Risoluzione dei problemi comuni e ADFS/IdS

Registro Cisco IdS

Il logger di Cisco IdS registrerà tutti gli errori che si sono verificati in Cisco IdS.

Utilizzare RTMT per ottenere i registri IdS Cisco. Per informazioni sull'utilizzo di RTMT, vedere Guida all'utilizzo di RTMT

Il nome RTMT è Cisco Identity Service. Per trovare i log, selezionare Cisco Identity Service > log

Registri dei fogli

I log dei fogli informativi forniscono ulteriori dettagli su qualsiasi errore SAML che si verifica in Cisco IdS

Utilizzare RTMT per ottenere i registri dei foglietti.

Il percorso del registro Fedlet è uguale a quello dei registri IdS Cisco.

I registri dei volantini iniziano con il prefisso fedlet-

Metriche API Cisco IdS

Le metriche API possono essere utilizzate per analizzare e convalidare eventuali errori restituiti dalle API Cisco IdS e il numero di richieste elaborate da tali API

Utilizzare RTMT per ottenere le metriche API.

Il nome RTMT è Cisco Identity Service

Questo verrà visualizzato in una metrica di cartella separata. Notare che saml_metrics.csv e authorization_metrics.csv sono le metriche rilevanti per questo documento.

Visualizzatore eventi in ADFS

Consente agli utenti di visualizzare i registri eventi nel sistema. Qualsiasi errore in ADFS durante l'elaborazione della richiesta SAML o l'invio della risposta SAML verrà registrato qui.

Nel computer ADFS passare a Visualizzatore eventi > Registri applicazioni e servizi >AdDFS 2.0 > Amministrazione

In Windows 2008, avviare il Visualizzatore eventi dal Pannello di controllo > Prestazioni e manutenzione > Strumenti di amministrazione

In Windows 2012, avviarlo da Pannello di controllo\Sistema e protezione\Strumenti di amministrazione.

Consultare la documentazione di Windows per sapere dove trovare il Visualizzatore eventi.

Un visualizzatore SAML consente di esaminare la richiesta e la risposta SAML inviate da/a Cisco IdS.

Questa applicazione browser è molto utile per l'analisi di SAML Request/Response.

Questi sono alcuni visualizzatori SAML consigliati che è possibile utilizzare per esaminare la richiesta e la risposta SAML

Elaborazione richiesta AuthCode da parte di Cisco IdS

In caso di errore, il browser non viene reindirizzato all'endpoint SAML o ad AD FS e viene visualizzato un errore JSON da Cisco IdS, che indica che l'ID client o l'URL di reindirizzamento non è valido.

Log IdS Cisco: indica gli errori che si verificano durante la convalida ed elaborazione della richiesta authcode.

Metriche API Cisco IdS: indica il numero di richieste elaborate e non riuscite.

Registrazione client

Richiesta SAML avviata da Cisco IdS

In caso di errore, il browser non viene reindirizzato ad AD FS e gli ID Cisco visualizzeranno una pagina o un messaggio di errore.

Log IdS Cisco: indica se esiste un'eccezione durante l'avvio della richiesta.

Metriche API Cisco IdS: indica il numero di richieste elaborate e non riuscite.

ID Cisco in stato NOT_CONFIGURED.

Elaborazione richiesta SAML da AD FS

In caso di errore durante l'elaborazione della richiesta, il server AD FS visualizzerà una pagina di errore anziché la pagina di accesso.

Visualizzatore eventi in ADFS: indica gli errori che si verificano durante l'elaborazione della richiesta.

Plugin browser SAML: consente di visualizzare la richiesta SAML inviata ad ADFS.

Configurazione attendibilità componente in IdP

Invio risposta SAML da AD FS

Se l'invio della risposta non riesce, dopo l'invio delle credenziali valide verrà visualizzata una pagina di errore nel server AD FS.

Visualizzatore eventi in ADFS: indica gli errori che si verificano durante l'elaborazione della richiesta.

• Configurazione attendibilità componente in IdP
• Impostazione Autenticazione modulo in AD FS.

Elaborazione risposta SAML da parte di Cisco IdS

Cisco IdS visualizzerà un errore 500 con il motivo dell'errore e una pagina di controllo rapido.

Visualizzatore eventi in AD FS: indica l'errore se AD FS invia una risposta SAML senza un codice di stato valido.

Plugin browser SAML: consente di visualizzare la risposta SAML inviata da ADFS per identificare gli errori.

Log IdS Cisco: indica l'errore/eccezione verificatasi durante l'elaborazione.

Metriche API Cisco IdS: indica il numero di richieste elaborate e non riuscite.

• Configurazione regole attestazioni
• Firma messaggio e asserzione

Riepilogo del problema

Richiesta di accesso non riuscita con errore 401 nel browser.

