Fehlerbehebung und häufige Probleme mit ADFS/IDs

Cisco IDs-Protokoll

Die Cisco IDs-Protokollierung protokolliert alle Fehler, die in Cisco IDs aufgetreten sind.

Verwenden Sie RTMT, um Cisco IDs abzurufen. Informationen zur Verwendung von RTMT finden Sie im Benutzerhandbuch für RTMT.

Bitte beachten Sie, dass der RTMT-Name Cisco Identity Service ist. Um die Protokolle zu finden, navigieren Sie zu Cisco Identity Service > log.

Fedlet-Protokolle

Fedlet-Protokolle enthalten weitere Details zu SAML-Fehlern, die in Cisco IDs auftreten.

Verwenden Sie RTMT, um Fedlet-Protokolle abzurufen.

Der Speicherort für das Fedlet-Protokoll ist identisch mit den Cisco IDs-Protokollen.

Die Fedlet-Protokolle beginnen mit dem Präfix fedlet-

Kennzahlen der Cisco IDS API

Anhand von API-Metriken können Fehler, die von Cisco IDs zurückgegeben wurden, sowie die Anzahl der von Cisco IDs verarbeiteten Anforderungen geprüft und validiert werden.

Verwenden Sie RTMT, um API-Metriken abzurufen.

Bitte beachten Sie, dass der RTMT-Name Cisco Identity Service ist.

Dies wird unter einer separaten Ordnermetrik angezeigt. Bitte beachten Sie, dass saml_metrics.csv und autorize_metrics.csv die relevanten Metriken für dieses Dokument sind.

Ereignisanzeige in AD FS

Ermöglicht Benutzern, die Ereignisprotokolle im System anzuzeigen. Jeder Fehler in AD FS bei der Verarbeitung der SAML-Anforderung/beim Senden der SAML-Antwort wird hier protokolliert.

Navigieren Sie im AD FS-Rechner zu Event Viewer >Applications and Services Logs >AdDFS 2.0 > Admin

Starten Sie in Windows 2008 die Ereignisanzeige über Systemsteuerung > Leistung und Wartung > Verwaltung.

Starten Sie es in Windows 2012 über Systemsteuerung\System und Sicherheit\Verwaltung.

In der Dokumentation zu Ihrem Fenster können Sie sehen, wo Sie die Ereignisanzeige finden können.

Ein SAML-Viewer hilft Ihnen dabei, die SAML-Anforderung und -Antwort zu betrachten, die von/an Cisco IDs gesendet werden.

Diese Browseranwendung ist sehr nützlich für die Analyse von SAML Request/Response.

Dies sind einige empfohlene SAML-Viewer, mit denen Sie die SAML-Anforderung und -Antwort betrachten können.

AuthCode-Anforderungsverarbeitung mit Cisco IDs

Im Fehlerfall wird der Browser nicht an den SAML-Endpunkt oder AD FS umgeleitet, und Cisco IDs zeigen einen JSON-Fehler an, der anzeigt, dass die Client-ID oder die Redirect-URL ungültig ist.

Cisco IDs-Protokolle - gibt die Fehler an, die beim Validieren und Verarbeiten der Authentifizierungsanfrage auftreten.

Cisco IDS API-Metriken - gibt die Anzahl der verarbeiteten und fehlgeschlagenen Anfragen an.

Client-Registrierung

SAML-Anforderungsinitiierung durch Cisco IDS

Bei einem Ausfall wird der Browser nicht an AD FS umgeleitet, und Cisco IDs zeigen eine Fehlerseite bzw. eine Fehlermeldung an.

Cisco IdS-Protokolle - Gibt an, ob eine Ausnahme vorliegt oder nicht, während die Anforderung initiiert wird.

Cisco IDS API-Metriken - gibt die Anzahl der verarbeiteten und fehlgeschlagenen Anfragen an.

Cisco IDs im Status NOT_CONFIGURED.

SAML-Anforderungsverarbeitung durch AD FS

Wenn diese Anforderung nicht bearbeitet wird, wird eine Fehlerseite vom AD FS-Server anstatt der Anmeldeseite angezeigt.

Ereignisanzeige in AD FS: gibt die Fehler an, die bei der Verarbeitung der Anforderung auftreten.

SAML-Browser-Plugin - Hilft, die SAML-Anfrage anzuzeigen, die an die AD FS gesendet wird.

Konfiguration von Gruppenvertrauen in IDs

Senden der SAML-Antwort durch AD FS

Wenn die Antwort nicht gesendet wird, wird eine Fehlerseite vom AD FS-Server angezeigt, nachdem die gültigen Anmeldeinformationen übermittelt wurden.

