在ECE中配置代理和分区管理员的SSO并对其进行故障排除

简介

本文档介绍在ECE解决方案中为代理和分区管理员配置单点登录(SSO)所需的步骤。

先决条件

要求

Cisco 建议您了解以下主题：

思科套装联络中心企业版(PCCE)

思科统一联系中心企业版(UCCE)

企业聊天和电子邮件(ECE)

Microsoft Active Directory

使用的组件

本文档中的信息基于以下软件和硬件版本：

UCCE版本：12.6(1)

ECE版本：12.6(1)

Windows Server 2016上的Microsoft Active Directory联合身份验证服务(ADFS)

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

可以在Finesse外部访问企业聊天和电子邮件(ECE)控制台，但必须启用SSO，以允许座席和主管通过Finesse登录到ECE。

还可以为新分区管理员配置单点登录。这可确保登录Cisco Administrator桌面的新用户有权访问企业聊天和电子邮件管理控制台。 

关于单点登录需要注意的重要事项：

• 配置单点登录系统的过程必须由分区用户在分区级别对安全节点执行，执行必要的操作：查看应用安全和管理应用安全。
• 启用了SSO后，管理引擎和管理员要登录到除Agent Console之外的控制台，必须在分区设置中提供应用的有效External URL。有关详细信息，请参阅一般分区设置。
• 配置SSO需要Java密钥库(JKS)证书，以允许具有管理员或主管角色的用户使用其SSO登录凭证登录到Finesse以外的ECE的分区1。请咨询您的IT部门以接收JKS证书。
• 在安装过程中，必须将思科IDS的安全套接字层(SSL)证书导入到所有应用服务器。要获取必要的SSL证书文件，请联系您的IT部门或Cisco IDS支持。
• Unified CCE的数据库服务器归类区分大小写。从用户信息终端URL返回的声明中的用户名和Unified CCE中的用户名必须相同。如果它们不同，单点登录代理将无法识别为已登录，并且ECE无法将代理可用性发送到Unified CCE。
• 为Cisco IDS配置SSO会影响已在Unified CCE中配置单点登录的用户。确保在Unified CCE中为要为ECE中的SSO启用的用户配置了SSO。有关详细信息，请咨询您的Unified CCE管理员。

配置步骤

为ECE配置信赖方信任

打开AD FS管理控制台并导航到AD FS >信任关系>信赖方信任。

在“操作”部分中，单击添加信赖方信任……

在“添加信赖方信任”向导中，单击“开始”并完成后续步骤：

a.在“选择数据源”页中，选择手动输入有关应答方的数据选项，然后点击“下一步”。

b.在“指定显示名称”页中，为信赖方提供显示名称。单击“下一步”

c.在“配置URL”(Configure URL)页面中：

i.选择Enable support for the SAML 2.0 Web SSO protocol选项。

ii.在信赖方SAML 2.0 SSO服务器URL字段中，以https://<Web-Server-Or-Load-Balancer-FQDN>/system/SAML/SSO/POST.controller格式提供URL

d.在“配置标识符”(Configure Identifiers)页面中，提供信赖方信任标识符，然后单击“添加”(Add)。

• 值必须采用以下格式：https://<Web-Server-Or-Load-Balancer-FQDN>/

e.在Choose Access Control Policy页面中，使用默认值“Permit everyone”策略点击next。

f.在Ready to Add Trust页中，点击Next。

g.成功添加信赖方信任后，点击Close。

在Relying Provider Trusts列表中，选择为ECE创建的信赖方信任，并在“操作”部分中单击Properties。

在“属性”窗口中，导航到终端选项卡，然后单击添加SAML..按钮

在Add an Endpoint窗口中，按照以下说明进行配置：

1. 选择终端类型作为SAML注销。
2. 将受信任URL指定为https://<ADFS-server-FQDN>/adfs/ls/?wa=wsignoutcleanup1.0
3. Click OK.