Messaggio di errore

Browser:

Errore 401 con questo messaggio: {"error":"invalid_client","error_description":"ClientId non valido."}

Registro Cisco IdS:

Possibile causa

La registrazione del client con Cisco IdS non è stata completata.

Azione consigliata

Accedere alla console di gestione Cisco IdS e verificare che la registrazione del client sia stata completata correttamente. In caso contrario, registrare i client prima di procedere con SSO.

Riepilogo del problema

Richiesta di accesso non riuscita con errore 401 nel browser.

Messaggio di errore

Browser:

Errore 401 con questo messaggio: {"error":"invalid_redirectUri","error_description":"Uri di reindirizzamento non valido"}

Possibile causa

L'utente accede all'applicazione utilizzando Indirizzo IP/Nome host alternativo.

In modalità SSO, se si accede all'applicazione utilizzando IP, l'operazione non funziona. È necessario accedere alle applicazioni dal nome host con cui sono registrate in Cisco IdS. Questo problema può verificarsi se l'utente accede a un nome host alternativo non registrato con Cisco IdS.

Azione consigliata

Accedere alla console di gestione Cisco IdS e verificare che il client sia registrato con l'URL di reindirizzamento corretto e che venga utilizzato per accedere all'applicazione.

Riepilogo del problema

Richiesta di accesso non riuscita con errore 503 nel browser.

Messaggio di errore

Browser:

503 errore con questo messaggio: {"error":"service_unavailable","error_description":"Metadati SAML non inizializzati"}

Possibile causa

Metadati Idp non disponibili in Cisco IdS. La definizione del trust tra Cisco IdS e AD FS non è completa.

Azione consigliata

Passare alla console di gestione IdS Cisco e verificare se l'ID è in stato Non configurato.

Verificare se i metadati IdP sono stati caricati o meno.

In caso contrario, caricare i metadati IdP scaricati da AD FS.

Per ulteriori dettagli, vedere qui.

Riepilogo del problema

ADFS non visualizza la pagina di accesso, ma visualizza una pagina di errore.

Messaggio di errore

Browser

In ADFS viene visualizzata una pagina di errore simile alla seguente:

Si è verificato un problema durante l'accesso al sito. Riprovare a passare al sito.

Se il problema persiste, contattare l'amministratore del sito e fornire il numero di riferimento per identificare il problema.

Numero di riferimento: 1ee602be-382c-4c49-af7a-5b70f3a7bd8e

Visualizzatore eventi AD FS

Errore del servizio federativo durante l'elaborazione della richiesta di autenticazione SAML.

Dati aggiuntivi

Possibile causa

L'attendibilità del componente non è stata stabilita o il certificato Cisco IdS è stato modificato, ma lo stesso non è stato caricato in AD FS.

Azione consigliata

Stabilire la relazione di trust tra ADFS e ID Cisco con il certificato ID Cisco più recente.

Verificare che il certificato Cisco IdS non sia scaduto. È possibile visualizzare il dashboard di stato in Cisco Identity Service Management. In tal caso, rigenerare il certificato nella pagina Impostazioni.

Per ulteriori dettagli su come stabilire un trust metadati tra ADFS e Cisco IdS, vedere qui

Riepilogo del problema

Il browser mostra l'accesso NTLM e quindi non riesce senza reindirizzare correttamente a Cisco IdS.

Fase di errore

Invio risposta SAML

Messaggio di errore

Browser:

Il browser mostra l'accesso NTLM, ma dopo aver eseguito correttamente l'accesso non riesce con molti reindirizzamenti.

Possibile causa

Cisco IdS supporta solo l'autenticazione basata su modulo, l'autenticazione basata su modulo non è abilitata in ADFS.

Azione consigliata

Per ulteriori informazioni su come abilitare l'autenticazione basata su form, vedere:

              Impostazione autenticazione modulo ADFS 2.0

              Impostazione autenticazione modulo ADFS 3.0

Riepilogo del problema

Richiesta di accesso non riuscita con errore 500 nel browser. Il codice di errore è invalidSignature.

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser:

Errore 500 con questo messaggio nel browser:

Codice errore: firmaNonValida
Messaggio: Il certificato di firma non corrisponde a quanto definito nei metadati dell'entità.

Visualizzatore eventi AD FS:

Nessun errore

Registro Cisco IdS:

Possibile causa

Elaborazione della risposta SAML non riuscita perché il certificato IdP è diverso da quello disponibile in Cisco IdS.

Azione consigliata

Scaricare i metadati ADFS più recenti da: https://<ADFServer>/federationmetadata/2007-06/federationmetadata.xml

E caricarlo su Cisco IdS tramite l'interfaccia utente di Identity Service Management.

