Bol tento článok užitočný?
Ďakujeme za vašu spätnú väzbu.
Zlyhanie prihlásenia SSO pri obnove certifikátu SP prostredníctvom ADFS ako IDP
Spätná väzba?Zlyhanie prihlásenia SSO pri obnove certifikátu SP cez ADFS ako IDP.
Zlyhanie SSO pri aktualizácii nového certifikátu SP na IdP (ADFS).
chyba: Neplatný stavový kód v odpovedi.
Kroky na vyšetrenie:
- Zaznamenajte stopu SAML, aby ste našli odpoveď SAML:
- Pridajte do prehliadača doplnok SAML Message Decoder :
Pre Chrome: https://chrome.google.com/webstore/detail/saml-message-decoder/mpabchoaimgbdbbjjieoaeiibojelbhm?hl=en
Pre Firefox: https://addons.mozilla.org/en-US/firefox/addon/saml-message-decoder-extension/ - Otvorte doplnok a kliknite na položku Kopírovať túto správu.
- Ak chcete nainštalovať program Notepad++, otvorte ho Kliknite sem.
- Prilepením správy priamo nájdete odpoveď SAML v jazyku XML.
- Skontrolujte, či sú atribúty prítomné v odpovedi SAML od poskytovateľa identity.
- Ak nevidíte žiadne atribúty, znamená to, že ich Webex nedostáva od IdP. Preto je potrebné problém preskúmať od konca IdP.
- Ak chcete skontrolovať ADFS Webex spoliehajúci sa na konfiguráciu strany, kliknite sem.
- Keď konfigurácia vyzerá dobre, skontrolujte denníky prehliadača udalostí.
- Skontrolujte chyby ADFS v denníkoch systému Windows:
- V denníkoch systému Windows vyhľadajte kód chyby 364 denníka udalostí ADFS. Podrobnosti udalosti identifikujú neplatný certifikát. V týchto prípadoch hostiteľ ADFS nemôže cez bránu firewall na porte 80 overiť certifikát.
- Povoľte IdP prístup k portu 80 cez bránu firewall na internet, aby mohol vykonávať kontroly CRL.
- Ak je port otvorený, obráťte sa na spoločnosť Microsoft a jej bránu firewall.
- Ak port 80 nie je otvorený na bráne firewall alebo kontroly CRL nefungujú, zakážte CRL.
- Na serveri ADFS > kliknite na položku Zobrazovač udalostí > Aplikácie > ADFS > Správca > vyhľadajte denník chýb v čase, keď ste replikovali prihlásenie. Ak sa zobrazí nasledujúca chyba:
Chyba: "Vyskytla sa chyba počas pasívnej požiadavky federácie.
Dodatočné údaje
Názov protokolu: Saml
spoliehajúca sa strana: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
Podrobnosti o výnimke:
Názov protokolu: Saml
spoliehajúca sa strana: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
Podrobnosti o výnimke:
Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: MSIS3014: Šifrovací certifikát dôveryhodnej strany spoliehajúcej sa strany „https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' identifikovaný pomocou odtlačku „754B9208F1F75C5CC962750F3675C5D129471D80“ nie je platný. Môže to znamenať, že certifikát bol odvolaný, vypršala jeho platnosť alebo že reťazec certifikátov nie je dôveryhodný.
na Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult výsledok)
na stránke Microsoft.IdentityModel.Threading.TypedAsyncResult1.End(výsledok IAsyncResult) na adrese Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(requestSecurityToken request, IList1& identityClaimSet, List1 at AdditionalClaims) Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(requestSecurityToken request, List1 AdditionalClaims)
na stránke Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage, StrhalingToken sessionOf httpSaml sessionEf String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean&Requested,BplicationoleanRequireA str SecurityTokenElement signOnTokenElement, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired) na Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSecurityToken(SamlSignInToken) kontext zabezpečenia, SecurityContextSecuritySecurityTokenna stránke Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
na stránke Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue(HttpSamlRequestMessage, StrhalingToken sessionOf httpSaml sessionEf String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean&Requested,BplicationoleanRequireA str SecurityTokenElement signOnTokenElement, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired) na Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInResponseCoreWithSecurityToken(SamlSignInToken) kontext zabezpečenia, SecurityContextSecuritySecurityTokenna stránke Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
Tu je uznesenie:
- Otvorte Powershell na ADFS ako správca a spustite príkaz:
Get-AdfsRelyingPartyTrust -Identifier 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
Poznámka:
- Uistite sa, že ste adresu URL identifikátora zadali do úvodzoviek a adresu URL identifikátora nájdete v chybovom hlásení, skopírujte ju a prilepte.
- Webex for Government (FedRAMP) Control Hub musí používať https://admin-usgov.webex.com/.
ALEBO
- Otvorte Powershell na ADFS ako správca a spustite príkaz:
Get-AdfsRelyingPartyTrust -Name "Cisco Webex" | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None
Poznámka: Uistite sa, že ste zadali názov dôveryhodnej strany odpovedajúcej strany rovnaký ako názov jedného zákazníka, ktorý vytvoril vo svojom ADFS, a to v dvojitých úvodzovkách.
- Overte to otestovaním jednotného prihlásenia v riadiacom centre.
Bol tento článok užitočný?