在Relying Provider Trusts列表中，选择为ECE创建的信任，并在Actions部分中点击Edit Claim Insurance Policy。

在Edit Claim Insurance Policy窗口的Issuance Transform Rules选项卡下，点击Add Rule...按钮，然后按如下所示进行配置：

a.在Choose Rule Type页面中，从下拉菜单中选择Send LDAP Attributes as Claims，然后单击Next。

b.在Configure Claim Rule页面：

1. 提供申请规则名称，然后选择属性存储。
2. 定义LDAP属性和传出声明类型的映射。 

• 选择Name ID作为传出领款申请类型名称。
• 点击Finish返回到Edit Claim Insurance Policy窗口，然后点击OK。

在Relying Provider Trusts列表中，双击您创建的ECE信赖方信任。 

在打开的“属性”窗口中，转到“高级”选项卡，将“安全散列算法”设置为SHA-1或SHA-256。请单击“确定”关闭窗口。

验证并记下Federation Service Identifier值。

• 在AD FS管理控制台中，选择并右键单击AD FS >编辑联合身份验证服务属性>常规选项卡>联合身份验证服务标识符

配置身份提供程序

配置SSO需要Java密钥库(JKS)证书，以允许具有管理员或主管角色的用户使用其SSO登录凭证登录到Finesse以外的ECE分区。

如果您希望配置SSO以允许具有管理员或主管角色的用户使用其SSO登录凭证登录到Finesse以外的ECE分区，则必须将Java密钥库(JKS)证书转换为公钥证书，并在为ECE在IdP服务器上创建的信赖方信任中进行配置。

请咨询您的IT部门以接收JKS证书。

以下是在实验中如何生成JKS文件的示例：

a.生成JKS:

keytool -genkey -keyalg RSA -alias ece126web1a_saml -keystore C:\Temp\ece126web1a_saml.jks -keysize 2048 -validity 1825

b.导出证书：

此keytool命令将文件名ece126web1a_saml.crt的.crt格式的证书文件导出到C:\Temp目录中。

keytool -exportcert -alias ece126web1a_saml -keystore C:\Temp\ece126web1a_saml.jks -rfc -file C:\Temp\ece126web1a_saml.crt

配置身份提供程序

1. 在AD FS管理控制台上，选择并右键单击为ECE创建的信赖方信任。
2. 打开信任的“属性”窗口，在“签名”选项卡下，单击“添加”按钮。
3. 添加在上一步中生成的公共证书（.crt文件），然后点击OK。

创建和导入证书

在将SSO配置为使用思科IDS进行代理单点登录之前，必须将来自思科IdS服务器的Tomcat证书导入到应用中。

a.在ECE管理控制台的分区级别菜单下，单击Security选项，然后从左侧菜单中选择Certificate Management。

b.在证书管理空间中，单击“新建”按钮并输入相应的详细信息：

• Name：键入证书的名称。
• Description：添加证书的说明。
• 组件类型(Component Type)：选择CISCO IDS。
• 导入证书(Import Certificate)：要导入证书，请点击搜索和添加(Search and Add)按钮，然后输入请求的详细信息：
• 证书文件：点击Browse按钮，然后选择要导入的证书。证书只能以.pem、.der(BINARY)或.cer/cert格式导入。
• Alias Name：为您的证书提供别名。

c.单击“保存”

配置代理单点登录

1. 在ECE Admin控制台中，在分区级别菜单下，点击Security选项，然后从左侧菜单中选择Single Sign-On > Configurations。
2. 在Select Configuration下拉列表中，选择Agent，并在General选项卡下设置配置：

• 启用单点登录：点击切换按钮以启用SSO。
• 单点登录类型：选择Cisco IDS。

单击SSO Configuration选项卡并提供配置详细信息：

a. OpenID Connect提供程序

主要用户信息终端URL

• 主Cisco IDS服务器的用户信息终端URL。
• 此URL验证用户令牌/用户信息API。  
• 其格式为：https://cisco-ids-1:8553/ids/v1/oauth/userinfo，其中cisco-ids-1表示主Cisco IDS服务器的完全限定域名(FQDN)。

用户身份声明名称

• 由用户信息终端URL返回的声明的名称，用于识别统一或打包CCE中的用户名。 
• 统一或打包CCE中的声明名称和用户名必须匹配。
• 这是响应承载令牌验证获得的声明之一。
• 如果Unified CCE或打包CCE中代理的用户名与User Principal Name匹配，请提供“upn”作为User Identity Claim name字段的值。
• 如果Unified CCE或打包CCE中的代理用户名与SAM帐户名称匹配，请将“sub”作为User Identity Claim name字段的值。

辅助用户信息终端URL

• Cisco IDS服务器的辅助用户信息终端URL。
• 其格式为：https://cisco-ids-2:8553/ids/v1/oauth/userinfo，其中cisco-ids-2表示辅助Cisco IDS服务器的完全限定域名(FQDN)。

用户信息终端URL方法

• ECE用于对用户信息终端URL进行承载令牌验证调用的HTTP方法。
• 从显示的选项列表中选择POST（在此处选择POST以匹配IDS服务器的方法）。

POST:用于将数据发送到指定终端的Cisco IDS服务器的方法。

访问令牌缓存持续时间（秒）

• 必须在ECE中缓存承载令牌的持续时间（秒）。 
• 验证调用成功的承载令牌仅存储在缓存中。（最小值：1；最大值30）

允许SSO在Finesse外部登录

• 如果您希望允许具有管理员或主管角色的用户使用其SSO登录凭证登录Finesse以外的ECE分区，请单击此Toggle按钮。
• 如果启用，则必须提供身份提供者和服务提供者部分下的信息。
• 这要求您的IdP配置允许使用共享IdP服务器。

b.身份提供者

实体Id

• IdP服务器的实体ID。

身份提供程序证书

• 公钥证书。
• 证书必须以“-----BEGIN CERTIFICATE-----”开头，以“-----END CERTIFICATE-----”结尾
• 这是AD FS Management Console > Service > Certificates > Token-signing中的令牌签名证书。

用户身份位置

• 选择SAML Subject Identifier，将证书中的身份位置设置为默认SAML使用者标识符，与SAML断言中的使用者相同，例如<saml:Subject>中的用户名。
• 选择SAML Attribute以将身份位置分配给证书中的特定属性，例如email.address。在User Identity Attribute Name字段中提供属性。

用户身份属性名称

• 仅当用户ID位置值是SAML属性时适用。
• 这可以在SAML断言中调整，并用于为用户身份验证选择不同的属性，例如邮件地址。
• 它还可以用于创建具有SAML属性的新用户。
• 例如，如果通过email.address属性中提供的值标识用户，并且提供的电子邮件地址的值与系统中的任何用户都不匹配，则使用提供的SAML属性创建新用户。

启用加密断言（可选）

• 如果您希望通过身份提供方启用加密断言以进行控制台登录，请点击Toggle按钮将值设置为Enabled。
• 如果不是，请将该值设置为Disabled。

断言解密证书

如果Enable encrypted assertion设置为Enabled，则点击Search and Add按钮并确认您更改证书的选择。

在Assertion Decryption Certificate窗口中提供详细信息：

• Java Keystore File：提供Java Keystore文件的文件路径。此文件采用.jks格式，包含系统访问由身份提供程序保护的文件所需的解密密钥。
• Alias Name：解密密钥的唯一标识符。
• 密钥库密码：访问Java密钥库文件所需的密码。
• Key Password：访问别名的解密密钥所需的密码。

c.服务提供商

服务提供商发起的身份验证

• 将切换按钮设置为Enabled。

实体Id

• 提供ECE应用程序的外部URL。

请求签名证书

• 需要Java密钥库(JKS)证书才能提供必要的信息。
• 使用步骤11中生成的别名和密钥库/密钥密码上传.jks文件。

签名算法

• 设置服务提供商的签名算法。
• 如果使用ADFS，该值必须与在“高级”(Advanced)选项卡下为ECE创建的信赖方信任中选择的算法匹配。

身份提供程序登录URL

• SAML身份验证的URL。
• 例如，对于ADFS，此关键字为http://<ADFS>/adfs/ls。

身份提供程序注销URL

• 注销时将用户重定向到的URL。这是可选的，可以是任何URL。 
• 例如，在SSO注销后，可以将代理重定向到https://www.cisco.com或任何其他URL。