Per informazioni dettagliate, vedere Configurare Cisco IdS e AD FS

Riepilogo del problema

La richiesta di accesso non riesce con un errore 500 sul browser con il codice di stato: urn:oasis:names:tc:SAML:2.0:status:Success

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser:

Errore 500 con questo messaggio:

Errore di configurazione IdP: Elaborazione SAML non riuscita

Asserzione SAML non riuscita da IdP con codice di stato: urn:oasis:names:tc:SAML:2.0:status:Success. Verificare la configurazione del provider di identità e riprovare.

Registro Cisco IdS

Visualizzatore SAML:

Cercare i campi NotBefore e NotOnOrAfter

<Conditions NotBefore="2016-08-28T14:45:03.325Z" NotOnOrAfter="2016-08-28T15:45:03.325Z">

Possibile causa

L'ora nel sistema Cisco IdS e IdP non è sincronizzata.

Azione consigliata

Sincronizzare l'ora nel sistema Cisco IdS e AD FS. È consigliabile sincronizzare l'ora del sistema AD FS e degli ID Cisco tramite il server NTP.

Riepilogo del problema

La richiesta di accesso non riesce con un errore 500 nel browser con codice di stato:urn:oasis:names:tc:SAML:2.0:status:Responder

 Messaggio di errore nel registro di visualizzazione eventi di AD FS - Algoritmo di firma errato (SHA256 rispetto a SHA1) in AD FS

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser

Errore 500 con questo messaggio:

Errore di configurazione IdP: Elaborazione SAML non riuscita

Asserzione SAML non riuscita da IdP con codice di stato: urn:oasis:names:tc:SAML:2.0:status:Responder. Verificare la configurazione del provider di identità e riprovare.

Visualizzatore eventi AD FS:
La richiesta SAML non è firmata con l'algoritmo di firma previsto. La richiesta SAML è firmata con l'algoritmo di firma http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 .
L'algoritmo di firma previsto è http://www.w3.org/2000/09/xmldsig#rsa-sha1

Registro Cisco IdS:

Possibile causa

ADFS è configurato per l'utilizzo di SHA-256.

Azione consigliata

Aggiornare AD FS per utilizzare SHA-1 per la firma e la crittografia.

1. RDP al sistema AD FS.
2. Aprire la console ADFS.
3. Selezionare l'attendibilità componente e fare clic su Proprietà
4. Selezionare la scheda Avanzate.
5. Selezionare SHA-1 dall'elenco a discesa.
   
   

Riepilogo del problema

La richiesta di accesso non riesce con un errore 500 nel browser con il messaggio "Impossibile recuperare l'identificatore utente dalla risposta SAML./Impossibile recuperare l'entità utente dalla risposta SAML."

uid e/o user_principal non impostato nelle attestazioni in uscita.

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser:

Errore 500 con questo messaggio:

Errore di configurazione IdP: Elaborazione SAML non riuscita.

Impossibile recuperare l'identificatore utente dalla risposta SAML./Impossibile recuperare l'entità utente dalla risposta SAML.

Visualizzatore eventi AD FS:

Nessun errore

Registro Cisco IdS:

Possibile causa

Le attestazioni in uscita obbligatorie (uid e user_principal) non sono configurate correttamente nelle regole attestazione.

Se la regola di attestazione NameID non è stata configurata oppure uid o user_principal non è configurato correttamente.

Se la regola NameID non è configurata o l'elemento user_principal non è mappato correttamente, Cisco IdS indica che l'elemento user_principal non viene recuperato poiché questa è la proprietà che Cisco IdS cerca.

Se l'uid non è mappato correttamente, l'ID utente Cisco non viene recuperato.

Azione consigliata

In Regole attestazioni ADFS verificare che il mapping degli attributi per "user_principal" e "uid" sia definito come indicato nella guida alla configurazione del provider di identità (quale guida?).

1. RDP nel sistema AD FS.
2. Modificare le regole attestazione per l'attendibilità del componente.
   
   
3. Verificare che user_principal e uid siano mappati correttamente

Riepilogo del problema

Richiesta di accesso non riuscita con errore 500 nel browser con il messaggio "Unable not retrieve user identifier from SAML response" (Impossibile recuperare l'identificatore utente dalla risposta SAML). o Impossibile recuperare l'entità utente dalla risposta SAML." quando ADFS è un ADFS federato.

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser

Errore 500 con questo messaggio:

Errore di configurazione IdP: Elaborazione SAML non riuscita

Impossibile recuperare l'identificatore utente dalla risposta SAML./ Impossibile recuperare l'entità utente dalla risposta SAML.

Visualizzatore eventi AD FS:

Nessun errore

Registro Cisco IdS:

Possibile causa

In un ADFS federato sono necessarie più configurazioni che potrebbero mancare.

