Workiva はサインインや構成のステップが失敗したときに SAML 関連の短いメッセージを記録できる。 下の表に示されているメッセージの文言を使用して組織の SAML アクティビティログまたはサポートチケットを検索する。メッセージにはSAML構成名やユーザー名などの値が含まれる場合がある。これらは{name}のようなプレースホルダーで表される。
その後、ITチーム、またはWorkivaサポートと連携してエラーを解決する際に、メッセージの一般的な原因を参照する。
注： メッセージに「SAML Consumer」または「Saml Logout」が含まれている場合、そのテキストは SAML 処理ステップから取得されている。根本的な問題は通常証明書やレスポンスの形状やWorkiva 構成にある。
ユーザーとアカウントとマッピング
| メッセージ | 意味 | 一般的な原因 |
| ユーザー{user} （SAML ID {samlId}） の SAML 認証に失敗した。ユーザーは一時停止されています。 | IdP はユーザーを認証したが Workiva アカウントが一時停止されている。 |
管理者がユーザーを一時停止した。コンプライアンスホールド。
|
| アサーション検証の失敗 （{detail}） により SAML 認証に失敗した。 | アサーションが検証に失敗した。詳細にはルール名が示される場合がある （異なる）。 | オーディエンス／受信者の不一致。条件が失敗した。カスタム検証ツールの失敗。 |
| ユーザー{user} （SAML ID {samlId}） の SAML 認証に失敗した。ユーザー IP が許可リストに含まれていない。 | IP 許可リストがこのサインインをブロックした。 |
VPN がオフになっている。新しいオフィスの IP。許可リストが更新されていない。
|
| 認証されていないユーザー{username}をプライマリアカウント／組織の外部にある SAML ID {samlId}にマッピングすることはできない。 | ユーザーは他の場所に存在するがこのコンテキストで SAML を介してこの組織に紐付けることはできない。 |
組織の URL が間違っている。ユーザーのホーム組織が異なる。組織間のログイン試行。
（この問題を解決するには、サポートに連絡する） |
| ユーザー{displayName}の SAML 関連付けに失敗した | WorkivaユーザーとSAML IDのリンク付けが検証に失敗した。 | SAML ID が重複している。無効な文字。マッピングに関するビジネスルール。 |
| 関連付けられていない SAML ID {samlId}からのログイン試行。このSAML IDを対応するWdeskユーザーに構成することを検討する。 | 組織には SSO（シングルサインオン）が必要だがこの NameID はユーザーにマッピングされていない。 |
新入社員がプロビジョニングされていない。SAML ID の入力ミス。この組織の IdP ディレクトリが間違っている。
（このエラーを解決する手順については、以下のセクションを参照する） |
| SAML ID {samlId}の新しい SAML ユーザー - SAML 初期化を完了するためにログインにリダイレクトしている | 初回 SAML ユーザーフロー IdP サインイン後にユーザーが設定を完了する必要がある。 | SSO（シングルサインオン）が不要な場合の最初の SAML ログイン時に想定される。ユーザーがマッピングを完了する。 |
SSO（シングルサインオン）ログインの失敗を解決する
ユーザーが SSO（シングルサインオン）でログインできない場合これはユーザーマッピングが間違っていることが原因である可能性がある。これを修正するには次の手順を実行する。
- SSOアクティビティログにアクセスして、SSO失敗の日時を確認してみてください。組織の管理者ページで、IDおよびアクセス管理 ／認証／SSOアクティビティログに移動する。
- アクティビティログでテーブルをスクロールして SSO（シングルサインオン）の試行が失敗した日時に発生したログを探す。
- "Login attempt from unassociated SAML ID {samlId}. というメッセージを探す。このSAML IDを、対応するWdeskユーザーに対して設定することを検討してください。（"{samlId}" は、ユーザー固有のSAML IDが入るプレースホルダーです。）
- {samlId} の値を取得し、SSO 設定ページに移動して、編集を選択します。
- SSO設定の ユーザーマッピング セクションに移動します。
- テーブルのユーザー名列でユーザーのユーザー名を検索する。
