ログイン資格情報を確認できないため...と言われます

[k-kai]

このグループに質問で書き込むのは私が最初ですかね^^;

SSO導入の話があり、こちらにたどり着きまして、現在動作検証中なのですが、
LDAPでユーザーの照会後、https://www.google.com/a/<domain>/acsへリダイレクト
されたさいに、
「ログイン資格情報を確認できないため、このサービスにはアクセスできません。ログインしてから、もう一度やり直してください。」
と言われてしまいます。

見た感じ、SAMLResponseなど渡せているように思えるのですが...

書き足りない部分があるかと思いますが、ご教授いただけますと幸いです。
よろしくお願いいたします。

＝＝改井

[Takashi Matsuo]

松尾です。

2009/3/2 k-kai <k-...@anchorage-works.jp>:

>
> このグループに質問で書き込むのは私が最初ですかね^^;
>
> SSO導入の話があり、こちらにたどり着きまして、現在動作検証中なのですが、
> LDAPでユーザーの照会後、https://www.google.com/a/<domain>/acsへリダイレクト
> されたさいに、
> 「ログイン資格情報を確認できないため、このサービスにはアクセスできません。ログインしてから、もう一度やり直してください。」
> と言われてしまいます。

この状態になる原因は次の二つのどちらかであるケースが多いです。

1) 鍵ペアが違う
gheimdall が使っている private key と google へアップロードした public key が合わない場合

2) 時間が合っていない
gheimdall が動いているマシンのシステム時計が合ってない場合

確認してみていただけますでしょうか。

Happy coding :-)

-- Takashi Matsuo

[k-kai]

松尾様

ありがとうございます！
原因は時間でした。
VirtualBox上でSSOサーバーを立てていたので、時間が狂っていました...

これで調査が進みそうです。
本当にありがとうございました！

＝＝改井

[k-kai]

またまた失礼します。

Gheimdall2で、ログオンできていたのに、突然また
「ログイン資格情報を確認できないため、このサービスにはアクセスできません。ログインしてから、もう一度やり直してください。」
と出てくるようになりました。

鍵ペアも一緒、時間もほぼ（アクセスしているPCとの差が15秒ほど）一緒ではありました。
ただ、このエラーページでリロードするとログインができたので、ACSに渡している内容に
問題があるわけではないようなのです。

そこで、色々弄ってみた結果、login.doでユーザーが見つかった後の「お待ちください」の
ページで数秒待機させるとうまくいくようになりました。
（templateのlogin-success.htmlでform.submitさせるのに数秒待機するよう書き換えました）

これは、設定で回避できる問題なのでしょうか？
ご存知でしたら、お教えください。

お願いします。

＝＝改井

On 3月2日, 午後8:11, Takashi Matsuo <matsuo.taka...@gmail.com> wrote:

[Takashi Matsuo]

松尾です。

改井さん

これも時計がずれているのが根本的な原因だと思います。saml-2.0 では ntp
などを使ってシステム時計を合わせるのは必須なので基本的には時計を合わせ
てくださいと言いたいところですが、いちおう gheimdall2.conf には
time_allowance という設定項目がありまして、これを大きくすればいける気も
します。

でもやっぱり時計を合わせてください :-)

-- Takashi Matsuo



2009/3/18 k-kai <kai....@gmail.com>:

[k-kai]

松尾 様

ntpで同期するようにしたら、以前のように時間待ちをする必要なく
ジャンプ出来ました！

time_allowanceという設定があったんですね。
もしもの時に設定してみます。

それにしてもsaml-2.0の時間への仕様がそのようにシビアだとは
しりませんでした...お恥ずかしい...
いい勉強になりました。

ありがとうございました！

＝＝改井

On 3月18日, 午後10:11, Takashi Matsuo <matsuo.taka...@gmail.com> wrote:
> 松尾です。
>

> 改井さん
>
> これも時計がずれているのが根本的な原因だと思います。saml-2.0 では ntp
> などを使ってシステム時計を合わせるのは必須なので基本的には時計を合わせ
> てくださいと言いたいところですが、いちおう gheimdall2.conf には
> time_allowance という設定項目がありまして、これを大きくすればいける気も
> します。
>
> でもやっぱり時計を合わせてください :-)
>
> -- Takashi Matsuo
>

> 2009/3/18 k-kai <kai.k...@gmail.com>: