Resolução de problemas de SSO
Veja as etapas mais comuns de solução de problemas para tornar o logon único o trabalho de logon único.
Tabela de códigos de falha
Código |
Tipo de federação | Valor do Enum | Comentário | Solução possível |
|---|---|---|---|---|
| 1 | Federação WS | InvalidTo | Resposta inválida, não pode analisar SignInResponseMessage, a mensagem retornada tem formato inválido. | Verifique sua configuração |
| 2 | Federação WS | Erro de contexto | Contexto não mantido durante os redirecionamentos A mensagem retornada não contém o contexto da federação, não pode continuar o fluxo. |
Verifique sua configuração |
| 3 | SAML2 | Token InvalidResponseToken | Resposta ou autenticação inválida não foi bem-sucedida. | |
| 4 | Federação WS | InvalidationToken | A assinatura XML de resposta é inválida. | Verifique se o método de assinatura usado está disponível. |
| 5 | SAML2/WS - Federação | BusinessTokenNotYet | O token ainda não é válido. | A correção de tempo é necessária no servidor do cliente. |
| 6 | SAML2/WS - Federação | Segurança e Expirados | O token expirou. | A correção de tempo é necessária no servidor do cliente. |
| 7 | SAML2/WS - Federação | InvalidIdentityId | Não é possível encontrar dados da federação para o domínio. | Entre em contato com o suporte. |
| 8 | SAML2/WS - Federação | Correspondência de e-mail | O domínio de e-mail é diferente dos dados armazenados da federação. | |
| 9 | SAML2/WS - Federação | SignatureVerificationKey | A chave pública é diferente da armazenada. | Entre em contato com o suporte. |
| 10 | SAML2/WS - Federação | MSIs | Nenhum atributo SAML está presente na asserção. | Verifique a configuração, verifique se as solicitações necessárias são retornadas. |
| 11 | SAML2/WS - Federação | Valores de atributos diferentes | Nenhum valor de atributo SAML está presente na asserção. | Verifique a configuração, verifique se as solicitações necessárias são retornadas. |
| 13 | SAML2/WS - Federação | Declaração de ingresso | Nenhum atributo de e-mail está presente na asserção. | Mapeamentos de atributo ou nomes de atributo incorretos. |
| 14 | SAML2/WS - Federação | Context InvalidedContext | Não é possível encontrar o contexto da federação, provavelmente expirou do cache. | Peça para os usuários concluir o fluxo de login em menos de 20 minutos. |
| 16 | SAML2/WS - Federação | InvalidSignatureCheck | Não é possível validar a resposta SAML, o certificado é inválido. | Verifique se o certificado de assinatura da mensagem de resposta está correto. |
| 17 | SAML2/WS - Federação | IncomingSignatureKey | A chave pública de assinatura não está presente na asserção. | Verifique se o certificado de assinatura da mensagem de resposta está correto. |
| 18 | Federação WS | InvalidRequestMethod | Método HTTP incompatível. | O WS-Federation é compatível somente com o POST do Http. |
| 19 | SAML2/WS - Federação | InvalidRequest | Não é possível analisar a resposta SAML. | |
| 20 | Federação WS | Erro de mensagem | Mensagem de federação ausente. | |
| 21 | SAML2/WS - Federação | ReplayToken | Token SAML já foi usado. |
Solução de problema
- InvalidTo
-
Formato de mensagem inválido significa que algo na asserção não é reconhecido. Isso pode ocorrer quando os atributos não são reconhecidos ou existem informações importantes ausentes na asserção.
Para trabalhar em uma resolução, você precisará coletar uma asserção e analisar os parâmetros ausentes. Você pode recriar o problema no Firefox e usar o Rastreador SAML ou o Rastreador de logon único.
Após coletar a asserção, compare-a com o exemplo de asserção abaixo. Se nada for feito, forneça-o ao desenvolvimento com os outros dados relevantes.
- Token InvalidResponseToken
-
Há algumas instâncias em que isso pode ocorrer, principalmente isso ocorre quando os atributos para E-mail, nome e lastname estão incorretas. Muitas vezes, você verá atributos com nomes, como e-mail, gotennome, nome, etc. Devem ser ajustadas para refletir as E-mail Nome e LastName na asserção. Veja um exemplo de asserção:
<saml2:Attribute FriendlyName="mail" Name="" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"> <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">john.smith@internet.com</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute FriendlyName="sn" Name="" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"> <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">Smith</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute FriendlyName="givenName" Name="" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"> <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">John</saml2:AttributeValue> </saml2:Attribute> </saml2:AttributeStatement>Os itens destacados acima precisarão ser ajustados para E-mail, LastName e Nome.
