Sie haben Azure AD Seamless Single Sign-On mit Password Hash Synchronization aktiviert. Benutzer, die sich bei in die Domäne eingebundenen Windows 10-Geräten anmelden, erhalten SSO in Microsoft Edge, aber Google Chrome und Mozilla Firefox fordern weiterhin Anmeldeinformationen an. Sie müssen die Anzahl der Aufforderungen in Chrome und Firefox für lokale Benutzer minimieren. Was sollten Sie tun?

Die korrekte Antwort ist, Chrome- und Firefox-Richtlinien zu konfigurieren, um die integrierte Windows-Authentifizierung (IWA) für die angegebenen Azure AD-URLs zuzulassen. Standardmäßig unterstützen diese Browser IWA nicht für URLs außerhalb der lokalen Intranetzone. Durch das Hinzufügen der URLs https://login.microsoftonline.com und https://autologon.microsoftazuread-sso.com zu den Richtlinien für die integrierte Authentifizierung können sie die Kerberos-Tickets nutzen, die von Seamless SSO bereitgestellt werden, und somit Anmeldeaufforderungen eliminieren. Die Umstellung auf Verbundauthentifizierung (AD FS) wäre ein komplexerer und unnötiger Schritt, da Seamless SSO bereits die gewünschte Funktionalität bietet. Das manuelle Erstellen des Computerkontos AZUREADSSOACC ist nicht erforderlich, da Azure AD Connect dies automatisch erledigt. Die Aktivierung der Pass-through-Authentifizierung würde Password Hash Synchronization ersetzen und ist keine Lösung für das Browser-spezifische Problem. Das Hinzufügen der URLs zur Zone „Vertrauenswürdige Sites“ ist für Internet Explorer relevant, hat aber keine Auswirkungen auf Chrome oder Firefox.