„Niepowodzenie weryfikacji dowodu WOPI” oznacza, że host WOPI nie mógł zweryfikować podpisanego żądania z Collabora Online. W typowej konfiguracji Nextcloud Office, Nextcloud jest hostem WOPI, a Collabora klientem WOPI: Collabora wysyła podpisane żądanie, a host je sprawdza. Dokładne sformułowanie różni się w zależności od integracji i wersji, dlatego najpierw należy ustalić, który komponent wyemitował komunikat, a które żądanie zakończyło się niepowodzeniem.
Dowód to kontrola bezpieczeństwa, a nie ogólny test łączności. Wiąże on żądanie z tokenem dostępu, pełnym adresem URL żądania i znacznikiem czasu, a następnie podpisuje te dane prywatnym kluczem dowodowym Collabora. Host weryfikuje podpis za pomocą publicznego klucza dowodowego opublikowanego w pliku XML Discovery Collabora. Definicja protokołu WOPI opisuje podpisane pola i nagłówki.
Pierwsze działanie: odtwórz awarię raz, zanotuj czas, działanie pliku, status HTTP oraz identyfikator żądania lub korelacji, a następnie sprawdź dziennik platformy pamięci masowej i coolwsddziennik Collabora pod kątem tego samego zdarzenia. Nie publikuj tokenów dostępu, nagłówków proof ani kluczy prywatnych w zgłoszeniu.
| Dowód | Prawdopodobny obszar do inspekcji | Następna akcja |
|---|---|---|
| Awaria zaczęła się po wygenerowaniu lub wymianie klucza dowodowego Collabora | Odkrywanie w pamięci podręcznej po stronie magazynu za pomocą kodu XML lub niezgodnego klucza | Odśwież wyszukiwanie na hoście WOPI i sprawdź, czy widzi on klucz publiczny dla aktywnej instancji Collabora. |
| Awaria występuje tylko w przypadku niektórych żądań lub okresowo | Wiele węzłów Collabora z różnymi kluczami dowodowymi lub niespójna pamięć podręczna wykrywania | Porównaj wartości kluczy dowodowych opublikowane przez każdy węzeł i sprawdź routing modułu równoważenia obciążenia. |
| Awaria występuje po zmianie serwera proxy, nazwy hosta lub adresu URL | Inny adres URL żądania używany do podpisywania i weryfikacji | Porównaj pełny adres URL wywołany przez Collabora z adresem URL, którego host WOPI używa do sprawdzenia poprawności dowodu. |
| Awaria tylko jednego hosta lub jednej ścieżki sieciowej | Konfiguracja dostępności, odwrotnego serwera proxy lub listy dozwolonych hostów | Przetestuj łączność w obu kierunkach i sprawdź listę dozwolonych hostów WOPI niezależnie od walidacji dowodu. |
| Brak ostatniej zmiany konfiguracji i znacznik czasu dowodu został odrzucony | Synchronizacja zegara lub analiza/sprawdzanie świeżości znaczników czasu | Sprawdź czas UTC i status NTP w obu systemach, zweryfikuj interpretację znacznika czasu hosta i dozwolony wiek. |
Collabora publikuje swoje możliwości WOPI i informacje o kluczu dowodowym w punkcie końcowym wykrywania. Z komputera, który może dotrzeć do adresu URL Collabora używanego przez serwer pamięci masowej, sprawdź:
curl -fsS https://office.example.com/hosting/discoveryPoszukaj w pliku XML elementu proof-keyz bieżącym valuei, jeśli występuje, z oldvalue. Nie należy mylić tego publicznego materiału z kluczem prywatnym przechowywanym na serwerze Collabora. Najbardziej użytecznym porównaniem jest odpowiedź odkrycia pobrana przez samego hosta WOPI, ponieważ przeglądarka lub stacja robocza administratora może otrzymać inną odpowiedź przez DNS, serwer proxy lub pamięć podręczną.
Zweryfikowano: Integracja WOPI Collabora wykorzystuje podpisy dowodowe, a klucz publiczny jest udostępniany poprzez odnajdywanie. Działanie: pobierz odnajdywanie z rzeczywistego hosta/kontenera, który weryfikuje żądania, a następnie sprawdź, czy plik XML jest prawidłowy i zgodny z punktem końcowym Collabora skonfigurowanym na platformie pamięci masowej. Przewodnik po powiązaniach Collabora SharePoint opisuje generowanie klucza dowodowego i sposób odnajdywania.
W usłudze Collabora sprawdź dziennik uruchamiania pod kątem ostrzeżeń o braku pliku klucza kontrolnego lub jego nieczytelności. Usługa Collabora musi być w stanie odczytać klucz prywatny w celu podpisania. W przypadku wdrożeń pakietowych ścieżka konfiguracji i konto usługi mogą się różnić; sprawdź skonfigurowany katalog usługi i montowane woluminy kontenera, zamiast zakładać ścieżkę hosta.
