כשל בכניסה ל- SSO בעת חידוש אישור SP באמצעות ADFS כ- IDP
כשל בכניסה ל- SSO בעת חידוש אישור SP באמצעות ADFS כ- IDP.
כשל SSO בעת עדכון אישור SP חדש ב- IdP (ADFS).
שגיאה : קוד מצב לא חוקי בתגובה.
שלבים לחקירה:
- לכוד מעקב SAML כדי למצוא את תגובת SAML:
- הוסף את תוסף המפענח הודעות SAML לדפדפן:
עבור כרום: https://chrome.google.com/webstore/detail/saml-message-decoder/mpabchoaimgbdbbjjieoaeiibojelbhm?hl=en
עבור פיירפוקס: https://addons.mozilla.org/en-US/firefox/addon/saml-message-decoder-extension/ - פתח את התוסף ולחץ על העתק הודעהזו.
- פתח את Notepad++, להתקנה לחץ כאן.
- הדבק את ההודעה כדי למצוא את תגובת SAML בשפת XML ישירות.
- בדוק אם התכונות קיימות בתגובת SAML מ-IdP.
- אם אינך רואה תכונות כלשהן, פירוש הדבר ש- Webex אינו מקבל אותן מ- IDP. לכן, יש לחקור את הנושא מתוך IdP.
- כדי לבדוק את ADFS Webex המסתמך על תצורת המפלגה, לחץ כאן.
- כאשר התצורה נראית בסדר, בדוק את יומני הרישום של מציג האירוע.
- בדוק אם קיימות שגיאות ADFS ביומני רישום של Windows:
- ביומני הרישום של Windows, חפש את קוד השגיאה של יומן האירועים ADFS 364. פרטי האירוע מזהים אישור לא חוקי. במקרים אלה, מארח ADFS אינו מורשה לעבור דרך חומת האש ביציאה 80 כדי לאמת את האישור.
- אפשר גישת IdP ליציאה 80 דרך חומת אש לאינטרנט, כדי שתוכל לבצע בדיקות CRL.
- אם היציאה פתוחה, בצע מעקב אחר Microsoft וחומת האש שלה.
- אם יציאה 80 אינה פתוחה בחומת האש או בדיקות ה-CRL לא פועלות, השבת את CRL.
- בשרת ADFS > לחץ על מציג האירועים > יישומים >- ADFS > Admin > לחפש את יומן השגיאות בחותמת הזמן ששכפלת את פרטי ההתחברות. אם אתה רואה את השגיאה הבאה:
שגיאה: "נתקל בשגיאה במהלך בקשה פסיבית של איחוד.
שם פרוטוקול נתונים
נוסף: מפלגת ההסתמכות של סאמל
: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטי חריגה:
נוסף: מפלגת ההסתמכות של סאמל
: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטי חריגה:
Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: MSIS3014: אישור ההצפנה של אמון הצד המסתמך ' המזוהה על-ידי טביעת אצבע '754B9208F1F75C5CC962750F3675C5D129471D80'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' אינו חוקי. הדבר עשוי להצביע על כך שהאישור בוטל, שפג תוקפו או ששרשרת האישורים אינה מהימנה.
at Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult)
at Microsoft.IdentityModel.Threading.TypedAsyncResult1.End(IAsyncResult result) at Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityToken request, IList1& identityClaimSet, List1 additionalClaims) at Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityTokenToken request, List1 additionalClaims)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSerializedToken( HttpSamlRequestMessage httpSamlRequest, WrappedHttpListenerContext context, String relyingPartyIdentifier, SecurityTokenElement signOnTokenElement, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired) at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSecurityToken(SamlSignInContext context, SecurityToken securityToken, SecurityToken deviceSecurityToken)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)at Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenContext context)"
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSerializedToken( HttpSamlRequestMessage httpSamlRequest, WrappedHttpListenerContext context, String relyingPartyIdentifier, SecurityTokenElement signOnTokenElement, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired) at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSecurityToken(SamlSignInContext context, SecurityToken securityToken, SecurityToken deviceSecurityToken)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)at Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenContext context)"
הנה הפתרון:
- פתח את Powershell ב- ADFS כמנהל מערכת והפעל את הפקודה:
Get-AdfsRelyingPartyTrust -Identifier ''https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx | Set-adfsRelyingPartyTrust -signingCertificateRevocationCheck none -EncryptionCertificateRevocationCheck None
הערה:
- הקפד להזין את כתובת ה-URL המזהה במרכאות ואת כתובת ה-URL המזהה נמצאת בהודעת השגיאה, העתק והדבק אותו.
- Webex for Government (FedRAMP) Control Hub חייב להשתמש idbroker-f.webex.com במקום idbroker.webex.com.
או
- פתח את Powershell ב- ADFS כמנהל מערכת והפעל את הפקודה:
Get-AdfsRelyingPartyTrust -Name "Cisco Webex" | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
הערה:הקפד להזין את שם אמון הצד המשיב כמו הלקוח היחיד שנוצר ב-ADFS שלו ובציטוטים כפולים.
- בדוק SSO ברכזת הבקרה כדי לאמת.
האם המאמר הועיל לך?
