在ECE中配置代理和分割槽管理員的SSO並對其進行故障排除

簡介

本文檔介紹在ECE解決方案中配置代理和分割槽管理員單一登入(SSO)所需的步驟。

必要條件

需求

思科建議您瞭解以下主題：

思科套裝客服中心企業版(PCCE)

思科整合客服中心企業版(UCCE)

企業版聊天與電子郵件(ECE)

Microsoft Active Directory

採用元件

本文中的資訊係根據以下軟體和硬體版本：

UCCE版本：12.6(1)

ECE版本：12.6(1)

Windows Server 2016上的Microsoft Active Directory聯合身份驗證服務(ADFS)

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

可在Finesse外部訪問企業聊天和電子郵件(ECE)控制檯，但必須啟用SSO，以允許座席和主管通過Finesse登入到ECE。

還可以為新分割槽管理員配置單一登入。這可確保登入到Cisco Administrator案頭的新使用者有權訪問Enterprise Chat and Email Administration Console。 

關於單點登入需要注意的重要事項：

• 配置單點登入系統的過程必須由分割槽使用者在分割槽級別對安全節點執行，同時執行必要的操作：檢視應用程式安全性和管理應用程式安全性。
• 啟用了SSO後，管理引擎和管理員若要登入到除「代理控制檯」之外的控制檯，必須在分割槽設定中提供應用程式的有效外部URL。有關詳細資訊，請參閱常規分割槽設定。
• 配置SSO需要Java Keystore(JKS)證書，以允許具有管理員或主管角色的使用者使用其SSO登入憑據登入到Finesse以外的ECE的分割槽1。請諮詢您的IT部門以接收JKS證書。
• 在安裝過程中，必須將思科IDS的安全套接字層(SSL)證書匯入到所有應用伺服器。要獲取必要的SSL證書檔案，請聯絡您的IT部門或Cisco IDS支援人員。
• Unified CCE的資料庫伺服器歸類區分大小寫。從使用者資訊終端URL返回的宣告中的使用者名稱和Unified CCE中的使用者名稱必須相同。如果不相同，則單點登入代理不會識別為已登入，並且ECE無法將代理可用性傳送到Unified CCE。
• 為Cisco IDS配置SSO會影響已在Unified CCE中配置為單點登入的使用者。確保在Unified CCE中為要為ECE中的SSO啟用的使用者配置了SSO。有關詳細資訊，請諮詢您的Unified CCE管理員。

配置步驟

為ECE配置信賴方信任

開啟AD FS管理控制檯並導航到AD FS >信任關係>信賴方信任。

在「操作」部分中，按一下新增信賴方信任……

在「新增信賴方信任」嚮導中，按一下「開始」並完成以下步驟：

a.在「選擇資料來源」頁中，選擇手動輸入有關回複方的資料選項，然後按一下下一步。

b.在「指定顯示名稱」頁中，為信賴方提供顯示名稱。按一下「下一步」

c.在「配置URL」頁面中：

i.選擇Enable support for the SAML 2.0 Web SSO protocol選項。

ii.在信賴方SAML 2.0 SSO伺服器URL欄位中，以https://<Web-Server-Or-Load-Balancer-FQDN>/system/SAML/SSO/POST.controller格式提供URL

d.在「配置識別符號」頁中，提供信賴方信任識別符號，然後按一下「新增」。

• 值必須採用以下格式： https://<Web-Server-Or-Load-Balancer-FQDN>/

e.在Choose Access Control Policy頁面中，按一下具有預設值「Permit everyone」策略的next。

f.在Ready to Add Trust頁中,按一下Next。

g.成功新增信賴方信任後，按一下「關閉」。

在信賴提供者信任清單中，選擇為ECE建立的信賴方信任，並在「操作」部分中按一下屬性。

在「屬性」視窗中，導航到Endpoints頁籤，然後按一下Add SAML..按鈕

在「Add an Endpoint」視窗中，按如下說明進行配置：

1. 選擇終端型別作為SAML註銷。
2. 將受信任URL指定為https://<ADFS-server-FQDN>/adfs/ls/?wa=wsignoutcleanup1.0
3. 按一下「OK」（確定）。

