Solucionar problemas de autenticação de passagem do Microsoft Entra

Este artigo ajuda você a encontrar informações de solução de problemas comuns relacionados à autenticação de passagem do Microsoft Entra.

Questões gerais

Verificar o status do recurso e dos Agentes de Autenticação

Verifique se o recurso Autenticação de Passagem ainda está Habilitado em seu locatário e se o status de Agentes de Autenticação mostra Ativo e não Inativo. Você pode verificar o status acessando a folha Microsoft Entra Connect no centro de administração do Microsoft Entra.

Mensagens de erro de entrada voltadas para o usuário

Se o usuário não conseguir entrar usando a Autenticação de Passagem, ele poderá ver um dos seguintes erros voltados para o usuário na tela de entrada do Microsoft Entra:

Os usuários obtêm erro de nome de usuário/senha inválido

Isso pode acontecer quando o UserPrincipalName (UPN) local de um usuário é diferente do UPN na nuvem do usuário.

Para confirmar que esse é o problema, primeiro teste se o agente de autenticação de passagem está funcionando corretamente:

1. Crie uma conta de teste.

2. Importe o módulo PowerShell na máquina do agente:

   Import-Module "C:\Program Files\Microsoft Azure AD Connect Authentication Agent\Modules\PassthroughAuthPSModule\PassthroughAuthPSModule.psd1"
   

3. Execute o comando Invoke PowerShell:

   Invoke-PassthroughAuthOnPremLogonTroubleshooter 
   

4. Quando lhe for pedido para introduzir credenciais, introduza o mesmo nome de utilizador e palavra-passe que são utilizados para iniciar sessão em (https://login.microsoftonline.com).

Se você receber o mesmo erro de nome de usuário/senha, isso significa que o agente de Autenticação de Passagem está funcionando corretamente e o problema pode ser que o UPN local não é roteável. Para saber mais, consulte Configurando ID de login alternativo.

Motivos de falha de entrada no centro de administração do Microsoft Entra (precisa de licença Premium)

Se o seu inquilino tiver uma licença do Microsoft Entra ID P1 ou P2 associada, também pode consultar o relatório de atividade de início de sessão no centro de administração do Microsoft Entra.

Navegue até Microsoft Entra ID ->Sign-ins no [Centro de administração do Microsoft Entra](https://portal.azure.com/) e clique na atividade de entrada de um usuário específico. Procure o campo CÓDIGO DE ERRO DE ENTRADA. Mapeie o valor desse campo para um motivo e resolução de falha usando a tabela a seguir:

Problemas de instalação do Agente de Autenticação

Ocorreu um erro inesperado

Colete logs de agente do servidor e entre em contato com o Suporte da Microsoft com seu problema.

Problemas de registro do Agente de Autenticação

O registro do agente de autenticação falhou devido a portas bloqueadas

Certifique-se de que o servidor no qual o Agente de Autenticação foi instalado possa se comunicar com nossas URLs e portas de serviço listadas aqui.

O registro do Agente de Autenticação falhou devido a erros de autorização de token ou conta

Certifique-se de usar uma conta de Administrador de Identidade Híbrida somente na nuvem para todas as operações de instalação e registro do Microsoft Entra Connect ou do Agente de Autenticação autônomo. Há um problema conhecido com contas de Administrador de Identidade Híbrida habilitadas para MFA; desative o MFA temporariamente (apenas para concluir as operações) como uma solução alternativa.

Ocorreu um erro inesperado

Colete logs de agente do servidor e entre em contato com o Suporte da Microsoft com seu problema.

Problemas de desinstalação do Agente de Autenticação

Mensagem de aviso ao desinstalar o Microsoft Entra Connect

Se você tiver a Autenticação de Passagem habilitada em seu locatário e tentar desinstalar o Microsoft Entra Connect, ela mostrará a seguinte mensagem de aviso: "Os usuários não poderão entrar na ID do Microsoft Entra a menos que você tenha outros agentes de Autenticação de Passagem instalados em outros servidores."

