ADFS/IdS のトラブルシューティングと一般的な問題

Cisco IDS ログ

Cisco IDS ロガーは Cisco IDS で発生したエラーを記録 します。

Cisco IDS ログを得るのに RTMT を使用して下さい。 RTMT を RTMT を使用するために使用する方法の情報に関しては参照して下さい、ガイドして下さい

以下の事項に注意して下さい: RTMT 名前は Cisco 識別サービスです。 ログを、移動 Cisco 識別サービス > ログに見つけるため

Fedlet ログ

Fedlet ログはあらゆる SAML エラーについてのより多くの詳細を説明します Cisco IDS で起こす

Fedlet ログを得るのに RTMT を使用して下さい。

Fedlet ログのための場所は Cisco IDS が記録 する同じです。

fedlet ログはプレフィクス fedlet-から開始します

Cisco IDS API メトリック

API メトリックがに検知 し、Cisco IDS 返す API がかもしれないおよび要求の数をことができます Cisco IDS によって処理されるエラー検証するのに使用する

API メトリックを得るのに RTMT を使用して下さい。

以下の事項に注意して下さい: RTMT 名前は Cisco 識別サービスです

これは別個のフォルダー メトリックの下で現われます。 以下の事項に注意して下さい: saml_metrics.csv および authorize_metrics.csv はこの資料のための関連したメトリックです。

AD FS のイベント ビューアー

イベントを表示する割り当てユーザはシステムをログオンします。 SAML 応答を送信 するを SAML 要求/処理している間ここに記録 される AD FS のエラー。

AD FS マシンでは、イベント ビューアー >Applications への移動およびサービスは >AdDFS 2.0 を > Admin 記録 します

Control Panel > Performance からの Windows 2008、起動イベント ビューアおよびメンテナンス > 管理上のツール

Windows 2012 では、コントロール・パネル\システムおよびセキュリティ\管理上のツールからそれを起動させて下さい。

見るためにウィンドウ ドキュメントをイベント ビューアーをどこで見つけるか検知 して下さい。

SAML ビューアは Cisco IDS from/to 返される応答および SAML 要求の検知で助けます。

このブラウザ アプリケーションは要求および応答 SAML の分析に非常に役立ちます。

これらはために SAML 要求および応答を検知 する使用できる一部の推奨される SAML ビューアです

Cisco IDS による AuthCode 要求処理

失敗の場合には、ブラウザは SAML エンドポイントか AD FS にリダイレクトされません、クライアントID かリダイレクト URL は無効であることを示す JSON エラーは Cisco IDS によって示されています。

Cisco IDS ログは authcode 要求が検証され、処理される間、生じるエラーを示します。

Cisco IDS API メトリック-処理され、失敗される要求の数を示します。

クライアント登録

Cisco IDS による SAML 要求 開始

障害の間に、ブラウザは AD FS にリダイレクトされないし、Error ページ/メッセージは Cisco IDS によって表示されます。

Cisco IDS ログは例外があるか、またはない間、要求が始められるかどうか示します。

Cisco IDS API メトリック-処理され、失敗される要求の数を示します。

NOT_CONFIGURED 状態の Cisco IDS。

AD FS による SAML 要求処理

この要求を処理するどの障害でも Login ページの代りに AD FS サーバによって表示される Error ページという結果に終ります。

AD FS のイベント ビューアーは要求が処理される間、生じるエラーを示します。

SAML ブラウザ プラグイン- SAML 要求を見るヘルプ AD FS に送信 される。

IdP の依存パーティ信頼設定

AD FS による SAML 応答の送信

有効な資格情報が入った後応答を返すどの障害でも AD FS サーバによって表示される Error ページという結果に終ります。

AD FS のイベント ビューアー-要求が処理される間、生じるエラーを示します。

• IdP の依存パーティ信頼設定
• AD FS の認証設定を形成して下さい。

Cisco IDS によって処理する SAML 応答

Cisco IDS はエラー原因および素早いチェック ページとの 500 エラーを示します。

AD FS のイベント ビューアー- AD FS が正常なステータス スコードなしで SAML 応答を返す場合エラーを示します。

SAML ブラウザ プラグイン- SAML 応答が表示されるヘルプは AD FS によって間違っているものを識別するために送信 しました。

Cisco IDS ログ-エラー/例外が処理の間に発生したことを示します。

Cisco IDS API メトリック-処理され、失敗される要求の数を示します。

• クレームは設定を支配します
• メッセージおよびアサーション署名

問題の要約

Login 要求はブラウザの 401 エラーと失敗します。

エラー メッセージ

ブラウザ:

