トラブルシューティングとよくある質問
よくある質問への回答とエラー解決
インストール中に、SSOコネクトサービスが応答しなくなり、起動しません。
互換性のあるJavaバージョンがインストールされていることをご確認ください。対応するJavaバージョンは、システム要件をご参照ください。互換バージョンをインストールする前に、既存のJavaをすべてアンインストールする必要がある場合があります。
SSOコネクトの設定を変更して、SSL証明書またはIdPメタデータを更新するにはどうすればよいですか。
このガイドのオンプレミスの設定を更新に記載の手順に従ってください。
ADFSを使用していますが、SSOコネクトが停止しています。
ADFSの署名証明書の有効期限は、通常1年です。ADFSが最新の証明書に自動ローテーションすると、Keeper SSOコネクトとの信頼関係が切れます。運用を続けるには、新しいFederationMetadata.xmlファイルを生成し、Keeper SSOコネクトにアップロードしてください。証明書の失効前にリマインダーを設定することを強くお勧めします。
IdPとしてADFSを使用していますが、ユーザーがKeeperを終了するとログアウトエラーが表示されます。
ログアウトエラーを防ぐには、SAMLログアウトエンドポイントのURLを変更してください。
ADFSマネージャサーバーで、Keeper SSOコネクトの [証明書利用者の信頼] のプロパティを開きます。
[エンドポイント] タブで、SAMLログアウトエンドポイントを編集し、URLを以下のように設定します。
https://<ご利用のADFSサーバーのドメイン名>/adfs/ls/?wa=wsignout1.0
SSOコネクトサーバーでは、どのような情報を保護する必要がありますか。
SSOコネクトの起動時に data フォルダが作成されます。このフォルダは、Windowsでは C:\ProgramData\Keeper SSO Connect\ に、Linuxではインストールフォルダにあります。
data ディレクトリ内には複数のファイルがあります。このフォルダへのアクセス制限が重要です。このガイドで取り扱うHSM (ハードウェアセキュリティモジュール) を利用すると、セキュリティをさらに強化できます。HSMを利用できる場合、SSOコネクトのインスタンスごとに暗号鍵が生成され、HSMに安全に保存されます。この暗号鍵は data/ フォルダ内のプロパティファイルの暗号化に使用します。
ユーザーをサインイン画面に直接リンクするにはどうすればよいですか。
ウェブボルトのSSOログイン画面に直接アクセスできるハイパーリンクを送りたい場合は、以下の形式をご使用ください。
xxxxxは、管理コンソールで割り当てた法人ドメイン名に置き換えます。
SSOサービスをすべてのインターフェースにバインドすれば、IPの指定は不要ではないですか。
マルチホームサーバーでは、理由があってすべてのインターフェースにバインドしたくない場合があるため、IPの指定を求めています。
内部IPが必須なら、なぜSSOコネクトでは空白のままでよいのですか。
内部IPは必須ではありません。ホスト名がDNSで同じ外部IP、またはイントラネット用の内部IPに解決される場合は、空白のままで構いません。SSOを社内のみで運用し、FQDNを内部IPに解決しているお客様もいます。内部IPフィールドを空白にできるかどうかは、環境によって異なります。
HA SSOコネクトサーバーを設定するとき、またはクラウド同期でSSOコネクトサーバーの設定を復元するときに、プライベートIPアドレスを求められません。
これは仕様です。プライベートIPはSSOコネクトのローカルインスタンスに固有の値です。「サーバー1」のプライベートIPが同期された状態で「サーバー2」が認証してSSOコネクトの設定を同期すると、「サーバー2」が「サーバー1」のIPを誤って使用してしまいます。このため、いずれのSSOコネクトサーバーでも、プライベートIPは保持されません。
ユーザーがSSOを使用して認証すると、**[無効なSAMLレスポンス]**というエラーが表示されます。
IdPとKeeper SSOコネクトのどちらも変更していない場合、原因として最も多いのは、SSOコネクトの時刻が変わり、システム時刻が2分以上ずれていることです。旧バージョンのSSOコネクトでは、時刻がずれるとこのメッセージを表示しますが、最新バージョンのSSOコネクトでは [SAML検証エラー (SAML Validation error): システム時刻が2分以上ずれています] という詳細なエラーが表示されます。SSOコネクトサーバーの時計をNTPと同期することをお勧めします。 別の原因として、IdPのメタデータがSSOコネクト上のものと一致していないことが挙げられます。この場合、SAML証明書が同期されず、信頼関係が成立しません。
SSOユーザー以外はマスターパスワードを変更できないのはなぜですか。
ノードでSSOコネクトが有効になっている場合、そのノードおよびサブノードのすべてのユーザーに対して、マスターパスワードの変更が禁止されます。これは、SSOユーザーがIdPによる認証を回避するのを防ぐためです。
ユーザーを招待したのですが、SSOコネクトでボルトを作成できないのはなぜでしょうか。
初めてログインする際は、ウェブまたはデスクトップアプリケーションのいずれかでオンボーディングを完了する必要があります。ブラウザ拡張機能では新規ユーザーのオンボーディングはできませんが、既存ユーザーの認証は可能です。
新規ユーザーが初めて接続しようとすると、{"result_code": "does_not_exist", "message": "This user does not exist"} というエラーが表示されます。
原因は次の2つです。招待したユーザーが管理コンソールのSSO対応ノードにいないか、IdPのメールアドレスが招待したユーザーと一致していないかです。前者の場合は、ユーザーをSSO対応ノードに移動して再試行してください。後者の場合は、SSOアカウントのメールアドレスが招待ユーザーと同じであることをご確認ください。異なると、IdPのメールアドレスで新しいアカウントが作成されます。
Linuxで /tmp への書き込みエラーが表示されます。どうすれば解決できますか。
Linuxでは、
