Le certificat de signature de la partie de confiance est invalide

Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureRule (Rule)

Knowledge Base article:

Résumé

Le service de fédération n'a pas réussi à traiter la demande de connexion ou déconnexion SAML signée car le certificat que le partenaire a utilisé pour signer la demande n'a pas passé une vérification de révocation ou a échoué.

Causes

Vous trouverez ci-dessous les causes possibles de cet événement :

Le certificat a été révoqué.
La chaîne de certificats n'a pas pu être vérifiée comme spécifié par les paramètres de révocation du certificat de signature pour l'approbation de cette partie de confiance.
Ce certificat n'est pas dans sa période de validité.

Remarque :

Vous pouvez utiliser les commandlets Windows PowerShell pour qu'AD FS configure les paramètres de révocation pour le certificat de signature de l'approbation de la partie de confiance. Pour le paramètre spécifique, utilisez le paramètre SigningCertificateRevocationCheck de la commandlet Set-ADFSRelyingPartyTrust.

Résolutions

Vous trouverez ci-dessous les résolutions possibles de cet événement :

Vérifiez que le certificat de signature de l'approbation de la partie de confiance est valide et qu'il n'a pas été révoqué.
Vérifiez qu'AD FS peut accéder à la liste de révocation de certificats si le paramètre de révocation ne spécifie pas de paramètre « aucun » ou « cache uniquement ».
Vérifiez les paramètres de votre serveur proxy HTTP. Pour plus d'informations sur la vérification des paramètres de votre serveur proxy HTTP, consultez la section « Points à vérifier avant de dépanner AD FS » du Guide de dépannage d'AD FS.

Element properties:

Target

Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuance

Category

ConfigurationHealth

Enabled

True

Event_ID

316

Alert Generate

True

Alert Severity

Warning

Alert Priority

Normal

Remotable

True

Alert Message

Le certificat de signature de la partie de confiance est invalide

Le certificat de signature de la partie de confiance « {0} » est invalide. Examinez l'onglet de contexte d'alerte pour plus de détails sur le certificat utilisé par cette partie de confiance.

Event Log

$Target/Host/Host/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$

Member Modules:

ID	Module Type	TypeId	RunAs
DS	DataSource	Microsoft.Windows.EventProvider	Default
Alert	WriteAction	System.Health.GenerateAlert	Default

Source Code:

<Rule ID="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureRule" Enabled="true" Target="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuance" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>ConfigurationHealth</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Host/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>$Target/Host/Host/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">316</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <RegExExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>MatchesMOM2005RegularExpression</Operator>

              <Pattern>(^AD FS$)</Pattern>

            </RegExExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>1</Severity>

      <AlertOwner/>

      <AlertMessageId>$MPElement[Name="Microsoft.ActiveDirectoryFederationServices2012R2.TokenIssuanceRelyingPartySigningCertificateCrlCheckFailureRule.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/Params/Param[1]$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/Params/Param[1]$</SuppressionValue>

        <SuppressionValue>$Data/Params/Param[2]$</SuppressionValue>

      </Suppression>

      <Custom1/>

      <Custom2/>

      <Custom3/>

      <Custom4/>

      <Custom5/>

      <Custom6/>

      <Custom7/>

      <Custom8/>

      <Custom9/>

      <Custom10/>

    </WriteAction>

  </WriteActions>

</Rule>