El certificado de firma del usuario de confianza no es válido

Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureMonitor (UnitMonitor)

Knowledge Base article:

Resumen

Este monitor indica que el servicio de federación no ha podido procesar la solicitud de inicio o cierre de sesión de SAML firmado porque el asociado usado para firmar la solicitud ha producido errores al comprobar la revocación de certificado o el certificado ha caducado.

Si no se vuelve a producir el mismo problema en 15 minutos, el estado de mantenimiento de este monitor volverá a cambiarse al estado verde. La regla de alertas generará una alerta correspondiente que debe resolverse de forma manual.

Causas

Estas son las causas posibles de este evento:

El certificado se ha revocado.
La cadena de certificados no pudo verificarse tal y como está especificada por la configuración de revocación del certificado de firma para esta confianza del usuario de confianza.
El certificado no se encuentra en el período de validez.

Nota:

Puede usar los cmdlets de Windows PowerShell para AD FS para configurar las opciones de revocación del certificado de firma de la confianza del usuario de confianza. Para la configuración específica, use el parámetro SigningCertificateRevocationCheck del cmdlet Set-ADFSRelyingPartyTrust.

Resoluciones

Estas son las resoluciones posibles para este evento:

Compruebe que el certificado de firma de la confianza del usuario de confianza sea válido y que no haya sido rechazado.
Compruebe que AD FS pueda acceder a la lista de revocación de certificados en la configuración de revocación no se especifica la opción "ninguna" o "solo caché".
Compruebe la configuración del servidor proxy HTTP. Para obtener más información sobre cómo comprobar la configuración del servidor proxy HTTP, consulte la sección "Things to Check Before Troubleshooting AD FS" en la Guía de solución de problemas de AD FS (en inglés).

Element properties:

Target

Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuance

Parent Monitor

System.Health.ConfigurationState

Category

ConfigurationHealth

Enabled

True

Alert Generate

True

Alert Severity

MatchMonitorHealth

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.SingleEventLogTimer2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Alerta para informar de que el certificado de firma del usuario de confianza no es válido

Descripción del evento: {0}

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureMonitor" Accessibility="Public" Enabled="true" Target="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuance" ParentMonitorID="Health!System.Health.ConfigurationState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.SingleEventLogTimer2StateMonitorType" ConfirmDelivery="true">

  <Category>ConfigurationHealth</Category>

  <AlertSettings AlertMessage="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureMonitor_AlertMessageResourceID">

    <AlertOnState>Warning</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>MatchMonitorHealth</AlertSeverity>

    <AlertParameters>

      <AlertParameter1>$Data/Context/EventDescription$</AlertParameter1>

    </AlertParameters>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="EventRaised" MonitorTypeStateID="EventRaised" HealthState="Warning"/>

    <OperationalState ID="TimerEventRaised" MonitorTypeStateID="TimerEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <ComputerName>$Target/Host/Host/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

    <LogName>$Target/Host/Host/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$</LogName>

    <Expression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">316</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <RegExExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>MatchesMOM2005RegularExpression</Operator>

            <Pattern>(^AD FS$)</Pattern>

          </RegExExpression>

        </Expression>

      </And>

    </Expression>

    <TimerWaitInSeconds>900</TimerWaitInSeconds>

  </Configuration>

</UnitMonitor>