Устранение неполадок при развертывании правила утверждения SAML

Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация

SourceNotConfigured

Сообщение об ошибке

Развертывание прокси-сервера API через интерфейс Edge или API управления Edge завершается неудачно и появляется следующее сообщение об ошибке:

Error Deploying Revision revision_number to environment
ValidateSAMLAssertion[policy_name]: Source is not correctly configured.

Пример сообщения об ошибке

Error Deploying Revision 2 to test
ValidateSAMLAssertion[Validate-SAML-Assertion-1]: Source is not correctly configured.

Пример скриншота с ошибкой

Причина

Развертывание прокси API завершается с ошибкой, если один или несколько из следующих элементов правила Validate SAML Assertion не определены или пусты: <Source>, <XPath>, <Namespaces>, <Namespace>.

Например, если вы пропустите элемент <XPath> или оставите элемент <Source> или его объекты пустыми, развертывание прокси-сервера API завершится неудачно.

диагностика;

  1. Определите название правила "Проверить утверждение SAML", которое не удалось выполнить, по сообщению об ошибке. Например, в приведенной ниже ошибке название правила Validate SAML Assertion – Validate-SAML-Assertion-1.

    ValidateSAMLAssertion[Validate-SAML-Assertion-1]: Source is not correctly configured.

  2. Проверьте XML-код правила "Проверить утверждение SAML", которое не удалось выполнить. Проверьте, не пропущены ли или не пусты ли следующие элементы правил: <Source>, <XPath>, <Namespaces>, <Namespace>. Если да, то это может быть причиной ошибки.

    Например, в приведенных ниже правилах есть пустой элемент <Namespaces> под элементом <Source>:

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces></Namespaces>
   </Source>
   <Description/>
 <TrustStore>ref://TrustStoreName</Truststore>
 <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

  3. В примере выше элемент <Namespaces> пуст, поэтому возникает ошибка:

    ValidateSAMLAssertion[Validate-SAML-Assertion-1]: Source is not correctly configured.

Разрешение

Убедитесь, что значения элемента <Source> правильно настроены с помощью элемента <Namespaces> и его дочернего элемента <Namespace>. Также убедитесь, что элемент <XPath> определен и не пуст.

Чтобы исправить пример правила Validate SAML Assertion, показанный выше, можно добавить элементы <Namespace>, а также <XPath>:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <XPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</XPath>
  </Source>
   <Description/>
<TrustStore>ref://TrustStoreName</Truststore>
<RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

TrustStoreNotConfigured

Сообщение об ошибке

Развертывание прокси-сервера API через интерфейс Edge или API управления Edge завершается неудачно и появляется следующее сообщение об ошибке:

Error Deploying Revision revision_number to environment
ValidateSAMLAssertion[[Ljava.lang.Object;@object]: Trust store is not correctly configured.

Пример сообщения об ошибке

Error Deploying Revision 2 to test
ValidateSAMLAssertion[[Ljava.lang.Object;@39537262]: Trust store is not correctly configured.

Пример скриншота с ошибкой

Причина

Если элемент <TrustStore> пуст или не указан в правиле ValidateSAMLAssertion, развертывание прокси API завершится неудачно. Требуется действительный значок "Надежный магазин".

диагностика;

  1. Проверьте все правила Validate SAML Assertion (Проверка утверждения SAML) в определенном прокси API, в котором произошла ошибка. Если в каком-либо правиле Validate SAML Assertion элемент <TrustStore> пуст или не указан, это и является причиной ошибки.

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
 <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <XPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</XPath>
  </Source>
    <Description/>
    <TrustStore/>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Разрешение

Убедитесь, что элемент <TrustStore> всегда указан и не пуст в правиле Validate SAML Assertion. Имя <TrustStore> должно совпадать с названием действительного хранилища доверенных сертификатов, которое существует во всех средах, в которых вы пытаетесь развернуть прокси.

Чтобы исправить приведенный выше пример, укажите элемент <TrustStore> с допустимым значением.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ValidateSAMLAssertion name="SAML" ignoreContentType="false">
  <Source name="request">
    <Namespaces>
      <Namespace prefix='soap'>http://schemas.xmlsoap.org/soap/envelope/</Namespace>
      <Namespace prefix='wsse'>http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd</Namespace>
      <Namespace prefix='saml'>urn:oasis:names:tc:SAML:2.0:assertion</Namespace>
    </Namespaces>
    <XPath>/soap:Envelope/soap:Header/wsse:Security/saml:Assertion</XPath>
  </Source>
  <TrustStore>TrustStoreName</TrustStore>
  <RemoveAssertion>false</RemoveAssertion>
</ValidateSAMLAssertion>

Подробнее о том, как использовать хранилище доверенных сертификатов…

NullKeyStore

Сообщение об ошибке

Развертывание прокси-сервера API через интерфейс Edge или Edge Management API завершается неудачно с сообщением об ошибке:

Error Deploying Revision revision_number to environment
Assertion KeyStore name cannot be null.