- テーブルでユーザーの横にある SSO IDフィールドをダブルクリックしてアクティビティログから取得した{samlId}の値を入力する。
- 構成を保存をクリックする。
- ユーザーに SSO（シングルサインオン）でもう一度ログインするように依頼する。
サインインと SAML 応答の処理
| メッセージ | 意味 | 一般的な原因 |
| 認証リクエストの逆シリアル化に失敗した。 | ブラウザまたは IdP が有効な SAML リクエストとしてサービスが読み取れないデータを送信した。 | リクエストの切断または破損、プロキシによるPOSTボディの削除、あるいはログインURLへの極めて古い形式または非SAML形式のPOSTリクエスト。 |
| 無効な XML オブジェクトを受信した。応答データが不正な形式であるか不完全である。 | SAML応答XMLを解析できなかったか途切れている。 | IdPの設定ミス。ロードバランサーまたはプロキシが応答を変更している。ネットワークの中断。テストで貼り付けまたは編集されたXML。 |
| SAML アサーションが有効ではない。 | アサーションがユーザーマッピングの前に構造チェックまたはポリシーチェックに失敗した。 | クロックのずれ。対象者が間違っている。アサーションの期限が切れている。アサーションの内容が不正な形式である。 |
| （テキストは異なる。多くの場合 invalid_response や invalid_destination の技術的な詳細が含まれる） | SAML 応答の何かが Workiva が想定しているもの （宛先や構造など） と一致しなかった。 | ACS URLの不一致。無効なエンティティID。応答が間違った環境に送信された。IdPが使用可能なアサーションなしでエラーステータスを送信している。 |
| 応答またはアサーションの署名が無効だった... Wdesk で設定された X.509 証明書が IdP の証明書と一致する | 暗号化署名の検証に失敗した。 |
IdPは署名証明書をローテーションしたが、Workivaにはまだ古い証明書がある。Workivaに間違った証明書が貼り付けられている。間違った要素に署名している。複数の証明書がありIdPが想定しているものを使用していない。
|
| SAML 名前識別子がないか空である | NameID （または同等のサブジェクト） がないか空白である。 | IdPがNameIDを解放していない。マッピングが空の値を送信している。IdP で間違ったNameID形式が選択されている。 |
| アサーションまたは NameID の復号に失敗した。 | 暗号化された SAMLコンテンツをSPの設定で復号できなかった。 | 暗号化証明書の不一致。IdP が Workiva が持っていない証明書で暗号化している。破損した暗号文。 |
| アサーションの発行者が Wdesk で設定された発行者と一致しない | SAMLメッセージの発行者がSAML設定と一致しない。 |
発行元（Issuer）URLの入力ミス、IdP（アイデンティティ・プロバイダー）によるエイリアス発行元の使用、またはステージング環境と本番環境のIdPの混同。
（SSO（シングルサインオン）設定の修正に役立てるためリクエストの詳細についてこのログを確認する） |
| リクエストのSAML設定が見つからなかった。 | このリクエストに一致する SAML 設定がない （登録が見つからない）。 | 間違った URL パスまたは SAML 設定 ID。無効化または削除された設定。古い URL へのブックマーク。 |
| SAML Consumer でエラーが発生した... （汎用） | 上記の特定の SAML コードにマッピングされていない方法でサインインに失敗した。 | IdP の異常な動作。一時的な統合のバグ。最適な次のステップは HAR または IdP サインオンログとこのメッセージである。 |
| Saml Logout でエラーが発生した... （汎用） | 特定のコードにマッピングされていない方法でログアウトリクエストが失敗した。 | Consumer と同じ考え方で IdP のログアウトログと相関時間を収集する。 |
証明書 （署名／検証）
| メッセージ | 意味 | 一般的な原因 |
| X509 証明書の形式が正しくないか期限が切れている。設定されている場合は代替の X509 証明書が使用される。 | Workiva のプライマリ IdP 署名証明書が無効か期限切れである。システムは代替証明書にフォールバックする場合がある。 | 期限切れの証明書。PEM の書式設定エラー。余分なスペースやヘッダーの欠落。 |