点击保存

在分区设置中设置Web服务器/LB URL

确保在Partition settings（分区设置）>选择Apps选项卡下输入正确的Web Server/LB URL，然后导航到General Settings > External URL of the Application（应用程序的外部URL）

配置分区管理员的SSO

为分区管理员配置SSO

1. 在ECE Admin控制台中，在分区级别菜单下，点击Security选项，然后从左侧菜单中选择Single Sign-On > Configurations。
2. 在选择配置下拉列表中，选择分区管理员，然后输入配置详细信息：

LDAP URL

• LDAP服务器的URL。
• 这可以是LDAP服务器的域控制器URL(例如，ldap://LDAP_server:389)或全局目录URL(例如，ldap://LDAP_server:3268)。
• 如果ECE配置了LDAP查找，则通过CCE管理控制台访问ECE时，可以自动将分区添加到系统中。 
• 但是，在单个林中具有多个域或配置了备用UPN的Active Directory部署中，不得使用具有标准LDAP端口389和636的域控制器URL。
• 可以将LDAP集成配置为使用端口3268和3269的全局目录URL。

DN属性

• 包含用户登录名的DN的属性。
• 例如，userPrincipalName。

基础

• 为Base指定的值被应用程序用作搜索库。
• Search base是在LDAP目录树中搜索的开始位置。
• 例如，DC=mycompany，DC=com。

用于LDAP搜索的DN

• 如果LDAP系统不允许匿名绑定，请提供在LDAP目录树上拥有搜索权限的用户的可分辨名称(DN)。
• 如果LDAP服务器允许匿名绑定，请将此字段留空。

密码

• 如果LDAP系统不允许匿名绑定，请提供在LDAP目录树上拥有搜索权限的用户的密码。
• 如果LDAP服务器允许匿名绑定，请将此字段留空。

点击保存

现在即可完成ECE中代理和分区管理员的单点登录配置。

故障排除 

设置跟踪级别 

1. 在ECE Admin控制台的分区级别菜单下，单击System Resources选项，然后从左侧菜单中选择Process Logs。
2. 从进程列表中选择ApplicationServer进程>从“Maximum Trace Level”下拉菜单中选择所需的跟踪级别。

故障排除场景1

Error

• 错误代码：500
• 错误说明：应用程序此时无法登录用户，因为身份提供程序登录失败。

日志分析

• IdP登录失败 — <samlp:Status><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Responder" /></samlp:Status>
• 此处“Responder”状态表示AD FS端存在一些问题 — 在本例中，主要是通过ECE管理控制台（SSO配置>服务提供商）上传的“请求签名证书”，以及通过“签名”选项卡上传到ECE信赖方信任的证书。
• 这是使用Java密钥库文件生成的证书。

unmarshallAndValidateResponse:
2022-09-21 18:18:15.002 GMT+0000 <@> ERROR <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> IdP login failed. Status code is NOT 'Success' in SAML Response token: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
        
        
        
         
          
          
         
         
        
          gAlphYvLYvUBRdX6WJSFCOZ0Ph+/HB2JHnDxUmbluXg= 
         
        
       
