Inlog issues Server 2016 / Azure AD Connect

[holygame]

Goedemorgen,

Afgelopen weken is er een probleem ontstaan, sommige gebruikers kunnen niet inloggen en krijgen de melding "Password is incorrect" of "Your password was changed on a different device.". Dit terwijl gebruikers hun wachtwoord niet kunnen/mogen aanpassen. Het probleem lijkt na een aantal keer herstarten van de client meestal te zijn opgelost of even de UTP kabel uit de computer halen, inloggen en er weer insteken. Maar nu doet het probleem zich ook voor op de DC, herstart en het inloggen lukt weer.

Mijn vraag is of iemand dit gedrag herkend? Mocht ik nog info vergeten zijn, laat het weten.

Omgeving:
1 x DC (Server 2016 STD)
1 x Azure AD Connect (Server 2008 R2 STD)
25~ x Windows 10 client PC/Surfaces/laptops

Alle servers zijn voorzien van de laatste updates, Azure AD Connect is versie 1.1.880.0
DFL/FFL zijn beide 2008 R2

Uitgevoerde acties:
IdFix Tool uitgevoerd, alle errors weer verholpen.
Windows updates
Azure volledige sync (delta gaat automatisch elke 30 min)
Rebooten van de servers

[Question Mark]

Installeer sowieso even de meest recente versie van Azure AD connect. Je gebruikt nu al een redelijk oude versie.

Vanaf versie 1.2 is de volgende bug ook gefixed:

Fixed the “Invalid Password” error message when Desktop SSO is enabled.

https://docs.microsoft.co...e-connect-version-history

[holygame]

Question Mark schreef op maandag 17 december 2018 @ 09:57:
Installeer sowieso even de meest recente versie van Azure AD connect. Je gebruikt nu al een redelijk oude versie.

Vanaf versie 1.2 is de volgende bug ook gefixed:


[...]


https://docs.microsoft.co...e-connect-version-history

Zo oud is mijn huidige versie niet maar kan inderdaad geen kwaad om hem te updaten. Dus 1 full server backup en installatie van de nieuwe versie later en hij is up to date.
Nu wel met errors, no-start-ma en stopped-extension-dll-exception. We starten Google even op.

Edit: Na herstart van de Azure Connect server geen errors meer! Nu afwachten komende week of er nog gebruikers problemen ondervinden.

[ Voor 9% gewijzigd door holygame op 17-12-2018 11:15 ]

[Jazzy]

Question Mark schreef op maandag 17 december 2018 @ 09:57:
Installeer sowieso even de meest recente versie van Azure AD connect. Je gebruikt nu al een redelijk oude versie.

Interessant dat je dit opmerkt, ik vroeg me af waarom TS op een oude versie zit en dus blijkbaar AutoUpgrade niet enabled heeft. Blijkt dus dat niet elke release beschikbaar gemaakt wordt voor AutoUpgrade, 1.1.880.0 is zelfs de laatste op dit moment. Maar er zijn nadien inderdaad al vijf nieuwe versies uitgebracht, met nu 1.2.69.0 als meest recente. Zie https://docs.microsoft.co...e-connect-version-history

[holygame]

Vandaag weer een collega die niet kan inloggen met de netwerkkabel verbonden. Cached inloggen is dus geen probleem.

[Question Mark]

Wat bedoel je precies?

Dat er een netwerkkabel aangesloten is, wil nog niet zeggen dat de verbinding ook actief is. Als spanning-tree detectie ingeschakeld is op de netwerkapparatuur, blijft een netwerklink eerst nog 45 seconden down.

Om een netwerkverbinding actief te hebben voordat het aanlogscherm verschijnt kun je een computer policy aanpassen (Always wait for network for logon).

[tweakict]

Wat zeggen de eventlogs? Dit mis ik namelijk geheel in je verhaal.

[Verwijderd]

Dit heeft toch niet(s) (veel) met Azure AD te maken? Lokaal gebruikt die toch gewoon de DC voor authenticatie? Wat zeggen de events logs op de DC('s) zoals hierboven al aangehaald is? En de event log van de client die problemen had? Misschien staan daar connectie problemen in rond die tijd?

[ Voor 22% gewijzigd door Verwijderd op 22-12-2018 19:59 ]

[holygame]

Question Mark schreef op donderdag 20 december 2018 @ 10:02:
Wat bedoel je precies?

Dat er een netwerkkabel aangesloten is, wil nog niet zeggen dat de verbinding ook actief is. Als spanning-tree detectie ingeschakeld is op de netwerkapparatuur, blijft een netwerklink eerst nog 45 seconden down.

Om een netwerkverbinding actief te hebben voordat het aanlogscherm verschijnt kun je een computer policy aanpassen (Always wait for network for logon).

Het netwerk is eigenlijk standaard out of the box zonder bijzondere instellingen, link is eigenlijk onmiddellijk.
Ik heb de policy aangepast dat hij wacht op link, kan sowieso geen kwaad.

@tweakict, event logging aangezet, nu nog wachten op eerste volgende inlog probleem.

[ Voor 5% gewijzigd door holygame op 09-01-2019 11:53 ]