Come appare il messaggio
Could not validate timestamp: not yet valid. Check system clock.Cause frequenti
- Orologio del server senza NTP avanti o indietro, tipico delle VM dopo il restore di uno snapshot.
- Il servizio NTP gira ma non raggiunge alcun time server (firewall su UDP 123).
- Il server IdP (ad es. ADFS) ha lui stesso l'ora sbagliata.
- Fuso orario sbagliato scambiato per ora sbagliata: SAML usa sempre UTC.
- Validità dell'asserzione molto breve sull'IdP e redirect lento.
Verifica
- Mostra stato di ora e NTP
timedatectl status - Mostra lo scarto rispetto al time server
chronyc tracking 2>/dev/null || ntpq -p - Confronta direttamente l'ora UTC di SP e IdP
date -u; ssh idp.example.com date -u
Soluzione
- Attiva NTP:
timedatectl set-ntp true, oppure installa e avvia chrony. - Consenti in uscita UDP 123 verso i time server.
- Controlla l'ora anche sull'IdP; con ADFS imposta se serve
NotBeforeSkewa 1–2 minuti. - Non alzare le tolleranze a molti minuti: indebolisce la protezione contro asserzioni riutilizzate.
- Sulle VM assicurati che l'ora sia sincronizzata da hypervisor o NTP.
Domande frequenti
Quanto scarto è ammesso?
La maggior parte delle librerie tollera da pochi secondi a circa 3 minuti. Con NTP funzionante lo scarto resta sotto il secondo.
Perché succede solo ogni tanto?
Perché l'orologio deriva lentamente. Subito dopo una correzione funziona, ore dopo no. Solo un servizio NTP attivo risolve in modo stabile.