다중 SSO(SAML 2.0) 오류 및 수정

  • 릴리스 버전: Zurich
  • 업데이트 날짜 2025년 07월 31일
  • 소요 시간: 6분

    • 다중 SSO(SAML 2.0) 설정 및 구성에 대한 일반적인 오류 및 관련 수정 사항 목록입니다.

    표 1. 다중 SSO(SAML 2.0) 설정 중 오류 발생
    인스턴스 로그의 오류 연결 테스트 메시지 SAML 속성 진단 수정
    NotAfter: <Thu Jun 05 22:57:44 PDT 2014>. IDP x509 인증서가 있고 유효하며 활성 상태인지 확인하십시오. 해당 사항 없음 현재 인증서 또는 SAML 어설션이 만료되었습니다.
    • SNC 시계를 SAML IdP 서버 시계와 동기화합니다.
    • SAML 2.0 인증서 기록을 업데이트합니다.
    • SAML 2.0 인증서를 찾을 수 없습니다.
    • ServiceNow 인스턴스에 저장된 디지털 서명을 찾을 수 없습니다.
    		 IDP x509 인증서가 있고 유효하며 활성 상태인지 확인하십시오. PEM 형식 문자열을 PEM 인증서 필드에 입력해야 합니다. SAML 인증서가 없습니다. 비활성 상태일 수 있습니다. 올바른 PEM 형식 인증서가 인스턴스에 업로드되었는지 확인합니다.
    인증서가 일치하지 않습니다. 예상: <certStr>, 실제: <inboundCert>. IDP x509 인증서가 있고 유효하며 활성 상태인지 확인하십시오. 해당 사항 없음 SNC에서 사용할 수 있는 인증서가 어설션의 인증서와 일치하지 않습니다. 원인은 다음과 같습니다.
    • 인증서가 IdP에서는 업데이트되지만 ServiceNow 인스턴스에서는 업데이트되지 않습니다.
    • 인증서의 형식이 잘못되었습니다.
    		 SAML 2.0 인증서 기록의 PEM 형식 문자열이 사용자 IdP에 대한 SAMLResponse의 X509 인증서와 일치하는지 확인합니다.
    인증서의 유효성을 검사하지 못했습니다. IDP x509 인증서가 있고 유효하며 활성 상태인지 확인하십시오. 해당 사항 없음 현재 인증서가 만료되었을 수 있습니다. SAML 2.0 인증서 기록을 업데이트합니다.
    서명 프로파일을 확인하지 못했습니다. IDP x509 인증서가 있고 유효하며 활성 상태인지 확인하십시오. 해당 사항 없음 어설션이 다른 인증서로 서명될 수 있습니다. IdP에 SNC 인스턴스와 동일한 인증서가 있는지 확인합니다.
    SubjectConfirmationData의 InResponseTo 특성이 일치하지 않습니다. 예상: <inResponseTo>, 실제: <inResponseTo>. 제목 확인 유효성 확인 실패함 해당 사항 없음 이 오류는 다음 상황 중 하나가 발생할 때 나타납니다.
    • IdP는 다른 SAMLRequest에 대한 SAMLResponse를 반환합니다.
    • 사용자가 인스턴스 URL 대신 SAMLRequest로 URL에 책갈피를 지정합니다.
    • null 값이 필요한 경우 인스턴스에 여러 노드가 있을 때 응답이 다른 노드로 전송될 수 있습니다.
    		 IdP 관리자는 예상된 SAMLReponse가 반환되고 있는지 확인해야 합니다. 이 상황은 부하 분산 장치 또는 인프라 문제일 수 있습니다.
    SessionIndex 값을 찾을 수 없음: <message>... SessionIndex가 잘못되었습니다. 해당 사항 없음 SNC 인스턴스에는 SessionIndex가 필요합니다. IdP가 SAML 응답에 이를 반환하여 성공적으로 인증합니다.

    IdP 관리자는 SessionIndex가 SAMLResponse에 정의되어 있는지 확인해야 합니다.
    올바른 SubjectConfirmation이 없습니다. 제목 확인 유효성 확인 실패함 해당 사항 없음 IdP의 오류로 인해 조건이 누락될 수 있습니다.

    응답의 StatusCode에는 예상되는 Success 대신 Responder가 포함됩니다.

    조건이 SAMLResponse에 포함되어 있는지 확인하려면 SAMLResponse를 검토하십시오.

    유효한 제목 확인 데이터가 만료되거나 올바른 대상에 대해 만료되지 않을 수 있습니다.

