האם המאמר הועיל לך?
תודה על המשוב.
כשל בכניסה ל- SSO בעת חידוש אישור ה- SP באמצעות ADFS כ- IDP
משוב?כשל בכניסה של SSO בעת חידוש תעודת ספק השירות באמצעות ADFS כIDP.
כשל SSO בעת עדכון תעודת SP חדשה ב-IdP (ADFS).
שגיאה: קוד מצב לא חוקי בתגובה.
השלבים לחקירה:
- לכוד מעקב SAML כדי למצוא את תגובת SAML:
- הוסף את תוסף מפענח הודעות SAML לדפדפן:
עבור Chrome: https://chrome.google.com/webstore/detail/saml-message-decoder/mpabchoaimgbdbbjjieoaeiibojelbhm?hl=en
עבור Firefox: https://addons.mozilla.org/en-US/firefox/addon/saml-message-decoder-extension/ - פתח את התוסף ולחץ על העתק הודעה זו.
- פתח את Notepad++, כדי להתקין לחץ כאן.
- הדבק את ההודעה כדי למצוא את תגובת SAML בשפת XML ישירות.
- בדוק אם התכונות קיימות בתגובת SAML מ-IdP.
- אם אינך רואה תכונות כלשהן, המשמעות היא ש-Webex לא מקבל אותן מ-IdP. לפיכך, יש לחקור את הבעיה מקצה IdP.
- כדי לבדוק את התצורה של צד ADFS של Webex, לחץ כאן.
- כאשר התצורה נראית בסדר, בדוק את יומני מציג האירועים.
- בדוק אם יש שגיאות ADFS ביומני הרישום של Windows:
- ביומני הרישום של Windows, חפש את קוד שגיאת יומן רישום של אירוע ADFS 364. פרטי האירוע מזהים תעודה לא חוקית. במקרים אלה, מארח ה-ADFS אינו מורשה דרך חומת האש ביציאה 80 כדי לאמת את התעודה.
- אפשר ל-IdP גישה ליציאה 80 דרך חומת אש לאינטרנט, כדי שהוא יוכל לבצע בדיקות CRL.
- אם היציאה פתוחה, עקוב אחר Microsoft וחומת האש שלה.
- אם יציאה 80 אינה פתוחה בחומת האש או שבדיקות CRL לא פועלות, השבת CRL.
- בשרת ADFS > לחץ על מציג האירועים > יישומים > ADFS > מנהל מערכת > חפש את יומן השגיאות בחותמת הזמן ששיחזרת את ההתחברות. אם מופיעה השגיאה הבאה:
שגיאה: "נתקלנו בשגיאה במהלך בקשה פסיבית לאיחוד.
נתונים נוספים
שם הפרוטוקול: סמול
צד מסתמך: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטי חריגה:
שם הפרוטוקול: סמול
צד מסתמך: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטי חריגה:
Microsoft.IdentityServer.Service.SecurityTokenService.ביטולאימותחריגה: msis3014: תעודת ההצפנה של אמון הצד הנסמך 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' שזוהתה באמצעות טביעת אצבע '754B9208F1F75C5CC962750F3675C5D129471D80' אינה חוקית. הדבר עשוי להצביע על כך שהתעודה נשללה, פג התוקף או ששרשרת התעודות אינה אמינה.
ב-Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult result)
ב-Microsoft.IdentityModel.Threading.TypedAsyncResult1.End(IAsyncResult result) ב-Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityTokenבקשת, IList1& identityClaimSet, List1 additionalClaims) ב-Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityToken request, List1 additionalClaims)
ב- Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String&newSamlSession, String&samlpAuthenticationProvider, Boolean isUrlTranslationRequired, WrappedHttpListenerContext context, Boolean isKmsiRequested)
ב-Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)ב Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSerializedToken(HttpSamlRequestMessage httpSamlRequest, WrappedHttpListenerContext context, String relyingPartyIdentifier, SecurityTokenElement signOnTokenElement, Boolean
בכתובת Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)
בכתובת Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
באתר Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
ב- Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String&newSamlSession, String&samlpAuthenticationProvider, Boolean isUrlTranslationRequired, WrappedHttpListenerContext context, Boolean isKmsiRequested)
ב-Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)ב Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSerializedToken(HttpSamlRequestMessage httpSamlRequest, WrappedHttpListenerContext context, String relyingPartyIdentifier, SecurityTokenElement signOnTokenElement, Boolean
בכתובת Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)
בכתובת Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
באתר Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
הנה הפתרון:
- פתח את Powershell ב-ADFS כמנהל מערכת והפעל את הפקודה:
Get-AdfsRelyingPartyTrust -Identifier 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
הערה:
- הקפד להזין את כתובת ה-URL של המזהה במרכאות וניתן למצוא את כתובת ה-URL של המזהה בהודעת השגיאה, העתק והדבק אותה.
- Webex for Government (FedRAMP) מוכרח להשתמש ב- https://admin-usgov.webex.com/.
או
- פתח את Powershell ב-ADFS כמנהל מערכת והפעל את הפקודה:
קבל-AdfsRelyingPartyTrust -שם "Cisco Webex" | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
הערה:הקפד להזין את שם האמון של הצד המענה זהה ללקוח אחד שנוצר ב-ADFS שלו ובהצעות כפולות.
- בדוק SSO ב-Control Hub כדי לאמת.
האם המאמר הועיל לך?