Ereignisanzeige in AD FS - gibt die Fehler an, die bei der Verarbeitung der Anforderung auftreten.

• Konfiguration von Gruppenvertrauen in IDs
• Einstellung für die Formularauthentifizierung in AD FS.

SAML-Antwortverarbeitung durch Cisco IDS

Die Cisco IDs zeigen einen 500-Fehler mit dem Fehlergrund und eine schnelle Überprüfungsseite an.

Ereignisanzeige in AD FS - gibt den Fehler an, wenn AD FS eine SAML-Antwort ohne erfolgreichen Statuscode sendet.

SAML-Browser-Plugin - Hilft, die SAML-Antwort zu sehen, die von AD FS gesendet wurde, um zu erkennen, was falsch ist.

Cisco IdS-Protokoll - gibt den Fehler/die Ausnahme an, die während der Verarbeitung aufgetreten sind.

Cisco IDS API-Metriken - gibt die Anzahl der verarbeiteten und fehlgeschlagenen Anfragen an.

• Konfiguration der Forderungsregeln
• Signierung von Nachrichten und Assertionen

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 401 fehl.

Fehlermeldung

Browser:

Fehler 401 mit dieser Meldung: {"error":"invalid_client","error_description":"Invalid ClientId"}

Cisco IDs-Protokoll:

Mögliche Ursache

Die Client-Registrierung bei Cisco IDs ist unvollständig.

Empfohlene Aktion

Navigieren Sie zur Cisco IDS Management Console, und überprüfen Sie, ob der Client erfolgreich registriert wurde. Falls nicht, registrieren Sie die Clients, bevor Sie mit der SSO fortfahren.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 401 fehl.

Fehlermeldung

Browser:

Fehler 401 mit dieser Meldung: {"error":"invalid_redirectUri","error_description":"Invlalid Redirect Uri"}

Mögliche Ursache

Der Benutzer greift mithilfe der IP-Adresse/des alternativen Hostnamens auf die Anwendung zu.

Wenn im SSO-Modus auf die Anwendung über IP zugegriffen wird, funktioniert sie nicht. Der Zugriff auf Anwendungen sollte über den Hostnamen erfolgen, über den sie in Cisco IDs registriert sind. Dieses Problem kann auftreten, wenn der Benutzer auf einen alternativen Hostnamen zugreift, der nicht bei Cisco IDs registriert ist.

Empfohlene Aktion

Navigieren Sie zur Cisco IDS-Managementkonsole, und überprüfen Sie, ob der Client mit der richtigen Umleitungs-URL registriert ist und dieselbe URL für den Zugriff auf die Anwendung verwendet wird.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 503 fehl.

Fehlermeldung

Browser:

Fehler 503 mit dieser Meldung: {"error":"service_unavailable","error_description":"SAML-Metadaten sind nicht initialisiert"}

Mögliche Ursache

In Cisco IDs sind keine IP-Metadaten verfügbar. Die Vertrauensstellung zwischen Cisco IDs und AD FS ist nicht vollständig.

Empfohlene Aktion

Navigieren Sie zur Cisco IDS-Managementkonsole, und prüfen Sie, ob die IDs nicht konfiguriert sind.

Bestätigen Sie, ob IDP-Metadaten hochgeladen wurden.

Falls nicht, laden Sie die von AD FS heruntergeladenen IdP-Metadaten hoch.

Weitere Informationen finden Sie hier.

Problemübersicht

AD FS zeigt die Anmeldeseite nicht an, sondern zeigt eine Fehlerseite an.

Fehlermeldung

Browser

AD FS zeigt eine Fehlerseite ähnlich der folgenden an:

Beim Zugriff auf die Website ist ein Problem aufgetreten. Versuchen Sie erneut, die Website aufzurufen.

Wenn das Problem weiterhin besteht, wenden Sie sich an den Administrator dieser Website und geben Sie die Referenznummer an, um das Problem zu identifizieren.

Referenznummer: 1ee602be-382c-4c49-af7a-5b70f3a7bd8e

AD FS Event Viewer

Beim Verarbeiten der SAML-Authentifizierungsanfrage ist beim Federation Service ein Fehler aufgetreten.

Zusätzliche Daten

Mögliche Ursache

Die Vertrauenswürdigkeit der zugrunde liegenden Partei wurde nicht eingerichtet oder das Cisco IDS-Zertifikat wurde geändert, aber das gleiche Zertifikat wird nicht in das AD FS hochgeladen.