Dokumenty Collabora coolconfig generate-proof-keydotyczą przypadków, w których automatyczna konfiguracja klucza nie zadziałała. Nie uruchamiaj tego polecenia jako rutynowego polecenia rozwiązywania problemów w działającym klastrze. Wygenerowanie nowego klucza zmienia tożsamość podpisu. Jeśli serwer nadal ufa starszej odpowiedzi na żądanie odkrycia, żądania mogą nadal kończyć się niepowodzeniem, dopóki host nie odświeży używanego klucza publicznego.
sudo coolconfig generate-proof-keyUżyj tego polecenia dopiero po potwierdzeniu braku lub nieważności klucza oraz po zaplanowaniu sposobu, w jaki każdy węzeł Collabora i host WOPI otrzymają pasujące informacje o kluczu. Następnie wykonaj udokumentowaną procedurę ponownego ładowania usługi dla pakietu lub wdrożenia kontenera i ponownie pobierz dane wykrywania ze ścieżki sieciowej walidatora.
Pojedynczy serwer Collabora może działać, podczas gdy wdrożenie z równoważeniem obciążenia okresowo zawodzi. Na przykład, jeden węzeł może mieć nowo wygenerowany klucz prywatny, podczas gdy inny nadal podpisuje się starym kluczem; host z buforowanymi danymi wykrywania może nie ufać żadnemu z nich w sposób ciągły. Jest to przyczyna zależna od wdrożenia, a nie dowód na to, że każdy sporadyczny błąd jest spowodowany rotacją kluczy.
Działanie: pobierz /hosting/discoveryprzez moduł równoważenia obciążenia i bezpośrednio z każdego zaplecza, jeśli jest to dozwolone. Porównaj wartości klucza publicznego i sprawdź, czy pamięć podręczna wykrywania hosta WOPI jest aktualna. Jeśli węzły celowo używają oddzielnych kluczy, sprawdź, czy integracja pamięci masowej obsługuje tę topologię; w przeciwnym razie zachowaj spójność konfiguracji klucza dowodowego w całym klastrze. Odświeżanie wykrywania powinno korzystać z obsługiwanego mechanizmu integracji. Unikaj edytowania pamięci podręcznej bazy danych lub ponownego uruchamiania niepowiązanych usług bez dowodu.
Dowód obejmuje bezwzględny adres URL żądania WOPI pisany wielkimi literami, a także token i znacznik czasu. To sprawia, że przepisywanie adresów URL jest istotne. Odwrotny serwer proxy może zmienić widoczną zewnętrznie nazwę hosta, schemat, port, ścieżkę lub kod ucieczki. Jeśli Collabora podpisze żądanie dla jednego adresu URL, ale host WOPI zrekonstruuje inny adres URL w celu weryfikacji, poprawny podpis może zostać uznany za nieprawidłowy.
Działanie: skoreluj jedno nieudane żądanie na poziomie serwera proxy i aplikacji. Porównaj schemat, nazwę hosta, jawny port, ścieżkę i zakodowane znaki widziane przez walidator z adresem URL używanym w kodzie walidacji. Sprawdź obsługę forwarded-host i forwarded-proto tylko wtedy, gdy aplikacja korzysta z tych nagłówków. Zachowaj rzeczywisty adres URL żądania; nie „naprawiaj” problemu, wyłączając sprawdzanie podpisów ani ufając dowolnym przekierowanym nagłówkom.
Dowód WOPI zawiera X-WOPI-TimeStamp. W specyfikacji Microsoft WOPI ten nagłówek jest 64-bitową liczbą całkowitą mierzoną w 100-nanosekundowych odstępach od 1 stycznia 2001 roku, a nie znacznikiem czasu systemu UNIX w sekundach. Niestandardowy walidator, który analizuje go jako sekundy systemu UNIX, pomija cyfry, zmienia kodowanie lub niepoprawnie składa podpisane bajty, może odrzucać prawidłowe żądania.
Przesunięcie zegara jest jedną z możliwych przyczyn wymuszania przez hosta okna świeżości, ale dokładna tolerancja zależy od implementacji walidacyjnej. Wytyczne firmy Microsoft dotyczące usługi Microsoft 365 dla sieci Web przewidują 20-minutową weryfikację wieku; nie należy zakładać, że ta liczba dotyczy każdej integracji z platformą Collabora. Działanie: sprawdź synchronizację NTP i czas UTC w systemach Collabora i pamięci masowej, a następnie sprawdź udokumentowaną regułę znacznika czasu i kod analizy hosta.
