SAML エラーと修正 (SAML 2.0/SAML 2.0 Update 1)Issue <!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } SAML プラグインの有効化と初期設定の後に、エラーが表示されて P1 機能停止が生じる場合があります。 Release<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } インスタンスが SAML 2.0/SAML 2.0 Update 1 プラグインで設定されています (複数プロバイダー SSO が設定されていない/有効になっていません) Resolution インスタンスログのエラー対応する SAML プロパティ診断修正NotAfter: <Thu Jun 05 22:57:44 PDT 2014>該当なし現在の証明書または SAML アサーションの有効期限が切れました。 SNC クロックを ID プロバイダー (IdP) サーバークロックと同期します。「SAML 2.0」証明書レコードを更新します。 SAML 2.0 証明書を特定できません。ServiceNow インスタンスに保存されているデジタル署名が見つかりませんでした。 PEM 形式の文字列を [PEM 証明書] フィールドに入力する必要があります。SAML 証明書が存在しません。非アクティブの可能性があります。 正しい PEM 形式の証明書がインスタンスにアップロードされていることを確認します。証明書の名前 が SAML 2.0 であることを確認します。それ以外の名前は許可されません。 Certificates don't match. Expect: <certStr>, actual: <inboundCert>該当なしSNC で利用可能な証明書がアサーションの証明書と一致しません。次のような原因が考えられます。 IdP では証明書が更新されているが、SNC インスタンスでは更新されていない。証明書の形式が正しくない。 SAML 2.0 証明書レコードの PEM 形式の文字列が、ユーザー IdP の SAMLResponse の X509 証明書と一致していることを確認します。Failure to check the validity of the certificate.該当なし現在の証明書の有効期限が切れている可能性があります。SAML 2.0 証明書レコードを更新します。Failure to validate signature profile.該当なしアサーションが別の証明書で署名されている可能性があります。IdP に SNC インスタンスと同じ証明書があるかどうかを確認します。InResponseTo attribute in SubjectConfirmationData mismatch. Expect: <inResponseTo>, actual: <inResponseTo>.該当なしこのエラーは、次のいずれかの状況が発生した場合に表示されます。 IdP が別の SAMLRequest の SAMLResponse を返す場合ユーザーがインスタンス URL ではなく SAMLRequest を使用して URL をブックマークする場合null 値が想定される場合、インスタンスに複数のノードがあると、応答が別のノードに送信される可能性があります。 IdP 管理者は、想定される SAMLResponse が返されていることを確認する必要があります。この状況は、ロードバランサーまたはインフラストラクチャの問題である可能性があります。SessionIndex value not found: <message>...該当なしSNC インスタンスには SessionIndex が必要です。正常に認証するために、IdP は SAMLResponse で返す必要があります。IdP 管理者は、SessionIndex が SAMLResponse で定義されていることを確認する必要があります。No valid SubjectConfirmation found.該当なしIdP のエラーにより、条件が欠落している可能性があります。 応答の StatusCode には、想定される Success ではなく Responder が含まれます。SAMLResponse を確認して、SAMLResponse に条件が含まれているかどうかを判断します。 有効な SubjectConfirmationData の有効期限が切れているか、正しい Audience を対象としていない可能性があります。 Assertion audience mismatch. Expect: <value on instance>, actual: <value returned by IdP>.ORAudienceRestriction validation failed. No matching audience found. SAML2 トークンを受け入れる Audience URI。（通常はインスタンス URI です。例：https://demo.service-now.com.）SNC インスタンスで構成された対象者 URI は、IdP の値と一致する必要があります。 ログの SAMLResponse で <saml2:Audience> を探し、この値がインスタンスの値と一致することを確認します。 Assertion issuer is invalid. Expect: <value on instance>, actual: <value returned by IdP> ユーザー情報と一緒に SAML2 セキュリティトークンを発行する ID プロバイダーの URL。IdP エンティティ ID (発行者) が SNC インスタンスで定義された値と一致しません。 