ADFS/IDs-probleemoplossing en gemeenschappelijke problemen

Cisco IDs-logbestand

De logger van Cisco IDS zal om het even welke fout registreren die in Cisco IDs is gebeurd.

Gebruik RTMT om Cisco IDs-logboeken te halen. Zie voor informatie over het gebruik van RTMT de Guide voor gebruik van RTMT

Let op dat de RTMT-naam Cisco Identity Services is. Om de logbestanden te vinden, navigeer dan naar Cisco Identity Service > log

Fedlet Logs

Lettertypen geven meer informatie over fouten van SAML die bij Cisco IDs optreden

Gebruik RTMT om Fedlet-logbestanden te krijgen.

De locatie voor het Fedlet-logbestand is dezelfde als de Cisco IDS-logboeken.

De fedlet-logboeken beginnen met het voorvoegsel fedlet-fedlet

Cisco IDs API-metriek

API-metriek kan worden gebruikt om fouten in te zien en te valideren die Cisco IDs API’s mogelijk hebben teruggegeven en aantal verzoeken dat wordt verwerkt door Cisco idS

Gebruik RTMT om API-parameters te verkrijgen.

Let op dat de RTMT-naam Cisco Identity Services is

Dit wordt weergegeven onder een aparte map. Let erop dat saml_metrics.csv en autorze_metrics.csv de relevante parameters voor dit document zijn.

Event Viewer in AD

Hiermee kunnen gebruikers de eventlogbestanden in het systeem bekijken. Elke fout in AD FS tijdens de verwerking van de SAML-aanvraag/het verzenden van de SAML-respons wordt hier geregistreerd.

In AD FS-machine, navigeer naar Event Viewer > Toepassingen en Serviceslogs >AdDFS 2.0 > Admin

In Windows 2008, start het evenement van Configuratiescherm > Prestaties en onderhoud > Administratieve hulpmiddelen

In Windows 2012 kunt u het starten vanuit Control Panel\System en Security\Administration Tools.

Bekijk uw Windows-documentatie om te zien waar u het Event Viewer kunt vinden.

Een SAML Viewer zal helpen bij het bekijken van het SAML verzoek en de respons die van/naar Cisco IDs worden verzonden.

Deze browser toepassing is zeer nuttig voor de analyse van SAML aanvraag/respons.

Dit zijn enkele voorgestelde SAML-kijkers die u kunt gebruiken om naar het SAML-verzoek en de SAML-respons te kijken

Auditcodeaanvraag verwerken door Cisco-idS

In het geval van een fout wordt de browser niet opnieuw gericht naar het SAML-eindpunt of de AD FS, dan wordt een JSON-fout weergegeven door Cisco IDS, die aangeeft dat de client-ID of de URL omleiden ongeldig is.

Cisco IDS-logbestanden - Geeft de fouten aan die optreden terwijl het registratieverzoek is gevalideerd en verwerkt.

Cisco IDS API-metriek - Geeft het aantal verwerkte en mislukte verzoeken aan.

Clientregistratie

SAML-aanvraag - initiatie door Cisco IDs

Tijdens het uitvallen wordt de browser niet opnieuw gericht naar AD FS en wordt een foutpagina/bericht weergegeven door Cisco IDS.

Cisco IDS-logbestanden - Geeft aan of er een uitzondering is of niet terwijl het verzoek is gestart.

Cisco IDS API-metriek - Geeft het aantal verwerkte en mislukte verzoeken aan.

Cisco IDs in NIET_CONFIGURED-status.

SAML-aanvraag - verwerking door AD-FS

Wanneer u dit verzoek niet verwerkt, wordt er een foutpagina weergegeven door de AD FS-server in plaats van de inlogpagina.

Event Viewer in AD-FS - Geeft de fouten aan die optreden terwijl het verzoek wordt verwerkt.

SAML browser plug-in - helpt het SAML-verzoek te zien dat naar de AD FS wordt verzonden.

Configuratie van leden van vertrouwen in IDP

Sending SAML-respons door AD-FS

Elke fout bij het verzenden van de respons resulteert in een foutpagina die wordt weergegeven door een AD FS-server nadat de geldige aanmeldingsgegevens zijn ingediend.

Event Viewer in AD-FS - Geeft de fouten aan die optreden terwijl het verzoek wordt verwerkt.

• Configuratie van leden van vertrouwen in IDP
• Instelling van formulierverificatie in AD FS.

SAML-responsverwerking door Cisco IDs

Cisco IDS geeft een fout van 500 weer met de foutreden en een pagina voor snelle controle.

Event Viewer in AD-FS - Geeft de fout aan als AD FS een SAML-respons verstuurt zonder een succesvolle statuscode.

SAML browser plug-in - helpt de SAML respons te zien die door AD FS wordt verstuurd om te identificeren wat fout is.

Cisco IDS-logbestand - Geeft de fout/uitzondering aan die tijdens de verwerking is opgetreden.

Cisco IDS API-metriek - Geeft het aantal verwerkte en mislukte verzoeken aan.

• Configuratie van Claimregels
• Bericht- en bevestiging-signalering

Probleemsamenvatting

Aanmelden mislukt met 401 fout in de browser.

Foutbericht

browser:

401 fout met dit bericht: {"error":"ongeldige_client", "error_Description": "Ongeldige client-ID"}

Log Cisco IDs:

Mogelijke oorzaak

De client-registratie met Cisco IDS is niet voltooid.

Aanbevolen actie

Navigeren in naar Cisco IDS Management-console en bevestigen of de client is geregistreerd. Zo niet, registreer dan de cliënten alvorens met de SSO te gaan.

Probleemsamenvatting

Aanmelden mislukt met 401 fout in de browser.

Foutbericht

browser:

401 fout met dit bericht: {"error":"ongeldige_redirectUri", "error_Description":"Indirect Uri"}

Mogelijke oorzaak

Gebruiker heeft toegang tot de toepassing met IP Address/Alternate Host Name.

In SSO-modus, als de toepassing benaderd wordt met IP, werkt deze niet. De toepassingen zouden door de hostname moeten worden benaderd waardoor zij in Cisco IDS zijn geregistreerd. Dit probleem kan voorkomen als de gebruiker toegang heeft tot een alternatieve host-naam die niet bij Cisco IDS is geregistreerd.

Aanbevolen actie

Navigeer naar Cisco IDS Management-console en bevestig als de client is geregistreerd met de juiste URL en hetzelfde wordt gebruikt om de toepassing te benaderen.

Probleemsamenvatting

Aanmelden mislukt met 503 fout in de browser.

Foutbericht

browser:

503 fout met dit bericht: {"error":"service_niet"," error_Description": "SAML Metagegevens zijn niet geïnitialiseerd"}

Mogelijke oorzaak

IP-metagegevens zijn niet beschikbaar in Cisco IDS. De inrichting van het vertrouwen tussen Cisco IDS en ADs is niet volledig.

Aanbevolen actie

Navigeer naar de console van het beheer van Cisco IDS en zie of IDS in niet gevormd staat is.

Controleer of de IDP-metadata al dan niet geüpload zijn.

Indien niet, uploadde de IDP-metadata van AD FS.

Zie hier voor meer informatie.

Probleemsamenvatting

AD FS toont de loginpagina niet, maar toont een foutpagina.

Foutbericht

browser

AD FS toont een fout pagina vergelijkbaar:

Er was een probleem met toegang tot de site. Probeer nogmaals naar de website te bladeren.

Als het probleem zich blijft voordoen, neemt u contact op met de beheerder van deze locatie en geeft u het referentienummer om het probleem te identificeren.

Referentienummer: 1e602be-382c-4c49-af7a-5b70f3a7bd8e

AD FS-Event Viewer

De Federatiedienst vond een fout tijdens de verwerking van de SAML-verificatieaanvraag.

Aanvullende gegevens

Mogelijke oorzaak

Het vertrouwen van een betrouwbare partij wordt niet gevestigd of het certificaat van Cisco IDS is gewijzigd, maar hetzelfde wordt niet geüpload naar de AD FS.

Aanbevolen actie

Voer vertrouwen in tussen AD en Cisco IDs met het nieuwste Cisco IDS-certificaat.