このメッセージとの 401 エラー: {" error ": 「invalid_client」、「error_description」: 「無効な ClientId。」}

Cisco IDS ログ:

考えられる原因

Cisco IDS とのクライアント登録は完了しませんでした。

推奨処置

Cisco IDS マネジメント コンソールにナビゲートし、クライアントが登録に成功されるかどうか確認して下さい。 そうでなかったら、それから SSO を続行する前にクライアントを登録して下さい。

問題の要約

Login 要求はブラウザの 401 エラーと失敗します。

エラー メッセージ

ブラウザ:

このメッセージとの 401 エラー: {" error ": 「invalid_redirectUri」、「error_description」: 「Invlalid リダイレクト Uri」}

考えられる原因

IP アドレス/交替ホスト名を使用するユーザアクセス アプリケーション。

SSO モードでは、アプリケーションが IP を使用してアクセスされれば、それははたらきません。 アプリケーションは Cisco IDS で登録されているホスト名によってアクセスする必要があります。 この問題はユーザが Cisco IDS に登録されていない代替ホスト名にアクセスした場合起こる場合があります。

推奨処置

Cisco IDS マネジメント コンソールにナビゲートし、同じがアプリケーションにアクセスするのに使用されているクライアントが正しいリダイレクト URLand に登録されているかどうか確認して下さい。

問題の要約

Login 要求はブラウザの 503 エラーと失敗します。

エラー メッセージ

ブラウザ:

このメッセージとの 503 エラー: {" error ": 「service_unavailable」、「error_description」: 「SAML メタデータ」は初期化されません}

考えられる原因

Idp メタデータは Cisco IDS で利用できません。 Cisco IDS と AD FS 間の信頼確立は完了しませんでした。

推奨処置

Cisco IDS マネジメント コンソールにナビゲートし、ID が設定されなかった状態にあるかどうか参照して下さい。

IdP メタデータがアップロードされるかどうか確認して下さい。

そうでなかったら、AD FS からダウンロードされる IdP メタデータをアップロードして下さい。

詳細についてはここに参照して下さい。

問題の要約

その代り Login ページを示さない AD FS は Error ページを示します。

エラー メッセージ

ブラウザ

AD FS はこれへの Error ページ 類似したを示します:

サイトにアクセスする問題がありました。 サイトに再度参照することを試みて下さい。

問題が持続する場合、このサイトの管理者に連絡し、問題点を明らかにするために参照番号を提供して下さい。

参照番号: 1ee602be-382c-4c49-af7a-5b70f3a7bd8e

AD FS イベント ビューアー

フェデレーション サービスは SAML 認証要求を処理している間エラーに出会いました。

追加データ

考えられる原因

依存当事者信頼は確立されませんまたは Cisco IDS 証明書は変更しましたが、同じは AD FS にアップ ロードされません。

推奨処置

最新の Cisco IDS 証明書との AD FS および Cisco IDS 間の信頼を確立して下さい。

Cisco IDS 証明書が期限切れではないことを確認して下さい。 Cisco 識別のステータス ダッシュボードが管理を保守するのを表示できます。 その場合、Settings ページの証明書を再生して下さい。

詳細についてはメタデータを確立する方法で ADFS 及び Cisco IDS を渡って見ます、ここに信頼して下さい

問題の要約

ブラウザは NTLM ログオンを示し、次に正常にリダイレクトしないで Cisco IDS に失敗します。

失敗のステップ

SAML 応答の送信

エラー メッセージ

ブラウザ:

ブラウザは NTLM ログオンを示しますが、正常なログインの後で、多くのリダイレクトと失敗します。

考えられる原因

Cisco IDS は AD FS で形式ベースの認証だけ、形式認証有効に なりませんサポートします。

推奨処置

Enable 形式認証にどのようにで参照しなさいか詳細については:

              ADFS 2.0 形式認証設定

              ADFS 3.0 形式認証設定

問題の要約

Login 要求は invalidSignature としてエラー・コードのブラウザの 500 エラーと失敗します。

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ:

ブラウザのこのメッセージとの 500 エラー:

Error Code: invalidSignature
メッセージ： 署名証明書は定義されるものがエンティティ メタデータで一致する。

AD FS イベント ビューアー:

エラーなし

Cisco IDS ログ:

考えられる原因

Cisco IDS で利用可能であるものをと IdP 証明書が異なっているので停止する SAML 応答処理。

推奨処置

最新の AD FS メタデータをからダウンロードして下さい: https://<ADFSServer>/federationmetadata/2007-06/federationmetadata.xml

