Gibt es Probleme mit Single Sign On (SSO) bei Maschinen mit Azure Entra ID?

Kurze Frage an Administratoren im Microsoft Cloud-Umfeld (Azure mit Entra ID) und Microsoft 365-Anwendungen. Ein Administrator hat sich bei mir gemeldet und beklagt sporadische Probleme beim Single Sign On (SSO) unter Microsofts Azure. Die Nutzer sehen dann alt aus, weil sie sich sporadisch schlicht nicht mehr unter ihren Microsoft 365-Apps anmelden können.


Anzeige

Microsoft Entra ID (SSO)

Ich musste mal genauer nachschauen, bei Microsoft ändern sich ja gefühlt täglich die Bezeichnungen, was die Leute nutzen sollen. Es geht um das Thema Single Sign On (kurz SSO) für Anwendungen die die Microsoft Cloud (Azure) verwenden. Der Fachbegriff lautet nun "Microsoft Entra Single Sign-On (SSO)" und wird auf dieser Microsoft Support-Seite erläutert.

Mit Single Sign-On (SSO) sollen die Zugriffe auf die verwendeten  SaaS-Apps (Software-as-a-Service), Cloud-Apps oder lokalen Apps vereinfacht werden. Es gibt eine Anmeldung an Microsoft Entra ID, die dann für alle verwendeten Apps gelten soll. O-Ton Microsoft: "Mit SSO benötigen Ihre Teams nur einen Satz von Anmeldeinformationen, um bequem auf alle ihre Apps zuzugreifen. So muss sich niemand mehr verschiedene Varianten merken oder Kennwörter wiederholt eingeben." Klingt gut, und ist gut, wenn es funktioniert und nicht geknackt wird – aber letzteres ist eine andere Baustelle.

Änderungen in 2024 für die EU

Im Dezember 2023 hatte Microsoft im Techcommunity-Beitrag Upcoming changes to Windows single sign-on einige Änderungen beim Single Sign One angekündigt. Dies wurde für Nutzer in Europa erforderlich, um die Einhaltung der Auflagen des Digital Markets Act (DMA) im Europäischen Wirtschaftsraum (EWR) sicherzustellen. Dazu soll ab 2024 die Funktionsweise für SSO unter Windows geändert werden.

Im Grunde werden Nutzer ab diesem Jahr bei der ersten Anmeldung unter Windows (sofern die Maschine im Europäischen Wirtschaftsraum läuft) gefragt,  ob sie sich bei der Anwendung mit denselben Anmeldedaten anmelden möchten, die auch für die Anmeldung bei Windows verwendet werden.

Single Sign One-Meldung

Der Hinweis informiert die Nutzer auch darüber, dass Microsoft bei der Anmeldung die gleichen Anmeldedaten verwendet, um sich bei anderen Microsoft-Anwendungen (Word, Excel etc.) unter Windows anzumelden. Weitere Details sind dem verlinkten Beitrag zu entnehmen – unter dem Strich sollte sich aber nichts ändern.

Single Sign On scheitert sporadisch

Blog-Leser E. H. hat sich gestern Abend per E-Mail bei mir gemeldet, weil er in seinem Umfeld von Fehlern beim Single Sign On (SSO) genervt ist. Unter dem Betreff "Probleme mit SSO bei hybrid joined Maschinen in Azure" beschreibt er die Probleme in seinem Administratorumfeld. In seiner Umgebung tritt das seltsame Phänomen auf, dass sich Nutzer sporadisch nicht mehr mit den Microsoft Desktop Apps wie Excel, Word und Co. anmelden können.

Microsoft 365 Entra ID-Anmeldung hängt
Microsoft 365 Entra ID-Anmeldung hängt


Anzeige

Das Ganze äußert sich so, dass die Anmeldung an der betreffenden Microsoft 365-Anmeldung mit obiger Maske hängen bleibt. Der Nutzer bekommt nur den Hinweis "Da hat etwas nicht geklappt" und es wird empfohlen, den Support zu kontaktieren. Dem Administrator soll man dann den Fehlercode "TypeError" ins Telefon flüstern. Ist natürlich selten dämlich, diese Fehlermeldung – ein Administrator wird mit einem Typ-Fehler herzlich wenig anfangen können.

Der Leser schrieb mir dann auch: "Wenn ich im Log in Azure nachsehe, dann steht im Log des entsprechenden Benutzers: Failure reason User is required to permit SSO." Das ist zwar schön und gut, nur bekommt der Anwender laut Leser nirgendwo eine Möglichkeit dieser SSO Anmeldung zuzustimmen.

Von Microsoft gibt es den Support-Beitrag Microsoft Entra authentication and authorization error codes, der aber wohl nicht hilfreich ist. Es gibt hier eine Aufstellung an Troubleshooting-Hinweisen, keine Ahnung, ob das weiter führt. Der Blog-Leser fragt, ob vielleicht schon jemand ein ähnliches Problem beobachtet hat? Er ist für jeden Hinweis dankbar, der in in die richtige Richtung im Hinblick auf eine Problemlösung bringt.

Ergänzung: Auf Grund von Leserkommentaren habe ich den Blog-Beitrag Azure Entra ID: Probleme mit Single Sign On (SSO) (seit März 2024) mit zusätzlichen Informationen verfasst. Vielleicht hilft es.

