Erro intermitente "Unable to Sign In" com o SSO do SAML no Tableau Server

Problemas

Quando o Tableau Server for configurado para a autenticação SAML, os usuários receberão intermitentemente o seguinte erro:

Unable to Sign In (Não é possível fazer logon)
Invalid username or password (Nome de usuário ou senha inválida)
Try Again (Tentar novamente)

Os logs do VizPortal, quando configurados para registrar no nível de depuração*, indicam o seguinte:

...DEBUG org.springframework.security.saml.websso.WebSSOProfileConsumerImpl - Validation of received assertion failed, assertion will be skipped (...DEBUG org.springframework.security.saml.websso.WebSSOProfileConsumerImpl - Falha na validação da instrução recebida. A instrução será ignorada.)
org.springframework.security.authentication.CredentialsExpiredException: Authentication statement is too old to be used (A instrução de autenticação é muito antiga para ser usada).

*Os logs do VizPortal do Tableau Server devem ser definidos para o nível de depuração antes que o erro seja encontrado, a fim de registrar a mensagem de erro mostrada acima. Para obter mais informações sobre os níveis de registro, consulte Alterar níveis de registro

Ambiente

Tableau Server
Autenticação SAML

Resolução

Para resolver temporariamente o erro, saia do IdP e faça logon novamente.

Para evitar erros, configure o Tableau Server e o IdP/AD (Provedor de identidade e/ou Active Directory) para terem o mesmo tempo máximo de autenticação. A configuração do tempo máximo de autenticação do Tableau Server é wgserver.saml.maxauthenticationage e conta o tempo em unidades de segundos.A configuração mais alta possível para o tempo máximo de autenticação do Tableau Server é de 777600 segundos.

Observação: no Tableau Server 10.5.3 e em versões anteriores, wgserver.saml.maxauthenticationage pode ser definido para uma configuração máxima de 2073600 segundos (isto é, 24 dias).

Causa

Se o IdP ou AD tiver a configuração de tempo máximo dos tokens definida como um período maior do que o tempo máximo estabelecido no Tableau Server, sempre que um token for mais antigo do que o tempo permitido no Tableau Server, ocorrerá o erro "unable to sign in, invalid username or password", pois o IdP identificará o token como válido, mas o Tableau Server não o reconhecerá da mesma forma.