そして識別サービス Managament ユーザインターフェイスによって Cisco IDS にそれをアップロードして下さい。

詳細については、設定 Cisco IDS および AD FS を参照して下さい

問題の要約

Login 要求はステータス スコードのブラウザの 500 エラーと失敗します: urn:oasis:names:tc:SAML:2.0:status:Success

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ:

このメッセージとの 500 エラー:

IdP Configuration エラー: 停止する SAML 処理

ステータス スコードの IdP からの SAML assertion failed: urn:oasis:names:tc:SAML:2.0:status:Success. IdP 設定を確認し、もう一度試して下さい。

Cisco IDS ログ

SAML ビューア:

NotBefore および NotOnOrAfter フィールドを探して下さい

<Conditions NotBefore="2016-08-28T14:45:03.325Z" NotOnOrAfter="2016-08-28T15:45:03.325Z">

考えられる原因

Cisco IDS および IdP システムの時間は同期化からあります。

推奨処置

Cisco IDS および AD FS システムの時間を同期して下さい。 AD FS システムおよび Cisco IDS が NTP サーバを使用して同期される時間であることを推奨します。

問題の要約

Login 要求はステータス code:urn:oasis:names:tc:SAML:2.0:status:Responder のブラウザの 500 エラーと失敗します

 AD FS イベント View Log のエラー メッセージ–間違ったシグニチャ Algorithm(SHA256 vs AD FS の SHA1）

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ

このメッセージとの 500 エラー:

IdP Configuration エラー: 停止する SAML 処理

ステータス スコードの IdP からの SAML assertion failed: urn:oasis:names:tc:SAML:2.0:status:Responder. IdP 設定を確認し、もう一度試して下さい。

AD FS イベント ビューアー:
SAML 要求は期待された署名アルゴリズムと署名しません。 SAML 要求は署名アルゴリズム http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 と署名します。
期待された署名アルゴリズムは http://www.w3.org/2000/09/xmldsig#rsa-sha1 です

Cisco IDS ログ:

考えられる原因

AD FS は SHA-256 を使用するために設定されます。

推奨処置

署名および暗号化のために SHA-1 を使用するために AD FS をアップデートして下さい。

1. AD FS システムへの RDP。
2. 開いた AD FS コンソール。
3. 依存パーティ信頼を選択し、『Properties』 をクリック して下さい
4. [Advanced] タブを選択します。
5. ドロップダウン リストから SHA-1 を選択して下さい。
   
   

問題の要約

Login 要求はメッセージとのブラウザのエラーによって「SAML 応答からの検索ユーザ識別名できなかった 500 と失敗します。/Could SAML 応答からのない検索ユーザ プリンシパル」。

発信クレームで設定 されない uid および/または user_principal。

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ:

このメッセージとの 500 エラー:

IdP Configuration エラー: 停止する SAML 処理。

SAML 応答からの検索ユーザ識別はできませんでした。/Could SAML 応答からのない検索ユーザ プリンシパル。

AD FS イベント ビューアー:

エラーなし

Cisco IDS ログ:

考えられる原因

必須発信クレームはクレーム ルールで（uid および user_principal）正しく設定されません。

NameID クレーム ルールをまたは設定しないか、uid か user_principal 正しく設定されません。

NameID ルールが設定されなくてかまたは user_principal 正しくマップされなければ、これが Cisco IDS が探すプロパティであるので user_principal 取得されない Cisco IDS は示します。

uid が正しくマップされない場合、Cisco IDS は uid が取得されないことを示します。

推奨処置

AD FS クレーム ルールの下で、（か。ガイドする） 「uid」マップする属性が定義された次 IdP コンフィギュレーション ガイドおよび「user_principal のために」であることを確認して下さい。

1. AD FS システムへの RDP。
2. 依存パーティ信頼のためのクレーム ルールを編集して下さい。
   
   
3. user_principal および uid が正しくマップされることを確認して下さい

問題の要約

Login 要求はメッセージとのブラウザのエラーによって「SAML 応答からの検索ユーザ識別名できなかった 500 と失敗します。 またはできませんでした SAML 応答からの検索ユーザ プリンシパルは」。 AD FS が連合させた AD FS である時。

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ

このメッセージとの 500 エラー:

IdP Configuration エラー: 停止する SAML 処理

SAML 応答からの検索ユーザ識別はできませんでした。/SAML 応答からの検索ユーザ プリンシパルはできませんでした。

AD FS イベント ビューアー:

エラーなし

Cisco IDS ログ:

考えられる原因

連合させた AD FS で抜ける可能性があるより多くの設定が必要となりましたあります。

推奨処置

連合させた AD の AD FS 設定が設定 Cisco IDS の連合させた AD FS および AD FS のマルチドメイン 設定のためのセクションによってされるかどうか確認して下さい

問題の要約

Login 要求はメッセージとのブラウザのエラーによって「SAML 応答からの検索ユーザ識別名できなかった 500 と失敗します。/Could SAML 応答からのない検索ユーザ プリンシパル」。

発信クレームで設定 されない uid および/または user_principal。

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ

このメッセージとの 500 エラー:

ステータス スコードの IdP からの SAML assertion failed: 壷: オアシス: 名前: tc: SAML:2.0:status:Requester/urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy. IdP 設定を確認し、もう一度試して下さい。

AD FS イベント ビューアー:

SAML 認証要求に満足することができなかった NameID ポリシーがありました。
要請人: myids.cisco.com
ネーム識別形式: urn:oasis:names:tc:SAML:2.0:nameid-format:transient
SPNameQualifier: myids.cisco.com
例外の詳細:
MSIS1000: SAML 要求は発行済みトークンによって満たされなかった NameIDPolicy が含まれていました。 要求された NameIDPolicy: AllowCreate: 本当形式: urn:oasis:names:tc:SAML:2.0:nameid-format:transient SPNameQualifier: myids.cisco.com。 NameID 実際のプロパティ: null を探します。

失敗されるこの要求。

ユーザのアクション
設定を設定するのに必須ネーム識別を出す AD FS 2.0 管理スナップインを使用して下さい。

Cisco IDS ログ:

考えられる原因

カスタム クレーム ルールは正しく設定されません。

推奨処置

AD FS クレーム ルールの下で、（か。ガイドする） 「uid」マップする属性が定義された次 コンフィギュレーション ガイドおよび「user_principal のために」であることを確認して下さい。

1. AD FS システムへの RDP。
2. カスタム クレーム ルールのためのクレーム ルールを編集して下さい。
   
   
3. AD FS および Cisco IDS 完全修飾ドメイン名が与えられることを確認して下さい。
   
   

問題の要約

Login 要求はステータス code:urn:oasis:names:tc:SAML:2.0:status:Responder のブラウザの 500 エラーと失敗します

 AD FS イベント View Log のエラー メッセージは余りにも多くの要求が AD FS へあることを示します。

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ

このメッセージとの 500 エラー:

IdP Configuration エラー: 停止する SAML 処理

ステータス スコードの IdP からの SAML assertion failed: urn:oasis:names:tc:SAML:2.0:status:Responder. IdP 設定を確認し、もう一度試して下さい。

AD FS イベント ビューアー:

Microsoft.IdentityServer.Web.InvalidRequestException:

MSIS7042: 同じクライアント ブラウザ セッションはの '6' 要求を持続しますしました

'16' 秒。 詳細に関しては管理者に連絡して下さい。

   Microsoft.IdentityServer.Web.FederationPassiveAuthentication.UpdateLoopDetectionCookie()

   Microsoft.IdentityServer.Web.FederationPassiveAuthentication.SendSignInResponse （MSISSignInResponse 応答）

Cisco IDS ログ

考えられる原因

同じブラウザー セッションから AD FS に来る余りにも多くの要求があります。

推奨処置

これは本番で一般的に起こるはずではないです。 しかしこれに出会えば、できます:

1. AD FS Windows イベント ビューアーをチェックして下さい。
2. 依存パーティ信頼 設定を再確認して下さい。 詳細については、設定 Cisco IDS および AD FS を参照して下さい
3. Relogin。

問題の要約

Login 要求はエラー・コードのブラウザの 500 エラーと失敗します: invalidSignature

失敗のステップ

SAML 応答処理

エラー メッセージ

ブラウザ

このメッセージとの 500 エラー:

Error Code: invalidSignature
メッセージ： ArtifactResponse の無効なシグニチャ。

Cisco IDS ログ:

考えられる原因

AD FS はアサーションおよびメッセージに両方署名するために設定されません。

推奨処置

1. AD FS powershell コマンドを実行して下さい: セットADFSRelyingPartyTrust - TargetName <Relying パーティ信頼 Identifier> - SamlResponseSignature 「MessageAndAssertion」
   
2. AD システムへの RDP。
3. Powershell を開いて下さい。
4. 現在のセッションへの Add ウィンドウ PowerShell スナップ ins。 コマンドレットがロールおよび機能の追加の一部分として既にインストールされているので ADFS 3.0 を使用している場合このステップが必要とならないかもしれません。
   
    
5. AD FS メッセージおよびアサーションのための依存パーティ信頼を追加して下さい。