はじめに

このドキュメントでは、Cisco Webex App/Cisco Webex Control Hubにサインインしている間にSSOエラー「SAML Assertion Expired」が発生した場合のトラブルシューティングについて説明します。

前提条件

Requirement

次の項目に関する知識があることが推奨されます。

• シングルサインオンの設定
• Webex Control Hub
• ADFSサーバーとPowershell

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Windows ADFSサーバ2022
• Webex Control Hub

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景

このドキュメントでは、電子メールIDを入力し、SSOフローを完了した後に表示される、Cisco Webex App/Cisco Webex Control Hubにサインインしている間のシングルサインオン(SSO)の「SAML Assertion Expired」エラーのトラブルシューティングについて説明します。

注：この問題は主にADFSサーバで発生します。このドキュメントは、ADFS IdP専用です。

トラブルシューティングの手順

1. 管理者クレデンシャルを使用してADFSサーバにログインできることを確認します。
2. ログイン時に表示されるエラーメッセージを確認します。理想的には、これは単純な修正であり、エラーメッセージ自体を見て問題の直接トラブルシューティングを行うことができます。
3. 「SAML Assertion Expired」エラーメッセージは、ADFSサーバの時刻がローカルマシンの時刻と一致しない場合にのみ発生します。これには、時間差を修正するコマンドが必要です。ただし、ローカルマシンからHARログを確認すると、HAR応答の違いを確認できます。

ログ分析

HARログでログイン時刻と前後の時刻を確認できます。

注：アサーション時間は、「Not before: Apr 07 2025 09:00:37」と「Not After: Apr 07 2025 10:00:37 time provided in the SAML」の間で指定する必要があります。

Not Before: Apr 07 2025 09:00:37
Not After: Apr 07 2025 10:00:37
Assertion Time: Apr 07 2025 09:00:07

根本原因

アサーション時間：Apr 07 2025 09:00:07 did not fall in the range of not before and not after provided in the SAML response.

解決方法

この問題を解決するには、ADFSサーバPowerShellで次のコマンドを実行します。

Set-ADFSRelyingPartyTrust -TargetIdentifier "SPエンティティID" -NotBeforeSkew 3

このコマンドは、組織によって異なる場合があります。このコマンドを取得する最善の方法は、コマンド内のURLの代わりに、組織のSPメタデータからSP(Webex)エンティティIDを使用することです。

SPエンティティIDは、https://idbroker-b-us.webex.com/OrgIDの形式である必要があります。