| 代替の X509 証明書の形式が正しくないか期限が切れている。 | 代替証明書も無効であるか期限切れである。 | どちらの証明書も更新が必要である。2 番目の証明書のコピー／貼り付けエラー。 |
| SAML 設定に X509 証明書が設定されていない。 | プライマリ署名証明書も代替署名証明書も保存されていない。 | 新しい設定。証明書がクリアされている。メタデータのインポートで証明書が入力されなかった。 |
応答の形状とアサーションと「ラップされた」応答
| メッセージ | 意味 | 一般的な原因 |
| 潜在的な XSW が検出された。応答要素が見つからない。 | SAML ペイロードに想定されている単一の通常の <Response> ルートが含まれていなかった。 | 不正な形式の XML。IdP の異常なパッケージング。改ざんの試み。壊れたミドルウェア。 |
| 潜在的な XSW が検出された。複数の応答要素が見つかった。 | ペイロードに複数の SAML 応答がある。 | まれな IdP のバグ。連結された応答。プロキシが本文を誤ってマージしている。 |
| アサーション要素が見つからない... ID プロバイダーからの StatusCode 認証エラーについて SAML 応答を確認する。 | ユーザーをログインさせるためのアサーションがなかった。多くの場合 IdP 側の拒否である。 | 間違ったパスワード。MFA の失敗。IdP ポリシーがユーザーを拒否した。IdP 側でユーザーにライセンスが付与されていない。 |
| 潜在的な XSW が検出された。複数のアサーション要素と暗号化されたアサーション要素が検出された。 | クリアテキストのアサーションと暗号化されたアサーションの両方が存在する （許可されていない）。 | 異常な IdP 構成。カスタマイズにより重複するコンテンツが送信されている。 |
| 潜在的な XSW が検出された。複数のアサーションが検出された - Wdesk で許可されているのは 1 つだけである。 | 1 つの応答に複数のアサーションがある。 | IdPがグループ化されたアサーションを送信している：フェデレーションアグリゲーター。 |
| 潜在的な XSW が検出された。複数の暗号化されたアサーションが検出された - Wdesk で許可されているのは 1 つだけである。 | 複数の暗号化されたアサーションがある。 | 複数のアサーションと同じ種類の原因である。 |
*「XSW」はサービスがセキュリティのためにブロックする不審な応答ラップパターンを指す。
Workiva の設定と URL
| メッセージ | 意味 | 一般的な原因 |
| ID {id}の SAML 設定が見つかりません／{id}の SAML 設定が見つかりません | その識別子の SAML レコードが存在しない。 | URL の{id}が間違っている。設定が削除されている。リンクまたは統合の入力ミス。 |
| SAML 設定{name}は現在有効化されておらず認証に使用できない。 | SAML は存在するがその組織ではオフになっている。 | 管理者が SAML を無効化した。変更の固定。別の IdP をテスト中。 |
| SAML 設定{name}は最小限の設定が行われておらず認証に使用できない。 | 必須フィールド （例えば IdP URL やバインディングや証明書など） が不完全である。 | セットアップが完了していない。メタデータのインポートが不完全である。ドラフト設定。 |
| この SAML 設定{id}に関連付けられた組織を見つけることができない。 | SAML 設定と組織の間の内部リンクが欠落している。 | データの不整合。通常サポートの調査が必要である。 |
| 指定された ID に一致する SAML 設定にログアウト応答 URL がない。 | ログアウト URL がアプリが想定している場所に設定されていない。 | ログアウトが SAML 設定で設定されていない。メタデータにシングルログアウト URL が欠落している。 |
サブジェクトまたはNameID と属性
| メッセージ | 意味 | 一般的な原因 |
| Attribute Name={name}要素で SAML サブジェクトを見つけることができない... | Workiva は特定の属性から SAML ID を読み取るように設定されているがその属性またはステートメントが欠落している。 | 属性が送信されていない。間違った属性名。アサーションに属性はあるが名前空間または形式が間違っている。 |
ログアウト
| メッセージ | 意味 | 一般的な原因 |
| SAMLRequest パラメーターが欠落している | IdPまたはブラウザがSAMLログアウトリクエストなしでログアウトエンドポイントにヒットした。 | 誤って設定された IdP ログアウト URL。手動での URL へのアクセス。壊れたディープリンク。 |