IdP または SP の設定が不適切でないかを確認します。SAML プロパティ (ユーザー情報と一緒に SAML2 セキュリティトークンを発行する ID プロバイダーの URL) が正しく設定されているかを確認します。 Subject is valid in the future. Now: <now>, NotBefore:<notBefore>ORSubject is expired. Now: <now>, NotOnOrAfter: <notOnOrAfter> notBefore 制約より前、または notOnOrAfter 制約より後であっても有効とみなす秒数。 IdP クロックが SP クロックと同期していません。 SAML 2.0/SAML 2.0 Update 1 プラグインが設定されている場合SAML プロパティ glide.authenticate.sso.saml2.clockskew をより大きな値に更新します。デフォルトの時間は 60 秒です。場合によっては 180 に設定する必要があります。IdP サーバーの時間も確認する必要があります。 マルチプロバイダー SSO プラグインが設定されている場合問題が報告されている ID プロバイダーレコードそれぞれの [クロックスキュー] フィールドを更新します。 Assertion is valid in the future, now: <now>, notBefore: <notBefore>ORAssertion is expired, now: <now>, notOnOrAfter: <notOnOrAfter> notBefore 制約より前、または notOnOrAfter より後であっても有効とみなす秒数。 IdP クロックが SP クロックと同期していません。 SAML 2.0/SAML 2.0 Update 1 プラグインが設定されている場合SAML プロパティ glide.authenticate.sso.saml2.clockskew をより大きな値に更新します。デフォルトの時間は 60 秒です。場合によっては 180 に設定する必要があります。IdP サーバーの時間も確認する必要があります。 マルチプロバイダー SSO プラグインが設定されている場合問題が報告されている ID プロバイダーレコードそれぞれの [クロックスキュー] フィールドを更新します。 追加エラーメッセージ 一般的なログインまたは ID プロバイダー (IdP) エラーIdP診断修正 Login requests generate an infinite loop between the system and the IdP when High Security is active. 通常、URL エンドポイントはエラーページまたはログアウトページになります。IdP ホスト名をプロパティ値に追加せずに glide.security.url.whitelist を定義すると、 logout_redirect.do によってこのループが作成される可能性があります。 失敗した認証要求をこの URL にリダイレクトするには、システムプロパティ glide.authenticate.failed_redirect を設定 (または作成) します。 Authentication fails and the login request generates an infinite loop between the system and the IdP. High Security プラグインのセッションローテーション機能によって、SAML 2.0 認証プロセスに問題が発生する可能性があります。SAML 2.0 は URL を IdP にリダイレクトします。セッションのローテーションが有効になっていると、リダイレクトによってセッションがローテーションし、インスタンスは IdP への再クエリを強制されます。この状況では、インスタンスと IdP の間で新しいセッションの無限ループが生じます。認証に SAML 2.0 を使用する場合は、セッションローテーション機能を無効にしてください。 The token that was used to authenticate the user or the request is signed with the signature algorithm http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 which is not the expected signature algorithm http://www.w3.org/2000/09/xmldsig#rsa-sha1. Check the Alert Context tab for event details. ADFSイベントの詳細については、 [アラートコンテキスト (Alert Context)] タブを確認してください。[証明書利用者信頼設定 (Relying Party Trust configuration)] ダイアログの [詳細] タブに移動し、アルゴリズムが SHA-256 ではなく SHA-1 に設定されていることを確認します。urn:oasis:names:tc:SAML:2.0:status:Responder それぞれのログイン試行中に IdP ログを確認します。インスタンスは、SAMLResponse の処理が試行される前に urn:oasis:names:tc:SAML:2.0:status:Success が表示されることを想定しています。インスタンス/IdP 上のどの設定を更新する必要があるのかサポートが判断できるように、IdP 管理者と連携して関連ログを提供してください。