ADFS/IdS故障排除和常見問題

Cisco IdS日誌

Cisco IdS記錄器將記錄Cisco IdS中發生的任何錯誤。

使用RTMT獲取思科IdS日誌。有關如何使用RTMT的資訊，請參閱《RTMT使用指南》

請注意，RTMT名稱為Cisco Identity Service。要查詢日誌，請導航到Cisco Identity Service > log

Fedlet日誌

Fedlet日誌將提供有關在Cisco IdS中發生的任何SAML錯誤的詳細資訊

使用RTMT獲取Fedlet日誌。

Fedlet日誌的位置與Cisco IdS日誌的位置相同。

Fedlet日誌以字首fedlet-

Cisco IdS API指標

API指標可用於查詢並驗證Cisco IdS API可能已返回的任何錯誤以及Cisco idS處理的請求數

使用RTMT獲取API指標。

請注意，RTMT名稱為Cisco Identity Service

這將顯示在單獨的資料夾度量下。請注意，saml_metrics.csv和authorize_metrics.csv是本文檔的相關指標。

AD FS中的事件檢視器

允許使用者檢視系統中的事件日誌。處理SAML請求/傳送SAML響應時，AD FS中的任何錯誤都會記錄在此處。

在AD FS電腦中，導航到Event Viewer >Applications and Services Logs >AdDFS 2.0 >Admin

在Windows 2008中，從「控制面板」>「性能和維護」>「管理工具」啟動「事件檢視器」

在Windows 2012中，從控制面板\系統和安全\管理工具\啟動它。

請檢視您的Windows文檔，瞭解在何處可以找到事件檢視器。

SAML Viewer將幫助檢視從/傳送到Cisco IdS的SAML請求和響應。

此瀏覽器應用程式對於分析SAML請求/響應非常有用。

以下是一些建議的SAML檢視器，可用於檢視SAML請求和響應

Cisco IdS的驗證碼要求處理

如果失敗，瀏覽器不會重定向到SAML終端或AD FS，Cisco IdS會顯示JSON錯誤，這表示客戶端ID或重定向URL無效。

Cisco IdS logs — 表示驗證和處理授權碼請求時出錯。

Cisco IdS API指標 — 表示已處理和失敗的請求數。

客戶端註冊

通過Cisco IdS啟動SAML請求

出現故障時，瀏覽器不會重定向到AD FS，Cisco IdS將顯示錯誤頁面/消息。

Cisco IdS logs — 指示啟動請求時是否存在異常。

Cisco IdS API指標 — 表示已處理和失敗的請求數。

Cisco Id處於NOT_CONFIGURED狀態。

AD FS的SAML請求處理

處理此請求的任何失敗都將導致AD FS伺服器顯示錯誤頁，而不是登入頁。

AD FS中的事件檢視器 — 指示在處理請求時發生的錯誤。

SAML瀏覽器外掛 — 幫助檢視傳送到AD FS的SAML請求。

IdP中的信賴方信任配置

由AD FS傳送SAML響應

傳送響應的任何失敗都會導致AD FS伺服器在提交有效憑證後顯示錯誤頁面。

AD FS中的事件檢視器 — 指示在處理請求時發生的錯誤。

• IdP中的信賴方信任配置
• AD FS中的窗體身份驗證設定。

Cisco IdS的SAML響應處理

Cisco IdS將顯示一個500錯誤及錯誤原因和一個快速檢查頁面。

AD FS中的事件檢視器 — 如果AD FS傳送的SAML響應沒有成功狀態代碼，則指示錯誤。

SAML瀏覽器外掛 — 幫助檢視AD FS傳送的SAML響應，確定問題所在。

Cisco IdS log — 表示處理過程中出現錯誤/異常。

Cisco IdS API指標 — 表示已處理和失敗的請求數。

• 宣告規則配置
• 消息和斷言簽名

問題摘要

登入請求失敗，瀏覽器上出現401錯誤。

錯誤消息

瀏覽器：

