ID4037: The key needed to verify the signature could not be resolved from the following security key identifier

Hace unos días estaba revisando un portal de SharePoint 2013 que había sido configurado para permitir la autentificación mediante Windows Live ID, la autentificación había sido configurada utilizando las siguientes guías:

Configure claims-based authentication using Windows Live ID (SharePoint Server 2010)
Visual guide to Windows Live ID authentication with SharePoint 2010 - part 1

Aunque las guías mencionadas son para SharePoint 2010 funcionan para SharePoint 2013 también, tan es así que el portal estuvo funcionando adecuadamente durante la etapa de desarrollo del  proyecto (algunas semanas) sin embargo de un día para otro dejo de funcionar la autentificación mediante Windows Live ID y en su lugar el portal mostraba el siguiente error cuando un usuario intentaba autentificarse mediante este método.

El mensaje:

ID4037: The key needed to verify the signature could not be resolved from the following security key identifier.

Después de revisar un rato los logs de SharePoint que se generaban al presentarse el error no encontré mayor información acerca del error por lo que decidí revisar los datos de configuración del proveedor de autentificación, sin embargo todo parecía estar correctamente configurado. Por último recordé que al ser esta una instalación de “Staging” los certificados que se utilizan para la configuración son temporales por lo que procedí a revisar  la vigencia de los certificados y efectivamente estaban vencidos.

Una vez descubierta la causa del error es hora de buscar la solución, la cual describo a continuación:

1.- Remover los certificados expirados. Para esto pueden utilizar la consola MMC.exe importando el addin de Certificados, identificar los certificados que ya expiraron y eliminarlos, los certificados deben encontrarse en los siguientes almacenes: Trusted Root Certification Authority, Trusted People y SharePoint.

2.- Una vez que los certificados han sido removidos se debe descargar de nuevo el certificado para posteriormente instalarse en los mismos almacenes. El certificado debe descargarse de la url https://nexus.passport-int.com/federationmetadata2/2007-06/federationmetadata.xml, se debe copiar y pegar en un archivo de texto lo que se encuentra del nodo X509Certificate, se guarda el archivo con extensión .cer.

3.- Una vez que se cuenta con el certificado actualizado se debe instalar en los mismos almacenes de los que se eliminó: Trusted Root Certification Authority, Trusted People y SharePoint.

4.- Por ultimo ejecutamos este pequeño script de PowerShell para actualizar solo el certificado del Trusted Identity Token Issuer

$certfile="C:\temp\LiveID-INT.cer" #path en donde se encuentra el nuevo certificado descargado desde https://nexus.passport-int.com/federationmetadata2/2007-06/federationmetadata.xml
$tokenIssuer=Get-SPTrustedIdentityTokenIssuer -Identity "LiveID INT" #Nombre con el que se registro el Trusted Identity Token Issuer
Set-SPTrustedIdentityTokenIssuer -Identity $tokenIssuer -ImportTrustCertificate $certfile

Despues de realizar estos sencillos pasos el sitio vuelve a funcionar y ya permite la autentificación mediante Windows Live ID

Happy Configuring!

HTML Field Security en SharePoint 2013

Una de las nuevas características en el área de Web Content Management en SharePoint 2013 es que ahora existe una opción llamada HTML Security Settings que se encuentra en la sección de configuración  de administradores de la colección de sitios, por lo que evidentemente se debe contar con este rol para utilizarla.

 

En SharePoint 2013 los creadores de contenido de un sitio puede agregar iframes en cualquier página, ya sea utilizando la opción Embed Code del menú Insert del Ribbon, o utilizando la nueva webpart Script Editor.

 

Hasta aquí ninguna novedad, en el pasado también se podían agregar iframes a una página de SharePoint, obviamente no utilizando las opciones arriba descritas ya que estas son nuevas en SharePoint 2013, pero si se podía hacer. Lo que la opción HTML Security viene a cubrir era la necesidad de los administradores de SharePoint (esos tipos a los que cualquier toque de creatividad les molesta) de poder restringir los dominios a los cuales se puede agregar o referenciar dentro de un iframe en un sitio de SharePoint.