| 指定された ID に一致する SAML 設定を見つけることができない | ログアウトが不明な SAML 設定を参照した。 | パスまたはパラメーターのsamlConfigが間違っている。 |
SAML ユーザー設定の完了 （最初の IdP サインイン後）
| メッセージ | 意味 | 一般的な原因 |
| SAML ユーザーの初期化に失敗した - セキュリティトークンの検証エラー | ワンタイム設定トークンがないか間違っているか期限切れである。 | 古いリンクがブックマークされている。完了するのに時間がかかりすぎた。Cookieがブロックされている。別のブラウザでリンクを開いた。 |
| SAML初期化ハンドラーでエラーが発生した... （汎用） | 予期しない理由でセットアップが失敗した。 | 再試行する。繰り返される場合はサポートのために時間と URL をキャプチャする。 |
| （各種検証メッセージ） | SAML ユーザーレコードの作成が失敗したときに表示される （正確なテキストは検証によって異なる）。 | 例 SAML ID が組織内の別のユーザーによってすでに使用されている。 |
管理者 SAML メタデータのインポート （API または管理者フロー）
| メッセージ | 意味 | 一般的な原因 |
| メタデータ XML を解析できない | ファイルが有効な XML ではない。 | 間違ったファイルがダウンロードされている。HTML エラーページが .xml として保存されている。 |
| メタデータ XML に IDPSSODescriptor を見つけることができない | IdP メタデータではない （またはプロファイルが間違っている）。 | 誤ってアップロードされたSPメタデータ。切り取られたファイル。 |
| 署名用の X.509 証明書を見つけることができない | 期待されるメタデータに署名証明書がない。 | <KeyDescriptor use="signing">がないメタデータ。暗号化のみのメタデータ。 |
| メタデータ XML に SingleSignOnService を見つけることができない | SSO（シングルサインオン）エンドポイントが宣言されていない。 | IdP からのエクスポートが不完全である。 |
| サポートされている SingleSignOnService バインディングが見つからない | SSO URLは存在するがバインディングがWorkivaでのインポート用にサポートされているものではない。 | 特殊なバインディングのみ。古い IdP テンプレート。 |
| 警告 メタデータファイルに{n}個の署名証明書が含まれている... | 複数の署名証明書が検出された。正しいものを手動で選択する必要がある場合がある。 | 複数のアクティブな証明書があるIdPローテーション期間。 |
管理者 一括 SAML ID ファイルのインポート
| メッセージ | 意味 | 一般的な原因 |
| SAML IDまたはWdeskユーザー名が欠落しているため行{n}をスキップしている | その行に空のセルがある。 | Excelで編集された CSV。末尾の空の行。 |
| CSV 内でユーザー名が重複しているため行{n}をスキップしている | 同じ Workiva ユーザー名が 2 回表示されている。 | スプレッドシートのコピー／貼り付けエラー。 |
| ユーザー名{name}が見つからなかったかこのアカウントのメンバーではない | その行に対応する組織内のユーザーがいない。 | ユーザー名の入力ミス。ユーザーが別の組織にいる。 |
| ユーザーのプライマリ組織が一致しないためユーザー{name}をスキップしている。 | ユーザーのホーム組織がこのレルムではない。 | インポート用に間違ったレルムが選択されている。請負業者アカウント。 |
セキュリティとアカウントのコントロール
| メッセージ | 意味 | 一般的な原因 |
| アカウントのセキュリティ検証ルールにより SAML リクエストがブロックされた | ログアウトまたは SAML リクエストがその組織または設定の内部セキュリティチェックに失敗した。 | ポリシーエンジンのブロック。不審なパターン。サポートが内部ログを必要とする場合がある。 |
技術診断 （サポート向け）
| メッセージ | 意味 | 一般的な原因 |
| SAMLResponse：エンコードされたデータが続く | サポートでのトラブルシューティングのために SAML 認証が失敗したときに生の SAML 応答が記録された。 | 特定の失敗時に自動的にキャプチャされる。それ自体は「エラーの文」ではない。 |