此消息出現401錯誤：{"error":"invalid_client","error_description":"Invalid ClientId。"}

Cisco IdS日誌：

可能的原因

使用Cisco IdS的客戶端註冊不完整。

建議的操作

導航到Cisco IdS管理控制檯，並確認客戶端是否已成功註冊。如果沒有，則在繼續SSO之前註冊客戶端。

問題摘要

登入請求失敗，瀏覽器上出現401錯誤。

錯誤消息

瀏覽器：

此消息出現401錯誤：{"error":"invalid_redirectUri","error_description":"Invalid Redirect Uri"}

可能的原因

使用者使用IP地址/備用主機名訪問應用程式。

在SSO模式下，如果使用IP訪問應用程式，則無法正常工作。應用程式應該使用在Cisco IdS中註冊的主機名進行訪問。如果使用者訪問了未向Cisco IdS註冊的備用主機名，則可能會發生此問題。

建議的操作

導航到Cisco IdS管理控制檯，確認客戶端是否使用正確的重定向URL註冊，並且使用正確的重定向URL訪問應用程式。

問題摘要

登入請求失敗，瀏覽器上出現503錯誤。

錯誤消息

瀏覽器：

503錯誤與以下消息：{"error":"service_unavailable","error_description":"SAML後設資料未初始化"}

可能的原因

Idp後設資料在Cisco IdS中不可用。Cisco IdS和AD FS之間的信任建立不完整。

建議的操作

導航到Cisco IdS管理控制檯，檢視Id是否處於Not Configured狀態。

確認是否已上載IdP後設資料。

如果不是，請上載從AD FS下載的IdP後設資料。

有關更多詳細資訊，請參閱此處。

問題摘要

AD FS未顯示登入頁，而是顯示錯誤頁。

錯誤消息

瀏覽器

AD FS顯示類似於以下內容的錯誤頁：

訪問站點時出現問題。再次嘗試瀏覽到該站點。

如果問題仍然存在，請聯絡此站點的管理員並提供參考編號以識別問題。

參考編號：1ee602be-382c-4c49-af7a-5b70f3a7bd8e

AD FS事件檢視器

聯合身份驗證服務處理SAML身份驗證請求時遇到錯誤。

其他資料

可能的原因

未建立信賴方信任或思科IdS證書已更改，但不會將相同內容上傳到AD FS。

建議的操作

使用最新的Cisco IdS證書在AD FS和Cisco IdS之間建立信任。

請確保思科IdS證書未過期。您可以在思科身份服務管理中檢視狀態控制面板。如果是，請在「設定」頁面中重新生成證書。

有關如何在ADFS和Cisco Id之間建立後設資料信任的更多詳細資訊，請參閱此處

問題摘要

瀏覽器顯示NTLM登入，然後失敗且未成功重定向到Cisco IdS。

失敗步驟

傳送SAML響應

錯誤消息

瀏覽器：

瀏覽器顯示NTLM登入，但在成功登入後，它因許多重定向而失敗。

可能的原因

Cisco IdS僅支援基於表單的身份驗證，AD FS中未啟用表單身份驗證。

建議的操作

有關如何啟用表單身份驗證的詳細資訊，請參閱：

              ADFS 2.0窗體身份驗證設定

              ADFS 3.0窗體身份驗證設定

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，錯誤代碼為invalidSignature。

失敗步驟

SAML響應處理

錯誤消息

瀏覽器：

瀏覽器中此消息出現500錯誤：

錯誤代碼：簽名無效
消息：簽名證書與實體後設資料中定義的內容不匹配。

AD FS事件檢視器：

無錯誤

Cisco IdS日誌：

可能的原因

SAML響應處理失敗，因為IdP證書與Cisco IdS中的可用證書不同。

建議的操作

從以下位置下載最新的AD FS後設資料：https://<ADFSServer>/federationmetadata/2007-06/federationmetadata.xml

