So sieht die Meldung aus
Could not validate timestamp: not yet valid. Check system clock.Häufige Ursachen
- Server-Uhr ohne NTP läuft vor oder nach, typisch bei VMs nach Snapshot-Restore.
- NTP-Dienst läuft, erreicht aber keinen Zeitserver (Firewall auf UDP 123).
- IdP-Server (z. B. ADFS) hat selbst eine falsche Zeit.
- Falsche Zeitzone verwechselt mit falscher Uhrzeit – SAML nutzt immer UTC.
- Sehr kurze Gültigkeit der Assertion am IdP und langsame Weiterleitung.
Prüfen
- Zeit- und NTP-Status anzeigen
timedatectl status - Abweichung zum Zeitserver anzeigen
chronyc tracking 2>/dev/null || ntpq -p - UTC-Zeit von SP und IdP direkt vergleichen
date -u; ssh idp.example.com date -u
Lösung
- NTP aktivieren:
timedatectl set-ntp truebzw. chrony installieren und starten. - Ausgehend UDP 123 zu den Zeitservern freigeben.
- Auf dem IdP ebenfalls die Zeit prüfen; bei ADFS ggf.
NotBeforeSkewauf 1–2 Minuten setzen. - Toleranzen nicht auf viele Minuten erhöhen – das schwächt den Schutz gegen wiederverwendete Assertions.
- Bei VMs die Zeitsynchronisation mit dem Hypervisor oder per NTP sicherstellen.
Häufige Fragen
Wie viel Abweichung ist erlaubt?
Die meisten Bibliotheken tolerieren nur wenige Sekunden bis etwa 3 Minuten. Mit funktionierendem NTP liegt die Abweichung unter einer Sekunde.
Warum tritt der Fehler nur manchmal auf?
Weil die Uhr langsam wegdriftet. Kurz nach einer Korrektur passt es, Stunden später nicht mehr. Dauerhaft hilft nur ein laufender NTP-Dienst.