- BusinessTokenNotYet
-
Todos os certificados têm um período de validade, e isso é designado por autor da chamada, que pode ser uma autoridade de certificação, como Thawte ou GlobalSign, pode ser criada pelo cliente. Esse erro ocorre quando o certificado não chegou ao seu período de validade até ainda. Verifique as datas de validade do certificado e confirme se ele é válido para o tempo necessário.
- Segurança e Expirados
-
Semelhante ao erro anterior, isso refere-se ao período de validade de um certificado. Geralmente, os certificados têm uma data de validade e a maioria das empresas as alteram anualmente. O usuário teria esse erro se o certificado expirou. Isso exigirá que enviemos um atualizado e carregue o novo para a conta.
- Correspondência de e-mail
-
Este é um erro muito comum de identificar. Como o nome indica, esse erro significa que o e-mail que você está fornecendo não é o mesmo que você está digitando. O e-mail que você digita na página de login LogMeIn página de login deve ser o mesmo que você digita na asserção:.
Veja um exemplo de asserção contendo e-mail:
<Conditions NotBefore="2015-03-11T20:22:12.093Z" NotOnOrAfter="2015-03-11T21:22:12.093Z"> <AudienceRestriction> <Audience></Audience> </AudienceRestriction> </Conditions> <AttributeStatement> <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname"> <AttributeValue>Justin</AttributeValue> </Attribute> <Attribute Name=""> <AttributeValue>Bell</AttributeValue> </Attribute> <Attribute Name=""> <AttributeValue>jbell@logmeinse.com</AttributeValue> </Attribute> </AttributeStatement> <AuthnStatement AuthnInstant="2015-03-11T20:22:12.077Z"> <AuthnContext> <AuthnContextClassRef>urn:federation:authentication:windows</AuthnContextClassRef> </AuthnContext> </AuthnStatement> </Assertion>Verifique se os e-mails correspondem.
- SignatureVerificationKey
-
O certificado não é o mesmo que o que está sendo passado pela IDP. Confirme se os certificados são iguais, captura do arquivo xml de metadados ou metadados e recarregue.
- MSIs
-
Atributos SAML ausentes, verifique se o cliente tem regras corretas configuradas no IDP. Verifique se o Nome, o LastName e os E-mail estão sendo fornecidos.
- Valores de atributos diferentes
-
Variáveis presentes para Nome, LastName e E-mail, mas fornecidas em branco sem dados. Investigar asserção e regras no IDP.
- Declaração de ingresso
-
Atributo de e-mail ausente em asserção. Investigar asserção e regras no IDP.
- Context InvalidedContext
-
Geralmente causado por tempo limite, isso pode ocorrer se o usuário iniciar o processo de login, e depois não concluir e tentar mais tarde. Peça que eles tentem todo o processo de login do início para o fim, sem nenhuma pausa entre si.
- InvalidSignatureCheck
-
Confirme se o certificado carregado na conta corresponde ao certificado sendo fornecido pelo IDP. Capturar o certificado diretamente por um arquivo xml de cliente, IDP ou metadados.
- InvalidRequestMethod
-
O WS-federação só é compatível com o protocolo Post HTTP. Se esse erro estiver presente, tenha o protocolo de alteração de usuário para o Post HTTP no lado do IDP.Note: Como usamos o SAML 2.0 agora, você geralmente não deve ver esse problema
- InvalidRequest
-
Não é possível analisar a resposta, verifique se a asserção está correta. Capturar asserção e investigar o que pode estar ausente. Verifique se a asserção está sendo passada. Às vezes, as regras que não estão presentes no IDP podem causar asserção até mesmo disparar.
- Erro de mensagem
-
Mensagem de federação ausente, dados adequados que não estão sendo fornecidos em asserção. Capturar asserção e investigar o que pode estar ausente.
- ReplayToken
-
Token SAML usado anteriormente. Se uma atualização da página enviar a mesma asserção duas vezes.