Bu makale yararlı oldu mu?
Geri bildiriminiz için teşekkürler.
SSO ADFS ile IDP olarak SP Sertifikası Yenilerken Oturum Açma Hatası
Geri Bildirim?SP sertifikası ADFS üzerinden IDP olarak yenilenirken SSO oturum açma hatası.
IdP'de (ADFS) yeni SP sertifikası güncellenirken SSO hatası.
Hata: Yanıtta geçersiz durum kodu.
Araştırmak için adımlar:
- SAML yanıtını bulmak için bir SAML izlemesi yakalayın:
- SAML Mesaj Kod Çözücü eklentisini tarayıcıya ekleyin:
Chrome için: https://chrome.google.com/webstore/detail/saml-message-decoder/mpabchoaimgbdbbjjieoaeiibojelbhm?hl=en
Firefox için: https://addons.mozilla.org/tr-TR/firefox/addon/saml-message-decoder-extension/ - Eklentiyi açın ve Bu mesajı kopyala’ya tıklayın.
- Notepad++'ı açın, yüklemek için Buraya tıklayın.
- SAML yanıtını doğrudan XML dilinde bulmak için mesajı yapıştırın.
- Özniteliklerin IdP'den gelen SAML yanıtında olup olmadığını kontrol edin.
- Hiçbir öznitelik görmüyorsanız bu, öznitelikleri IdP’den almadığı anlamına gelir. Bu nedenle, sorunun IdP tarafından araştırılması gerekir.
- Taraf yapılandırmasına bağlı olarak ADFS Webex’i kontrol etmek için buraya tıklayın.
- Yapılandırma iyi göründüğünde etkinlik görüntüleyici günlüklerini kontrol edin.
- Windows günlüklerinde ADFS hatalarını kontrol edin:
- Windows günlüklerinde, ADFS olay günlüğü hata kodu 364'ü arayın. Etkinlik ayrıntıları, geçersiz bir sertifikayı tanımlar. Bu gibi durumlarda, ADFS ana bilgisayarının sertifikayı doğrulaması için bağlantı noktası 80'deki güvenlik duvarından geçmesine izin verilmez.
- IdP'nin CRL kontrollerini gerçekleştirebilmesi için internete bir güvenlik duvarı üzerinden bağlantı noktası 80'e erişmesine izin verin.
- Bağlantı noktası açıksa Microsoft ve güvenlik duvarıyla devam edin.
- Güvenlik duvarında bağlantı noktası 80 açık değilse veya CRL kontrolleri çalışmıyorsa CRL'yi devre dışı bırakın.
- ADFS sunucusunda > tıklayın Etkinlik Görüntüleyicisi > Uygulamalar > ADFS > Yönetici > oturum açmayı kopyaladığınız zaman damgasında hata günlüğünü arayın. Aşağıdaki hatayı görüyorsanız:
Hata: "Federasyon isteği sırasında hatayla karşılaşıldı.
Ek Veriler
Protokol Adı: SAML
Bağlı Taraf: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
Istisna ayrıntıları:
Protokol Adı: SAML
Bağlı Taraf: https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx
Istisna ayrıntıları:
Microsoft.IdentityServer.Service.SecurityTokenService.RevocationValidationException: msis3014: '754B9208F1F75C5CC962750F3675C5D129471D80' ile tanımlanan bağlı taraf güveninin şifreleme sertifikası geçerli değil. Sertifikanın iptal edildiğini, süresinin dolduğunu veya sertifika zincirinin güvenilir olmadığını gösterebilir.
at Microsoft.IdentityModel.Threading.AsyncResult.End(IAsyncResult sonucu)
at Microsoft.IdentityModel.Threading.TypedAsyncResult1.End(IAsyncResult result) at Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityToken request, IList1& identityClaimSet, List1 additionalClaims) at Microsoft.IdentityServer.Web.WSTrust.SecurityTokenServiceManager.Issue(RequestSecurityToken request, List1 additionalClaims)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue (HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
atMicrosoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInContext context, SecurityToken securityToken, SecurityToken deviceSecurityToken)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolManager.Issue (HttpSamlRequestMessage httpSamlRequestMessage, SecurityTokenElement onBehalfOf, String sessionState, String relayState, String& newSamlSession, String& samlpAuthenticationProvider, Boolean isUrlTranslationNeeded, WrappedHttpListenerContext context, Boolean isKmsiRequested)
atMicrosoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.RequestBearerToken(WrappedHttpListenerContext context, HttpSamlRequestMessage httpSamlRequest, SecurityTokenElement onBehalfOf, String relyingPartyIdentifier, Boolean isKmsiRequested, Boolean isKmsiRequested, Boolean isApplicationProxyTokenRequired, String& samlpSessionState, String& samlpAuthenticationProvider)at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.BuildSignInContext context, SecurityToken securityToken, SecurityToken deviceSecurityToken)
at Microsoft.IdentityServer.Web.Protocols.Saml.SamlProtocolHandler.Process(ProtocolContext context)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.ProcessProtocolRequest(ProtocolContext protocolContext, PassiveProtocolHandler protocolHandler)
at Microsoft.IdentityServer.Web.PassiveProtocolListener.OnGetContext(WrappedHttpListenerContext context)"
Çözünürlük şöyledir:
- ADFS'de Powershell'i yönetici olarak açın ve şu komutu çalıştırın:
Get-AdfsRelyingPartyTrust -Identifier 'https://idbroker.webex.com/39xxxx4ea-4xxe-416e-bd4f-4cxxxxxxx' | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck Hiçbiri
Not:
- Tanımlayıcı URL'sini tırnak içine girdiğinizden emin olun ve tanımlayıcı URL'si hata mesajında bulunabilir, kopyalayıp yapıştırın.
- Webex for Government (FedRAMP) Control Hub, https://admin-usgov.webex.com/ adresini kullanmalıdır.
veya
- ADFS'de Powershell'i yönetici olarak açın ve şu komutu çalıştırın:
Get-AdfsRelyingPartyTrust -Ad "Cisco Webex" | Set-AdfsRelyingPartyTrust -SigningCertificateRevocationCheck Hiçbiri -EncryptionCertificateRevocationCheck Hiçbiri
Not:Yanıt veren taraf güvenini, ADFS'de oluşturulan bir müşteriyle aynı şekilde ve çift tırnak olarak girdiğinizden emin olun.
- Doğrulamak için Control hub’da SSO’yu test edin.
Bu makale yararlı oldu mu?