Empfohlene Aktion

Mit dem neuesten Cisco IDS-Zertifikat können Sie eine Vertrauensstellung zwischen AD FS und Cisco IDS herstellen.

Stellen Sie sicher, dass das Cisco IDS-Zertifikat nicht abgelaufen ist. Das Status-Dashboard wird im Cisco Identity Service Management angezeigt. Wenn ja, generieren Sie das Zertifikat auf der Seite Einstellungen neu.

Weitere Informationen zum Einrichten von Metadaten-Vertrauenswürdigkeit für ADFS und Cisco IDs finden Sie hier

Problemübersicht

Der Browser zeigt die NTLM-Anmeldung an und schlägt dann fehl, ohne erfolgreich zur Cisco ID umzuleiten.

Fehlerschritt

SAML-Antwort senden

Fehlermeldung

Browser:

Der Browser zeigt die NTLM-Anmeldung an, schlägt aber nach erfolgreicher Anmeldung mit vielen Umleitungen fehl.

Mögliche Ursache

Cisco IDs unterstützen nur die formbasierte Authentifizierung, die Formularauthentifizierung ist in AD FS nicht aktiviert.

Empfohlene Aktion

Weitere Informationen zum Aktivieren der Formularauthentifizierung finden Sie unter:

              ADFS 2.0-Formularauthentifizierungseinstellungen

              ADFS 3.0-Formularauthentifizierungseinstellungen

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler "Error Code as invalidSignature" (Fehlercode als ungültige Signatur) mit dem Fehler 500 fehl.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser:

500 Fehler mit dieser Meldung im Browser:

Fehlercode: ungültige Signatur
Nachricht: Das Signaturzertifikat stimmt nicht mit dem überein, was in den Entitätsmetadaten definiert ist.

AD FS Event Viewer:

Kein Fehler

Cisco IDs-Protokoll:

Mögliche Ursache

Die SAML-Antwortverarbeitung ist fehlgeschlagen, da das IdP-Zertifikat von dem in Cisco IDs verfügbaren Zertifikat abweicht.

Empfohlene Aktion

Laden Sie die neuesten AD FS-Metadaten herunter: https://<ADFSServer>/federationmetadata/2007-06/federationmetadata.xml

Upload auf Cisco IDs über die Benutzeroberfläche für das Identity Service Management.

Weitere Informationen finden Sie unter Konfigurieren von Cisco IDs und AD FS.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Statuscode 500 fehl: urn:oasis:names:tc:SAML:2.0:status:Success

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser:

500 Fehler mit dieser Meldung:

IDP-Konfigurationsfehler: SAML-Verarbeitung fehlgeschlagen

SAML Assertion fehlgeschlagen von IdP mit Statuscode: urn:oasis:names:tc:SAML:2.0:status:Success. Überprüfen Sie die IDP-Konfiguration, und versuchen Sie es erneut.

Cisco IDs-Protokoll

SAML-Viewer:

Suchen Sie die Felder NotBefore und NotOnOrAfter.

<Bedingungen nichtvor="2016-08-28T14:45:03.325Z" NotOnOrAfter="2016-08-28T15:45:03.325Z">

Mögliche Ursache

Die Uhrzeit im Cisco IDS- und IdP-System ist nicht synchronisiert.

Empfohlene Aktion

Synchronisieren Sie die Zeit im Cisco IDS- und AD FS-System. Es wird empfohlen, das AD FS-System und die Cisco IDs mithilfe des NTP-Servers zu synchronisieren.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Statuscode 500 fehl:urn:oasis:names:tc:SAML:2.0:status:Responder

 Fehlermeldung im AD FS Event View Log - Wrong Signature Algorithm (SHA256 vs SHA1) in AD FS

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser

500 Fehler mit dieser Meldung:

IDP-Konfigurationsfehler: SAML-Verarbeitung fehlgeschlagen

SAML Assertion fehlgeschlagen von IdP mit Statuscode: urn:oasis:names:tc:SAML:2.0:status:Responder. Überprüfen Sie die IDP-Konfiguration, und versuchen Sie es erneut.

AD FS Event Viewer:
Die SAML-Anforderung wird nicht mit dem erwarteten Signaturalgorithmus signiert. Die SAML-Anforderung wird mit dem Signaturalgorithmus http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 signiert.
Der erwartete Signaturalgorithmus lautet http://www.w3.org/2000/09/xmldsig#rsa-sha1.