在「信賴提供者信任」清單中，選擇為ECE建立的信任，並在「操作」部分中按一下編輯索賠保險單。

在Edit Claim Insurance Policy視窗的Issuance Transform Rules頁籤下，按一下Add Rule...按鈕並配置，如下所示：

a.在「選擇規則型別」頁中，從下拉選單中選擇Send LDAP Attributes as Claims，然後按一下Next。

b.在「配置宣告規則」頁中：

1. 提供申請規則名稱並選擇屬性儲存。
2. 定義LDAP屬性和傳出宣告型別的對映。 

• 選擇名稱ID作為傳出宣告型別名稱。
• 按一下「完成」返回到「編輯索賠保險單」視窗，然後按一下「確定」。

在「信賴提供者信任」清單中，按兩下您建立的ECE信賴方信任。 

在開啟的「屬性」視窗中，轉到「高級」頁籤，將「安全雜湊演算法」設定為SHA-1或SHA-256。按一下確定關閉視窗。

驗證並記下Federation Service Identifier值。

• 在AD FS管理控制檯中，選擇並按一下右鍵AD FS >編輯聯合身份驗證服務屬性>常規頁籤>聯合身份驗證服務識別符號

配置身份提供程式

配置SSO需要Java Keystore(JKS)證書，以允許具有管理員或主管角色的使用者使用其SSO登入憑據登入到Finesse以外的ECE分割槽。

如果您希望配置SSO以允許具有管理員或主管角色的使用者使用其SSO登入憑據登入到Finesse以外的ECE分割槽，則必須將Java金鑰庫(JKS)證書轉換為公鑰證書，並在為ECE在IdP伺服器上建立的信賴方信任中進行配置。

請諮詢您的IT部門以接收JKS證書。

以下示例說明如何在實驗中生成JKS檔案：

a.生成JKS:

keytool -genkey -keyalg RSA -alias ece126web1a_saml -keystore C:\Temp\ece126web1a_saml.jks -keysize 2048 -validity 1825

b.匯出證書：

此keytool命令將檔名ece126web1a_saml.crt的.crt格式的證書檔案匯出到C:\Temp目錄中。

keytool -exportcert -alias ece126web1a_saml -keystore C:\Temp\ece126web1a_saml.jks -rfc -file C:\Temp\ece126web1a_saml.crt

配置身份提供程式

1. 在AD FS管理控制檯上，選擇並按一下右鍵為ECE建立的信賴方信任。
2. 開啟信任的「屬性」視窗，並在「簽名」頁籤下按一下「新增」按鈕。
3. 新增公共證書（在上一步中生成的.crt檔案），然後按一下「確定」。

建立和匯入證書

在配置SSO以使用Cisco IDS進行代理單一登入之前，必須將Cisco IdS伺服器的Tomcat證書匯入到應用程式中。

a.在ECE管理控制檯的分割槽級選單下，按一下Security選項，然後從左側選單中選擇Certificate Management。

b.在Certificate Management空間中，按一下New按鈕並輸入相應的詳細資訊：

• 名稱：鍵入證書的名稱。
• 說明：新增證書的說明。
• 元件型別：選擇CISCO IDS。
• 匯入證書(Import Certificate)：要匯入證書，請按一下「搜尋和新增」(Search and Add)按鈕，然後輸入請求的詳細資訊：
• 證書檔案：按一下「瀏覽」按鈕並選擇要匯入的證書。證書只能以.pem、.der(BINARY)或.cer/cert格式匯入。
• 別名(Alias Name)：為您的證書提供別名。

c.按一下「儲存」

配置代理單一登入

1. 在ECE Admin控制檯的分割槽級選單下，按一下Security選項，然後從左側選單中選擇Single Sign-On > Configurations。
2. 在「選擇配置」下拉選單中，選擇Agent，然後在「常規」頁籤下設定配置：

• 啟用單一登入：按一下切換按鈕啟用SSO。
• 單一登入型別：選擇Cisco IDS。

按一下SSO Configuration頁籤並提供配置詳細資訊：

a. OpenID連線提供程式

主使用者資訊終結點URL

• 主Cisco IDS伺服器的使用者資訊終端URL。
• 此URL驗證使用者令牌/使用者資訊API。  
• 其格式為：https://cisco-ids-1:8553/ids/v1/oauth/userinfo，其中cisco-ids-1表示主Cisco IDS伺服器的完全限定域名(FQDN)。

使用者身份宣告名稱

• 由使用者資訊終端URL返回的宣告的名稱，用於識別統一或打包的CCE中的使用者名稱。 
• 統一或打包的CCE中的宣告名稱和使用者名稱必須匹配。
• 這是響應持有者令牌驗證獲得的宣告之一。
• 如果Unified或Packaged CCE中代理的使用者名稱與User Principal Name匹配，請將「upn」作為User Identity Claim name欄位的值。
• 如果Unified或Packaged CCE中代理的使用者名稱與SAM Account Name匹配，請將「sub」作為User Identity Claim name欄位的值。