Zorg ervoor dat het Cisco-idS-certificaat niet is verlopen. U kunt het statusdashboard zien in Cisco Identity Services Management. Reinig het certificaat in de pagina Instellingen als dit het geval is.

Voor meer informatie over het instellen van metagegevensvertrouwen tussen ADFS en Cisco IDs zie, hier

Probleemsamenvatting

browser toont NTLM inloggen, en faalt dan zonder dat u deze opnieuw naar Cisco IDS hebt gericht.

Stap met fouten

Sending SAML-respons

Foutbericht

browser:

browser toont inloggen NTLM, maar na succesvol inloggen faalt het met veel omleidingen.

Mogelijke oorzaak

Cisco IDS ondersteunt alleen op formulieren gebaseerde verificatie, formulierverificatie is niet ingeschakeld in ADFS.

Aanbevolen actie

Zie voor meer informatie over het mogelijk maken van een vorm van authenticatie:

              ADFS 2.0-instelling voor formulierverificatie

              ADFS 3.0 Formulierverificatie-instelling

Probleemsamenvatting

Aanmelden mislukt met 500 fout in de browser met foutcode als ongeldige handtekening.

Stap met fouten

SAML-responsverwerking

Foutbericht

browser:

500 fout met dit bericht in de browser:

Foutcode: ongeldige handtekeningen
Bericht: Het ondertekeningscertificaat komt niet overeen met wat in de metagegevens van de entiteit wordt gedefinieerd.

Viewer voor AD FS-gebeurtenissen:

Geen fout

Log Cisco IDs:

Mogelijke oorzaak

De verwerking van SAML-respons is mislukt omdat het IDP-certificaat anders is dan wat er in Cisco IDS beschikbaar is.

Aanbevolen actie

Downloadt de laatste AD FS-metagegevens van: https://<ADSL>/federationmetadata/2007-06/federationmetadata.xml

En uploaden het naar Cisco IDS via de gebruikersinterface voor identiteitsbeheer.

Zie Cisco IDs en AD voor meer informatie configureren

Probleemsamenvatting

Aanmelden mislukt met 500 fout in de browser met de statuscode: urn:oasis:namen:tc:SAML:2.0:status:Succes

Stap met fouten

SAML-responsverwerking

Foutbericht

browser:

500 fout met dit bericht:

Fout in configuratie IDP: SAML-verwerking mislukt

SAML-bewering mislukt bij IDP met statuscode: urn:oasis:namen:tc:SAML:2.0:status:Success. Controleer de IDP-configuratie en probeer het opnieuw.

Cisco-idS-logboek

Viewer:

Bekijk de velden nietVoor en nietOnorAfter

<VOORWAARDEN NIETVoordat="2016-08-28T14:45:03.325Z" NotOnORAfter="2016-08-28T15:45:03.325Z">

Mogelijke oorzaak

De tijd in het systeem van Cisco IDs en IDP is niet sync.

Aanbevolen actie

synchroniseer de tijd in Cisco IDS en AD FS systeem. Aanbevolen wordt dat het AD FS-systeem en Cisco IDS tijd gesynchroniseerd zijn met behulp van NTP-server.

Probleemsamenvatting

Aanmelden fout bij 500 fout in browser met statuscode:urn:oasis:namen:tc:SAML:2.0:status:Responder

 Foutbericht in AD FS Event View Log - fout Signature Algorithm (SHA256 vs SHA1) in AD FS

Stap met fouten

SAML-responsverwerking

Foutbericht

browser

500 fout met dit bericht:

Fout in configuratie IDP: SAML-verwerking mislukt

SAML-bewering mislukt bij IDP met statuscode: urn:oasis:namen:tc:SAML:2.0:status:Responder Controleer de IDP-configuratie en probeer het opnieuw.

Viewer voor AD FS-gebeurtenissen:
SAML-aanvraag is niet ondertekend met het verwachte algoritme voor handtekening. SAML-aanvraag is ondertekend met algoritme voor handtekening http://www.w3.org/2001/04/xmldsig-more#rsa-sha256.
Verwacht algoritme voor handtekening is http://www.w3.org/2000/09/xmldsig#rsa-sha1

Log Cisco IDs:

Mogelijke oorzaak

AD FS is ingesteld op SHA-256.