Azione consigliata

Verificare se la configurazione di AD FS in AD federato viene eseguita come indicato nella sezione Per una configurazione multidominio per AD FS federato in Configurare ID Cisco e AD FS

Riepilogo del problema

La richiesta di accesso non riesce con un errore 500 nel browser con il messaggio "Impossibile recuperare l'identificatore utente dalla risposta SAML./Impossibile recuperare l'entità utente dalla risposta SAML."

uid e/o user_principal non impostato nelle attestazioni in uscita.

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser

Errore 500 con questo messaggio:

Asserzione SAML non riuscita da IdP con codice di stato: urn:oasis:names:tc:SAML:2.0:status:Requester/urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy. Verificare la configurazione del provider di identità e riprovare.

Visualizzatore eventi AD FS:

Impossibile soddisfare il criterio NameID della richiesta di autenticazione SAML.
Richiedente: myids.cisco.com
Formato identificatore nome: urn:oasis:names:tc:SAML:2.0:nameid-format:transient
Qualificatore nome SPN: myids.cisco.com
Dettagli eccezione:
MSIS1000: La richiesta SAML contiene un NameIDPolicy non soddisfatto dal token rilasciato. NameIDPolicy richiesto: ConsentiCreazione: Formato True: urn:oasis:names:tc:SAML:2.0:nameid-format:SPNameQualifier transitorio: su myids.cisco.com. Proprietà NameID effettive: null.

Richiesta non riuscita.

Azione utente
Utilizzare lo snap-in Gestione AD FS 2.0 per configurare la configurazione che genera l'identificatore del nome richiesto.

Registro Cisco IdS:

Possibile causa

Regola attestazione personalizzata non configurata correttamente.

Azione consigliata

In Regole attestazioni ADFS verificare che il mapping degli attributi per "user_principal" e "uid" sia definito come indicato nella guida alla configurazione (quale guida?).

1. RDP nel sistema AD FS.
2. Modificare le regole attestazione per le regole attestazione personalizzate.
   
   
3. Verificare che siano stati specificati i nomi di dominio completi di AD FS e Cisco IdS.
   
   

Riepilogo del problema

La richiesta di accesso non riesce con un errore 500 nel browser con codice di stato:urn:oasis:names:tc:SAML:2.0:status:Responder

 Il messaggio di errore nel registro di visualizzazione eventi di AD FS indica che sono presenti troppe richieste ad AD FS.

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser

Errore 500 con questo messaggio:

Errore di configurazione IdP: Elaborazione SAML non riuscita

Asserzione SAML non riuscita da IdP con codice di stato: urn:oasis:names:tc:SAML:2.0:status:Responder. Verificare la configurazione del provider di identità e riprovare.

Visualizzatore eventi AD FS:

Eccezione Microsoft.IdentityServer.Web.InvalidRequestException:

MSIS7042: La stessa sessione del browser client ha effettuato 6 richieste nell'ultimo

'16' secondi. Per ulteriori informazioni, contattare l'amministratore.

   all'indirizzo Microsoft.IdentityServer.Web.FederationPassiveAuthentication.UpdateLoopDetectionCookie()

   in Microsoft.IdentityServer.Web.FederationPassiveAuthentication.SendSignInResponse(risposta MSISSignInResponse)

Registro Cisco IdS

Possibile causa

Troppe richieste provenienti da ADFS dalla stessa sessione del browser.

Azione consigliata

Ciò non dovrebbe di norma avvenire nella produzione. In questo caso, tuttavia, è possibile:

1. Controllare il Visualizzatore eventi di Windows AD FS.
2. Ricontrolla impostazioni attendibilità componente. Per ulteriori informazioni, vedere Configurare Cisco IdS e AD FS
3. Riaccedere.

Riepilogo del problema

Richiesta di accesso non riuscita con errore 500 nel browser. Codice errore: invalidSignature

Fase di errore

Elaborazione risposta SAML

Messaggio di errore

Browser

Errore 500 con questo messaggio:

Codice errore:invalidSignature
Messaggio: firma non valida in ArtifactResponse.

Registro Cisco IdS:

Possibile causa

ADFS non è configurato per firmare sia l'asserzione che il messaggio.

Azione consigliata

1. Eseguire il comando PowerShell di AD FS: Set-ADFSRelyingPartyTrust -TargetName <Identificatore attendibilità componente> -SamlResponseSignature "MessageAndAssertion"
   
2. RDP al sistema AD.
3. Aprire Powershell.
4. Aggiungere gli snap-in di Windows PowerShell alla sessione corrente. Questo passaggio potrebbe non essere necessario in se si utilizza ADFS 3.0 poiché il cmdlet è già installato come parte dell'aggiunta di ruoli e funzionalità.
   
    
5. Aggiungere l'attendibilità del componente AD FS per il messaggio e l'asserzione.