El certificado de firma del proveedor de notificaciones no es válido

Microsoft.ActiveDirectoryFederationServices2012R2.TokenAcceptanceClaimsProviderSigningCertificateCrlCheckFailureMonitor (UnitMonitor)

Knowledge Base article:

Resumen

El certificado de firma para uno de los proveedores de notificaciones no es válido. Como consecuencia, el servicio de federación ya no aceptará el token firmado entrante. En caso de cierre de sesión, esto causará que el servicio de federación deje de aceptar solicitudes de cierre de sesión firmadas.

Si no se vuelve a producir el mismo problema en 15 minutos, el estado de mantenimiento de este monitor volverá a cambiarse al estado verde. La regla de alertas generará una alerta correspondiente que debe resolverse de forma manual.

Causas

Estas son las causas posibles de este evento:

El certificado se ha revocado.
La cadena de certificados no pudo verificarse tal y como está especificada por la configuración de revocación del certificado de firma para esta confianza del proveedor de notificaciones.
El certificado no se encuentra en el período de validez.

Nota:

Puede usar los cmdlets de Windows PowerShell para AD FS para configurar las opciones de revocación del certificado de firma de la confianza del proveedor de notificaciones. Para la configuración específica, use el parámetro SigningCertificateRevocationCheck del cmdlet Set-ADFSClaimsProviderTrust.

Resoluciones

Estas son las resoluciones posibles para este evento:

Compruebe que el certificado de firma de la confianza del proveedor de notificaciones sea válido y que no haya sido rechazado.
Compruebe que AD FS pueda acceder a la lista de revocación de certificados en la configuración de revocación no se especifica la opción "ninguna" o "solo caché".
Compruebe la configuración del servidor proxy HTTP. Para obtener más información sobre cómo comprobar la configuración del servidor proxy HTTP, consulte la sección "Things to Check Before Troubleshooting AD FS" en la Guía de solución de problemas de AD FS (en inglés).

Element properties:

Target

Microsoft.ActiveDirectoryFederationServices2012R2.TokenAcceptance

Parent Monitor

System.Health.ConfigurationState

Category

ConfigurationHealth

Enabled

True

Alert Generate

True

Alert Severity

MatchMonitorHealth

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.SingleEventLogTimer2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Error de verificación del certificado de firma de un proveedor de notificaciones al intentar aceptar un token de seguridad entrante

Descripción del evento: {0}

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.ActiveDirectoryFederationServices2012R2.TokenAcceptanceClaimsProviderSigningCertificateCrlCheckFailureMonitor" Accessibility="Public" Enabled="true" Target="Microsoft.ActiveDirectoryFederationServices2012R2.TokenAcceptance" ParentMonitorID="Health!System.Health.ConfigurationState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.SingleEventLogTimer2StateMonitorType" ConfirmDelivery="true">

  <Category>ConfigurationHealth</Category>

  <AlertSettings AlertMessage="Microsoft.ActiveDirectoryFederationServices2012R2.TokenAcceptanceClaimsProviderSigningCertificateCrlCheckFailureMonitor_AlertMessageResourceID">

    <AlertOnState>Warning</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>MatchMonitorHealth</AlertSeverity>

    <AlertParameters>

      <AlertParameter1>$Data/Context/EventDescription$</AlertParameter1>

    </AlertParameters>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="EventRaised" MonitorTypeStateID="EventRaised" HealthState="Warning"/>

    <OperationalState ID="TimerEventRaised" MonitorTypeStateID="TimerEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <ComputerName>$Target/Host/Host/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

    <LogName>$Target/Host/Host/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$</LogName>

    <Expression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">315</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <RegExExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>MatchesMOM2005RegularExpression</Operator>

            <Pattern>(^AD FS$)</Pattern>

          </RegExExpression>

        </Expression>

      </And>

    </Expression>

    <TimerWaitInSeconds>900</TimerWaitInSeconds>

  </Configuration>

</UnitMonitor>