Aanbevolen actie

Update AD om SHA-1 te gebruiken voor het tekenen en coderen.

1. RDP naar het AD FS-systeem.
2. Open AD FS-console.
3. Selecteer het vertrouwen van de Relay Party en klik op Properties
4. Selecteer het tabblad Geavanceerd.
5. Selecteer SHA-1 in de vervolgkeuzelijst.
   
   

Probleemsamenvatting

Login request werkt niet met 500 fout op de browser met bericht "Kan gebruiker identifier niet van SAML respons terugkrijgen./Kon gebruiker main niet van SAML respons terugkrijgen."

uid en/of user_main niet ingesteld in de vertrekkende claims.

Stap met fouten

SAML-responsverwerking

Foutbericht

browser:

500 fout met dit bericht:

Fout in configuratie IDP: SAML-verwerking is mislukt.

Het kon geen gebruiker identifier terugkrijgen van de SAML respons./Kon geen gebruikershandleiding terugkrijgen van de SAML respons.

Viewer voor AD FS-gebeurtenissen:

Geen fout

Log Cisco IDs:

Mogelijke oorzaak

De verplichte uitgaande claims (uid en user_main) worden niet correct ingesteld in de Claim Rules.

Als u de NameID claimregel niet hebt ingesteld of uid of user_main wordt niet goed ingesteld.

Als NameID regel niet wordt ingesteld of user_main niet correct in kaart wordt gebracht, geeft Cisco IDS aan dat user_main niet wordt opgehaald aangezien dit de eigenschap is die Cisco IDS zoekt.

Als uid niet correct in kaart is gebracht, geeft Cisco IDS aan dat uid niet opgehaald is.

Aanbevolen actie

Zorg er onder AD FS claimregels voor dat attributenmapping voor "user_main" en "uid" wordt gedefinieerd zoals in de IDP Configuration-gids (welke gids?).

1. RDP naar AD FS-systeem.
2. Bewerk de claimregels voor het vertrouwen van de betrouwbare partij.
   
   
3. Controleer of de user_main en uid correct in kaart zijn gebracht

Probleemsamenvatting

Aanmelden mislukt met 500 fout in de browser met bericht "Kan gebruiker identifier niet van de SAML-respons ophalen. of kon het hoofd van de gebruiker niet uit de SAML respons halen." wanneer de AD FS een Federated AD FS is.

Stap met fouten

SAML-responsverwerking

Foutbericht

browser

500 fout met dit bericht:

Fout in configuratie IDP: SAML-verwerking mislukt

Het kon geen gebruiker identifier terugkrijgen van de SAML respons./ Het kon de belangrijkste van de gebruiker niet terugkrijgen van de SAML respons.

Viewer voor AD FS-gebeurtenissen:

Geen fout

Log Cisco IDs:

Mogelijke oorzaak

In een Federated AD FS zijn meer configuraties vereist die zouden kunnen ontbreken.

Aanbevolen actie

Controleer of de AD FS-configuratie in Federated AD is uitgevoerd zoals in het gedeelte voor een configuratie met meerdere domeinen voor Federated AD FS in Cisco IDS en AD FS instellen

Probleemsamenvatting

Login request werkt niet met 500 fout op de browser met bericht "Kan gebruiker identifier niet van SAML respons terugkrijgen./Kon gebruiker main niet van SAML respons terugkrijgen."

uid en/of user_main niet ingesteld in de vertrekkende claims.

Stap met fouten

SAML-responsverwerking

Foutbericht

browser

500 fout met dit bericht:

SAML-bewering mislukt bij IDP met statuscode: urn:oasis:namen:tc:SAML:2.0:status:requester/urn:oasis:namen:tc:SAML:2.0:status:OngeldigeNameIDPpolicy. Controleer de IDP-configuratie en probeer het opnieuw.