 

Este setting permite habilitar a los usuarios con rol de "Contributors" el poder agregar iframes a partir de un listado de dominios permitidos, poder referenciar cualquier dominio o no poder insertar iframes con contenido externo a SharePoint en absoluto. La opción por default es permitir a los contribuidores agregar iframes con un listado de sitios también predefinido, como se aprecia en la imagen. 

 

Para este ejemplo voy a agregar un iframe a una página de SharePoint referenciando uno de mis sitios favoritos, Channel 9. Aunque como se puede apreciar en la imagen, obtendré un mensaje indicándome que no cuento con los permisos suficientes para agregar el iframe.

 

Lo que se debe hacer es ir a apartado de configuración de HTML Security Settings y agregar el dominio channel9.msdn.com (para este ejemplo), y acto seguido intentar de nuevo agregar el iframe.

 

Y con esto podemos ya agregar satisfactoriamente una referencia a contenido externo, de manera un poco más ordenada.

 

 

Un último comentario es que este setting solo aplica/restringe a los usuarios con el rol de "Contributors", es decir que si eres el dueño del sitio o un site collection administrator, ni te preocupes por este tipo de limitantes que solo aplican a los simples mortales. Lo que debería preocuparte es revisar tu modelo de gobernabilidad en SharePoint.

 

Happy Configuring! 

SharePoint 2013 - SQL Server instance does not have the required "max degree of parallelism"

No sé ustedes pero yo personalmente aún ahora, probando el preview de SharePoint 2013, cruzo los dedos cada vez que el wizard de configuración se encuentra en el paso "Creating the configuration database…"

Precisamente el error del que hablaremos el día de hoy, ocurre al momento de estar creando la base de datos de configuración de nuestra flamante granja de SharePoint 2013:

Failed to create the configuration database.

This SQL Server instance does not have the required "max degree of parallelism" setting of 1. Database provisioning operations will continue to fail if "max degree of parallelism" is not set 1 or the current account does not have permissions to change the setting. See documentation for details on manually changing the setting.

Lo único rescatable de este escenario de error es que si te llega a ocurrir, es porque casi seguramente estas usando la filosofía de mínimos privilegios o least-privileges, es decir la cuenta con la que estas instalando SharePoint 2013 solo tiene los roles dbcreator y securityadmin de base de datos, lo cual es muy bueno pero insuficiente para modificar el setting “max degree of parallelism” por el cual ocurre el error. De hecho si lees bien el mensaje de error, si la cuenta que será usada como Farm Administrator tuviera permisos de modificar el setting, lo hubiera hecho.

Ahora bien, después de la sección de reflexiones, como se resuelve este inconveniente?

Primero le llamas al amigo DBA, o consigues una cuenta administradora de la base de datos. Para modificar el “max degree of parallelism” puedes ocupar cualquiera de las siguientes dos opciones:

Utilizando la UI
1. Abrir Microsoft SQL Server Management Studio
2. Conectarse a la instancia en la que se intenta crear la granja de SharePoint, con la cuenta administradora
3. Hacer click en Properties sobre el nombre de la instancia, aparecerá un cuadro de dialogo
4. Modificar a 1 el valor del elemento Max Degree of Parallelism

Utilizando el stored procedure sp_configure
Ejecuta las siguientes instrucciones en una ventana de query

sp_configure 'show advanced options', 1; 
GO
RECONFIGURE WITH OVERRIDE; 
GO
sp_configure 'max degree of parallelism', 1; 
GO
RECONFIGURE WITH OVERRIDE; 
GO

Después de ejecutar cualquiera de estas dos soluciones no olvides borrar la base de datos SharePoint_Config, que se creó en el intento fallido de creación de la granja. Por último vuelve a ejecutar el wizard para la configuración de la granja de SharePoint 2013

Y bueno, mientras ven como avanza el wizard, no estaría demás que leyeran las siguientes referencias:

Install and Configure SharePoint 2013 preview
Deployment guide for Microsoft SharePoint 2013 preview
General guidelines to use to configure the MAXDOP option
The ins and outs of MAXDOP

Happy Configuring!