AD FS 密码更新不起作用 (PasswordValidationError)

Question

如果已安装并配置 ADFS 3.0 (Windows 2012 R2)。使用 ADFS 对我的 Web 应用程序进行身份验证工作正常，但是当我想更新/更改我的密码时，我在 ADFS 登录页面上收到此错误：

“未设置新密码。请联系您的系统管理员”（译自荷兰语）

在事件查看器中，此错误事件记录在 ADFS 服务器上（事件 ID 407）：

以下用户的密码更改失败：

附加数据

用户： @

尝试更改密码的服务器： .domain.local 错误详情：

密码验证错误

ADFS 调试跟踪出现以下 2 个错误事件（eventid 53）：

PasswordUtil.ChangePassword: user 的目录操作错误，异常 Sytem.DirectoryServices.Protocols.DirectoryOperationException: A value in the request is invalid.

在 System.DirectoryServices.Protocols.LdapConnection.ConstructResponse(Int32 messageId, LdapOperation operation, ResiltAll resultType, TimeSpan requestTimeOut, Boolean exceptionOnTimeOut)

和

PasswordUtil.ChangePassword：无法更改服务器上的密码并出现错误 Microsoft.IdentityServer.Service.PasswordManagment.PasswordChangeException：引发了“Microsoft.IdentityServer.Service.PasswordManagment.PasswordChangeException”类型的异常。

在 Microsoft.IdentityServer.Service.PasswordManagment.PasswordUtil.ChangePassword(String userName, SecureString oldPassword, SecureString new Password)

不需要安装此修复程序，因为 dll 比我们的 ADFS 服务器上的旧 (https://support.microsoft.com/en-us/kb/3035025)

adfs 中更新密码的端点已启用（否则我没有看到 updatepassword 屏幕）。

在 DC 的事件查看器中，有一些信息性事件表明 dat 尝试更改密码，该事件被记录下来，因为密码不是通过 ADFS 更改的。似乎 ADFS 服务帐户想要更改我想要更改的密码，所以我将 ADFS 服务帐户设置为域管理员，但这并不能解决问题，而且我遇到了同样的错误。

在互联网上没有找到太多，也没有找到 adfs eventid 407 或 53。

有人遇到和我一样的问题吗？

Answer 1

我自己解决了这个问题（在 Microsoft 的帮助下）。我的错误消息“passwordvalidationerror”非常具有误导性，我认为它指向 AD 和 ADFS 之间的通信错误。但情况是，当您的新密码不符合您的密码策略时，会给出此错误消息。我们发现帐户密码策略说“最小密码使用期限”是 21 天。我们测试的帐户的密码还不到 21 天。因此请记住，如果您想使用 ADFS 更改密码并且您的新密码不符合您公司的密码策略，则 evenviewer 消息将是“passwordvalidationerror”，并通过在命令提示符中输入以下命令来检查您的密码策略：net accounts .