並通過身份服務管理使用者介面將其上傳到Cisco IdS。

有關詳細資訊，請參閱配置Cisco IdS和AD FS

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，狀態代碼為：urn:oasis：名稱：tc:SAML:2.0：狀態：成功

失敗步驟

SAML響應處理

錯誤消息

瀏覽器：

此消息出現500錯誤：

IdP配置錯誤：SAML處理失敗

SAML斷言從IdP失敗，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status：成功。請驗證IdP配置並重試。

Cisco IdS日誌

SAML檢視器：

查詢NotBefore和NotOnOrAfter欄位

<條件NotBefore="2016-08-28T14:45:03.325Z" NotOnOrAfter="2016-08-28T15:45:03.325Z">

可能的原因

Cisco IdS和IdP系統中的時間不同步。

建議的操作

同步Cisco IdS和AD FS系統中的時間。建議使用NTP伺服器對AD FS系統和Cisco Id進行時間同步。

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status:Responder

 AD FS事件檢視日誌中的錯誤消息 — AD FS中的錯誤簽名演算法（SHA256與SHA1）

失敗步驟

SAML響應處理

錯誤消息

瀏覽器

此消息出現500錯誤：

IdP配置錯誤：SAML處理失敗

SAML斷言從IdP失敗，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status:Responder。請驗證IdP配置並重試。

AD FS事件檢視器：
未使用預期簽名演算法對SAML請求進行簽名。使用簽名演算法http://www.w3.org/2001/04/xmldsig-more#rsa-sha256對SAML請求進行簽名。
預期的簽名演算法為http://www.w3.org/2000/09/xmldsig#rsa-sha1

Cisco IdS日誌：

可能的原因

AD FS配置為使用SHA-256。

建議的操作

更新AD FS以使用SHA-1進行簽名和加密。

1. RDP到AD FS系統。
2. 開啟AD FS控制檯。
3. 選擇信賴方信任，然後按一下「屬性」
4. 選擇Advanced頁籤。
5. 從下拉選單中選擇SHA-1。
   
   

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，顯示消息「無法從SAML響應檢索使用者識別符號。/無法從SAML響應檢索使用者主體。」

未在傳出宣告中設定uid和/或user_principal。

失敗步驟

SAML響應處理

錯誤消息

瀏覽器：

此消息出現500錯誤：

IdP配置錯誤：SAML處理失敗。

無法從SAML響應檢索使用者識別符號。/無法從SAML響應檢索使用者主體。

AD FS事件檢視器：

無錯誤

Cisco IdS日誌：

可能的原因

在「宣告規則」中未正確配置強制傳出宣告（uid和user_principal）。

如果尚未配置NameID宣告規則，或者未正確配置uid或user_principal。

如果NameID規則未配置或user_principal未正確對映，Cisco IdS會指示未檢索user_principal，因為這是Cisco IdS查詢的屬性。

如果uid對映不正確，Cisco IdS將指示未檢索uid。

建議的操作

在AD FS宣告規則下，確保「user_principal」和「uid」的屬性對映定義如《IdP配置指南》（哪個指南？）中所述。

1. RDP到AD FS系統。
2. 編輯信賴方信任的宣告規則。
   
   
3. 驗證user_principal和uid是否正確對映

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，顯示消息「無法從SAML響應檢索使用者識別符號」。或無法從SAML響應檢索使用者主體。 當AD FS是聯合AD FS時。

失敗步驟

SAML響應處理

錯誤消息

瀏覽器

此消息出現500錯誤：

IdP配置錯誤：SAML處理失敗

無法從SAML響應檢索使用者識別符號。/無法從SAML響應檢索使用者主體。

AD FS事件檢視器：

無錯誤

Cisco IdS日誌：

可能的原因

在聯合AD FS中，可能缺少所需的更多配置。

建議的操作

按照配置Cisco IdS和AD FS中針對聯合AD FS的多域配置一節，檢查聯合AD中的AD FS配置是否完成

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，顯示消息「無法從SAML響應檢索使用者識別符號。/無法從SAML響應檢索使用者主體。」

