簡介
本文檔介紹在登入到Cisco Webex App/Cisco Webex Control Hub時排除SSO錯誤「SAML斷言已過期」。
必要條件
需求
思科建議您瞭解以下主題:
- 單一登入配置
- Webex Control Hub
- ADFS伺服器和Powershell
採用元件
本文中的資訊係根據以下軟體和硬體版本:
- Windows ADFS伺服器2022
- Webex Control Hub
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路運作中,請確保您瞭解任何指令可能造成的影響。
背景
本文描述在登入到Cisco Webex App/Cisco Webex Control Hub(在輸入電子郵件ID並完成SSO流程後顯示自身)時,對單一登入(SSO)「SAML斷言過期」錯誤進行故障排除的過程。
附註:此問題主要出現在ADFS伺服器上。本文檔僅特定於ADFS IdP。
疑難排解步驟
- 確保可以使用管理員憑據登入到ADFS伺服器。
- 檢查登入嘗試中出現的錯誤消息。理想情況下,這是一個簡單的修複方法,通過檢視錯誤消息本身,可以直接進行問題故障排除。
- 只有當ADFS伺服器時間與本地電腦時間不匹配時,才會出現「SAML Assertion Expired」錯誤消息。這需要一個命令來修復時間差異。但是,您可以檢視本地電腦的HAR日誌,並且可以看到HAR響應中的差異。
日誌分析
您可以在HAR日誌中檢查登入時間和之前/之後時間:
附註:斷言時間必須介於「不早於:2025年4月07日09:00:37」和「Not After:2025年4月07日10:00:37 SAML」響應中提供的時間。
Not Before: Apr 07 2025 09:00:37
Not After: Apr 07 2025 10:00:37
Assertion Time: Apr 07 2025 09:00:07
根本原因
斷言時間:Apr 07 2025 09:00:07不在SAML響應中提供的不早於和不晚於的範圍內。
解決方案
在ADFS伺服器PowerShell上運行以下命令以解決問題:
Set-ADFSRelingPartyTrust -TargetIdentifier "SP Entity ID" -NotBeforeSkew 3
不同組織可以使用此命令。獲取此命令的最佳方式是使用SP後設資料中的SP(Webex)實體ID代替命令中的URL。
SP實體ID必須採用以下格式:https://idbroker-b-us.webex.com/OrgID。