      
        HRLRYAL94nIB14/LVlrGpxNyz1ddR/pfCN4pDVTVuBWXJCCpXPHcIVuqWYHKh9gnj/QPqNwZktmKcOZTB2tviOucNhDO5r4DiqEk90R29spAVvlWEsUiVmq+hJOafoDwXk0p+uCXGAJuIsEgOVOtMQrGZSi1zHT6r6hzBb9lC2MhKryey+p34bGHxA2doHSshXpbYhVRjVGUAqpkh614Mb9bfW0fzjgVgxrXQzevRAJBKmoj+nuiOInBISxMD+bjJ1mcTCcnUCQQQ7lYwQZ/v/ux0ht5HelI9VGt90ExwjNiEUXQTzxvqGbAlDDX4K/lEGfIS/JwWo+rWDa4j1IN5Q== 
       
       
        
        
          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 
         
        
       
      
      
       
      
    . => Check IdP error log at the time of this error. <@>
2022-09-21 18:18:15.002 GMT+0000 <@> INFO <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.admin.SSOAdministrator <@> validateRequestWithAttributes() <@> tokenState: NULL <@>

L10N_USER_STATUS_CODE_ERROR:
2022-09-21 18:18:15.002 GMT+0000 <@> ERROR <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_STATUS_CODE_ERROR <@> - com.egain.platform.module.security.sso.exception.SSOLoginException: null
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.unmarshallAndValidateResponse(SAML2_0_Handler.java:514) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:208) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:163) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.OpenIDConnect_Handler.validateReqWithAttributes(OpenIDConnect_Handler.java:441) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.admin.SSOAdministrator.validateRequestWithAttributes(SSOAdministrator.java:131) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.controller.SSOControllerServlet.doPost(SSOControllerServlet.java:106) ~[egpl_application_classes.jar:?]
.
.
.
.
at java.lang.Thread.run(Thread.java:834) ~[?:?]

errorCode=500&errorString=The application is not able to login the user at this time as Identity Provider login failed:
2022-09-21 18:18:15.003 GMT+0000 <@> DEBUG <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.client.util.i18n.L10NUtil <@> getLocalizedMessage(CallerContext, Locale, String, l10nKey, String[]) <@> In method getLocalizedMessage: pl/resourcetype/sso L10N_USER_STATUS_CODE_ERROR null <@>
2022-09-21 18:18:15.003 GMT+0000 <@> DEBUG <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> WS API SSO errorURL => /system/web/view/platform/admin/security/sso/context/errorpage.html?errorCode=500&errorString=The application is not able to login the user at this time as Identity Provider login failed. If the problem persists, please contact your system administrator.&errorKey=L10N_USER_STATUS_CODE_ERROR&locale=en-US <@>

分辨率

• 请参阅“配置代理单点登录 — 服务提供商”部分下的“请求签名证书”配置。
• 确保Step 11中生成的Java Keystore .jks文件已上传到ECE管理控制台上的“Request Signing certificate”字段，该字段位于SSO Configuration > Select Configuration 'Agent' > 'SSO Configuration'选项卡> Service Provider > Request Signing certificate下。
• 确保在ECE信赖方信任的“签名”选项卡下上传.crt文件(第12步)。

故障排除场景2

Error

• 错误代码：400
• 错误说明：SAML响应令牌无效：签名验证失败。

日志分析

• 此错误表示ADFS上的“令牌签名证书”和ECE SSO配置上的“身份提供程序证书”之间的证书不匹配。

Entering 'validateSSOCertificate' and validating the saml response against certificate:
2022-10-07 15:27:34.523 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> Entering validateSignatureAndCertificate() method.validating the saml response against certificate <@>
2022-10-07 15:27:34.520 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> decodeBase64String() <@> Exiting decodeBase64String() method with retString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateReqWithAttributes() <@> Exiting getDecodedSAMLResponse() method with decodedString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> Entering unmarshallAndValidateResponse() method with base64decodedResponse: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> getRootElement() <@> Entering getRootElement() with responseSAMLString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.523 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Entering loadcertificate() method with publicCertificateString: ----BEGIN CERTIFICATE-----
.....
-----END CERTIFICATE----- <@>
2022-10-07 15:27:34.523 GMT+0000 <@> INFO <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> cf: java.security.cert.CertificateFactory@10365e4c <@>