Certifique-se de que sua configuração esteja altamente disponível antes de desinstalar o Microsoft Entra Connect para evitar quebrar o login do usuário.

Problemas com a ativação do recurso

A ativação do recurso falhou porque não havia agentes de autenticação disponíveis

Você precisa ter pelo menos um Agente de Autenticação ativo para habilitar a Autenticação de Passagem em seu locatário. Você pode instalar um Agente de Autenticação instalando o Microsoft Entra Connect ou um Agente de Autenticação autônomo.

A ativação do recurso falhou devido a portas bloqueadas

Certifique-se de que o servidor no qual o Microsoft Entra Connect está instalado pode se comunicar com nossas URLs e portas de serviço listadas aqui.

A ativação do recurso falhou devido a erros de autorização de token ou conta

Certifique-se de usar uma conta de Administrador de Identidade Híbrida somente na nuvem ao habilitar o recurso. Há um problema conhecido com contas de Administrador de Identidade Híbrida habilitadas para autenticação multifator (MFA); desative o MFA temporariamente (apenas para concluir a operação) como uma solução alternativa.

Coletando logs do Agente de Autenticação de Passagem

Dependendo do tipo de problema que você possa ter, você precisa procurar logs do Agente de Autenticação de Passagem em locais diferentes.

Logs do Microsoft Entra Connect

Para erros relacionados à instalação, verifique os logs do Microsoft Entra Connect em %ProgramData%\AADConnect\trace-*.log.

Logs de eventos do Agente de Autenticação

Para erros relacionados ao Agente de Autenticação, abra o aplicativo Visualizador de Eventos no servidor e verifique em Logs de Aplicativo e Serviço\Microsoft\AzureAdConnect\AuthenticationAgent\Admin.

Para análises detalhadas, ative o log "Sessão" (clique com o botão direito do mouse dentro do aplicativo Visualizador de Eventos para encontrar essa opção). Não execute o Agente de Autenticação com este log ativado durante operações normais; Use apenas para solução de problemas. O conteúdo do log só fica visível depois que o log é desativado novamente.

Logs de rastreamento detalhados

Para solucionar problemas de falhas de entrada do usuário, procure logs de rastreamento em %ProgramData%\Microsoft\Azure AD Connect Authentication Agent\Trace\. Esses logs incluem os motivos pelos quais o login de um usuário específico falhou usando o recurso de Autenticação de Passagem. Esses erros também são mapeados para os motivos de falha de entrada mostrados na tabela de motivos de falha de entrada anterior. Segue-se um exemplo de entrada de registo:

    AzureADConnectAuthenticationAgentService.exe Error: 0 : Passthrough Authentication request failed. RequestId: 'df63f4a4-68b9-44ae-8d81-6ad2d844d84e'. Reason: '1328'.
        ThreadId=5
        DateTime=xxxx-xx-xxTxx:xx:xx.xxxxxxZ

Você pode obter detalhes descritivos do erro ('1328' no exemplo anterior) abrindo o prompt de comando e executando o seguinte comando (Nota: Substitua '1328' pelo número de erro real que você vê em seus logs):

Net helpmsg 1328

Logs de entrada de autenticação de passagem

Se o log de auditoria estiver habilitado, informações adicionais poderão ser encontradas nos logs de segurança do servidor de Autenticação de Passagem. Uma maneira simples de consultar solicitações de entrada é filtrar logs de segurança usando a seguinte consulta:

    <QueryList>
    <Query Id="0" Path="Security">
    <Select Path="Security">*[EventData[Data[@Name='ProcessName'] and (Data='C:\Program Files\Microsoft Azure AD Connect Authentication Agent\AzureADConnectAuthenticationAgentService.exe')]]</Select>
    </Query>
    </QueryList>

Contadores do Monitor de Desempenho

Outra maneira de monitorar os Agentes de Autenticação é rastrear contadores específicos do Monitor de Desempenho em cada servidor onde o Agente de Autenticação está instalado. Use os seguintes contadores globais (# autenticações PTA, #PTA autenticações com falha e #PTA autenticações bem-sucedidas) e contadores de erro (# erros de autenticação PTA):