509] 服务器 [{0}] 未能断言 UPN [{1}]（提供了访问处置，但没有配置 FAS 插件）

  [S510] 服务器 [{0}] 未能断言 UPN [{1}]（插件 [{2}] 认为访问处置无效）

启用 Workspace 的 FAS [Federated Authentication Service]

[事件源: Citrix.Fas.Cloud]

当 FAS 与 Workspace 结合使用时，会记录这些事件。

登录 [VDA]

[Event Source: Citrix.Authentication.IdentityAssertion]

这些事件在登录阶段记录在 VDA 上。

会话内证书 [VDA]

[Event Source: Citrix.Authentication.IdentityAssertion]

当用户尝试使用会话内证书时，这些事件会记录在 VDA 上。

证书请求和密钥对生成 [Federated Authentication Service]

[Event Source: Citrix.Fas.PkiCore]

当 FAS 服务器执行低级别加密操作时，会记录这些事件。

最终用户错误消息

本节列出了在 Windows 登录页面上向用户显示的常见错误消息。

FAS 始终开启跟踪

通过始终开启跟踪，FAS 会将其活动记录到文件系统。这有助于故障排除，并可能消除重现已发生事件的需要。

当您使用以下任何方法安装或升级 FAS 时，会启用始终开启跟踪：

• Citrix Virtual Apps and Desktops™ 安装程序：插入 ISO 时，在自动运行启动屏幕上通过Federated Authentication Service按钮
• XenDesktopFasSetup.exe：位于 Citrix Virtual Apps and Desktops ISO 的 x64\XenDesktop Setup\XenDesktopFasSetup.exe
• FasSetup_xxxx.exe：独立的 FAS 安装程序文件，可从 Citrix 下载 获取。

注意：

如果您使用 FAS 安装程序 MSI 文件 FederatedAuthenticationService_x64.msi 进行安装或升级，则始终开启的跟踪不可用。

收集始终开启的跟踪

使用 Citrix Scout 从您的 FAS 服务器收集始终开启的跟踪和其他诊断数据。使用上述任何方法安装 FAS 时，都会安装 Citrix Scout。

禁用始终开启的跟踪

如果您出于任何原因希望禁用始终开启的跟踪，请停止并禁用 FAS 服务器上的 Citrix Telemetry Service。

将始终开启的跟踪发送到中央日志记录服务器

在 FAS 服务器上运行以下 PowerShell 命令，配置 FAS 以将始终开启的跟踪发送到中央日志记录服务器：

Enable-CitrixAOTUpload -AotDataStoreEndpoint <server address>:<server port> -Role FAS
<!--NeedCopy-->

在 FAS 服务器上运行以下 PowerShell 命令，禁用中央日志记录服务器的使用：

Disable-CitrixAOTUpload
<!--NeedCopy-->

相关信息

• 配置用于智能卡登录的域
• 智能卡登录策略
• 启用 CAPI 日志记录
• 启用 Kerberos 日志记录
• 启用第三方证书颁发机构的智能卡登录指南