האם המאמר הועיל לך?
תודה על המשוב.
כשל בכניסה ל- SSO בעת חידוש אישור ה- SP באמצעות ADFS כ- IDP
משוב?כשל בכניסה ל- SSO בעת חידוש אישור ה- SP באמצעות ADFS כ- IDP.
כשל SSO בעת עדכון אישור SP חדש ב- IdP (ADFS).
שגיאה: קוד מצב לא חוקי בתגובה.
שלבים לחקירה:
- לכוד מעקב SAML כדי למצוא את תגובת SAML:
- הוסף את תוסף מפענח הודעות SAML לדפדפן:
עבור Chrome: https://chrome.google.com/webstore/detail/saml-message-decoder/mpabchoaimgbdbbjjieoaeiibojelbhm?hl=en
לפיירפוקס: https://addons.mozilla.org/en-US/firefox/addon/saml-message-decoder-extension/ - פתח את התוסף ולחץ על העתק הודעהזו.
- פתח את Notepad++, כדי להתקין לחץ כאן.
- הדבק את ההודעה כדי למצוא את תגובת SAML בשפת XML ישירות.
- בדוק אם התכונות קיימות בתגובת SAML מ-IdP.
- אם אינך רואה תכונות כלשהן, משמעות הדבר היא ש- Webex אינו מקבל אותן מ- IdP. לפיכך, יש לחקור את הבעיה מקצה IdP.
- כדי לבדוק את התצורה של צד ADFS של Webex, לחץ כאן.
- כאשר התצורה נראית בסדר, בדוק את יומני מציג האירועים.
- בדוק אם קיימות שגיאות ADFS ביומני הרישום של Windows:
- ביומני הרישום של Windows, חפש את קוד השגיאה של יומן האירועים של ADFS 364. פרטי האירוע מזהים אישור לא חוקי. במקרים אלה, מארח ADFS אינו מורשה לעבור דרך חומת האש ביציאה 80 כדי לאמת את האישור.
- אפשר ל-IdP גישה ליציאה 80 דרך חומת אש לאינטרנט, כדי שהוא יוכל לבצע בדיקות CRL.
- אם היציאה פתוחה, עקוב אחר Microsoft וחומת האש שלה.
- אם יציאה 80 אינה פתוחה בחומת האש או שבדיקות CRL לא פועלות, השבת CRL.
- בשרת ADFS > לחץ על מציג האירועים > יישומים > ADFS > Admin > לחפש את יומן השגיאות בחותמת הזמן ששכפלת את הכניסה. אם מופיעה השגיאה הבאה:
שגיאה: "נתקלנו בשגיאה במהלך בקשה פסיבית לאיחוד.
שם פרוטוקול נתונים נוספים
: צד מסתמך סמל
: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטים חריגים:
: צד מסתמך סמל
: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
פרטים חריגים:
Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: MSIS3014: אישור ההצפנה של אמון הצד המסתמך 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' שזוהה על ידי טביעת אצבע '754B9208F1F75C5C5CC962750F3675C5D129471D80' אינו תקף. הוא עשוי לציין שהאישור בוטל, שפג תוקפו או ששרשרת האישורים אינה מהימנה.
at Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult result)
ב-Microsoft.IdentityModel.Threading.TypedAsyncResult1.End(IAsyncResult result) ב-Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityTokenבקשת, IList1& identityClaimSet, List1 additionalClaims) ב-Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(בקשתSecurityToken, List1 additionalClaims)ב- Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String&newSamlSession, String&samlpAuthenticationProvider, Boolean isUrlTranslationRequired, WrappedHttpListenerContext context, Boolean isKmsiRequested)בכתובת Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)atMicrosoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSerializedToken(HttpSamlRequestMessage httpSamlRequest, WrappedHttpListenerContext, String relyingPartyIdentifier, SecurityTokenElement signOnTokenElement, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired) ב-Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSecurityToken(SamlSignInContext context, SecurityToken securityToken, SecurityToken deviceSecurityToken)ב-Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)בכתובת Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)באתר Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
הנה הפתרון:
- פתח את Powershell ב- ADFS כמנהל והפעל את הפקודה:
קבל-AdfsRelyingPartyTrust -מזהה 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' | הגדר-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -הצפנהCertificateRevocationCheck None
הערות
- הקפד להזין את כתובת ה-URL של המזהה במרכאות וניתן למצוא את כתובת ה-URL של המזהה בהודעת השגיאה, העתק והדבק אותה.
- יש להשתמש ב-Webex for Government (FedRAMP) Control Hub https://admin-usgov.webex.com/.
או
- פתח את Powershell ב- ADFS כמנהל והפעל את הפקודה:
קבל-AdfsRelyingPartyTrust -שם "Cisco Webex" | הגדר-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
הערה:הקפד להזין את שם האמון של הצד המענה זהה ללקוח אחד שנוצר ב-ADFS שלו ובהצעות כפולות.
- בדוק SSO במרכז הבקרה כדי לאמת.
האם המאמר הועיל לך?