未在傳出宣告中設定uid和/或user_principal。

失敗步驟

SAML響應處理

錯誤消息

瀏覽器

此消息出現500錯誤：

SAML斷言從IdP失敗，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status:Requester/urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy。請驗證IdP配置並重試。

AD FS事件檢視器：

SAML身份驗證請求具有無法滿足的NameID策略。
申請人：myids.cisco.com
名稱識別符號格式：urn:oasis：名稱：tc:SAML:2.0:nameid-format:transient
SPNameQualifier:myids.cisco.com
異常詳細資訊：
MSIS1000:SAML請求包含的NameIDPolicy未由頒發的令牌滿足。請求的名稱IDPolicy:AllowCreate:True格式：urn:oasis:names:tc:SAML:2.0:nameid-format:transient SPNameQualifier:myids.cisco.com。實際NameID屬性：空。

此請求失敗。

使用者操作
使用AD FS 2.0管理單元配置發出所需名稱識別符號的配置。

Cisco IdS日誌:

可能的原因

未正確配置自定義宣告規則。

建議的操作

在AD FS宣告規則下，確保「user_principal」和「uid」的屬性對映定義如配置指南（哪個指南？）中所述。

1. RDP到AD FS系統。
2. 編輯自定義宣告規則的宣告規則。
   
   
3. 驗證是否提供了AD FS和Cisco IdS完全限定域名。
   
   

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status:Responder

 AD FS事件檢視日誌中的錯誤消息表示對AD FS的請求過多。

失敗步驟

SAML響應處理

錯誤消息

瀏覽器

此消息出現500錯誤：

IdP配置錯誤：SAML處理失敗

SAML斷言從IdP失敗，狀態代碼為：urn:oasis:names:tc:SAML:2.0:status:Responder。請驗證IdP配置並重試。

AD FS事件檢視器：

Microsoft.IdentityServer.Web.InvalidRequestException:

MSIS7042:同一個客戶端瀏覽器會話在最後一個

16秒。請聯絡您的管理員以瞭解詳細資訊。

   在Microsoft.IdentityServer.Web.FederationPassiveAuthentication.UpdateLoopDetectionCookie()

   在Microsoft.IdentityServer.Web.FederationPassiveAuthentication.SendSignInResponse(MSISSignInResponse)

Cisco IdS日誌

可能的原因

從同一瀏覽器會話進入AD FS的請求過多。

建議的操作

這通常不應在生產中發生。但是如果您遇到這種情況，您可以：

1. 檢查AD FS Windows事件檢視器。
2. 重新檢查信賴方信任設定。有關更多詳細資訊，請參閱配置Cisco IdS和AD FS
3. 重新登入。

問題摘要

登入請求失敗，瀏覽器上出現500錯誤，錯誤代碼：invalidSignature

失敗步驟

SAML響應處理

錯誤消息

瀏覽器

此消息出現500錯誤：

錯誤代碼：無效簽名
消息：ArtifactResponse中的簽名無效。

Cisco IdS日誌：

可能的原因

AD FS未配置為對斷言和消息進行簽名。

建議的操作

1. 運行AD FS powershell命令：Set-ADFSRelingPartyTrust -TargetName <信賴方信任識別符號> -SamlResponseSignature "MessageAndAssertion"
   
2. RDP到AD系統。
3. 開啟Powershell。
4. 將Windows PowerShell管理單元新增到當前會話。如果您正在使用ADFS 3.0，則中可能不需要此步驟，因為CmdLet已經作為新增角色和功能的一部分安裝。
   
    
5. 為消息和斷言新增AD FS信賴方信任。