소개

이 문서에서는 Cisco Webex App/Cisco Webex Control Hub에 로그인하는 동안 발생한 문제 해결 SSO 오류 "SAML Assertion Expired"에 대해 설명합니다.

사전 요구 사항

요건

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• 단일 사인온 구성
• Webex Control Hub
• AD FS 서버 및 Powershell

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• Windows ADFS 서버 2022
• Webex Control Hub

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경

이 문서에서는 Cisco Webex App/Cisco Webex Control Hub에 로그인하는 동안 이메일 ID를 입력하고 SSO 플로우를 완료한 후 표시되는 SSO(Single Sign-On) "SAML Assertion Expired" 오류의 트러블슈팅에 대해 설명합니다.

참고: 이 문제는 AD FS 서버에 주로 나타납니다. 이 문서는 AD FS IdP에만 해당됩니다.

문제 해결 단계

1. 관리자 자격 증명을 사용하여 AD FS 서버에 로그인할 수 있는지 확인합니다.
2. 로그인 시도에 나타난 오류 메시지를 확인합니다. 이는 간단한 해결책이므로 오류 메시지 자체를 보면서 문제에 대한 직접 트러블슈팅을 진행할 수 있는 것이 좋습니다.
3. "SAML Assertion Expired" 오류 메시지는 ADFS 서버 시간이 로컬 컴퓨터 시간과 일치하지 않을 때만 발생합니다. 이 경우 시간 차이를 수정하는 명령이 필요합니다. 그러나 로컬 시스템에서 HAR 로그를 검토할 수 있으며 HAR 응답의 차이를 확인할 수 있습니다.

로그 분석

HAR 로그에서 로그인 시간 및 이전/이후 시간을 확인할 수 있습니다.

참고: 어설션 시간은 "Not before: 2025년 4월 7일 09:00:37" 및 "다음 날짜 이후 아님: Apr 07 2025 10:00:37 time provided in the SAML" 응답.

Not Before: Apr 07 2025 09:00:37
Not After: Apr 07 2025 10:00:37
Assertion Time: Apr 07 2025 09:00:07

근본 원인

Assertion time(어설션 시간): 2025년 4월 7일 09:00:07이 SAML 응답에서 제공한 이전과 이후에 없는 범위에 속하지 않았습니다.

솔루션

ADFS Server PowerShell에서 이 명령을 실행하여 문제를 해결합니다.

Set-ADFSRelyingPartyTrust -TargetIdentifier "SP Entity ID" -NotBeforeSkew 3

이 명령은 조직마다 다를 수 있습니다. 이 명령을 가져오는 가장 좋은 방법은 이 명령의 URL 대신 조직의 SP 메타데이터에서 SP(Webex) 엔티티 ID를 사용하는 것입니다.

SP 엔티티 ID는 https://idbroker-b-us.webex.com/OrgID 형식이어야 합니다.