Automatic registration failed at join phase

Я пытаюсь настроить автоматическое объединение AAD для Windows 10, как описано здесь: Ссылка

У нас есть два внутренних сервера ADFS 3.0 (Server 2012R2). Они настроены с использованием Azure AD Connect для федерации с Office 365 на четырех UPN:

• ad.dom1.com — это название леса, у нас есть только один лес
• dom1.com — большинство пользователей существуют в этом домене
• dom2.com
• dom3.com

Серверы ADFS отображаются с использованием балансировщика нагрузки на уровне TCP на странице Ссылка с сертификатом, подписанным публичным центром сертификации. Серверы ADFS не запускают DRS, поскольку мы намереваемся сделать это с помощью Azure AD.

Объединенная аутентификация с Office 365 успешна для пользователей, созданных с любым из этих суффиксов UPN, но только после изменения третьего правила, как описано в Ссылка

Выполнены все предварительные шаги в статье Azure:

• Задайте точку подключения службы
• Выполнено Инициализировать-ADSyncDomainJoinedComputerSync
• Убедитесь, что существуют первые три правила федерации в статье (они были созданы автоматически Azure AD Connect)
• Обеспечено, что существует правило утверждения метода аутентификацииSet-AdfsRelyingPartyTrust
• Создал групповую политику.

Кроме того, домены:

• enterpriseregistration.dom1.com
• enterpriseregistration.ad.dom1.com
• enterpriseregistration.dom2.com
• enterpriseregistration.dom3.com

Все CNAME для enterpriseiseregistration.windows.net

Однако, несмотря на то, что вся другая проверка подлинности работает нормально, автоматический AADJ-процесс выходит из строя на всех существующих клиентских компьютерах под управлением Windows 10 Enterprise. Следующие ошибки присутствуют в журнале событий Microsoft / Windows / User Device Registration :

Идентификатор события 305

Идентификатор события 304

dsregcmd.exe

Подобные ошибки появляются, если я пытаюсь запустить C: windows system32 dsregcmd.exe / debug из командной строки SYSTEM:

2 ответа

Я понимаю ваше разочарование этим. Я просто потратил около 20 часов на устранение неполадок с автоматическим присоединением AAD. Я запускаю последнюю версию AD Connect и запускаю ферму ADFS на сервере 2016. Я НЕ разрешил AD Connect настраивать мои ADFS-серверы.

У меня была такая же ошибка. Проблема заключалась в отсутствии претензии ImmutableID. Эта ссылка оказалась лучшим ресурсом для настройки соединения azure AD: Ссылка

Здесь есть скрипт, который автоматически добавляет необходимые правила требований. Теперь, когда я практически понимаю весь этот процесс внутри и снаружи, могу сказать, что скрипт действительно работает и добавляет правильные правила требований.

Однако то, что вводит в заблуждение, заключается в том, как настроить пару переменных в скрипте. Итак, я думал, что я уточню, основываясь на моем обучении, надеюсь, что это сэкономит время.

• $MultipleVerifiedDomainNames : описание и имя как НЕПРАВИЛЬНЫЕ и MISLEADING. Установите значение $ TRUE только в том случае, если у вас есть МНОЖЕСТВЕННОЕ УПРАВЛЕНИЕ ДОМЕНЫ в вашем арендаторе Office 365.
• $immutableIDAlreadyIssuedforUsers : Если неизменяемый идентификатор (исходный якорь) для вашего AD Connect синхронизация НЕ использует objectGUID, а затем устанавливает значение $ TRUE.
• $oneOfVerifiedDomainNames : если вы задали $ MultipleVerifiedDomainNames для $ true, затем установите это для верифицированного доменного имени Office 365, которое вы хотите, чтобы ваши устройства регистрировались.

Не меняйте никаких других компонентов скрипта и убедитесь, что вы запускаете его только один раз. Если вам нужно запустить его снова, вам нужно вручную удалить правила выдачи добавленных требований из доверия RP, или они будут дублированы.

Еще одна полезная вещь, которую нужно знать, когда дело доходит до устранения неполадок в Windows 10, использует DSREGCMD. Он должен работать как SYSTEM, поэтому вам понадобится что-то вроде PSEXEC.

psexec -i -s cmd.exe

Это приведет к немедленной регистрации Azure и сообщит подробную информацию о сбое. Во время тестирования Windows 7 работала нормально, но Windows 10 не присоединилась к AD. Если проблемой ImmutableID является ошибка, вы увидите, что ошибка: AADSTS90019: идентификационная информация, найденная в запросе или подразумеваемая всеми предоставленными учетными данными, отсутствует.

Если вы включили проверенный домен, если у вас его не было, или вы ошибаетесь, вы увидите: AADSTS50107: Запрошенный объект области федерации your specified domain не существует.

Windows Server 2016 – User Device Registration Error Event >

When logging into the server you can see these Errors Appearing

The message says

SOLUTION :

1. Go the the Tasks Scheduler and look for MicrosoftWindowsWorkplace Join

2. DISABLE the tasks Automatic-Device-Join

Log out and back in and check the Event Log again.

Share this:

Like this:

Related

This entry was posted on Monday, November 6th, 2017 at 12:05 pm and is filed under Server, Windows. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.

Leave a Reply Cancel reply

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Even when you followed the Hybrid Azure AD join instructions to set up your environment (https://docs.microsoft.com/en-us/azure/active-directory/device-management-hybrid-azuread-joined-devices-setup ), you still might experience some issues with the computers not registering with Azure AD.

If you are looking for troubleshooting guide for the issue when Azure AD Conditional Access policy is treating your successfully joined station as Unregistered, see my other recent post – https://s4erka.wordpress.com/2019/04/05/azure-ad-conditional-access-policies-troubleshooting-device-state-unregistered/

To check if the device was joined to Azure AD run “dsregcmd /status” command in command prompt and look at AzureAdJoined value. For the Azure AD registered devices, it should be set to YES.

If the AzureAdJoined says NO, next step will be to collect information from the Application and Services – Microsoft – Windows – User Device Registration – Admin logs.

First thing, try to locate and read the text description in the error to see if it gives any clue.

Below are some examples of the errors and possible solutions to try.

User Device Registration Admin log – EventID 304 or 305 – adalResponseCode: 0xcaa1000e – recommended step is to check the AD FS claim rules per mentioned above article. It is important to have the AD FS claim rules in the described order and if you have multiple verified domains, do not forget remove any existing IssuerID rule that might have been created by Azure AD Connect or other means.

User Device Registration Admin log –wmain: Unable to retrieve access token 0x80004005 – recommended step is to check the AD FS claim rules.

User Device Registration Admin log – EventID 305 – AdalErrorCode: 0xcaa90006 – make sure the computer is able to reach and authenticate to specified in the error text description Identity Provider endpoint.

User Device Registration Admin log – EventID 204 – Error code: 0x801c03f2 (“The device object by the given id (xxx) is not found.”) – make sure the on-premises computer object is synchronized to Azure AD. Run the Delta Azure AD Connect sync.

User Device Registration Admin log – EventID 304 (309, 201 and 233 coming before it) – Error code: 0x801c0021 (Error code: 0x80072efe in EventID 201) (Or in the User Device Registration Debug logs EventID 500 with message “wmain TenantInfi::Discover failed with error code 0x801c0021”) – most likely the network or proxy didn’t allow the connection to Azure AD device registration endpoints or IdP to complete authentication. Also see next error description for the recommended troubleshooting steps.

User Device Registration Debug log – EventID 502 – Error code: 0x80072ee7 (“WinHttpRequest ::OnCallback: The callback handling failed with error code: 0x80072ee7”) – most likely the network or proxy d >

If there is a failure, you might want to configure correct proxy settings in the same IE opened as System Account.

User Device Registration Admin log – 0xCAA90022 Could not discover endpoint for Integrate Windows Authentication. Check your ADFS settings. It should support Integrate Widows Authentication for WS-Trust 1.3. (error message is self explanatory). In case your IdP is not AD FS consult your IdP documentation.

User Device Registration Admin log – 0xCAA9002b with this error from ADAL – ADALUseWindowsAuthenticationTenant failed, unable to perform integrated auth. Check your STS settings. It should support Integrate Widows Authentication for WS-Trust 1.3. (error message is self explanatory). In case your IdP is not AD FS consult your IdP documentation.

User Device Registration Admin log – 0x801c001d. Failed to lookup the registration service information from Active Directory. Recommended to check the Service Connection Point settings in on-premises Active Directory.

Sometimes the error description of the User Device Registration Admin log event is not providing enough information and you have to enable the User Device Registration Debug log to get more information.

To enable debug logs open Event Viewer – check “Show Analytic and Debug Logs” and browse to Application and Services – Microsoft – Windows – User Device Registration – right click on Debug log and select Enable log.

To trigger the device join attempt you have to open Command prompt as System account (you can use Sysinternals PsExec – psexec -i -s cmd.exe) and issue “dsregcmd /debug /join” command. After that disable the Debug log, check the Admin logs and if still the error description is not informative go to Debug logs.

Example 1:

Log Name: Microsoft-Windows-User Device Registration/Admin
Source: Microsoft-Windows-User Device Registration
Date: 2/9/2018 10:17:49 AM
Event ID: 304
Task Category: None
Level: Error
Keywords:
User: SYSTEM
Computer: XXX
Description:
Automatic registration failed at join phase. Exit code: An unexpected internal error has occurred in the Platform Crypto Provider.

User Device Registration Debug log –

Log Name: Microsoft-Windows-User Device Registration/Debug
Source: Microsoft-Windows-User Device Registration
Date: 2/9/2018 10:23:30 AM
Event ID: 500
Task Category: None
Level: Information
Keywords:
User: SYSTEM
Computer: XXX
Description:
wmain: failed with error code 0x80290407.

Most likely this error is an indication that the TPM is not supporting Azure AD join requirements (https://docs.microsoft.com/en-us/windows/security/hardware-protection/tpm/tpm-recommendations ).

Next steps for this particular issue I would recommend for these stations are:

• Ensure the TPM is in 2.0 mode. You will find this setting in the BIOS.
• As a last resort, disable TPM in the BIOS, so Azure AD Join process uses software-based keys.

Example 2:

Log Name: Microsoft-Windows-User Device Registration/Admin
Source: Microsoft-Windows-User Device Registration
Date: 4/17/2018 12:44:10 PM
Event ID: 304
Task Category: None
Level: Error
Keywords:
User: SYSTEM
Computer: XXX
Description:
Automatic registration failed at join phase. Exit code: Keyset does not exist. Server error: empty.

After running dsregcmd /debug /join see following in the output:

DsrDeviceAutoJoinFederated failed with -2146893802
wmain: failed with error code 0x80090016.

Most likely this error indicates that the machine was imaged from the already Azure AD registered computer. Also it might indicate the TPM issues (see the TMP troubleshooting steps mentioned above).

If the fist is true, try renaming the “C:ProgramDataMicrosoftCryptoKeys” folder and re-running the dsregcmd /debug /join.

Example 3:

Log Name: Microsoft-Windows-User Device Registration/Admin
Source: Microsoft-Windows-User Device Registration
Date: 5/16/2018 8:44:03 AM
Event ID: 305
Task Category: None
Level: Error
Keywords:
User: SYSTEM
Computer: XXX
Description:
Automatic registration failed at authentication phase. Unable to acquire access token. Exit code: Unspecified error. Server error: AdalMessage: ADALUseWindowsAuthenticationTenant failed, unable to preform integrated auth
AdalErrorCode: 0xcaa9002c

This error usually indicates an issue with connecting to AD FS farm. Check if Windows Integrated Authentication is enabled for Intranet, is working correctly for Intranet and WSTrust windows endpoints are enabled in AD FS.