ADFS – Impossível de aceder ao Dynamics CRM 2011 Web Site com Autenticação Federada

O que é o AD FS?

https://technet.microsoft.com/pt-pt/library/cc736690(v=ws.10).aspx

Durante a utilização da Autenticação através de ADFS, poderá ocorrer esporadicamente a impossibilidade de acesso às Organizações do Dynamics CRM 2011.

A autenticação baseia-se em Certificados entre as duas partes, Dynamics CRM e AD FS.

De modo geral, um Certificado, quando criado, tem uma data de expiração. Quando expirado, torna-se impossível a utilização da Aplicação Web que o está a referenciar.

Especificamente, o AD FS faz uma gestão dos certificados na sua aplicação do seguinte modo:
 

Quando adicionado o certificado à aplicação, de Token-decrypting e Token-signing, irão apresentar a seguinte configuração:

A data de Expiração das propriedades Token-decrypting e Token-signing, tem validade de um ano (por defeito) e isto irá causar problemas quando não for devidamente atualizado.

Aqui estão algumas propriedades importantes que se pode obter com a seguinte comando de PowerShell:

Add-PSSnapin Microsoft.Adfs.PowerShell

Get-ADFSProperties

CertificateDuration: 365 Dias. Ao fim de 365 dias, o Token-decrypting e Token-signing expira.

CertificateGenerationThreshold: 20 dias antes de o certificado expirar, um segundo certificado é criado e vai ser apresentado na imagem anterior.

CertificatePromotionThreshold: Os Certificados são trocados: o secundário para a ser o primário, e o primário a ser o secundário.

Esta é a causa da Aplicação Dynamics CRM se tornar inacessível. Existe uma discrepância entre a informação dos certificados no ADFS (Federation Medatada) e o Dynamics CRM.

Para atualizar a informação no Dynamics CRM 2011, temos de configurar novamente a Claims-Based Authentication e o Internet-Facing Deployment:

Abrir o Deployment Management no Servidor onde está instalado o Dynamics CRM 2011.

Clicar em Disable Internet-Facing Deployment e depois em Disable Claims-Based Authentication.

Clicar em Configure Claims-Based Authentication e siga o assistente de configuração até ao final, sem modificar qualquer propriedade, pois não é necessário.

Depois clique em Configure Internet-Facing Deployment e siga do mesmo modo o assistente de configuração.

Por linha de comandos, corra o seguinte comando: iisreset /noforce

Aceda normalmente à Organização de Dynamics CRM no seu browser.

Mais informação: 

An error occurs in Microsoft Dynamics CRM 2011 using Claims Based Authentication: "401 Unauthorized Access is Denied"

https://support.microsoft.com/kb/2686840 

Espero ter ajudado.

Pedro.