Cisco IDs-Protokoll:

Mögliche Ursache

AD FS ist für die Verwendung von SHA-256 konfiguriert.

Empfohlene Aktion

Aktualisieren Sie AD FS, um SHA-1 für Signierung und Verschlüsselung zu verwenden.

1. RDP zum AD FS-System.
2. Öffnen Sie die AD FS-Konsole.
3. Wählen Sie die Vertrauenswürdigkeit der vertraulichen Partei aus, und klicken Sie auf Eigenschaften.
4. Wählen Sie die Registerkarte Erweitert aus.
5. Wählen Sie in der Dropdown-Liste SHA-1 aus.
   
   

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 500 fehl, und es wird die Meldung "Die Benutzerkennung konnte nicht aus der SAML-Antwort abgerufen werden./Der Benutzer-Principal konnte nicht aus der SAML-Antwort abgerufen werden."

uid und/oder user_capital nicht in den ausgehenden Ansprüchen festgelegt.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser:

500 Fehler mit dieser Meldung:

IDP-Konfigurationsfehler: SAML-Verarbeitung fehlgeschlagen.

Die Benutzer-ID konnte nicht aus der SAML-Antwort abgerufen werden./Der Benutzer-Principal konnte nicht aus der SAML-Antwort abgerufen werden.

AD FS Event Viewer:

Kein Fehler

Cisco IDs-Protokoll:

Mögliche Ursache

Obligatorische ausgehende Ansprüche (uid und user_main) sind in den Anspruchsregeln nicht korrekt konfiguriert.

Wenn Sie die NamensID-Anspruchsregel nicht konfiguriert haben oder uid oder user_main nicht ordnungsgemäß konfiguriert sind.

Wenn die NameID-Regel nicht konfiguriert ist oder user_main nicht korrekt zugeordnet ist, gibt Cisco IdS an, dass user_main nicht abgerufen wird, da dies die Eigenschaft ist, nach der Cisco IdS sucht.

Wenn uid nicht korrekt zugeordnet ist, gibt Cisco IdS an, dass uid nicht abgerufen wird.

Empfohlene Aktion

Stellen Sie unter AD FS-Anspruchsregeln sicher, dass die Attributzuordnung für "user_main" und "uid" wie im IDP-Konfigurationsleitfaden (welcher Leitfaden?) definiert ist.

1. RDP an AD FS-System.
2. Bearbeiten Sie die Anspruchsregeln für die Vertrauenswürdigkeit der vertrauenden Partei.
   
   
3. Stellen Sie sicher, dass user_main und uid korrekt zugeordnet sind.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 500 fehl, und es wird die Meldung "Es konnte keine Benutzerkennung aus der SAML-Antwort abgerufen werden. oder Der Benutzer konnte den Principal der SAML-Antwort nicht abrufen." wenn das AD FS ein Federated AD FS ist.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser

500 Fehler mit dieser Meldung:

IDP-Konfigurationsfehler: SAML-Verarbeitung fehlgeschlagen

Die Benutzer-ID konnte nicht aus der SAML-Antwort abgerufen werden./ Der Benutzer konnte keinen Principal aus der SAML-Antwort abrufen.

AD FS Event Viewer:

Kein Fehler

Cisco IDs-Protokoll:

Mögliche Ursache

In einer Federated AD FS sind weitere Konfigurationen erforderlich, die möglicherweise fehlen.

Empfohlene Aktion

Überprüfen Sie, ob die AD FS-Konfiguration in Federated AD wie im Abschnitt Für eine Multi-Domain-Konfiguration für Federated AD FS in Configure Cisco IDS and AD FS erfolgt.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehler 500 fehl, und es wird die Meldung "Die Benutzerkennung konnte nicht aus der SAML-Antwort abgerufen werden./Der Benutzer-Principal konnte nicht aus der SAML-Antwort abgerufen werden."

uid und/oder user_capital nicht in den ausgehenden Ansprüchen festgelegt.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser

500 Fehler mit dieser Meldung:

SAML Assertion fehlgeschlagen von IdP mit Statuscode: urn:oasis:names:tc:SAML:2.0:status:Requester/urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPopolicy. Überprüfen Sie die IDP-Konfiguration, und versuchen Sie es erneut.