輔助使用者資訊終結點URL

• Cisco IDS伺服器的輔助使用者資訊終結點URL。
• 其格式為：https://cisco-ids-2:8553/ids/v1/oauth/userinfo，其中cisco-ids-2表示輔助Cisco IDS伺服器的完全限定域名(FQDN)。

使用者資訊終端URL方法

• ECE用於對使用者資訊終端URL進行承載令牌驗證呼叫的HTTP方法。
• 從顯示的選項清單中選擇POST（在此處選擇POST以匹配IDS伺服器的方法）。

POST:用於將資料傳送到指定端點的Cisco IDS伺服器的方法。

訪問令牌快取持續時間（秒）

• 必須在ECE中快取承載令牌的持續時間（秒）。 
• 驗證呼叫成功的承載令牌僅儲存在快取中。（最小值：1；最大值30）

允許SSO在Finesse外部登入

• 如果您希望允許具有管理員或主管角色的使用者使用其SSO登入憑據登入到Finesse以外的ECE分割槽，請按一下此「切換」按鈕。
• 如果啟用，則必須提供身份提供方和服務提供方部分下的資訊。
• 這要求您的IdP配置允許共用的IdP伺服器。

b.身份提供者

實體Id

• IdP伺服器的實體ID。

身份提供程式證書

• 公鑰證書。
• 憑證必須以「-----BEGIN CERTIFICATE-----」開始，以「-----END CERTIFICATE-----」結尾
• 這是AD FS Management Console > Service > Certificates > Token-signing中的令牌簽名證書。

使用者身份位置

• 選擇SAML Subject Identifier，將證書中的標識位置設定為預設SAML使用者識別符號，如SAML斷言中的主題（例如<saml:Subject>中的使用者名稱）。
• 選擇SAML Attribute，將身份位置分配給證書中的特定屬性，例如email.address。在User Identity Attribute Name欄位中提供屬性。

使用者身份屬性名稱

• 僅當使用者ID位置值是SAML屬性時適用。
• 可以在SAML斷言中調整此屬性，並用於為使用者的身份驗證選擇不同的屬性，如電子郵件地址。
• 它還可以用於建立具有SAML屬性的新使用者。
• 例如，如果通過email.address屬性中提供的值標識使用者，並且提供的電子郵件地址的值與系統中的任何使用者都不匹配，則使用提供的SAML屬性建立新使用者。

啟用加密斷言（可選）

• 如果您希望使用身份提供程式啟用加密斷言以進行控制檯登入，請按一下「切換」按鈕將值設定為「啟用」。
• 如果不是，請將該值設定為Disabled。

斷言解密證書

如果Enable encrypted assertion設定為Enabled，則按一下Search and Add按鈕，並確認您更改證書的選擇。

在Assertion Decryption Certificate視窗中提供詳細資訊：

• Java Keystore檔案：提供Java Keystore檔案的檔案路徑。此檔案採用.jks格式，其中包含系統訪問由身份提供程式保護的檔案所需的解密金鑰。
• 別名：解密金鑰的唯一識別符號。
• 金鑰庫密碼：訪問Java金鑰庫檔案所需的密碼。
• 金鑰密碼：訪問別名解密金鑰所需的密碼。

c.服務提供商

服務提供商發起的身份驗證

• 將切換按鈕設定為「啟用」。

實體Id

• 提供ECE應用程式的外部URL。

請求簽名證書

• 需要使用Java金鑰庫(JKS)證書來提供必要的資訊。
• 使用步驟11中生成的別名和金鑰庫/金鑰密碼上傳.jks檔案。

簽名演算法

• 設定服務提供程式的簽名演算法。
• 如果使用ADFS，該值必須與在「高級」頁籤下為ECE建立的信賴方信任中選擇的演算法匹配。

標識提供程式登入URL

• SAML身份驗證的URL。
• 例如，對於ADFS，此值為http://<ADFS>/adfs/ls。

標識提供程式註銷URL

• 註銷時將使用者重定向到的URL。這是選用的，可以是任何URL。 
• 例如，在SSO註銷後，可以將代理重定向到https://www.cisco.com或任何其他URL。

點選儲存(Save)