Sprawdź również konstrukcję na poziomie bajtów, jeśli utrzymujesz niestandardowy host WOPI. Token jest w formacie UTF-8; długości to liczba bajtów; adres URL to pełny, bezwzględny adres URL zapisany wielkimi literami; a wartość znacznika czasu musi być przedstawiona dokładnie tak, jak określono. Klucz publiczny musi odpowiadać kluczowi prywatnemu używanemu przez instancję Collabora, która wysłała żądanie.
Lista dozwolonych hostów WOPI decyduje, z którymi hostami pamięci masowej Collabora może się kontaktować. Walidacja TLS decyduje, czy certyfikat partnera sieciowego jest zaufany. Walidacja dowodu sprawdza podpis w żądaniu WOPI. Te kontrole są związane z bezpieczną integracją, ale nie są zamienne. Dodanie hosta do listy dozwolonych nie naprawi niezgodności podpisu; wyłączenie kontroli TLS nie poprawi nieaktualnego publicznego klucza dowodowego.
W przypadku wdrożeń Nextcloud, oficjalny przewodnik rozwiązywania problemów zaleca sprawdzenie wymaganych ścieżek HTTP(S) w obu kierunkach, przejrzenie logów Nextcloud i Collabora oraz potwierdzenie wpisów na liście dozwolonych hostów WOPI pod kątem ostrzeżeń dotyczących listy dozwolonych. Działanie: śledź kategorię błędu w logu. Przetestuj punkt końcowy wykrywania i dostępność sieci niezależnie od walidatora dowodów. Nie rozszerzaj listy dozwolonych jako *obejścia.
Jeśli błąd nadal występuje, zbierz oczyszczone logi z obu stron, wersje Collabora i pamięci masowej, typ wdrożenia, informację o tym, czy dotyczy to jednego, czy wielu węzłów, kod XML wykrywania z usuniętymi sekretami oraz trasę proxy dla nieudanego żądania. Udostępnij te informacje odpowiedniemu dostawcy lub administratorom integracji. Sam dokładny ciąg znaków błędu nie określa, czy przyczyną jest nieaktualne wykrywanie, kanonizacja adresu URL, problem z zegarem, czy błąd niestandardowego walidatora; dowody na poziomie żądania determinują, którą ścieżkę obrać.
Utwórz zaproszenie na spotkanie w programie Outlook, dodaj wymaganych lub opcjonalnych uczestników, wybierz godzinę, dodaj szczegóły dotyczące usługi Teams, ustaw cykliczność i sprawdź odpowiedzi w nowej lub klasycznej wersji programu Outlook.
Użyj ustawień sprawdzania poprawności danych programu Excel, aby określić maksymalną, minimalną, dokładną długość lub zakres znaków, a następnie dodaj przejrzyste monity i alerty o błędach.
Napraw błąd programu Outlook „Nie możemy zaplanować spotkania”, sprawdzając obsługę konta, odświeżając logowanie do usługi Teams i naprawiając klasyczny dodatek do programu Outlook.
Zmień menu pakietu Office 365, ustawienia pisowni i gramatyki lub wprowadzanie tekstu z klawiatury w aplikacjach komputerowych i usłudze Microsoft 365 dla sieci Web.
Dowiedz się, jak automatycznie przekazywać dalej wszystkie lub wybrane wiadomości e-mail w programie Outlook 365, korzystając z ustawień przekazywania dalej lub reguł, a także jak zatrzymać przekazywanie dalej i naprawić zablokowane przekazywanie wiadomości zewnętrznych.
Użyj Edytora Microsoft w programie Word dla usługi Microsoft 365, aby sprawdzić pisownię, gramatykę, przejrzystość i zwięzłość, przejrzeć sugestie i dostosować ustawienia sprawdzania poprawności.
Dowiedz się, jak dodać kanał RSS do programu Outlook 365 w klasycznej wersji programu Outlook dla systemu Windows, znaleźć prawidłowy adres URL kanału, zarządzać subskrypcjami i rozwiązywać typowe problemy z kanałami RSS.
Możesz przejść bezpośrednio do dowolnej strony w programie Word dla Microsoft 365 za pomocą kombinacji klawiszy Ctrl+G lub F5, względnych numerów stron lub panelu nawigacji, korzystając ze skrótów klawiaturowych systemu Windows i Mac.
Dowiedz się, jak dodawać kontakty do aplikacji Outlook w sieci Web, nowej aplikacji Outlook, klasycznej aplikacji Outlook i aplikacji mobilnej, a także jak działa synchronizacja kontaktów i importowanie plików CSV.
Zmień kolor strony w programie Word, dodaj obraz tła, usuń go i włącz drukowanie tła w systemie Windows lub Mac, korzystając z przejrzystych i aktualnych instrukcji.
