So sieht die Meldung aus
OneLogin\Saml2\ValidationError: Signature validation failed. SAML Response rejectedHäufige Ursachen
- Der Identity Provider (Entra ID, ADFS, Keycloak) hat sein Signaturzertifikat erneuert, Nextcloud kennt noch das alte.
- Falsches Zertifikat hinterlegt, etwa das Verschlüsselungs- statt des Signaturzertifikats.
- Signatur-Einstellungen passen nicht: Nextcloud erwartet signierte Assertions, der IdP signiert nur die Response (oder umgekehrt).
- Zertifikat beim Kopieren beschädigt (Zeilenumbrüche, fehlende Zeichen).
Prüfen
- SAML-Konfiguration in Nextcloud anzeigen
sudo -u www-data php /var/www/nextcloud/occ saml:config:get - Aktuelle IdP-Zertifikate aus den Metadaten lesen
curl -s https://sso.beispiel.de/realms/main/protocol/saml/descriptor | grep -o '<ds:X509Certificate>[^<]*' - Fingerprint und Ablaufdatum des hinterlegten Zertifikats
openssl x509 -in idp.crt -noout -fingerprint -sha256 -enddate - SAML-Fehler im Nextcloud-Log finden
grep -i 'saml' /var/www/nextcloud/data/nextcloud.log | tail -n 5
Lösung
- Aktuelles Signaturzertifikat aus den IdP-Metadaten in den SSO-Einstellungen von Nextcloud eintragen (nur Base64-Block, ohne Leerzeilen).
- Signatur-Optionen an den IdP angleichen, z. B. „Assertions signiert“ vs. „Response signiert“.
- Bei geplanter Rotation das neue Zertifikat rechtzeitig zusätzlich hinterlegen, wenn der IdP beide parallel nutzt.
- Für die Fehlersuche kurzzeitig
loglevelauf 0 setzen und danach wieder zurück.
Häufige Fragen
Ist das ein Problem mit dem TLS-Zertifikat der Website?
Nein. SAML nutzt ein eigenes Signaturzertifikat des IdP. Das HTTPS-Zertifikat von Nextcloud spielt dabei keine Rolle.
Warum hat es gestern noch funktioniert?
Fast immer wurde das IdP-Zertifikat erneuert. Entra ID und ADFS rotieren automatisch; vergleichen Sie den Fingerprint in den Metadaten mit dem in Nextcloud.