Viewer voor AD FS-gebeurtenissen:

De SAML-authenticatieaanvraag had een NameID-beleid dat niet kon worden voldaan.
Aanvrager: myids.cisco.com
Identificatiecode naam: urn:oasis:namen:tc:SAML:2.0:naamdicht:transient
SPNameQualifier: myids.cisco.com
Uitzonderingsgegevens:
MSIS 1000: Het SAML-verzoek bevatte een naambeleid dat niet door de afgegeven token was voldaan. Vereiste naamIDP-beleid: Laat maken: True Format: urn:oasis:namen:tc:SAML:2.0:naamID-formaat:transient SPNameQualifier: myids.cisco.com. Feitelijke naamID eigenschappen: ongeldig.

Dit verzoek is mislukt.

Gebruikersactie
Gebruik het AD FS 2.0 Management magnetisch-in om de configuratie te configureren die de vereiste naam identifier geeft.

Log van Cisco IDs:

Mogelijke oorzaak

De regel Aangepaste claim wordt niet correct ingesteld.

Aanbevolen actie

Zorg er onder AD FS claimregels voor dat de attributenmapping voor "user_main" en "uid" wordt gedefinieerd als in de configuratiegids (welke gids?).

1. RDP naar AD FS-systeem.
2. Bewerk de claimregels voor aangepaste claimregels.
   
   
3. Controleer dat de AD FS- en Cisco IDS-domeinnamen volledig zijn gekwalificeerd.
   
   

Probleemsamenvatting

Aanmelden fout bij 500 fout in browser met statuscode:urn:oasis:namen:tc:SAML:2.0:status:Responder

 Foutbericht in het logbestand voor de weergave van AD FS-gebeurtenissen geeft aan dat er te veel verzoeken zijn om naar AD FS te gaan.

Stap met fouten

SAML-responsverwerking

Foutbericht

browser

500 fout met dit bericht:

Fout in configuratie IDP: SAML-verwerking mislukt

SAML-bewering mislukt bij IDP met statuscode: urn:oasis:namen:tc:SAML:2.0:status:Responder Controleer de IDP-configuratie en probeer het opnieuw.

Viewer voor AD FS-gebeurtenissen:

Microsoft.IdentityServer.Web.OngeldigeApplicationException:

MSIS 7042: Dezelfde client browser sessie heeft '6' verzoeken gedaan in de laatste

16 seconden. Neem voor meer informatie contact op met de beheerder.

   op Microsoft.IdentityServer.Web.FederationPassiveAuthentication.UpdateLoopDetectionCookie()

   bij Microsoft.IdentityServer.Web.FederationPassiveAuthentication.SendSignInResponse (MSISSingInResponse)

Cisco-idS-logboek

Mogelijke oorzaak

Er komen te veel verzoeken van dezelfde browser-sessie naar AD FS.

Aanbevolen actie

Dit zou normaal niet moeten gebeuren in de productie. Maar als je dit tegenkomt, kun je:

1. Controleer het AD FS Windows Event Viewer.
2. Controleer de instellingen van het vertrouwen van de Relying Partij. Zie Cisco-id voor meer informatie configureren en Cisco-id en ABBYY FS configureren
3. Reloïne.

Probleemsamenvatting

Aanmelden mislukt met 500 fout in de browser met foutcode:ongeldigeSignature

Stap met fouten

SAML-responsverwerking

Foutbericht

browser

500 fout met dit bericht:

Foutcode:ongeldigeHandtekening
Bericht:Ongeldige handtekening in ArtifactResponse.

Log Cisco IDs:

Mogelijke oorzaak

AD FS is niet ingesteld voor zowel bevestiging als bericht.

Aanbevolen actie

1. Start de opdracht AD FS PowerShell: Set-ADFSRelyingPartyTrust-TargetName <Relying Party Trust Identifier> -SamlResponseSignature "MessageandAssertion" (Berichtmelding en opmerking)
   
2. RDP naar AD-systeem.
3. Open PowerShell.
4. Voeg de haakjes van Windows PowerShell aan de huidige sessie toe. Deze stap is mogelijk niet vereist in het geval dat u ADFS 3.0 gebruikt omdat CmdLet al geïnstalleerd is als onderdeel van het toevoegen van de rollen en functies.
   
    
5. Voeg AD FS Relying party trust voor bericht en assertie toe.