/tmpに実行権限が必要です。実行権限がない場合、java -jar SSOConnect.jarを実行すると、java.lang.UnsatisfiedLinkError: /tmp/sqlite...のような例外が表示される場合があります。
この問題を解決するには、 chmod a+x /tmp で /tmp に実行権限を付与してください。
SSOと標準の両方の方法でログインできますか。
企業では、ノード別に一部のユーザーは標準ログイン、その他のユーザーはSSOというように設定できます。Keeper管理コンソールのロールポリシーで、SSOユーザーがマスターパスワードを作成し、オフラインでもログインできるようにすることもできます。
フェデレーションユーザーをローカルユーザーに変換するにはどうすればよいですか。SSOを無効にし、ユーザー名とマスターパスワードでログインさせる場合など。
管理コンソールで、ユーザーをSSO対応ノードから、SSOプロビジョニングの強制が適用されていないノードに移動します。
移行後、ユーザーは [パスワードをお忘れの場合] リンクからアカウント復元を行い、標準ログイン用のマスターパスワードを設定する必要があります。Keeperアカウントに登録されているメールアドレスに回復コードが届きます。コードを入力すると、ボルト作成時に設定したリカバリフレーズの入力を求められ、新しいマスターパスワードを作成できます。
IdPでメールアドレスを変更してからSSOで認証する場合、Keeper側で必要な作業は何ですか。
IdPとKeeperは、どちらもメールアドレスで同一ユーザーを識別します。一方のメールアドレスだけを変更すると、認証は機能しません。IdPとKeeperの双方で、メールアドレスの変更を合わせて行う必要があります。
Keeper側では、ユーザーのみがメールアドレスを変更できます (メールアドレスの変更を禁止するロールベースの強制がそのユーザーに適用されていないことを確認します)。Keeperでメールアドレスを変更するには、 [設定] > [一般] > [メールアドレスの変更] へ移動します。
ユーザーはメールで変更の確認を求められます。
ユーザーがメールアドレスを変更したら、SSO IdPのメールアドレスも変更されていることを確認します。
アドレスの変更後、管理者はSSOコネクトサーバーで同期を実行する必要があります。
Chrome、Firefox、デスクトップアプリケーションではKeeperにSSOでログインできますが、IEでは接続できません。なぜでしょうか。
IEには複数のセキュリティゾーンがあるため、ドメイン間のリダイレクト処理が困難です。IEをSSOと連携させるには、セキュリティゾーンの設定が必要です。これらの設定は、管理者から配信するか、許可されている場合は手動で設定できます。設定については、信頼できるサイトポリシーをご参照ください。
SSOコネクトをインストールすると、 http://127.0.0.1:8080/config/ の設定ページに「このページに到達できません」と表示されます。
JREがインストール済みでサーバーを再起動している場合、原因はIISなど、ポート8080を待受している競合サービスである可能性が高いです。不要ならIISをアンインストールするか、SSOコネクトの設定ページのポートを変更してください。
SSOコネクトサービスを実行中の場合は停止します。
以下の場所にある
instance.propertiesを編集します。
admin_portのポート番号を変更します (8081など)。SSOコネクトサービスを再起動し、新しいポート (
http://127.0.0.1:8081/config/) で管理者ページを開き直します。
Keeper SSOコネクトのログファイルはどこにありますか。
Microsoftサーバーにインストールした場合、ログファイルはシステムの隠しディレクトリにあります。ファイルエクスプローラーに以下のパスを入力します。
Linuxでは、ログは
sso_connectフォルダ内にあります。パスはインストール先によって異なります。
SSOコネクトを最新バージョンにアップグレードする手順を教えてください。
このガイドのSSOコネクトをアップグレードをご参照ください。
ユーザーがKeeperからログアウトすると、すべてのSAML接続アプリケーションとIdPからもログアウトされます。
シングルログアウト (SLO) を無効にするには、IdPメタデータファイルを編集して、Keeper SSOコネクトサーバーに取り込むメタデータから以下の行を削除してください。 <md:SingleLogoutServiceBinding="urn:oasis:names🇹🇨SAML:2.0:bindings:HTTP-Redirect" Location="https://your-sso_connect:8443/sso-connect/saml/slo"/>
SSOコネクトサーバーにファイルを再インポートします。
デスクトップアプリにログインすると、白い画面またはエラーが表示されます
SSOを使用してKeeperにログインしたときに、ダイアログに白い画面またはエラーメッセージが表示される場合は、Keeper SSOコネクトの設定で無効または自己署名のSSL証明書を使用した可能性があります。
Keeperデスクトップアプリケーションと一部のデバイスおよびウェブブラウザは自己署名証明書を受け付けないため、エラーになります。適切な署名付きSSL証明書 (ワイルドカード証明書またはドメイン固有証明書) を使用するよう、Keeper SSOコネクトのインスタンスを再設定してください。SSL証明書には、ChromeやSafariなどのブラウザで認識される、信頼できるパブリック認証局の署名が必要です。
SSOでログインしようとすると、ウェブボルトで原因が分かりにくいエラーが表示されます。
以下のようなエラーメッセージが表示される場合は、別のタブやウィンドウで管理者アカウントまたは別のユーザーとしてKeeperにログインしている可能性が高いです。SSO環境のテストや設定中に、管理者としてもKeeperにログインしていると、状況が分かりにくくなります。
これらのエラーを避けるには、別のウェブブラウザ (Firefoxなど) で管理者としてKeeperにログインするか、Keeperデスクトップアプリをダウンロードし、そのアプリでSSO環境を設定することをお勧めします。
最終更新