Пример сообщения об ошибке

Error Deploying Revision 4 to test
Assertion KeyStore name cannot be null.

Пример скриншота с ошибкой

Причина

Если дочерний элемент <Name> пуст или не указан в элементе <Keystore> правила GenerateSAMLAssertion, развертывание прокси-сервера API завершится неудачно. Требуется указать действительное название хранилища ключей.

диагностика;

  1. Проверьте все правила Generate SAML Assertion в определенном прокси API, где произошел сбой. Если в каком-либо правиле Generate SAML Assertion дочерний элемент <Name> пуст или не указан в элементе <Keystore>, это и является причиной ошибки.

    В приведенном ниже правиле Generate SAML Assertion (Создать утверждение SAML) в элементе <Keystore> есть пустой дочерний элемент <Name>:

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">`
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name></Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Разрешение

Убедитесь, что дочерний элемент <Name> всегда указан и не пуст в элементе <Keystore> правила "Сгенерировать утверждение SAML".

Чтобы исправить пример выше, правильно укажите элемент <Name> и убедитесь, что для элемента <Alias> задано допустимое значение.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Примеры можно найти в статье Примеры кода в справочной статье о правилах SAMLAssertion.

NullKeyStoreAlias

Сообщение об ошибке

Развертывание прокси-сервера API через интерфейс Edge или API управления Edge завершается неудачно и появляется следующее сообщение об ошибке:

Error Deploying Revision revision_number to environment
Assertion KeyStore alias cannot be null.

Пример сообщения об ошибке

Error Deploying Revision 4 to test
Assertion KeyStore alias cannot be null.

Пример скриншота с ошибкой

Причина

Если дочерний элемент <Alias> пуст или не указан в элементе <Keystore> правила Generate SAML Assertion, развертывание прокси-сервера API завершится неудачно. Требуется действительный псевдоним хранилища ключей.

диагностика;

  1. Проверьте все правила Generate SAML Assertion в определенном прокси API, где произошел сбой. Если в каком-либо правиле Generate SAML Assertion дочерний элемент <Alias> пуст или не указан в элементе <Keystore>, это и является причиной ошибки.

    В приведенном ниже правиле Generate SAML Assertion (Создать утверждение SAML) в элементе <Keystore> есть пустой дочерний элемент <Alias>:

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">`
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias></Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Разрешение

Убедитесь, что дочерний элемент <Name> всегда указан и не пуст в элементе <Keystore> правила "Создать утверждение SAML".

Чтобы исправить приведенный выше пример, укажите элемент <Alias> правильно и убедитесь, что для элемента <Name> задано допустимое значение.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Примеры можно найти в статье Примеры кода в справочной статье о правилах SAMLAssertion.

NullIssuer

Сообщение об ошибке

Развертывание прокси-сервера API через интерфейс Edge или API управления Edge завершается неудачно и появляется следующее сообщение об ошибке:

Error Deploying Revision revision_number to environment
Assertion Issuer cannot be null.

Пример сообщения об ошибке

Error Deploying Revision 4 to test
Assertion Issuer cannot be null.

Пример скриншота с ошибкой

Причина

Если элемент <Issuer> пуст или не указан в правиле Generate SAML Assertion, развертывание прокси-сервера API завершится неудачно. Требуется действительное значение <Issuer>.

диагностика;

  1. Проверьте все правила Generate SAML Assertion в определенном прокси API, в котором произошел сбой. Если в каком-либо правиле Generate SAML Assertion элемент <Issuer> пуст или не указан, это и является причиной ошибки.

    В следующем правиле "Создание утверждения SAML" пустой элемент <Issuer>:

    <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">`
  <CanonicalizationAlgorithm />
  <Issuer></Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Разрешение

Убедитесь, что элемент <Issuer> всегда указан и не пуст в правиле "Создать утверждение SAML".

Чтобы исправить приведенный выше пример, укажите элемент <Issuer> правильно:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<GenerateSAMLAssertion name="SAML" ignoreContentType="false">
  <CanonicalizationAlgorithm />
  <Issuer ref="reference">Issuer name</Issuer>
  <KeyStore>
    <Name ref="reference">keystorename</Name>
    <Alias ref="reference">alias</Alias>
  </KeyStore>
  <OutputVariable>
    <FlowVariable>assertion.content</FlowVariable>
    <Message name="request">
      <Namespaces>
        <Namespace prefix="test">http://www.example.com/test</Namespace>
      </Namespaces>
      <XPath>/envelope/header</XPath>
    </Message>
  </OutputVariable>
  <SignatureAlgorithm />
  <Subject ref="reference">Subject name</Subject>
  <Template ignoreUnresolvedVariables="false">
    <!-- A lot of XML goes here, in CDATA, with {} around
         each variable -->
  </Template>
</GenerateSAMLAssertion>

Примеры можно найти в статье Примеры кода в справочной статье о правилах SAMLAssertion.