在分割槽設定中設定Web伺服器/LB URL

確保在「分割槽設定」(Partition settings)下輸入正確的Web伺服器/LB URL >選擇「Apps」(Apps)頁籤，然後導航至「General Settings」（常規設定）>「External URL of the Application」（應用程式的外部URL）

為分割槽管理員配置SSO

為分割槽管理員配置SSO

1. 在ECE Admin控制檯中，在分割槽級別選單下，按一下Security選項，然後從左側選單選擇Single Sign-On > Configurations。
2. 在選擇配置下拉選單中，選擇分割槽管理員，然後輸入配置詳細資訊：

LDAP URL

• LDAP伺服器的URL。
• 可以是LDAP伺服器的域控制器URL(例如，ldap://LDAP_server:389)或全域性目錄URL(例如，ldap://LDAP_server:3268)。
• 如果配置了LDAP查詢，則通過CCE管理控制檯訪問ECE時，可以自動將分割槽新增到系統中。 
• 但是，在單個林中具有多個域或配置了備用UPN的Active Directory部署中，不得使用具有標準LDAP埠389和636的域控制器URL。
• 可以將LDAP整合配置為使用埠3268和3269的全域性目錄URL。

DN屬性

• 包含使用者登入名的DN的屬性。
• 例如，userPrincipalName。

基本

• 為Base指定的值被應用程式用作搜尋庫。
• Search base是LDAP目錄樹中搜尋的開始位置。
• 例如，DC=mycompany， DC=com。

用於LDAP搜尋的DN

• 如果您的LDAP系統不允許匿名繫結，請提供在LDAP目錄樹上具有搜尋許可權的使用者的唯一判別名(DN)。
• 如果LDAP伺服器允許匿名繫結，請將此欄位留空。

密碼

• 如果LDAP系統不允許匿名繫結，請提供在LDAP目錄樹上具有搜尋許可權的使用者的密碼。
• 如果LDAP伺服器允許匿名繫結，請將此欄位留空。

點選儲存(Save)

這樣，ECE中代理和分割槽管理員的單點登入配置即可完成。

疑難排解 

設定跟蹤級別 

1. 在ECE管理控制檯的分割槽級選單下，按一下System Resources選項，然後從左側選單中選擇Process Logs。
2. 從進程清單中選擇ApplicationServer進程>從「最大跟蹤級別」下拉選單中設定所需的跟蹤級別。

疑難排解案例1

錯誤

• 錯誤代碼： 500
• 錯誤描述：由於身份提供程式登入失敗，此時應用程式無法登入使用者。

日誌分析

• IdP登入失敗 — <samlp:Status><samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Responder" /></samlp:Status>
• 此處，狀態「Responder」表示AD FS端存在一些問題 — 在本例中，主要是通過ECE管理控制檯（SSO配置>服務提供商）上傳的「請求簽名證書」，以及通過「簽名」頁籤上傳到ECE信賴方信任的證書。
• 這是使用Java金鑰庫檔案生成的證書。

unmarshallAndValidateResponse:
2022-09-21 18:18:15.002 GMT+0000 <@> ERROR <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> IdP login failed. Status code is NOT 'Success' in SAML Response token: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
        
        
        
         
          
          
         
         
        
          gAlphYvLYvUBRdX6WJSFCOZ0Ph+/HB2JHnDxUmbluXg= 
         
        
       
      
        HRLRYAL94nIB14/LVlrGpxNyz1ddR/pfCN4pDVTVuBWXJCCpXPHcIVuqWYHKh9gnj/QPqNwZktmKcOZTB2tviOucNhDO5r4DiqEk90R29spAVvlWEsUiVmq+hJOafoDwXk0p+uCXGAJuIsEgOVOtMQrGZSi1zHT6r6hzBb9lC2MhKryey+p34bGHxA2doHSshXpbYhVRjVGUAqpkh614Mb9bfW0fzjgVgxrXQzevRAJBKmoj+nuiOInBISxMD+bjJ1mcTCcnUCQQQ7lYwQZ/v/ux0ht5HelI9VGt90ExwjNiEUXQTzxvqGbAlDDX4K/lEGfIS/JwWo+rWDa4j1IN5Q== 
       
       
        
        
          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 
         
        
       
      
      
       
      
    . => Check IdP error log at the time of this error. <@>
2022-09-21 18:18:15.002 GMT+0000 <@> INFO <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.admin.SSOAdministrator <@> validateRequestWithAttributes() <@> tokenState: NULL <@>