Ähnliche Artikel:
Anmeldefehler 700003 bei Microsoft 365 (10. – 11.3.2024)
Microsoft 365/Exchange Online erzwingt plötzlich MFA per Microsoft Authenticator-App
Microsoft benennt AzureAD in Microsoft EntraID um
Microsoft 365-Dienste kollidieren mit Google Chrome-Drittanbieter-Cookie-Blockade
Midnight Blizzard-Hack bei Microsoft: US-Behörden und Großkunden suchen Alternativen
EU-Datenschützer: EU-Kommission verstößt mit Microsoft 365 gegen DSGVO; Korrektur bis Dez. 2024
Gibt es Probleme mit Single Sign On (SSO) bei Maschinen mit Azure Entra ID?


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Azure, Cloud, Störung abgelegt und mit , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

16 Antworten zu Gibt es Probleme mit Single Sign On (SSO) bei Maschinen mit Azure Entra ID?

  1. Martin Wildi sagt:

    Ob es Probleme gibt? Aber ja doch, aber nicht akut, sondern immer.

    Bei unseren Kunden meldet sich alle paar Tage ein Benutzer, bei welchem die gesamte M365-Anmeldung zurück gesetzt werden muss. Danach ist wieder gut.

    Hybrid joined-Geräte sind etwas weniger anfällig dagegen, aber das ist bei uns noch nicht so weit verbreitet.

  2. michael sagt:

    Endlich wieder arbeiten können – ohne Outlook.

  3. Simon sagt:

    https://administrator.de/forum/microsoft-problem-sso-ad-entra-42175611343.html#comment-63788595788

    Jep zig mal bei meinen Kunden. Nervt extrem. Selbst bei den Privat-Lizenzen passiert das. Fliegen aus Word oder OneDrive raus.

  4. Martin sagt:

    Das Problem hatte ich bei einem Kunden auch vor ein paar Tagen. Nur einer von ca. 30-40 Clients.

    Geholfen hat ein enternen aus dem Azure-AD (Entra…) Stichwort: dsregcmd.exe /leave und erneutes Aufnehmen. (Was für das Benutzerprofil kein Problem ist, da war ich zunächst unsicher.)

  5. Aaron Hall sagt:

    My organization is experiencing many issues with our European systems around this exact issue. We're working with Microsoft to investigate. In our specific scenario, we are finding our Windows 11 23H2 systems are working, and our Windows 10 22H2 systems are not. All are patched with March 2024 cumulative updates. The issue hasn't been sporadic in that regard… it's been pretty much all impacted in this regard. Will try the advice Martin suggests of leaving/rejoining AAD. Otherwise, our findings so far suggest a bug in the DMA implementation as the article suggests where the Microsoft.AAD.BrokerPlugin doesn't trigger the prompt. Will bookmark this and share if we learn anything else.

  6. Anonymous sagt:

    Habe das Problem heute bei einem Windows 365 CloudPC gehabt. Hatte vermutet es lag am Restore von vor zwei Wochen.

  7. Ben sagt:

    Haben derzeit das selbe Problem. Microsoft-Ticket ist offen, bislang haben wir keine Lösung finden können…
    Gerne den Artikel weiter aktualisieren

  8. Anonymous sagt:

    Haben dasselbe Problem und ein Ticket bei Microsoft offen. Bei uns äußert es sich so, dass im Browser Office Web Apps, office.com etc. SSO funktioniert. Sobald wir an beliebigen PCs mit Windows 10 / 11 Office Apps öffnen funktioniert kein SSO mehr. Wir haben aktuell Logging von Word aktiviert, das Verhalten nachgestellt und das Log an Microsoft übermittelt.
    Bei uns ist es insofern kritisch, dass wir viele SharedPCs haben mit temporären Profilen und aktuell müssen die User beim Öffnen von Office Apps nochmal eine Anmeldung durchführen.

  9. Fadderson sagt:

    dsregcmd /leave und /join hat bei uns auf nem HAADJ Gerät nicht funktioniert. Wir sind ratlos. Probieren als nächstes nen Intune join über GPO.

  10. ToWa sagt:

    An dem Thema bin ich bereits seit Ende März:
    https://administrator.de/forum/microsoft-problem-sso-ad-entra-42175611343.html
    Der MS Support ist überfragt und angeblich gibt es keine globalen Probleme.

    Ich probiere gerade relativ viel mit einem Testuser rum, bislang aber leider keinen Erfolg und wenn sich was ändert, dann wird es meist nur noch schlimmer als der Status Quo. :-D

    Grüße

  11. Anonymous sagt:

    MS-Support konnte unterstützen und hat folgenden Workaround geliefert der bei uns funktioniert hat:

    1- Sign out from office Apps.
    2- Add this reg in registry editor:
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin: "BlockAADWorkplaceJoin"=dword:00000001
    • [HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity]
    "DisableADALatopWAMOverride"=dword:00000001
    • [HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity]
    "DisableAADWAM"=dword:00000001
    3- Delete the keys under Identities.
    4- Sign in again.

  12. Anonymous sagt:

    Die Bestätigung mit "Weiter" (aka.ms/sso-info) kommt aufgrund einer EU-Richtlinie. Trotz SSO wird man also mit Weiter bestätigen müssen.

    Die Frage ist, ob durch die Registry Werte das Problem behoben wird, dass Office Apps wie Word/Outlook aktiv nach Benutzer+Passwort fragen obwohl SSO in Browsern wie Edge funktioniert?

    Uns wurden die Registry Werte vom Microsoft Support nicht empfohlen, vor allem das Deaktivieren des WAM in Windows.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.