    어설션 대상이 일치하지 않습니다. 예상: <propAudience>, 실제: <audienceUri>.

    또는

    AudienceRestriction 확인에 실패했습니다. 일치하는 대상을 찾을 수 없습니다.

    		 "대상 URI" 필드가 올바로 설정되어 있는지 확인하십시오. SAML2 토큰을 수락하는 대상 그룹 URI입니다. (일반적으로 인스턴스 URI입니다. 예: https://demo.service-now.com.) SNC 인스턴스 구성 대상 그룹 URI는 IdP의 값과 일치해야 합니다. 로그의 SAMLResponse에서 <saml2:Audience>를 찾아 인스턴스의 값과 일치하는지 확인합니다.
    어설션 발급자가 잘못되었습니다. 예상: <인스턴스의 값>, 실제: <IdP에서 반환된 값> 어설션 발급자가 잘못되었습니다. 사용자 정보를 포함하는 SAML2 보안 토큰을 발급하는 ID 제공자 URL입니다. IdP 엔터티 ID(발급자)가 SNC 인스턴스에 정의된 값과 일치하지 않습니다.
    • IdP 또는 SP가 제대로 구성되지 않았는지 확인합니다.
    • SAML 속성(사용자 정보가 포함된 SAML2 보안 토큰을 발급하는 ID 제공자 URL)이 올바르게 설정되었는지 확인합니다.

    제목은 나중에 유효합니다. Now: <now>, NotBefore: <notBefore>

    또는

    제목이 만료되었습니다. Now: <now>, notOnOrAfter: <notOnOrAfter>

    		 제목 확인 확인에 실패했습니다. notBefore 제약 조건 전이나 notOnOrAfter 제약 조건 후에 유효한 것으로 간주되는 시간(초)입니다. IdP 클럭이 SP 클럭과 동기화되지 않습니다. SAML 속성 glide.authenticate.sso.saml2.clockskew를 더 큰 값으로 업데이트합니다. 기본값은 180초입니다. 경우에 따라 300 이상으로 설정해야 합니다. IdP 서버에서 시간을 확인해야 할 수도 있습니다.

    어셜션은 미래, 현재: <now>, notBefore: <notBefore>

    또는

    어설션이 만료됨: 지금: <now>, notOnOrAfter: <notOnOrAfter>

    		 어설션이 잘못되었습니다. notBefore 제약 조건 전이나 notOnOrAfter 제약 조건 후에 유효한 것으로 간주되는 시간(초)입니다. IdP 시계가 SP 시계와 동기화되어 있지 않습니다.

    SAML 속성을 더 큰 값으로 업데이트합니다. 기본값은 60초입니다. 경우에 따라 300 이상으로 설정해야 합니다. IdP 서버에서 시간을 확인해야 할 수도 있습니다.
    표 2. 일반적인 로그인 및 IdP 오류
    오류 또는 증상 진단 수정
    로그인 요청은 높은 보안이 활성 상태일 때 시스템과 IdP 간에 무한 루프를 생성합니다. 실패한 인증 요청을 이 URL로 리디렉션하도록 시스템 속성 glide.authenticate.failed_redirect 설정(또는 생성)합니다.
    사용자 또는 요청을 인증하는 데 사용되는 토큰이 예상되는 서명 알고리즘 http://www.w3.org/2000/09/xmldsig#rsa-sha1 이 아닌 서명 알고리즘 http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 로 서명됩니다. 이벤트 상세 정보는 경보 컨텍스트 탭을 확인하십시오. 신뢰 당사자 트러스트 구성 대화 상자의 고급 탭으로 이동하여 알고리즘이 SHA-256이 아닌 SHA-1로 설정되어 있는지 확인합니다.
    시스템 로그(syslog) 테이블에 오류 메시지 urn:oasis:names:tc:SAML:2.0:status:Requester 가 나타납니다. IdP(예: ADFS)가 oasis:names:tc:SAML:2.0:status:Requester 상태로 응답하면 IdP에서 전송된 요청에 문제가 있어 로그인을 거부했음을 의미합니다. 안타깝게도 대부분의 경우 IdP에서 받은 SAML 응답은 오류에 대한 자세한 정보를 제공하지 않습니다. IDP로 전송된 SAML 요청을 검토하고 IDP 관리자와 협력하여 인스턴스 SAML 설정을 업데이트하여 오류를 방지하십시오. 로그인 실패의 이유를 이해하려면 IDP 공급자에게 문의해야 할 수도 있습니다.