L10N_USER_STATUS_CODE_ERROR:
2022-09-21 18:18:15.002 GMT+0000 <@> ERROR <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_STATUS_CODE_ERROR <@> - com.egain.platform.module.security.sso.exception.SSOLoginException: null
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.unmarshallAndValidateResponse(SAML2_0_Handler.java:514) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:208) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:163) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.handler.OpenIDConnect_Handler.validateReqWithAttributes(OpenIDConnect_Handler.java:441) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.admin.SSOAdministrator.validateRequestWithAttributes(SSOAdministrator.java:131) ~[egpl_application_classes.jar:?]
at com.egain.platform.module.security.sso.controller.SSOControllerServlet.doPost(SSOControllerServlet.java:106) ~[egpl_application_classes.jar:?]
.
.
.
.
at java.lang.Thread.run(Thread.java:834) ~[?:?]

errorCode=500&errorString=The application is not able to login the user at this time as Identity Provider login failed:
2022-09-21 18:18:15.003 GMT+0000 <@> DEBUG <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.client.util.i18n.L10NUtil <@> getLocalizedMessage(CallerContext, Locale, String, l10nKey, String[]) <@> In method getLocalizedMessage: pl/resourcetype/sso L10N_USER_STATUS_CODE_ERROR null <@>
2022-09-21 18:18:15.003 GMT+0000 <@> DEBUG <@> [392364:qtp1158258131-392364] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:72d5a2a7-5520-4e8a-83a0-bc2b5d87ee38 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> WS API SSO errorURL => /system/web/view/platform/admin/security/sso/context/errorpage.html?errorCode=500&errorString=The application is not able to login the user at this time as Identity Provider login failed. If the problem persists, please contact your system administrator.&errorKey=L10N_USER_STATUS_CODE_ERROR&locale=en-US <@>

解析

• 請參閱「Configuring Agent Single Sign-On - Service Provider」一節中的「Request Signing Certificate」配置。
• 確保Step 11中生成的Java Keystore .jks檔案已上載到ECE管理控制檯上SSO配置>選擇配置「代理」>「SSO配置」頁籤>服務提供商>請求簽名證書下的「請求簽名證書」欄位。
• 確保在ECE信賴方信任的「簽名」頁籤下上載.crt檔案(步驟12)。

疑難排解案例2

錯誤

• 錯誤代碼： 400
• 錯誤描述： SAML響應令牌無效：簽名驗證失敗。

日誌分析

• 此錯誤表示ADFS上的「令牌簽名證書」與ECE SSO配置上的「身份提供程式證書」之間的證書不匹配。

Entering 'validateSSOCertificate' and validating the saml response against certificate:
2022-10-07 15:27:34.523 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> Entering validateSignatureAndCertificate() method.validating the saml response against certificate <@>
2022-10-07 15:27:34.520 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> decodeBase64String() <@> Exiting decodeBase64String() method with retString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateReqWithAttributes() <@> Exiting getDecodedSAMLResponse() method with decodedString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> Entering unmarshallAndValidateResponse() method with base64decodedResponse: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.521 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> getRootElement() <@> Entering getRootElement() with responseSAMLString: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.523 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Entering loadcertificate() method with publicCertificateString: ----BEGIN CERTIFICATE-----
.....
-----END CERTIFICATE----- <@>
2022-10-07 15:27:34.523 GMT+0000 <@> INFO <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> cf: java.security.cert.CertificateFactory@10365e4c <@>

Error: Could not parse certificate: java.io.IOException: Incomplete data:
2022-10-07 15:27:34.523 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Could not parse certificate: java.io.IOException: Incomplete data <@>
2022-10-07 15:27:34.524 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.sso.util.SSOUtil <@> loadcertificate() <@> Exiting loadcertificate() method with xcert: null <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> certificate: null <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> validateSSOCertificate() <@> Exiting validateSignatureAndCertificate() with retBoolean: false <@>

Signature validation failed:
2022-10-07 15:27:34.525 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> unmarshallAndValidateResponse() <@> Signature validation failed. SAML Response: 
    
     
     
       adfs/adfs/services/trust 
      
      
       
      
      
      
        adfs/adfs/services/trust 
       
       
        
         
         
         
          
           
           
          
          
         
           +++= 
          
         
        
       
         ... 
        