Error: Could not parse certificate: java.io.IOException: Incomplete data:
2022-10-07 15:27:34.523 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Could not parse certificate: java.io.IOException: Incomplete data <@>
2022-10-07 15:27:34.524 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Exiting loadcertificate() method with xcert: null <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> certificate: null <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> Exiting validateSignatureAndCertificate() with retBoolean: false <@>

Signature validation failed:
2022-10-07 15:27:34.525 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> Signature validation failed. SAML Response: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.525 GMT+0000 <@> INFO <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.admin.SSOAdministrator <@> validateRequestWithAttributes() <@> tokenState: NULL <@>
2022-10-07 15:27:34.525 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_SIGNATURE_INVALID <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.client.util.i18n.L10NUtil <@> getLocalizedMessage(CallerContext, Locale, String, l10nKey, String[]) <@> In method getLocalizedMessage: pl/resourcetype/sso L10N_USER_SIGNATURE_INVALID null <@>

分辨率

• 在日志代码片段中出现的错误“无法解析证书： java.io.IOException: Incomplete data”，表示“Identity Provider Certificate”内容输入不正确 
• 要解决此问题：在AS FS Management > AD FS > Service > Certificates > Token-Signing > Export this certificate > open in a text editor > copy all contents > paste under 'Identity provider certificate'字段（在SSO配置>保存中）。
• 请参阅“配置代理单点登录 — 身份提供程序”部分下的“身份提供程序证书”配置(步骤15)。

故障排除场景3

Error

• 错误代码：401-114
• 错误说明：在SAML属性中找不到用户身份。

日志分析

getSSODataFromSAMLToken:
2024-02-01 01:44:32.081 GMT+0000 <@> ERROR <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> getSSODataFromSAMLToken() <@> User identity not found in   SAML_ATTRIBUTE <@> 
2024-02-01 01:44:32.081 GMT+0000 <@> TRACE <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> Entering redirectToApiErrorPage() <@> 

L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE:
2024-02-01 01:44:32.081 GMT+0000 <@> ERROR <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE. Dynamic strings: upn <@> 
com.egain.platform.module.security.sso.exception.SSOLoginException: null
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.getSSODataFromSAMLToken(SAML2_0_Handler.java:762) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.unmarshallAndValidateResponse(SAML2_0_Handler.java:604) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:208) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:163) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.OpenIDConnect_Handler.validateReqWithAttributes(OpenIDConnect_Handler.java:445) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.admin.SSOAdministrator.validateRequestWithAttributes(SSOAdministrator.java:131) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.controller.SSOControllerServlet.doPost(SSOControllerServlet.java:113) ~[egpl_application_classes.jar:?]
.
.
.
 at java.lang.Thread.run(Thread.java:830) [?:?]

errorCode=401-114&errorString=User Identity not found in SAML attribute: 'upn':
2024-02-01 01:44:32.083 GMT+0000 <@> DEBUG <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> WS API SSO errorURL => /system/web/view/platform/admin/security/sso/context/errorpage.html?errorCode=401-114&errorString=User Identity not found in SAML attribute: 'upn'.&errorKey=L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE&locale=en-US <@> 
2024-02-01 01:44:32.083 GMT+0000 <@> TRACE <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> Exiting redirectToApiErrorPage() <@>

分辨率

• 此错误表示“用户身份位置”和“用户身份属性名称”字段中存在配置问题/不匹配。
• 在ECE Admin控制台中检查并更正“User Identity Location”和“User Identity Attribute Name”，在“Select Configuration”下拉菜单中的“Single Sign-On”>“Configurations”下，选择“Agent”>“SSO Configuration”选项卡>“Identify Provider”(Step 15)。

相关信息

这些是您在开始安装或集成任何ECE之前必须仔细阅读的重要文档。这不是一份全面的欧洲经委会文件清单。

ECE版本12.6(1)

• 企业聊天和电子邮件管理员指南