ADFS 3.0 OAuth 令牌刷新 (Windows Server 2012r2)答案

【问题标题】：ADFS 3.0 OAuth Token Refresh (Windows Server 2012r2)ADFS 3.0 OAuth 令牌刷新 (Windows Server 2012r2)
【发布时间】：2014-08-02 11:00:51
【问题描述】：

我们已将 ADFS 3.0 (Windows Server 2012R2) 与工作文件夹结合使用（如此处所述http://blogs.technet.com/b/filecab/archive/2014/03/03/deploying-work-folders-with-ad-fs-and-web-application-proxy-wap.aspx）

一切正常：加入域和未加入域的计算机可以连接到工作文件夹并且同步正常。

但是，OAUTH 刷新令牌不起作用。因此，必须在初始令牌过期后重新输入凭据。

事件日志显示以下信息：

源 AD FS 事件 ID：1021 在 OAuth 令牌期间遇到错误要求。

其他数据异常详细信息： Microsoft.IdentityServer.Web.Protocols.OAuth.Exceptions.OAuthRefreshTokenExpiredException： MSIS9303：收到的 OAuth 刷新令牌已过期。在 Microsoft.IdentityServer.Web.Protocols.OAuth.OAuthToken.OAuthTokenProtocolHandler.ValidateRefreshToken(OAuthRefreshToken 刷新令牌）在 Microsoft.IdentityServer.Web.Protocols.OAuth.OAuthToken.OAuthTokenProtocolHandler.RedeemRefreshToken(OAuthRefreshTokenRequestContext 令牌上下文）

关于如何解决此问题的任何建议？

【问题讨论】：

标签： oauth adfs

【解决方案1】：

我已经经历了大约一个月的完全相同的问题。我启用了凭据抑制，因此它不应该提示。当然，一旦 OAUTH 令牌过期，我必须单击“管理凭据”，它会自动发送我的凭据并修复问题。我在这个问题上与 Microsoft 进行了一些合作，他们告诉我这个 1021 事件是预期行为，因为所有令牌都会定期过期（显然）。

您的客户端使用的是 Windows 8.1 吗？如果是这样，KB2976918 应该可以修复它。这将在 8 月 14 日发布。我仍然遇到与 Windows 7 工作文件夹客户端有关的错误，这是意料之外的。当我发现更多时，我会更新。

【讨论】：

感谢您的信息。到目前为止，我似乎还找不到关于 KB2976918 的任何详细信息，但如果这能解决我在 8.1 上的问题，我会告诉你……虽然 OAuth 令牌超时是“预期行为”，但它可以工作文件夹在实际场景中不太可用：我们不太精通技术的用户不会理解为什么他们必须每 X 天点击一次该链接，以及为什么它不像 OneDrive/Dropbox/等那样工作。 .
知识库上线：support.microsoft.com/kb/2976918我已经安装好了。如果这能解决问题，我会告诉你的。请注意，“Set-AdfsGlobalAuthenticationPolicy -WindowsIntegratedFallbackEnabled True”应该是“Set-AdfsGlobalAuthenticationPolicy -WindowsIntegratedFallbackEnabled”（最后没有 True！）