       
      
    
2022-10-07 15:27:34.525 GMT+0000 <@> INFO <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.admin.SSOAdministrator <@> validateRequestWithAttributes() <@> tokenState: NULL <@>
2022-10-07 15:27:34.525 GMT+0000 <@> ERROR <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_SIGNATURE_INVALID <@>
2022-10-07 15:27:34.525 GMT+0000 <@> DEBUG <@> [537838:qtp1158258131-537838] <@> ProcessId:3272 <@> PID:1 <@> UID:12 <@> UserSessionId:a5a413c1-24a0-aaaa-bed2-83b50f1a9915 <@> com.egain.platform.client.util.i18n.L10NUtil <@> getLocalizedMessage(CallerContext, Locale, String, l10nKey, String[]) <@> In method getLocalizedMessage: pl/resourcetype/sso L10N_USER_SIGNATURE_INVALID null <@>

解析

• 在日誌代碼段「無法分析證書： java.io.IOException: Incomplete data」中出現的錯誤表明「Identity Provider Certificate」內容未正確輸入 
• 解決此問題：在AS FS Management > AD FS > Service > Certificates > Token-Signing > Export this certificate > open in a text editor > copy all contents > paste under 'Identity provider certificate' filed in the SSO configuration > Save。
• 請參閱「配置代理單一登入 — 身份提供程式」部分下的「身份提供程式證書」配置(步驟15)。

疑難排解案例3

錯誤

• 錯誤代碼：401-114
• 錯誤說明：在SAML屬性中找不到使用者標識。

日誌分析

getSSODataFromSAMLToken:
2024-02-01 01:44:32.081 GMT+0000 <@> ERROR <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.handler.SAML2_0_Handler <@> getSSODataFromSAMLToken() <@> User identity not found in   SAML_ATTRIBUTE <@> 
2024-02-01 01:44:32.081 GMT+0000 <@> TRACE <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> Entering redirectToApiErrorPage() <@> 

L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE:
2024-02-01 01:44:32.081 GMT+0000 <@> ERROR <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> User SSO: SSOLoginException caught. L10N file path: pl/resourcetype/sso. L10N string: L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE. Dynamic strings: upn <@> 
com.egain.platform.module.security.sso.exception.SSOLoginException: null
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.getSSODataFromSAMLToken(SAML2_0_Handler.java:762) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.unmarshallAndValidateResponse(SAML2_0_Handler.java:604) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:208) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.SAML2_0_Handler.validateReqWithAttributes(SAML2_0_Handler.java:163) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.handler.OpenIDConnect_Handler.validateReqWithAttributes(OpenIDConnect_Handler.java:445) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.admin.SSOAdministrator.validateRequestWithAttributes(SSOAdministrator.java:131) ~[egpl_application_classes.jar:?]
 at com.egain.platform.module.security.sso.controller.SSOControllerServlet.doPost(SSOControllerServlet.java:113) ~[egpl_application_classes.jar:?]
.
.
.
 at java.lang.Thread.run(Thread.java:830) [?:?]

errorCode=401-114&errorString=User Identity not found in SAML attribute: 'upn':
2024-02-01 01:44:32.083 GMT+0000 <@> DEBUG <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> WS API SSO errorURL => /system/web/view/platform/admin/security/sso/context/errorpage.html?errorCode=401-114&errorString=User Identity not found in SAML attribute: 'upn'.&errorKey=L10N_USER_IDENTIFIER_NOT_FOUND_IN_ATTRIBUTE&locale=en-US <@> 
2024-02-01 01:44:32.083 GMT+0000 <@> TRACE <@> [1220:qtp815320891-1220] <@> ProcessId:7716 <@> PID:1 <@> UID:12 <@> UserSessionId:  <@> ClientIP: <@> com.egain.platform.module.security.sso.controller.SSOControllerServlet <@> redirectToApiErrorPage() <@> Exiting redirectToApiErrorPage() <@>

解析

• 此錯誤表示「User Identity Location」和「User Identity Attribute Name」欄位中存在配置問題/不匹配。
• 在ECE管理控制檯中，在「Single Sign-On」（單一登入）>「Configurations」（配置）下拉選單下的「User Identity Location」（使用者身份位置）和「User Identity Attribute Name」(User Identity Attribute Name)下，選擇「Agent」（代理）>「SSO Configuration」（SSO配置）頁籤>「Identify Provider」(步驟15)。

相關資訊

在開始任何ECE安裝或整合之前，您必須仔細閱讀這些關鍵文檔。這不是一份全面的歐洲經委會檔案清單。

ECE版本12.6(1)

• 企業版聊天與電子郵件管理員指南