AD FS Event Viewer:

Die SAML-Authentifizierungsanfrage verfügte über eine NameID-Richtlinie, die nicht erfüllt werden konnte.
Antragsteller: myids.cisco.com
Format der Namenskennung: urn:oasis:names:tc:SAML:2.0:nameid format:transient
SPNameQualifier: myids.cisco.com
Ausnahmedetails:
MSIS1000: Die SAML-Anforderung enthielt eine NameIDP-Richtlinie, die vom ausgegebenen Token nicht erfüllt wurde. Angeforderter NameIDP-Richtlinie: AllowCreate: Echtformat: urn:oasis:names:tc:SAML:2.0:nameid-format:transient SPNameQualifier: myids.cisco.com. Tatsächliche NameID-Eigenschaften: Null.

Diese Anfrage ist fehlgeschlagen.

Benutzeraktion
Konfigurieren Sie mithilfe des AD FS 2.0 Management-Snap-Ins die Konfiguration, die die erforderliche Namenskennung ausgibt.

Cisco IDs-Protokoll:

Mögliche Ursache

Benutzerdefinierte Anspruchsregel ist nicht richtig konfiguriert.

Empfohlene Aktion

Stellen Sie unter AD FS-Anspruchsregeln sicher, dass die Attributzuordnung für "user_main" und "uid" wie im Konfigurationsleitfaden (welcher Leitfaden?) definiert ist.

1. RDP an AD FS-System.
2. Bearbeiten Sie die Anspruchsregeln für benutzerdefinierte Anspruchsregeln.
   
   
3. Überprüfen Sie, ob die vollständig qualifizierten AD FS- und Cisco IDS-Domänennamen angegeben werden.
   
   

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Statuscode 500 fehl:urn:oasis:names:tc:SAML:2.0:status:Responder

 Fehlermeldung im AD FS Event View Log (Ereignisanzeigeprotokoll) weist darauf hin, dass zu viele Anfragen an AD FS vorliegen.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser

500 Fehler mit dieser Meldung:

IDP-Konfigurationsfehler: SAML-Verarbeitung fehlgeschlagen

SAML Assertion fehlgeschlagen von IdP mit Statuscode: urn:oasis:names:tc:SAML:2.0:status:Responder. Überprüfen Sie die IDP-Konfiguration, und versuchen Sie es erneut.

AD FS Event Viewer:

Microsoft.IdentityServer.Web.InvalidRequestException:

MSIS7042: In derselben Client-Browser-Sitzung wurden in der letzten

'16' Sekunden. Weitere Informationen erhalten Sie von Ihrem Administrator.

   unter Microsoft.IdentityServer.Web.FederationPassiveAuthentication.UpdateLoopDetectionCookie()

   at Microsoft.IdentityServer.Web.FederationPassiveAuthentication.SendSignInResponse(MSISSignInResponse-Antwort)

Cisco IDs-Protokoll

Mögliche Ursache

Es gibt zu viele Anfragen, die von derselben Browsersitzung an AD FS gesendet werden.

Empfohlene Aktion

Dies sollte in der Regel nicht in der Produktion geschehen. Aber wenn Sie auf diese Situation stoßen, können Sie:

1. Aktivieren Sie die Option AD FS Windows Event Viewer.
2. Überprüfen Sie erneut die Einstellungen für die Vertrauenswürdigkeit der zugrunde liegenden Partei. Weitere Informationen finden Sie unter Konfigurieren von Cisco IDs und AD FS.
3. Melden Sie sich erneut an.

Problemübersicht

Die Anmeldeanforderung schlägt im Browser mit dem Fehlercode:invalidSignature fehl, und es wird 500 Fehler angezeigt.

Fehlerschritt

SAML-Antwortverarbeitung

Fehlermeldung

Browser

500 Fehler mit dieser Meldung:

Fehlercode:invalidSignature
Nachricht: Ungültige Signatur in ArtifactResponse.

Cisco IDs-Protokoll:

Mögliche Ursache

AD FS ist nicht für die Signierung von Assertion und Message konfiguriert.

Empfohlene Aktion

1. Führen Sie den Befehl AD FS powershell aus: Set-ADFSRelyingPartyTrust -TargetName <Relying Party Trust Identifier> -SamlResponseSignature "MessageAndAssertion"
   
2. RDP an AD-System.
3. Öffnen Sie Powershell.
4. Fügen Sie der aktuellen Sitzung Windows PowerShell-Snap-Ins hinzu. Dieser Schritt ist unter Umständen nicht erforderlich, wenn Sie ADFS 3.0 verwenden, da der CmdLet bereits installiert ist, um die Rollen und Funktionen hinzuzufügen.
   
    
5. Fügen Sie AD FS Relying Party Trust für Nachrichten und Assertion hinzu.